À l’issue d’une consultation publique, la Commission nationale de l’informatique et des libertés (Cnil) a adopté, le 12 mars 2026, une recommandation encadrant le recours aux pixels de suivi emailing.
La Cnil qualifie l’insertion d’un pixel dans un courriel d’opération de lecture sur le terminal de l’utilisateur, ce qui la fait entrer dans le champ d’application de l’article 82 de la loi Informatique et libertés, lequel transpose en droit français l’article 5, paragraphe 3, de la directive 2002/58/CE dite « ePrivacy ».
Cette qualification, reprise des lignes directrices 2/2023 du CEPD n’allait pourtant pas de soi : à la différence du cookie, qui procède d’une écriture sur le terminal, le pixel se borne à provoquer l’envoi d’informations vers l’expéditeur, sans qu’aucune donnée ne soit à proprement parler stockée sur l’équipement de l’utilisateur.
Il en résulte que le recueil préalable du consentement libre, spécifique, éclairé et univoque du destinataire, au sens de l’article 4, paragraphe 11, du RGPD, est requis, sauf à entrer dans le champ, limitativement défini, des exemptions.
Les pixels de suivi emailing assimilés au régime des cookies
La recommandation précise le champ des finalités soumises à consentement : mesure de performance à des fins d’optimisation des campagnes, personnalisation du contenu ou du canal d’envoi, constitution de profils à des fins de ciblage cross-canal et détection de fraude publicitaire. Le régime ainsi défini pour les pixels de suivi emailing est strictement indépendant du régime propre à l’envoi du courriel qui les héberge.
Un courriel de prospection peut ainsi être valablement adressé sans consentement au titre du soft opt-in de l’article L. 34-5 du Code des postes et des communications électroniques, ou dans le cadre d’une prospection BtoB en rapport avec la fonction du destinataire, sans que cette licéité ne s’étende pour autant au pixel qu’il contient : celui-ci demeure soumis, indépendamment de la base retenue pour l’envoi, à l‘article 82 de la loi Informatique et libertés et requiert donc un consentement distinct.
Cette dualité de régimes, propre à la matière des traceurs, oblige à distinguer, dans l’analyse de conformité, la licéité de l’envoi de celle du dispositif de mesure qu’il contient.
Les exemptions strictement encadrées par la Cnil
Certains usages échappent toutefois à cette exigence de consentement préalable, dès lors qu’ils demeurent strictement nécessaires au service demandé par le destinataire. Tel est le cas des pixels concourant exclusivement à la sécurisation d’une authentification, par exemple pour vérifier qu’un courriel contenant un code d’accès a bien été ouvert par son destinataire légitime.
La mesure de la délivrabilité bénéficie également d’une exemption, tant sous sa forme individuelle que globale, mais dans des limites strictement proportionnées : seule la date de la dernière ouverture d’un courriel, sans autre précision, peut être retenue afin de purger les adresses inactives d’une base de diffusion. Dès que cette mesure sert, en réalité, une finalité de personnalisation ou de ciblage, elle bascule dans le champ du consentement, y compris lorsqu’elle porte sur un courriel transactionnel tel qu’une confirmation de commande ou une réinitialisation de mot de passe.
Une troisième exemption, plus rarement mobilisée, couvre la conservation d’une trace d’ouverture destinée à démontrer le respect d’une obligation légale d’information, par exemple lorsqu’un texte impose de justifier qu’une information a effectivement été portée à la connaissance de son destinataire.
Un délai de mise en conformité fixé au 14 juillet 2026
S’agissant des adresses déjà collectées, la recommandation ménage un régime transitoire : le suivi peut continuer, à la condition qu’une information claire soit adressée aux destinataires dans un délai de trois mois suivant la publication du texte, soit avant le 14 juillet 2026, afin de leur permettre de s’opposer au suivi pour les courriels à venir.
Ce régime transitoire ne vaut que pour le stock d’adresses déjà collectées : il ne s’agit pas d’un re-consentement rétroactif, mais d’une simple obligation d’information assortie d’un droit d’opposition, s’inscrivant dans le prolongement de l’obligation d’information prévue à l’article 13 du RGPD.
Pour toute collecte de consentement postérieure à la publication de la recommandation, le droit commun s’applique sans ménagement : le consentement procède d’un acte positif et le silence du destinataire vaut refus.
La Cnil a annoncé des contrôles à compter de l’expiration de cette période transitoire. La formule prudente employée par la recommandation, qui évoque un délai ne devant, « en principe », pas excéder trois mois, laisse toutefois subsister une incertitude sur le caractère strictement impératif de cette échéance.
À défaut de valeur contraignante propre à une recommandation, le risque contentieux se déplacera vraisemblablement vers le terrain de la preuve de la diligence raisonnable du responsable de traitement, plutôt que vers celui du respect littéral du délai.
La notion de finalités connexes et la responsabilité du responsable de traitement
La Cnil admet qu’un consentement unique puisse couvrir à la fois la prospection commerciale directe et l’utilisation de pixels de suivi contribuant directement à la personnalisation de cette prospection, dès lors que ces finalités sont présentées comme connexes. Cette notion, absente tant du RGPD que des précédentes recommandations de la Cnil, ne fait l’objet d’aucune définition précise ; elle entre en tension potentielle avec le principe de limitation des finalités posé par l’article 5, paragraphe 1, sous b), du RGPD, et l’absence de critères objectifs de connexité pourrait fragiliser la prévisibilité du dispositif autant que la validité du consentement ainsi recueilli, ce point méritant d’être suivi avec attention.
Le recours à un prestataire technique n’emporte pas transfert de responsabilité : la qualité de responsable de traitement, au sens de l‘article 4, paragraphe 7, du RGPD, s’apprécie au regard de la détermination des finalités et des moyens, et non de l’exécution matérielle du dispositif. Est ainsi qualifié de responsable de traitement l’organisme ayant décidé l’envoi de la campagne, qu’il en soit ou non l’auteur technique, la plateforme d’emailing n’intervenant, le cas échéant, qu’en qualité de sous-traitant au sens de l’article 28 du RGPD, ce qui suppose l’existence d’un contrat de sous-traitance conforme.
Face à ces évolutions, une revue globale des pratiques existantes s’impose avant l’envoi de nouvelles campagnes : cartographie des usages de pixels et des finalités poursuivies, distinction entre usages techniques et usages marketing, vérification, pour chaque finalité, de la nécessité d’un consentement, adaptation des parcours de collecte, mise à jour du registre des traitements au titre de l’article 30 du RGPD et des politiques de confidentialité, et, selon l’ampleur du profilage en cause, examen de l’opportunité de réaliser une analyse d’impact sur la protection des données au sens de l’article 35 du RGPD.
À défaut d’un tel encadrement, l’entreprise s’expose à un risque de non-conformité et de sanction.
Les pixels de suivi emailing ne sont donc pas prohibés, mais leur licéité suppose désormais un consentement recueilli et documenté selon les modalités précisées par la Cnil. Les entreprises disposent d’ici la mi-juillet 2026 pour sécuriser leurs pratiques et éviter tout risque de contrôle.
Article coécrit avec Kenza Declercq, avocate, collaboratrice du département Droit de l’IA & Contentieux technologiques du cabinet Lexing.
