Pixels de suivi en emailing : la Cnil durcit le cadre pour 2026

La Commission nationale de l’informatique et des libertés (Cnil) a adopté, à l’issue d’une consultation publique, une recommandation encadrant l’utilisation des pixels de suivi dans les courriels. Ces dispositifs, qui permettent de collecter des données sur l’ouverture des emails, sont désormais qualifiés d’opérations de lecture sur le terminal de l’utilisateur, entrant ainsi dans le champ de l’article 82 de la loi Informatique et libertés.

Une qualification juridique alignée sur le régime des cookies

Contrairement aux cookies, qui stockent des données sur le terminal, les pixels de suivi se limitent à déclencher l’envoi d’informations vers l’expéditeur. Pourtant, la Cnil considère que leur utilisation relève du même cadre juridique que les traceurs, exigeant un consentement libre, spécifique, éclairé et univoque du destinataire, conformément à l’article 4, paragraphe 11, du RGPD. Seules les exemptions strictement définies échappent à cette obligation.

Finalités soumises à consentement et exemptions précises

La recommandation de la Cnil identifie quatre finalités principales nécessitant un consentement :

• Mesure de performance des campagnes pour leur optimisation ;
• Personnalisation du contenu ou du canal d’envoi ;
• Constitution de profils pour du ciblage cross-canal ;
• Détection de fraude publicitaire.

Trois exemptions sont strictement encadrées :

• Sécurisation d’une authentification (vérification d’ouverture d’un email contenant un code d’accès) ;
• Mesure de la délivrabilité, limitée à la date de dernière ouverture pour purger les adresses inactives ;
• Conservation d’une trace d’ouverture pour démontrer le respect d’une obligation légale d’information.

Une dualité de régimes à maîtriser

La licéité de l’envoi d’un email ne s’étend pas à celle du pixel qu’il contient. Ainsi, un email de prospection envoyé dans le cadre du soft opt-in ou pour une prospection BtoB peut être valable, mais le pixel doit faire l’objet d’un consentement distinct. Cette distinction impose une analyse de conformité scindée entre la base légale de l’envoi et celle du dispositif de mesure.

Délai transitoire et obligations pour les adresses existantes

Pour les adresses déjà collectées, un régime transitoire est prévu : une information claire doit être adressée aux destinataires dans un délai de trois mois suivant la publication de la recommandation, soit avant le 14 juillet 2026, leur permettant de s’opposer au suivi pour les futurs emails. Ce régime ne constitue pas un re-consentement rétroactif, mais une obligation d’information assortie d’un droit d’opposition. Pour toute collecte postérieure, le consentement doit être recueilli selon les modalités strictes du RGPD, avec un acte positif requis et le silence valant refus.

Responsabilité et notion de finalités connexes

La Cnil admet qu’un consentement unique puisse couvrir à la fois la prospection commerciale et l’utilisation de pixels contribuant directement à sa personnalisation, à condition que ces finalités soient présentées comme connexes. Cette notion, non définie précisément, soulève des questions quant à sa compatibilité avec le principe de limitation des finalités du RGPD. Par ailleurs, la responsabilité du responsable de traitement ne peut être transférée à un prestataire technique : elle s’apprécie au regard de la détermination des finalités et des moyens, et non de l’exécution matérielle du dispositif.

Recommandations pour une mise en conformité

Face à ces évolutions, les entreprises doivent procéder à une revue exhaustive de leurs pratiques avant le lancement de nouvelles campagnes. Cela inclut :

• Une cartographie des usages de pixels et des finalités poursuivies ;
• Une distinction claire entre usages techniques et usages marketing ;
• Une vérification, pour chaque finalité, de la nécessité d’un consentement ;
• Une adaptation des parcours de collecte ;
• Une mise à jour du registre des traitements et des politiques de confidentialité ;
• Une analyse d’impact sur la protection des données (AIPD) si le profilage est significatif.

À défaut d’un tel encadrement, les entreprises s’exposent à des risques de non-conformité et de sanctions.

Source : Lexing