Pixel de suivi dans les emails : ce que change la recommandation CNIL

Réponse courte. La CNIL a adopté le 12 mars 2026 une recommandation sur les pixels de suivi dans les courriels, publiée au Journal officiel le 14 avril 2026, puis une FAQ de 27 questions le 22 juillet 2026. Cette recommandation n'est ni réglementaire ni exhaustive selon la CNIL elle-même : la contrainte vient de l'article 82 de la loi Informatique et Libertés. Quatre finalités de pixel sont classées côté consentement, dont la mesure de performance des campagnes. Deux seulement sont exemptées : sécurité d'authentification et délivrabilité. Point le plus contre-intuitif : le régime du pixel est indépendant de celui de l'envoi.

Un pixel d'ouverture, c'est une image de un par un chargée depuis les serveurs de votre outil d'emailing. C'est aussi la brique sur laquelle repose une bonne partie d'un programme CRM : taux d'ouverture, segments d'engagement, déclencheurs de flows, sunset policy. La CNIL a publié en 2026 deux documents qui expliquent comment elle lit l'article 82 sur ce sujet.

Ce guide reprend ce qu'ils disent, source à l'appui, et signale ce qu'ils ne disent pas. Rien ici ne constitue un conseil juridique.

1. Ce que la CNIL a publié, et le statut exact de ce texte

Le texte est la délibération n° 2026-042 du 12 mars 2026, publiée au Journal officiel n° 0088 du 14 avril 2026, le jour de la mise en ligne de la page CNIL dédiée. Le projet avait fait l'objet d'une consultation publique du 12 juin au 24 juillet 2025.

Le PDF précise son statut dès l'introduction : la recommandation « n'est ni réglementaire ni exhaustive ». L'obligation, elle, existe depuis 2019 et vient de l'article 82 de la loi Informatique et Libertés, qui conditionne toute opération de lecture ou d'écriture sur le terminal d'un utilisateur à son consentement, sauf deux exceptions étroites.

Le 22 juillet 2026, la CNIL a ajouté une FAQ de 27 questions, le document le plus utile en pratique puisqu'il tranche des cas concrets. Les lignes directrices 2/2023 du CEPD tenaient déjà le chargement du pixel pour un stockage et la collecte des identifiants pour un accès.

2. Pourquoi une image d'un pixel relève de l'article 82

La partie 2.1 pose le raisonnement : l'inclusion du pixel constitue une instruction donnée au terminal du destinataire de renvoyer des informations ciblées (identifiant du pixel, adresse IP, etc.), et leur collecte par le serveur qui héberge l'image constitue une opération de lecture sur ce terminal.

La conséquence est souvent mal comprise. Ce qui déclenche l'article 82, c'est cette lecture sur le terminal, pas l'enregistrement de l'événement dans votre base. Un montage qui laisse le pixel se charger et se contente de ne pas journaliser l'ouverture ne traite pas le même objet que le texte.

Le champ est large. La FAQ (question 3) applique la recommandation à tout recours à des traceurs dans les courriels, quel que soit le contexte et quelle que soit la qualité du destinataire, y compris un salarié. La question 2 ajoute que la CNIL peut contrôler des acteurs établis hors de France sans passer par le guichet unique européen. La partie 2.2 qualifie l'expéditeur de responsable du traitement, son prestataire d'emailing de sous-traitant.

3. Le régime du pixel est découplé de celui de l'envoi

C'est le point qui surprend le plus les équipes CRM, et il est écrit noir sur blanc. Un encadré « Point d'attention » indique que le régime du consentement des pixels est indépendant de celui de l'envoi. Un consentement pour le pixel peut donc être nécessaire dans des emails qui, eux, n'en exigent aucun : confirmation de commande, prospection de produits similaires auprès de ses clients, prospection B2B. La question 16 de la FAQ passe en revue les cas concrets.

Traduction pour un compte e-commerce : votre flow de relance panier, même adressé à une base opt-in, ne bénéficie d'aucune exemption pixel. Votre confirmation de commande en bénéficie tant que vous n'y glissez pas de cross-sell.

