Pixels de suivi dans vos emails : l'échéance CNIL du 14 juillet est passée

La CNIL a adopté le 12 mars 2026 sa recommandation sur les pixels de suivi dans les courriers électroniques (délibération n° 2026-042), publiée le 14 avril. Elle donnait trois mois aux entreprises pour se mettre en conformité sur les adresses déjà collectées. Ce délai a expiré le 14 juillet. Le 22 juillet, la CNIL a publié une foire aux questions pour éclaircir les points qui coincent, signe que beaucoup d'organisations n'étaient pas prêtes à l'échéance.

Un pixel de suivi, c'est une image invisible d'un pixel sur un pixel, insérée dans un email. Son chargement par le destinataire indique à l'expéditeur que le message a été ouvert, parfois à quelle heure, parfois depuis quel appareil. Tous les outils d'emailing grand public en posent par défaut : Mailchimp, Brevo, HubSpot, Sendinblue, et la plupart des CRM qui envoient des relances commerciales.

Ce que la recommandation change

La règle de base : un pixel de suivi exige le consentement préalable du destinataire, sauf dans deux cas précis. La CNIL s'appuie sur l'article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy et couvre déjà les cookies.

Les deux exceptions dispensées de consentement :

• Mesurer la délivrabilité. Savoir qu'un contact n'a rien ouvert depuis longtemps, pour ajuster la fréquence des envois ou le retirer d'une liste. La CNIL précise que les données collectées à ce titre doivent rester strictement limitées à cet usage, par exemple la date de dernière ouverture, pas un suivi détaillé des clics ou des horaires.
• Les emails transactionnels. Confirmation de commande, alerte de sécurité, notification liée à un service explicitement demandé par le destinataire.

En dehors de ces deux cas, une newsletter, un email promotionnel ou une relance panier qui embarque un pixel de suivi retombe sous le régime du consentement. Recueilli finalité par finalité, au moment où l'adresse est collectée, avec un retrait aussi simple qu'un lien de désabonnement.

L'échéance du 14 juillet

Pour toute adresse collectée avant la publication du 14 avril, l'entreprise avait jusqu'au 14 juillet pour informer les destinataires de l'usage de pixels et leur permettre de s'y opposer. Pour les adresses collectées après le 14 avril, l'obligation s'applique immédiatement, sans délai de transition.

Cette date est passée depuis treize jours. Si vous n'avez rien fait, deux situations possibles : soit votre outil d'emailing ne pose pas de pixel de suivi au-delà de la délivrabilité stricte, auquel cas vous n'avez rien à faire, soit il en pose un pour mesurer les ouvertures et les clics à des fins statistiques ou commerciales, auquel cas vous êtes en dehors des clous depuis le 15 juillet.

La CNIL ne détaille pas de barème de sanction propre à ce sujet dans sa recommandation, mais elle indique qu'elle veillera, dans le cadre de ses missions de contrôle à venir, au respect des règles applicables. Un contrôle sur ce point suit la même procédure que n'importe quel manquement au RGPD : mise en demeure, puis sanction si la situation ne se corrige pas.

Ce qu'il faut vérifier

1. Listez vos envois d'emails automatisés : newsletter, relance panier, campagne de prospection, invitation à un événement. Pour chacun, demandez à votre prestataire (ou regardez dans les paramètres de la plateforme) si le taux d'ouverture est suivi par pixel.
2. Distinguez ce qui reste dispensé : un email transactionnel (facture, confirmation d'inscription) et un pixel limité à la seule date de dernière ouverture n'ont pas besoin de consentement.
3. Pour le reste, vérifiez le mécanisme de consentement à l'inscription : la case est-elle cochée par défaut (interdit), la finalité « mesure des ouvertures » est-elle mentionnée séparément de l'envoi lui-même, le lien de désabonnement fonctionne-t-il vraiment.
4. Pour les adresses déjà en base avant le 14 avril : un email d'information suffit s'il indique clairement l'usage du pixel et propose une opposition simple, par exemple un lien dans le pied de l'email suivant.

La plupart des outils d'emailing utilisés par les PME (Mailchimp, Brevo, HubSpot) ont publié depuis avril des pages dédiées à ce sujet et permettent en général de désactiver le suivi d'ouverture par campagne ou par liste. Le point à vérifier n'est pas technique, il est documentaire : pouvez-vous montrer, si on vous le demande, que vos destinataires ont été informés et ont eu la possibilité de s'opposer.