RGPD email marketing 2026 : checklist conformité complète

Réponse courte. En B2C, la prospection par email suppose un consentement préalable, libre, spécifique, éclairé et univoque, sauf exception produits ou services analogues pour un client déjà acquis, informé lors de la collecte et disposant dans chaque message d'un moyen simple et gratuit de s'opposer. Le pixel de suivi relève d'un régime distinct de celui de l'envoi : la recommandation CNIL publiée au Journal officiel le 14 avril 2026 le rattache à l'article 82 de la loi Informatique et Libertés, donc au consentement, avec deux exemptions étroites. Sur la base existante, le délai d'information de trois mois est échu depuis le 14 juillet 2026, hors prolongation documentée. La checklist complète est en fin d'article.

L'année 2026 a rebattu les cartes de la conformité email en France. La CNIL a publié une recommandation sur les pixels de suivi dans les courriels (délibération n° 2026-042 du 12 mars 2026, publiée au Journal officiel le 14 avril 2026), puis une FAQ qui tranche les cas concrets. La CNIL le précise elle-même : ce texte n'est ni réglementaire ni exhaustif. La contrainte juridique tient à l'article 82 de la loi Informatique et Libertés, que la recommandation se borne à expliciter. Pour une marque e-commerce qui fait tourner des flows et des campagnes quotidiennes, l'effet pratique reste le même : une partie de vos mesures d'ouverture repose désormais sur un consentement que vous n'avez probablement pas demandé.

Ce guide couvre le cadre applicable à l'email marketing en 2026 : consentement, pixels de suivi, conservation des données, authentification DNS et mise en conformité opérationnelle, sur Klaviyo comme sur un autre outil. Rien ici ne constitue un conseil juridique.

Le consentement à la prospection email : ce qu'exige la CNIL

En B2C, la règle n'a pas changé sur le fond, mais la CNIL la rappelle avec insistance : le consentement doit être préalable, libre, spécifique, éclairé et univoque, recueilli par une action positive. En pratique, une case à cocher non pré-cochée et dédiée à la prospection commerciale. L'acceptation des conditions générales ne suffit pas.

Ce que cela implique pour vos formulaires d'inscription :

• Une case distincte pour le consentement marketing (newsletter, offres promotionnelles).
• Une case vierge par défaut, un achat ne valant pas à lui seul consentement, sous réserve de l'exception produits ou services analogues détaillée plus bas.
• Un wording clair qui précise la finalité, la fréquence approximative et le canal (email, SMS si applicable).

L'exception B2B

En B2B, la prospection par email peut s'appuyer sur l'intérêt légitime, à condition que les destinataires soient informés au moment de la collecte et puissent s'y opposer simplement et gratuitement. L'objet du message doit être en rapport avec la fonction professionnelle du destinataire.

L'exception produits analogues en B2C

Si une personne a déjà acheté chez vous, vous pouvez lui adresser des messages de prospection portant sur des produits ou services analogues sans recueillir un nouveau consentement. Deux conditions : l'informer au moment de la collecte de son adresse et lui offrir un moyen simple de s'opposer, dans chaque email. Attention : cette exception porte sur le droit d'envoyer le message, pas sur le droit de le tracer (voir la section suivante).

Pixels de suivi : la recommandation CNIL 2026

C'est le changement majeur de l'année. La CNIL analyse le pixel de suivi dans un email comme une opération de lecture sur le terminal du destinataire, donc comme un traceur relevant de l'article 82, au même titre qu'un cookie : consentement préalable et spécifique.

Notre guide dédié aux pixels de suivi et à la CNIL détaille l'analyse juridique, finalité par finalité. Voici le résumé opérationnel.

Les trois exigences du consentement au suivi

Le consentement au tracking par pixel doit être :

• Spécifique à chaque finalité : pour préserver le caractère libre du consentement, la CNIL recommande de le recueillir de façon indépendante et spécifique pour chaque finalité distincte. Elle n'admet un consentement unique que lorsque la prospection commerciale et les pixels poursuivent des finalités connexes, par exemple une prospection expressément présentée comme personnalisée. Dès que les finalités ne sont pas connexes, deux cases séparées restent la voie la plus démontrable. Klaviyo lit la position française comme imposant un consentement au suivi distinct de celui de la prospection, lecture plus stricte que la recommandation elle-même.
• Recueilli avant tout envoi d'email tracé, la CNIL recommandant de le demander au moment de la collecte de l'adresse.
• Sollicité sans pression disproportionnée : le message de recueil ne doit ni empêcher ni gêner la lecture des courriels. Un contact qui refuse le suivi peut continuer à recevoir vos campagnes, l'envoi et le pixel relevant de deux régimes distincts.

La conséquence pratique est contre-intuitive : un email que vous avez parfaitement le droit d'envoyer peut malgré tout exiger un consentement pour être tracé.

La base collectée avant avril 2026

Pour les contacts déjà en base, la CNIL admet la poursuite des opérations sous deux réserves : une information claire et accessible envoyée dans un délai qui ne devrait en principe pas excéder trois mois à compter du 14 avril 2026, avec une prolongation possible si les difficultés sont documentées, et l'absence d'opposition des destinataires. Cette information a un objet précis : mettre le destinataire en capacité de s'opposer au suivi pour les courriels futurs, dans l'hypothèse où son consentement n'aurait pas été recueilli selon les modalités de la recommandation. Ceux qui s'opposent sortent du suivi, le maintien du pixel ne vaut que pour les autres.

Sauf prolongation raisonnable justifiée par des difficultés documentées, ce délai est aujourd'hui échu : les règles de la recommandation s'appliquent, dont le recueil du consentement lorsqu'il est nécessaire. Si aucune information n'est partie, la FAQ ne laisse que deux issues : recueillir le consentement des personnes, ou cesser l'usage des pixels soumis à consentement tant que ce consentement n'a pas été recueilli.

Relances panier et emails transactionnels

La FAQ CNIL traite les cas au cas par cas. Une relance de panier abandonné est un courriel promotionnel : pas d'exemption de pixel. Une confirmation d'achat ou un renouvellement d'abonnement peut en bénéficier, à condition de ne pas y glisser d'éléments promotionnels, ce qui écarte le cross-sell dans les emails transactionnels que vous vouliez continuer à mesurer.

Les deux exemptions

Deux finalités seulement échappent au consentement selon la recommandation : les mesures de sécurité participant à l'authentification de l'utilisateur, et la mesure individuelle du taux d'ouverture à des fins de délivrabilité, c'est-à-dire pour adapter la fréquence ou arrêter les envois aux inactifs. Ces exemptions supposent que le courriel soit demandé par le destinataire ou rattaché à un service qu'il a demandé, et que les données collectées se limitent au strict nécessaire. Au titre de la minimisation, la recommandation retient que seule la date de la dernière ouverture connue devrait être conservée, à la journée et sans enregistrer l'heure, mise à jour à chaque nouvelle ouverture avec suppression de la précédente.

En cas de refus

Un refus se respecte et se conserve. Le silence ne vaut pas accord, et un pixel soumis à consentement ne peut pas être inséré dans l'attente d'un consentement futur. Prévoyez donc dans vos flows un segment d'exclusion durable, plutôt qu'une redemande de consentement à chaque campagne, qui vide le consentement de sa valeur et se voit immédiatement en cas de contrôle. La CNIL recommande que le refus soit aussi simple que l'acceptation et que les choix du destinataire soient enregistrés pour qu'il ne soit plus sollicité pendant un certain laps de temps, une absence de sollicitation de 6 mois constituant une bonne pratique.

Conservation des données clients : la durée de référence

Dans sa doctrine sur la relation client, la CNIL retient la suppression des informations des clients restés inactifs de façon prolongée, trois ans à compter de la fin de la relation commerciale, sous réserve des données que des obligations légales imposent de conserver plus longtemps (comptabilité, contentieux). Cette référence vise les données clients : elle ne fixe pas la durée applicable aux prospects qui n'ont pas acheté.

Pour un e-commerce, cette fin de relation correspond en pratique au dernier achat ou à la dernière interaction significative (connexion au compte, clic email, utilisation d'un code promo).

Cela rejoint la logique du sunset flow et du nettoyage de base : au terme du délai, les données clients concernées relèvent de la suppression ou de l'archivage, une désactivation dans l'outil laissant la donnée en base.

Authentification DNS : le socle technique

Les bonnes pratiques expéditeurs de Yahoo exigent des expéditeurs en volume l'authentification SPF et DKIM, une politique DMARC publiée, un taux de plainte sous 0,3 % et une désinscription en un clic fonctionnelle via l'en-tête List-Unsubscribe, Yahoo recommandant fortement la méthode POST de la RFC 8058. Ces exigences relèvent des messageries et non du RGPD, mais elles conditionnent l'arrivée en boîte de réception.

Les deux chantiers se recoupent sur deux points. La désinscription en un clic est à la fois une exigence des messageries et le moyen d'opposition simple attendu dans chaque message de prospection. Le taux de plainte, lui, mesure indirectement la qualité de votre consentement : une base collectée proprement se plaint peu, une base achetée ou pré-cochée se plaint vite.

Si votre configuration DNS n'est pas en place, aucune conformité RGPD ne compensera le fait que vos emails n'arrivent pas.

Mise en conformité sur Klaviyo

Le suivi d'ouverture

Klaviyo permet de désactiver le suivi des ouvertures au niveau du compte, et de gérer le statut de chaque destinataire via import CSV, SFTP, synchronisation avec un entrepôt de données ou API. Point à connaître avant de considérer le sujet clos : le pixel reste présent dans l'email et la requête atteint quand même les serveurs de l'outil, c'est l'enregistrement de l'événement qui est bloqué. La CNIL, elle, fait porter l'article 82 sur la lecture du terminal.

Preuve de consentement

Klaviyo enregistre par profil des propriétés de preuve de consentement : formulaire d'origine, méthode, version du formulaire et horodatage. C'est la trace individualisée que vous produirez en cas de contrôle. Lorsque le consentement est recueilli par un tiers pour votre compte, la FAQ CNIL écarte la clause contractuelle comme preuve : celui qui délègue le recueil ne peut pas se limiter à une clause dans le contrat pour apporter la preuve du consentement, il doit pouvoir démontrer que ce consentement a été valablement recueilli, par des audits par exemple. Le contrat vient ensuite encadrer les mécanismes de démonstration, la mise à disposition des éléments de preuve et les conditions de conservation, sans vous exonérer de votre responsabilité de responsable de traitement si la défaillance du tiers vous empêche de fournir la preuve : la trace par profil reste ce qui ouvre le dossier.

La CNIL a par ailleurs ouvert une concertation sur la preuve du consentement en marketing. Les exigences de traçabilité vont vraisemblablement se préciser : stocker proprement chaque preuve dès maintenant coûte moins cher que de reconstituer un historique plus tard.

Double opt-in ou single opt-in ?

Le RGPD n'impose pas techniquement le double opt-in, mais il reste la méthode la plus solide pour démontrer un consentement univoque donné par une action positive. En agence, nous le recommandons par défaut sur les marchés européens, d'autant plus dans le contexte actuel de renforcement des exigences de preuve.

Le recueil du consentement au suivi

Traitez le consentement au suivi pour lui-même. Un recueil dédié, distinct de la case marketing, reste la voie la plus démontrable, le consentement unique n'étant admis que si la prospection et les pixels poursuivent des finalités connexes. À ce jour, Klaviyo ne l'expose pas dans ses formulaires d'inscription : c'est à l'expéditeur de poser le statut, par les moyens décrits plus haut. L'éditeur annonce une collecte native dans les formulaires d'inscription et le centre de préférences, sans que cela dispense de recueillir le consentement d'ici là. Le wording de votre collecte doit expliquer ce que le pixel mesure (ouverture des messages) et ce que le refus implique côté destinataire : réception des emails maintenue, statistiques limitées côté expéditeur.

Si vous n'êtes pas sur Klaviyo

Les principes exposés plus haut ne dépendent pas de l'outil. Quel que soit l'éditeur, trois vérifications valent d'être faites dans le compte, dans cet ordre.

1. Où se stocke le statut de consentement au suivi. Il faut un champ ou un attribut de contact dédié, distinct du statut d'abonnement marketing, pour pouvoir exclure les profils concernés au moment de l'envoi.
2. Ce que fait réellement le réglage de désactivation du suivi. Certains réglages coupent l'enregistrement de l'événement en laissant le pixel dans le message. Sur le terrain de l'article 82, c'est la lecture du terminal qui compte, donc l'insertion du pixel elle-même.
3. Où est journalisée la preuve de consentement. Formulaire d'origine, méthode et horodatage, par profil, exportables.

Les libellés et les emplacements de ces réglages changent avec les versions de chaque produit : sur ce point précis, seul le centre d'aide de votre éditeur fait foi. La qualification juridique, elle, se lit dans la recommandation CNIL et sa FAQ, pas dans la documentation d'un éditeur.

Si vous utilisez Brevo et que vous voulez faire vérifier ce setup, notre agence Brevo peut auditer votre compte.

Checklist conformité RGPD email marketing 2026

Ce que ça change pour votre stratégie lifecycle

La conformité agit comme un filtre : elle vous force à travailler avec une base propre, consentante et engagée, ce qui sert de toute façon vos résultats en lifecycle marketing.

Les marques qui collectent proprement le consentement au suivi, en plus de celui qui couvre l'envoi, garderont des métriques exploitables sur une base qualifiée. Celles qui continuent de tracer sans consentement cumulent le risque juridique et une donnée d'ouverture déjà fragilisée par le préchargement des images côté Apple, sujet traité dans notre guide Apple MPP.

L'arbitrage raisonnable tient en deux points. Appuyer votre segmentation comportementale sur les clics et les achats plutôt que sur les ouvertures, en gardant à l'esprit que les liens traçants relèvent eux aussi de l'article 82 et appellent une analyse au cas par cas de leur caractère strictement nécessaire. Et traiter la conformité comme une contrainte de conception, posée en amont de la mise en œuvre plutôt que rattrapée après coup.

→ Réserver un diagnostic de votre programme email

FAQ

Le RGPD impose-t-il le double opt-in pour l'email marketing ?

Non. Le RGPD exige un consentement libre, spécifique, éclairé et univoque, donné par une action positive, mais ne mentionne pas le double opt-in. En revanche, le double opt-in reste la manière la plus solide de prouver ce consentement, dans un contexte où la CNIL travaille précisément sur la preuve du consentement en marketing.

Peut-on encore utiliser des pixels de suivi dans ses emails en France ?

Oui, avec le consentement préalable et spécifique du destinataire, sauf pour les deux finalités exemptées (sécurité d'authentification et mesure de délivrabilité au strict nécessaire). Le suivi relève d'un régime indépendant de celui de l'envoi : la CNIL recommande un consentement indépendant et spécifique par finalité distincte, et admet un consentement unique quand la prospection et les pixels poursuivent des finalités connexes. L'obligation vaut aussi pour les contacts collectés avant la recommandation CNIL.

Que se passe-t-il si un contact refuse le suivi ?

Vous pouvez continuer à lui envoyer vos emails : l'envoi et le suivi relèvent de deux régimes distincts. En revanche, aucun pixel soumis à consentement ne doit être inséré dans ces messages. Seule reste possible la mesure de délivrabilité exemptée et minimisée, lorsque le courriel a été demandé par le destinataire ou rattaché à un service qu'il a demandé. Ses ouvertures ne seront pas exploitables pour vos statistiques marketing. Le refus doit être conservé et respecté dans la durée, campagne après campagne.

Combien de temps peut-on conserver les données d'un client inactif ?

La doctrine CNIL sur la relation client retient la durée de la relation commerciale, puis trois ans à compter de sa fin, sous réserve des données que des obligations légales imposent de conserver plus longtemps (comptabilité, contentieux). Mettez en place un sunset flow pour désengager progressivement les inactifs, et documentez votre politique de conservation.

La recommandation CNIL sur les pixels s'applique-t-elle aux emails transactionnels ?

Le régime du pixel est indépendant de celui de l'envoi, donc oui, la question se pose aussi pour eux. Une confirmation d'achat ou un renouvellement d'abonnement peut relever d'une exemption tant qu'ils ne contiennent pas d'éléments promotionnels. Une relance de panier abandonné, elle, est traitée comme un courriel promotionnel : consentement requis pour le pixel.