4. Quatre finalités sous consentement, deux exemptions

La partie 3.1 liste les finalités qui appellent un consentement :

1. l'analyse du taux d'ouverture pour optimiser les performances des campagnes, en personnalisant le contenu ou en adaptant la fréquence ou le canal ;
2. la création de profils selon les préférences et centres d'intérêt, pour cibler dans d'autres contextes que le courriel ;
3. la détection de suspicions de fraude, par exemple des ouvertures inhabituelles ou massives ;
4. la mesure individuelle du taux d'ouverture à des fins de délivrabilité, hors du cadre de l'exemption ci-dessous.

La partie 3.2 ne retient que deux finalités exemptées : les mesures de sécurité participant à l'authentification de l'utilisateur, et la mesure individuelle du taux d'ouverture à des fins de délivrabilité. Les deux ne peuvent viser que des courriels demandés par le destinataire ou rattachés à un service qu'il a demandé, la recommandation s'appuyant sur la notion de demande expresse de l'article 82.

5. L'exemption délivrabilité se joue sur les colonnes que vous conservez

C'est là que la conformité devient une question d'audit de base, pas de case à cocher. La CNIL demande de démontrer que les opérations se limitent au strict nécessaire pour adapter la fréquence ou arrêter l'envoi aux inactifs. Au titre de la minimisation, seule la date de la dernière ouverture connue, à la journée et sans l'heure, écrasée à chaque nouvelle ouverture, devrait en principe être conservée.

Deux réponses ferment les échappatoires habituelles. La question 5 fait tomber l'exemption dès que le pixel collecte des informations non strictement nécessaires, et cite l'heure d'ouverture. La question 7 précise qu'anonymiser ou supprimer l'adresse IP ou le user-agent après coup ne rattrape rien.

Comparez au réglage d'usine d'un ESP. Klaviyo documente qu'un événement d'ouverture stocke le compte, le destinataire, le message, l'horodatage, l'adresse IP et des informations d'appareil. Le pixel Brevo sert à compter les ouvertures, estimer la localisation et le fuseau, déterminer le type d'appareil et identifier l'adresse email. Aucun des deux ne ressemble à la colonne unique décrite par la CNIL.

La question 8 précise quoi faire du signal : l'absence d'ouverture doit amener l'expéditeur à considérer que le canal est peu efficace, avec trois suites citées, couper les envois et retirer la personne de la base, diminuer la fréquence, ou basculer sur un autre canal. C'est la logique d'une sunset policy et d'une hygiène de liste disciplinées.

L'argument des statistiques anonymes ne sauve rien non plus : l'exemption de type mesure d'audience existe dans le corpus cookies et traceurs du web, pas ici, et la question 18 rappelle que l'article 82 s'applique que les données soient personnelles ou non. Seule la réutilisation en aval y échappe, si la collecte était licite (question 6).

6. Recueil, retrait, preuve et calendrier de la base existante

La partie 4.2 recommande de recueillir le consentement au moment de la collecte de l'adresse email, avec une information qui identifie l'adresse concernée et précise que les traceurs seront déposés sur tous les terminaux utilisés. Vos formulaires d'inscription méritent une relecture à cette aune. Un recueil différé reste possible par un message sans pixel soumis au consentement, avec un lien menant à une page où la personne effectue une action positive, pour éviter qu'un préchargement automatique ne vaille accord.

Trois précisions pour l'implémentation : le silence vaut refus, un pixel ne peut pas être déposé dans la seule attente d'un consentement futur (question 10), et la preuve ne peut pas reposer sur une clause contractuelle déléguant le recueil à l'autre partie (partie 6). Pour le retrait, la CNIL recommande un lien traçant en pied de page menant à une page qui n'exige pas de ressaisir l'adresse ; la question 22 évoque un mécanisme ignorant toute requête portant un identifiant dont le consentement a été retiré.

Sur la base existante, la partie 7 autorise la poursuite des opérations sous réserve d'une information claire et accessible envoyée dans un délai qui ne devrait en principe pas excéder trois mois. La question 25 fixe le départ au 14 avril 2026 et admet une prolongation raisonnable si les difficultés sont documentées. Passé le 14 juillet 2026 sans information envoyée, la question 26 rend les règles applicables, faute de quoi l'expéditeur doit cesser l'usage des pixels concernés. Sur les contrôles, la CNIL annonce un accompagnement puis une vigilance au titre de ses missions à venir, sans date ni thématique, et aucun montant de sanction.

