Pixel de suivi newsletter : le consentement CNIL que vous avez manqué

La réponse courte, d'abord. Pour un pixel de suivi de newsletter, le consentement CNIL est la règle depuis le 14 avril 2026, et les bases de contacts déjà constituées devaient être traitées avant le 14 juillet 2026. Cette seconde date est passée. Si vous n'avez rien envoyé à vos contacts entre avril et juillet, la CNIL indique dans sa foire aux questions ce qu'il reste à faire : demander le consentement, ou arrêter de compter les ouvertures.

Le problème, c'est que le sujet a circulé entre juristes et responsables marketing, presque jamais en des termes utilisables par une entreprise de trois personnes. Le pixel de suivi newsletter est pourtant une chose simple : une image invisible d'un pixel sur un pixel, glissée dans chaque message, qui prévient l'expéditeur quand vous l'affichez. C'est elle qui produit le taux d'ouverture que vous regardez après chaque envoi. Voici ce qui a changé, ce qui reste autorisé sans consentement, et les réglages à vérifier cette semaine.

À retenir

• La recommandation s'applique depuis sa publication au Journal officiel, le 14 avril 2026.
• Les adresses collectées avant cette date bénéficiaient de trois mois, échus le 14 juillet 2026.
• Passé ce délai sans information envoyée, la CNIL écrit : « À défaut, l'expéditeur doit cesser l'usage de pixels qui nécessite le consentement dans les courriels. »
• Deux exemptions subsistent, étroites : la délivrabilité et la sécurité de l'authentification. La détection de fraude n'en fait pas partie.
• Le consentement se recueille là où vous collectez l'adresse, donc sur votre site, puis se transmet à l'outil d'envoi.

Ce que la CNIL a décidé, et depuis quand

Le texte s'appelle délibération n° 2026-042 du 12 mars 2026, portant adoption d'une recommandation relative aux pixels de suivi dans les courriers électroniques. Il a été adopté le 12 mars 2026, puis publié au Journal officiel le 14 avril 2026. Vous pouvez lire la délibération sur Légifrance et la présentation qu'en fait l'autorité sur la page dédiée de la CNIL.

Le raisonnement juridique tient en une phrase. Afficher un pixel dans un courriel suppose que votre serveur soit appelé depuis l'appareil du destinataire, ce qui constitue une opération de lecture sur son terminal. Cette opération relève de l'article 82 de la loi Informatique et Libertés, c'est-à-dire du même régime que les cookies.

Une précision utile, parce qu'elle revient souvent. La recommandation n'est pas une loi : c'est le mode d'emploi que la CNIL appliquera en cas de contrôle. La loi, elle, existait déjà, et c'est l'article 82. La recommandation ne crée donc pas l'obligation, elle explique comment la respecter.

La CNIL a ensuite publié une foire aux questions de vingt-sept réponses, datée du 22 juillet 2026. Sur sa page d'annonce, elle indique qu'après une série de webinaires d'accompagnement viendront des contrôles.

Faut-il s'en inquiéter quand on est trois ? Les amendes qui font les titres visent d'autres gabarits. Le 3 septembre 2025, la CNIL a annoncé deux sanctions sur ce terrain : 325 millions d'euros contre Google et 150 millions contre Shein, pour des cookies publicitaires posés sans consentement, et, pour Google seulement, pour des publicités affichées sous forme de courriels dans Gmail.

Pour une TPE, le déclencheur réaliste n'est pas une campagne de contrôle : c'est la plainte d'un destinataire agacé, et elle suffit à ouvrir un dossier.

Pixel de suivi newsletter et consentement CNIL : qui est concerné

La recommandation s'adresse à tous les organismes, publics ou privés, qui insèrent des pixels de suivi dans leurs courriels, ainsi qu'à leurs prestataires techniques. Il n'y a ni seuil de chiffre d'affaires, ni seuil de nombre de contacts. Une boulangerie qui envoie une lettre mensuelle à 400 adresses est dans le périmètre, exactement comme une enseigne nationale.

