La recommandation de la CNIL sur les pixels de suivi est applicable depuis le 14 avril 2026, et le délai de trois mois accordé aux bases existantes est échu depuis le 14 juillet. Le sujet n’est pas seulement juridique : il touche au cœur du pilotage marketing, parce qu’il fragilise l’indicateur sur lequel reposent la plupart des scénarios CRM. Voici ce qui change, et le plan de mise en œuvre concret pour vos équipes.
Le constat : un indicateur de pilotage devient conditionnel
Le taux d’ouverture n’est pas un KPI comme les autres. Il alimente le scoring d’engagement, le déclenchement des scénarios d’automation, le nettoyage des bases, la mesure de la délivrabilité, l’A/B testing des objets, parfois la valorisation d’une base auprès d’un partenaire. C’est un signal transversal, souvent implicite, rarement documenté.
Ce signal est produit par un pixel de suivi : une image invisible d’un pixel de côté, dont le chargement révèle que le message a été affiché. En mars 2026, la CNIL a adopté une recommandation qui clarifie son statut (délibération n° 2026-042 du 12 mars 2026, publiée au Journal officiel le 14 avril 2026), complétée le 22 juillet 2026 par un Questions-Réponses de 27 points répondant aux interrogations des professionnels.
Le principe posé est simple, ses conséquences le sont moins : le pixel de suivi relève de l’article 82 de la loi Informatique et Libertés, au même titre qu’un cookie. Consentement préalable, sauf exemption strictement encadrée.
Beaucoup d’organisations ont traité le sujet comme une case juridique à cocher. C’est une erreur de cadrage : ce qui est en jeu, c’est la disponibilité future d’un signal de mesure. Cet article traite les deux niveaux, la stratégie d’abord, la mise en œuvre ensuite.
Partie 1 : la stratégie, ce que dit la CNIL et ce que cela change
Le cadre en quatre points
1. Le régime du pixel est indépendant de celui de l’e-mail. Vous pouvez avoir le droit d’envoyer un message sans consentement (prospection B2B, produits ou services analogues, courriel transactionnel) et ne pas avoir le droit d’y insérer un pixel de mesure d’ouverture sans consentement. Les deux régimes relèvent de textes distincts : l’article L. 34-5 du CPCE pour l’envoi, l’article 82 de la loi Informatique et Libertés pour le traceur.
2. Deux exemptions existent, sous conditions cumulatives. La délivrabilité et la sécurité. Elles sont réelles, mais étroites.
3. Le périmètre est large. La recommandation s’applique quel que soit le contexte d’envoi et la qualité du destinataire : client, prospect, usager, salarié sur son adresse professionnelle. Aucun type d’organisme n’est exclu.
4. La compétence de la CNIL ne s’arrête pas aux frontières. Elle peut contrôler un acteur établi hors de France, voire hors de l’Union européenne, dès lors que des utilisateurs situés en France sont suivis. Sur l’article 82, le mécanisme du guichet unique européen ne s’applique pas : pas de refuge par le choix de l’établissement principal.
Le calendrier à retenir
| Date | Ce qui se joue |
|---|---|
| 12 mars 2026 | Adoption de la recommandation (délibération n° 2026-042) |
| 14 avril 2026 | Publication au Journal officiel, point de départ du délai |
| 14 juillet 2026 | Fin du délai de 3 mois pour les adresses collectées avant le 14 avril |
| 22 juillet 2026 | Publication du Questions-Réponses de la CNIL (27 réponses) |
Le délai de trois mois concernait un cas précis : les adresses déjà en base au 14 avril. Pour celles-ci, l’insertion de pixels pouvait se poursuivre à condition d’envoyer une information claire et accessible ouvrant un droit d’opposition. Passé le 14 juillet sans cet envoi, le régime de droit commun s’applique : consentement requis lorsqu’il est nécessaire, y compris pour ces adresses anciennes. À défaut, il faut cesser d’utiliser les pixels concernés.
Une prolongation reste possible pour les bases volumineuses ou en cas de risque de délivrabilité lié au groupement des envois, mais elle doit être objectivement justifiée et documentée. En clair : ce n’est pas un délai supplémentaire de droit, c’est une position à assumer par écrit.
Ce qui reste possible sans consentement
L’exemption délivrabilité vise un objectif précis : adapter la fréquence ou arrêter l’envoi aux destinataires inactifs. Elle suppose deux conditions structurantes.
D’abord, l’e-mail doit se rattacher à un service explicitement demandé par l’utilisateur. Ensuite, la collecte doit se limiter à la date de dernière ouverture, la date seule, sans l’heure, mise à jour à chaque nouvelle ouverture.
Point de vigilance majeur : si le pixel capte l’heure d’ouverture, l’adresse IP ou le user-agent, l’exemption tombe. Et le fait d’anonymiser ou de supprimer ces données peu après leur collecte ne rattrape rien, puisqu’elles ont été collectées au-delà du nécessaire. C’est souvent le paramétrage par défaut des routeurs qui pose problème, pas l’intention de l’annonceur.
Corollaire opérationnel rarement anticipé : si personne n’ouvre, il faut en tirer les conséquences, en réduisant la fréquence, en sortant la personne de la base ou en basculant sur un autre canal. L’exemption s’accompagne d’une obligation d’agir.
L’exemption sécurité reprend une partie de ces conditions (service demandé, minimisation) mais pas celles liées au nettoyage des bases. Elle couvre par exemple les pixels dans les e-mails d’authentification ou de réinitialisation de mot de passe. Elle ne couvre pas la lutte contre la fraude en général, ni la lutte contre la manipulation d’inventaire publicitaire.
Ce qui bascule sous consentement
| Type d’e-mail | Pixel exemptable ? |
|---|---|
| Confirmation d’achat ou de souscription | Oui, si aucun élément promotionnel n’y est ajouté |
| Renouvellement d’abonnement | Oui |
| Information légale, réglementaire ou contractuelle | Oui, en principe |
| Newsletter souscrite par demande expresse | Oui, sous réserve des autres conditions |
| Relance de panier abandonné | Non, finalité commerciale |
| Prospection « produits ou services analogues » | Non, l’e-mail n’est pas explicitement demandé |
La ligne de partage est nette et mérite d’être affichée telle quelle en comité : un e-mail que vous avez le droit d’envoyer n’est pas nécessairement un e-mail que vous avez le droit de mesurer.
Un même pixel peut d’ailleurs poursuivre à la fois une finalité exemptée et une finalité soumise au consentement. Dans ce cas, seules les finalités exemptées s’exécutent tant que le consentement n’est pas recueilli. En revanche, un pixel ne peut jamais être déposé « en attente » d’un consentement futur : il doit servir une finalité déterminée dès son dépôt.
Partie 2 : la pratique, cinq chantiers de mise en œuvre
Chantier 1 : cartographier les pixels et leurs finalités
Peu d’équipes savent précisément quels pixels partent dans quels e-mails, avec quelles données collectées. C’est le point de départ non négociable.
À produire : un inventaire croisant type d’e-mail, outil d’envoi, finalité déclarée, données réellement collectées (date, heure, IP, user-agent, device) et régime applicable (exempté ou soumis au consentement).
Qui pilote : le marketing ops ou le CRM, avec le DPO en validation et l’IT ou le routeur en source.
Piège fréquent : se fier à la documentation commerciale de l’outil plutôt qu’à un test réel. Envoyez-vous un e-mail, ouvrez-le, regardez ce qui remonte effectivement dans les logs.
Chantier 2 : rebâtir le recueil du consentement
La bonne nouvelle : la CNIL laisse une marge de manœuvre réelle sur les modalités.
Le consentement n’a pas à être recueilli par catégorie d’e-mail. Vous pouvez le rattacher à l’adresse e-mail elle-même, au moment de la création de compte par exemple, et couvrir l’ensemble des communications à venir, à condition que la personne comprenne la portée de son choix.
Un bouton d’acceptation globale est admis au premier niveau d’information, dès lors qu’un second niveau permet un choix indépendant par finalité. Et lorsque les finalités sont réellement connexes, comme une newsletter personnalisée dont la personnalisation repose sur les pixels, un consentement unique de type « Je m’abonne » peut suffire.
À produire : la liste des points de collecte à modifier (formulaires web, création de compte, tunnel d’achat, landing pages, événements, imports de fichiers) et la nouvelle formulation des finalités, en intitulés courts avec descriptif accessible dès le premier niveau.
Piège fréquent : traiter le sujet uniquement dans la CMP du site web, en oubliant que le consentement au pixel se recueille surtout au moment de la collecte de l’adresse, souvent hors CMP.
Chantier 3 : industrialiser le retrait et la gestion des choix
Le retrait doit être aussi simple que le recueil. Un lien unique vers un centre de préférences regroupant gestion des pixels, désinscription et préférences de communication est explicitement admis, à condition qu’il ne complexifie pas l’exercice du droit : pas d’étapes inutiles, pas de ressaisie d’adresse, pas de navigation labyrinthique.
Deux exigences techniques sont souvent sous-estimées. D’une part, après un retrait, les pixels déjà envoyés doivent cesser d’être exploités : puisqu’on ne peut pas rappeler un e-mail parti, il faut un mécanisme qui ignore toute requête provenant d’un identifiant de pixel dont le consentement a été retiré. D’autre part, les données antérieures doivent être supprimées si aucune autre base légale ne justifie leur conservation.
Enfin, le silence vaut refus, et ne pas resolliciter la personne pendant six mois constitue la bonne pratique recommandée. Cela implique de stocker le refus, pas seulement l’acceptation.
Piège fréquent : un centre de préférences qui enregistre l’opt-out côté interface sans blocage effectif côté serveur de tracking.
Chantier 4 : requalifier la chaîne des prestataires
Routeur, plateforme de marketing automation, loueur de fichiers, fournisseur de la technologie de suivi : leur qualification dépend de l’usage qu’ils font des données.
Lorsque les pixels sont insérés exclusivement pour votre compte, ils sont sous-traitants au sens de l’article 28 du RGPD. Mais dès lors qu’ils exploitent les données pour leurs propres finalités, comme l’amélioration de leur service ou la qualification de leurs propres listes, ils peuvent devenir responsables conjoints, avec une répartition des obligations à formaliser au titre de l’article 26.
Point clé pour les campagnes en location de fichiers : celui qui délègue le recueil du consentement ne peut pas se contenter d’une clause contractuelle pour en apporter la preuve. Il doit pouvoir démontrer que le consentement a été valablement recueilli pour son compte, ce qui suppose des vérifications, voire des audits.
À produire : une revue contractuelle des prestataires e-mailing, une clause de preuve du consentement, et une demande écrite de paramétrage de la collecte au strict nécessaire.
Chantier 5 : refondre le pilotage de la performance
C’est le chantier que les équipes juridiques ne poseront pas, et c’est pourtant celui qui décide de la valeur business des quatre autres.
Sur une base partiellement consentie, le taux d’ouverture devient un indicateur biaisé : il ne mesure plus le comportement de votre audience, mais celui du sous-ensemble qui a consenti au suivi. Comparer les campagnes dans le temps, avant et après bascule, n’a plus de sens sans retraitement.
Un détail du Questions-Réponses mérite une attention particulière côté CRM : l’ouverture d’un e-mail ne constitue pas un contact émanant du prospect au sens du référentiel CNIL sur la gestion des activités commerciales. La notion d’utilisateur « actif » vaut pour la délivrabilité, elle n’est pas transposable au calcul du délai de conservation des données prospects. Beaucoup de bases se maintiennent aujourd’hui sur cette confusion.
Les axes de reconstruction à instruire :
- Le clic plutôt que l’ouverture : plus proche de l’intention, mais attention, les liens traçants ne sont pas directement visés par la recommandation, ils n’en relèvent pas moins de l’article 82. La même analyse finalité par finalité s’impose.
- Les signaux avals : visites, sessions, conversions, pipeline généré. Moins immédiats, mais reliés à la valeur.
- La donnée déclarative : centre de préférences, préférences de fréquence, questions de qualification. Une donnée consentie, stable et exploitable.
- La mesure par cohortes consenties : piloter les tendances sur le sous-ensemble consenti, extrapoler avec prudence et documenter l’écart.
- La segmentation par comportement d’achat plutôt que par engagement e-mail, quand le modèle économique le permet.
Bénéfice attendu : un dispositif de mesure moins dépendant d’un signal réglementairement fragile, et une base de contacts plus qualitative. C’est l’effet secondaire souvent constaté d’un recueil de consentement propre, une base plus petite, mais nettement plus performante.
Synthèse : trois règles de conduite
Règle 1, documenter vaut autant que se conformer. Prolongation du délai, choix d’exemption, qualification des prestataires : dans presque tous les cas, la CNIL admet une marge d’appréciation à condition qu’elle soit motivée et écrite. Une décision non documentée est une décision non défendable.
Règle 2, traiter le sujet à trois, pas à un. Juridique, marketing ou CRM, et technique. Un chantier porté par le seul DPO produit une politique inapplicable ; porté par le seul marketing, il produit une conformité de façade.
Règle 3, reconstruire la mesure avant d’en avoir besoin. Le jour où la part de base consentie devient minoritaire, il est trop tard pour inventer un nouveau référentiel de performance. Le moment pour définir les indicateurs de remplacement, c’est maintenant, pendant que les deux systèmes coexistent et que la comparaison reste possible.
FAQ
Le pixel de suivi est-il désormais interdit ?
Non. Il est soumis au consentement préalable, sauf s’il entre dans l’une des deux exemptions prévues (délivrabilité ou sécurité) et que l’ensemble des conditions associées sont réunies.
Un e-mail transactionnel peut-il contenir un pixel sans consentement ?
Oui, s’il se rattache à un service explicitement demandé et qu’il ne contient pas d’éléments promotionnels. Une confirmation d’achat enrichie d’offres de cross-sell perd son caractère transactionnel, et l’exemption avec.
Que se passe-t-il si nous n’avons pas envoyé l’e-mail d’information avant le 14 juillet 2026 ?
Les règles de droit commun s’appliquent aux adresses concernées : consentement à recueillir lorsqu’il est nécessaire, ou arrêt de l’usage des pixels non exemptés. Une prolongation reste envisageable, mais seulement si les difficultés rencontrées sont objectivement justifiées et documentées.
Les liens traçants sont-ils concernés ?
Pas directement par la recommandation, mais ils impliquent également des opérations de lecture ou d’écriture sur le terminal et relèvent donc de l’article 82. La grille d’analyse par finalité s’applique de la même manière.
Une entreprise non établie en France est-elle concernée ?
Oui, dès lors que les pixels sont utilisés pour suivre le comportement de personnes situées en France. Sur ce fondement, le guichet unique européen ne s’applique pas et la CNIL est directement compétente.
Faut-il recueillir un consentement distinct par type d’e-mail ?
Non. Le consentement peut être rattaché à l’adresse e-mail et couvrir l’ensemble des communications, à condition que la personne comprenne la portée de son choix. Une approche différenciée par catégorie reste possible si elle correspond à votre organisation opérationnelle.
Combien de temps un projet de mise en conformité prend-il ?
Pour une base de taille moyenne avec un seul outil d’envoi, comptez 6 à 10 semaines entre la cartographie et la bascule effective. Les organisations multi-outils, multi-marques ou multi-pays doivent prévoir un trimestre supplémentaire, principalement sur la refonte des points de collecte et la revue contractuelle.
Aller plus loin
- Data Driven Marketing : structurer la mesure et le pilotage de la performance
- Data Driven Strategy : le socle data avant les cas d’usage
- Conseil et direction marketing externalisée : piloter un chantier de ce type de bout en bout
- Le Questions-Réponses de la CNIL : la source officielle, 27 réponses
- La recommandation intégrale (PDF)
Faisons le point sur votre dispositif
Un cadrage de 30 minutes pour identifier votre exposition réelle, les chantiers prioritaires et les indicateurs à reconstruire. Sans engagement, sans présentation commerciale.