7. Klaviyo et Brevo : ce que font les outils, où leurs docs divergent

Klaviyo a publié un article dédié à la réglementation des pixels et renvoie la qualification au client. Sa gestion du suivi d'ouverture se pilote au niveau du compte, ou par destinataire via un statut à trois valeurs alimentable par CSV, API ou SFTP, avec une limite documentée honnêtement : le pixel reste dans l'email et la requête atteint quand même ses serveurs, c'est l'enregistrement qui est bloqué. Brevo a construit un dispositif de consentement par contact avec des attributs dédiés, un défaut paramétrable pour les contacts dont le consentement est inconnu, un champ dans l'API transactionnelle et un lien de retrait en pied de page.

Quatre écarts entre ces docs et les textes CNIL circulent ensuite comme des règles :

• Brevo qualifie la recommandation de contraignante. La CNIL écrit qu'elle n'est ni réglementaire ni exhaustive.
• Brevo présente le lien de retrait en pied de page comme obligatoire depuis le 14 avril 2026. La CNIL le formule au registre de la recommandation.
• La FAQ interne de Brevo décrit l'exemption délivrabilité comme couvrant un suivi global et agrégé. La partie 3.2 exempte la mesure individuelle, sous conditions.
• Brevo restreint le champ au marketing adressé à des contacts situés en France. La question 3 de la FAQ décrit un champ plus large.

La CNIL n'a validé aucun de ces produits. Aucun réglage, dans aucun outil, ne rend un compte conforme par lui-même.

8. Les points que les sources ne tranchent pas

Apple Mail Privacy Protection. Ni la recommandation ni la FAQ ne mentionnent MPP, le préchargement d'images par un proxy ou les ouvertures machine. La seule mention voisine, en partie 2.2, note que le fournisseur de messagerie peut influencer la capacité du pixel à déclencher une lecture, sans en tirer de conséquence juridique. La friction est réelle : l'exemption délivrabilité repose sur la détection des inactifs par l'ouverture, et Klaviyo comme Brevo documentent l'impossibilité de distinguer une ouverture humaine d'une ouverture automatique sous MPP. Le versant métier est traité dans notre guide Apple MPP et métriques email.

Le suivi de clic. La question 1 de la FAQ indique que les liens traçants ne sont pas directement visés par la recommandation tout en relevant de l'article 82, l'analyse restant à mener au cas par cas. Impossible d'en conclure qu'il est libre, ni qu'il exige un consentement. Même chose pour l'identification des destinataires situés en France dans une base multi-pays : aucune méthode fiable n'est décrite.

Vous voulez savoir ce que votre compte enregistre réellement ? Un expert passe vos réglages et vos segments en revue lors d'un audit emailing.

FAQ

Le taux d'ouverture est-il interdit en France ?

Non. La recommandation range l'analyse du taux d'ouverture destinée à optimiser les campagnes parmi les finalités soumises au consentement, et exempte la mesure individuelle à des fins de délivrabilité sous les conditions de la partie 3.2. Tout se joue sur la finalité et sur les données conservées.

Mes emails transactionnels sont-ils concernés ?

Le régime du pixel est indépendant de celui de l'envoi. La FAQ répond au cas par cas : oui pour une confirmation d'achat ou un renouvellement d'abonnement, à condition qu'ils ne contiennent pas d'éléments promotionnels ; non pour une relance de panier abandonné, qualifiée de courriel promotionnel.

Que devient une base collectée avant avril 2026 ?

La recommandation autorise la poursuite des opérations sous réserve d'une information claire et accessible envoyée dans un délai qui ne devrait en principe pas excéder trois mois à compter du 14 avril 2026, prolongeable si les difficultés sont documentées. Passé ce délai sans information envoyée, la FAQ rend les règles applicables.

Désactiver le suivi des ouvertures dans mon ESP suffit-il ?

Aucune source publique ne permet de l'affirmer. Klaviyo documente que le pixel reste dans l'email et que la requête atteint ses serveurs, seul l'enregistrement étant bloqué, là où la CNIL fait porter l'article 82 sur la lecture du terminal. La CNIL ne s'est prononcée sur aucun produit.

→ Réserver un diagnostic de votre programme email

Pour aller plus loin

• Apple MPP : quelles métriques email suivre ?
• SMS et RGPD en France : les règles CNIL
• List hygiene : nettoyer sa base sans tuer sa deliverability
• Sunset flow Klaviyo : couper les contacts morts
• Les 12 KPIs d'un programme lifecycle

Charlotte Rodrigues, CRM Lead chez Deliver.