La foire aux questions de la CNIL ferme aussi les échappatoires les plus courantes. Le statut du destinataire ne change rien : client, prospect ou salarié, la règle est la même. Le contexte non plus : écrire à une entreprise plutôt qu'à un particulier ne dispense pas du consentement pour un pixel qui en requiert un.

Prenons un exemple fictif, sur lequel nous reviendrons à la fin. Une fleuriste d'Ussel, inventée pour l'occasion, a 620 adresses collectées depuis 2023 par un formulaire sur son site. Elle envoie une lettre mensuelle, deux relances commerciales par an, et des confirmations de commande. Elle n'a rien changé en 2026, et son outil mesure toujours les ouvertures.

Si votre site collecte des adresses sans que la mention correspondante existe, le sujet est voisin de celui des mentions légales et des CGV d'un site internet, et notre outil de conformité légale vous en donne un premier état des lieux.

Mesure d'audience, délivrabilité, sécurité : où passe la frontière

C'est ici que tout se joue, et c'est le point que la plupart des articles juridiques résument mal. La CNIL ne classe pas les pixels par leur technologie, mais par leur finalité, c'est-à-dire par ce à quoi sert le chiffre collecté. Deux détours de vocabulaire s'imposent : la mesure d'audience consiste à compter et à analyser qui ouvre, et la délivrabilité désigne la capacité de vos messages à arriver en boîte de réception plutôt qu'en indésirables.

Lisez bien la ligne « Donnée conservée ». L'exemption ne couvre pas « le taux d'ouverture » en général : elle couvre une date, sans l'heure, remplacée à chaque nouvelle ouverture, et qui ne sert qu'à décider d'arrêter ou d'espacer vos envois. Dès que vous conservez l'historique des ouvertures pour segmenter, relancer les non-ouvreurs ou choisir le meilleur créneau, vous êtes revenu dans la mesure d'audience, donc dans le consentement.

Attention aussi au mot « sécurité », qui ne couvre pas tout. La CNIL range l'authentification du destinataire dans l'exemption, mais pas la lutte contre la fraude en général : détecter des ouvertures massives et automatisées reste soumis au consentement.

Et le cas le plus fréquent n'est ni l'un ni l'autre : la plupart des outils posent un seul pixel, qui sert à tout à la fois. La CNIL l'admet expressément, mais à une condition sans échappatoire : les finalités soumises au consentement ne peuvent être poursuivies qu'après l'avoir recueilli. Un pixel unique ne fait donc pas bénéficier la mesure d'audience de l'exemption par ricochet.

Dernière précision, souvent oubliée : exempté ne veut pas dire invisible. La CNIL recommande de signaler l'existence de ces pixels, par exemple dans votre politique relative aux cookies, et de laisser un moyen simple de s'y opposer quand vous exploitez ces données sans consentement au motif qu'elles servent votre activité — ce que le droit appelle l'intérêt légitime.

Votre envoi, son verdict : les huit cas d'une petite entreprise

Plutôt que de relire la recommandation, partez de ce que vous envoyez réellement. Voici les huit cas qui couvrent l'activité d'une TPE. « Exemption possible » signifie que le type de courriel ouvre la porte : les conditions de la dernière ligne du tableau précédent restent à remplir.

Deux lignes méritent un mot. La relance de panier abandonné ressemble à un message de service, mais la CNIL la classe parmi les messages commerciaux au sens des règles du démarchage par courriel (article L. 34-5 du code des postes et des communications électroniques) : son pixel ne peut pas être exempté. Et la prospection envoyée au titre des « produits ou services analogues », cette tolérance bien connue, ne vaut pas demande expresse : si c'est votre cas, relisez d'abord nos règles sur la prospection B2B par courriel.

Dernier filtre, et il est exigeant : pour invoquer l'exemption délivrabilité, il faut démontrer le nettoyage. La CNIL attend des données objectives — une logique documentée de suppression ou de réduction de la fréquence d'envoi selon les ouvertures, un taux de retrait de destinataires. Une exemption invoquée sans qu'aucun contact n'ait jamais été retiré ni aucun envoi espacé ne tiendra pas. Si votre objectif est vraiment d'arriver en boîte de réception, l'essentiel se joue d'ailleurs ailleurs, dans l'authentification de votre domaine.

« À défaut, cesser l'usage de pixels » : la réponse pour les bases d'avant 2026

Venons-en à l'échéance que personne n'a relayée. La recommandation prévoyait un régime transitoire pour les adresses déjà collectées : continuer à utiliser les pixels restait possible à condition d'envoyer une information claire, assortie de la possibilité de s'y opposer facilement, dans un délai de trois mois. La foire aux questions précise le point de départ : « Il court à compter du 14 avril 2026, date de publication de la recommandation au Journal Officiel. » Soit une échéance au 14 juillet 2026.

Cette information devait prendre l'une des deux formes admises. Un courriel dédié, et dans ce cas la preuve de l'envoi sera exigée. Ou une information intégrée dans un courriel ordinaire, par exemple un encart, à condition qu'elle reste accessible, claire et compréhensible.

Et si rien n'est parti à temps ? La question est posée telle quelle dans la foire aux questions, et la réponse commence par « En principe, oui » — oui, il faut solliciter le consentement. La phrase suivante est celle qu'il faut retenir : « À défaut, l'expéditeur doit cesser l'usage de pixels qui nécessite le consentement dans les courriels. »

Deux nuances tempèrent cette sévérité. Un dépassement raisonnable est toléré s'il repose sur des difficultés objectivement justifiées et documentées, par exemple le volume de la base : ce n'est pas une dispense, il faut se mettre en conformité dans les meilleurs délais et pouvoir montrer son plan. Et les données déjà collectées avant la publication n'ont pas à être supprimées, sous réserve de ne pas les conserver indéfiniment.

Pixel de suivi newsletter : le consentement CNIL réglage par réglage

Passons à votre compte. La CNIL a tenu un webinaire pour les éditeurs d'outils d'emailing, et elle y liste les fonctionnalités qu'un prestataire doit proposer pour que ses clients puissent se conformer. Cette liste est le meilleur guide d'achat disponible aujourd'hui : elle décrit, point par point, ce que vous devez trouver dans votre interface.

• Un consentement stocké par contact, et deux versions du même envoi. Un champ oui/non avec sa date, exploitable de l'extérieur, et deux modèles — avec pixel pour les consentants, sans pixel pour les autres — choisis automatiquement selon ce champ. La CNIL présente cet ensemble comme la mesure technique minimale permettant la conformité, en précisant qu'il ne fonctionne que si le consentement porte sur une finalité unique.
• Un signal de consentement par finalité si vos pixels poursuivent plusieurs objectifs à la fois : suivi publicitaire refusé, délivrabilité acceptée, sécurité acceptée.
• Un lien visible en pied de page, qui mène à une page où la personne retire son accord. Après un retrait, les pixels ne doivent plus être insérés dans les envois suivants ; les courriels déjà partis ne peuvent pas être modifiés, mais leurs pixels ne doivent plus être exploités.
• Un consentement qui couvre réellement la mesure. Accepter de recevoir la lettre d'information ne vaut pas accord pour être mesuré, sauf si votre formulaire annonce expressément une lettre personnalisée et que le pixel ne sert qu'à cette personnalisation : les deux finalités sont alors connexes et une seule case suffit. Dans tous les autres cas, case séparée, non pré-cochée, et l'absence de réaction vaut refus.
• Un courriel de demande de consentement sans pixel — et, par prudence, sans lien tracé non plus. C'est le piège le plus fréquent : on envoie la demande avec l'outil réglé comme d'habitude, et on mesure donc l'ouverture d'un message dont l'objet est de demander l'autorisation de mesurer.

Un point que certains outils imposent n'est pourtant pas une exigence de la CNIL. Celle-ci admet qu'un lien unique mène à un centre de préférences regroupant désinscription et retrait du consentement, la seule contrainte étant que « le consentement doit pouvoir être retiré aussi facilement qu'il a été donné ». Si votre prestataire réclame deux liens séparés, c'est son choix d'implémentation.

Côté outils, les choses bougent inégalement. Le centre d'aide de Brevo consacre un article à ce que la recommandation implique dans l'outil : le suivi des ouvertures comme celui des clics y requièrent un consentement préalable, explicite et distinct pour les contacts situés en France, et un jeu d'attributs dédiés, dont « Pixel Tracking Consent », enregistre l'accord, sa date et sa source.

Deux choses sont à vérifier dans votre compte, dans cet ordre. D'abord que le consentement par contact est bien activé : tant qu'il ne l'est pas, rien ne change et tous vos contacts restent suivis. Ensuite ce que l'outil fait des contacts dont le consentement est inconnu, et que ce réglage soit bien du côté qui ne suit pas. Pour Mailchimp, Mailjet ou Sarbacane, aucune documentation publique ne permet d'affirmer ce que fait votre compte par défaut : vérifiez, éditeur par éditeur.

Si votre prestataire est évasif, posez-lui deux questions par écrit, pour garder la réponse. Le suivi des ouvertures est-il activé par défaut sur mon compte, et sur quels types d'envoi ? Puis-je stocker un consentement par contact, avec sa date, et l'utiliser pour choisir automatiquement le modèle d'envoi ?

Dans cette relation, l'éditeur agit pour votre compte et sur vos instructions, et c'est vous, expéditeur, qui répondez du résultat. La CNIL va plus loin dans son webinaire : une solution qui ne permet pas à ses clients de se mettre en conformité les met en difficulté, et la conformité de la prestation est susceptible de constituer une qualité essentielle du contrat justifiant son annulation. C'est un argument qu'une TPE peut utiliser.

Les clics, les liens traçants et les statistiques globales

Beaucoup d'articles affirment que les clics sont désormais soumis au consentement, d'autres que la recommandation ne les concerne pas. Les deux sont inexacts, et la CNIL a tranché dans son webinaire du 4 juin 2026 (PDF, 4,7 Mo). La recommandation « pixels » ne traite pas des autres méthodes de suivi — liens traçants, identifiants uniques — qu'il en soit fait usage ou non dans les courriels. Mais elle ajoute aussitôt le principe qui empêche d'en faire une porte de sortie : « La nécessité ou non de collecter un consentement est dépendante de la finalité et non de la technologie. »

Remplacer le pixel par un lien tracé pour continuer à profiler ne change donc rien à votre obligation.

Sur les statistiques globales, la foire aux questions est plus permissive qu'on ne le croit. Les données issues d'un pixel exempté peuvent servir à établir une statistique d'ensemble, un taux d'ouverture de campagne par exemple, à condition d'avoir été anonymisées de manière effective au préalable, notamment par agrégation. Attention au sens de la flèche : anonymiser ne rend pas la collecte licite, parce que l'article 82 s'applique que les données concernées soient personnelles ou non.

Un dernier mot, moins juridique et peut-être plus décisif. Le taux d'ouverture que vous défendez est déjà faussé. La page d'Apple sur la protection de la confidentialité dans Mail indique que Mail « télécharge le contenu distant en arrière-plan par défaut, que vous interagissiez avec l'e-mail ou non ». Chaque destinataire qui a activé cette protection compte comme une ouverture, qu'il ait lu ou non, et personne ne sait combien ils sont.

Les indicateurs qui restent intacts sont ceux qui mesurent une action : les réponses reçues, les clics vers votre page de contact, les formulaires remplis, les devis signés. Plus difficiles à faire grimper, et infiniment plus utiles pour décider quoi écrire la prochaine fois.

Où vit le consentement : sur votre site, pas dans votre outil

Le réflexe naturel est de chercher le réglage dans l'outil d'envoi. C'est en partie une erreur de lieu. La CNIL recommande de recueillir le consentement au moment de la collecte de l'adresse électronique, et admet un recueil ultérieur par un courriel dédié, qui doit alors partir sans pixel et renvoyer vers une page où la personne exprime son choix. Le point de départ, c'est donc votre formulaire d'inscription.

Concrètement, trois éléments de votre site sont à reprendre :

• Le formulaire d'inscription : une case distincte, non pré-cochée, dont le libellé explique en une phrase que l'ouverture sera mesurée, et dont la valeur part dans l'outil d'emailing en même temps que l'adresse.
• La politique de confidentialité : la finalité, la raison qui vous autorise à le faire, la durée de conservation de la date d'ouverture, et le moyen de retirer son accord.
• Le pied de page des courriels : un lien visible vers la page où l'on retire son accord, seul ou dans un centre de préférences.

Trois textes à adapter, pour éviter la page blanche :

• Sous la case du formulaire : « J'accepte que l'ouverture de ces courriels soit mesurée, afin d'en améliorer le contenu et d'en adapter la fréquence et l'horaire d'envoi. Je peux revenir sur ce choix à tout moment depuis le lien en bas de chaque message. »
• Dans le courriel de demande de consentement, envoyé sans pixel ni lien tracé : « Nous souhaitons savoir si nos messages vous sont utiles. Pour cela, nous aimerions mesurer leur ouverture, ce qui suppose votre accord. Cliquez ci-dessous pour nous le donner ou nous le refuser. Sans réponse de votre part, nous ne mesurerons rien. »
• En pied de page : « Gérer mes préférences et mon accord à la mesure d'ouverture ».

C'est un chantier court quand le site est bien tenu, et pénible quand il ne l'est pas : il touche au formulaire, à la base de contacts et aux modèles d'envoi en même temps. Si vous refaites votre site à cette occasion, nous traitons ce point dans nos projets de création de site internet. Si le site existe et que seul le branchement est à revoir, c'est le type d'intervention que couvre un contrat de maintenance de site web, à partir de 40 € HT par mois selon le périmètre, avec une réponse sous 48 h ouvrées. Le détail des formules est sur la page tarifs.

Le plan de rattrapage, si vous n'avez rien fait

L'échéance est derrière nous, et la bonne nouvelle est que la situation se répare. Voici l'ordre des opérations, du plus urgent au plus structurant.

1. Arrêtez le suivi aujourd'hui. Dans votre outil, désactivez la mesure des ouvertures sur vos campagnes commerciales, ou limitez-la aux contacts dont vous avez une trace de consentement. C'est la seule action qui met immédiatement fin à l'opération non conforme.
2. Faites l'inventaire. Listez vos envois par type et confrontez-les au tableau des huit cas plus haut. Ce classement détermine ce qui doit disparaître, ce qui peut rester sous exemption et ce qui demande un consentement.
3. Envoyez une demande de consentement propre. Un courriel sans pixel ni lien tracé, avec un bouton menant à une page où la personne accepte par une action positive. L'absence de réponse vaut refus. Et ne relancez pas dans la foulée : la CNIL considère comme une bonne pratique de ne pas resolliciter pendant six mois une personne qui a refusé, et le plus sûr est d'appliquer le même délai au silence.
4. Branchez le résultat. Stockez la réponse dans un champ par contact, avec sa date, et faites en sorte que vos envois choisissent seuls le modèle avec ou sans pixel. Sans cette plomberie, vous recommencerez à zéro au prochain envoi.
5. