Pixels de suivi dans les emails : votre simple ouverture est-elle surveillée ?

Depuis quelques jours, les boîtes mail se remplissent de messages intitulés « Information relative au suivi de nos communications » ou « Votre choix sur la mesure d’audience de nos envois ». Cette soudaine transparence n’est pas fortuite : les entreprises doivent adapter leurs pratiques à la nouvelle recommandation de la CNIL relative aux pixels de suivi intégrés dans les courriels.

Qu’est-ce qu’un pixel de suivi ?

Un pixel de suivi, parfois appelé « pixel espion », est une image généralement invisible, mesurant souvent un pixel sur un pixel, insérée dans le corps d’un email.

Lorsque le destinataire ouvre le message, l’image est chargée depuis un serveur distant. Ce chargement peut permettre à l’expéditeur de savoir :

• si le courriel a été ouvert ;

• à quelle date et à quelle heure ;

• depuis quel type d’appareil ;

• et, dans certains cas, depuis quelle zone géographique approximative.

Le pixel ne permet pas de lire les autres messages présents dans la boîte mail. Il renseigne néanmoins précisément l’expéditeur sur le comportement du destinataire et peut être associé à d’autres données pour compléter son profil.

Un outil devenu central dans le marketing numérique

Les pixels de suivi sont couramment employés par les logiciels d’emailing et les plateformes de newsletters. Ils permettent de calculer un taux d’ouverture, de déterminer les horaires d’envoi les plus efficaces, de tester différents objets de messages ou encore d’adapter les prochaines communications aux comportements observés.

Cette utilisation n’est pas neutre. Ouvrir un email peut entraîner, sans action supplémentaire de l’utilisateur, la transmission d’informations depuis son ordinateur ou son téléphone.

La CNIL considère donc que les pixels de suivi relèvent du régime des traceurs prévu par l’article 82 de la loi Informatique et Libertés. Leur utilisation suppose, en principe, une information claire et le consentement préalable de l’utilisateur, sauf dans certains cas strictement encadrés.

Le consentement devient la règle pour le suivi marketing

Depuis la recommandation publiée le 14 avril 2026, une entreprise qui collecte une nouvelle adresse électronique doit distinguer deux décisions :

• accepter de recevoir une newsletter ou une prospection commerciale ;

• accepter d’être suivi lors de l’ouverture de ces messages.

Le consentement à recevoir des emails ne vaut donc pas automatiquement consentement au suivi marketing.

L’utilisateur doit pouvoir accepter ou refuser le pixel de manière libre et éclairée. Le refus ne doit pas être dissimulé derrière plusieurs écrans ou une procédure inutilement complexe. Il doit être aussi simple de refuser que d’accepter.

Pour les adresses collectées avant le 14 avril 2026, la CNIL a prévu une période transitoire de trois mois. Les entreprises doivent, au plus tard le 14 juillet 2026, informer clairement les destinataires de l’existence du suivi et leur permettre de s’y opposer facilement. C’est cette échéance qui explique l’avalanche actuelle de messages.

Tous les pixels ne sont pas interdits

Certains usages peuvent rester dispensés de consentement lorsqu’ils sont strictement nécessaires au service demandé ou limités à la mesure de la délivrabilité.

Cela peut notamment concerner une confirmation de commande, une facture, un suivi d’expédition, une alerte de sécurité ou un message de réinitialisation de mot de passe. Une mesure limitée peut également servir à identifier les adresses devenues inactives afin de cesser les envois.

Cette exemption ne permet toutefois pas de réutiliser les données pour établir un profil commercial, personnaliser des publicités ou optimiser des campagnes marketing.

Ce que les entreprises doivent vérifier

Les entreprises, associations et professionnels utilisant une solution de newsletter doivent identifier les pixels effectivement activés par leur prestataire, déterminer leur finalité, désactiver les fonctions inutiles et mettre en place un mécanisme de consentement distinct lorsque le suivi poursuit une finalité commerciale.

La politique de confidentialité doit également être mise à jour, le retrait du consentement doit rester accessible et l’entreprise doit pouvoir conserver la preuve des choix exprimés.

La CNIL annonce qu’elle vérifiera le respect de ces règles dans le cadre de ses prochains contrôles. Le pixel invisible ne peut donc plus rester le point aveugle de la conformité RGPD : derrière une simple statistique d’ouverture se trouve bien un traitement de données personnelles.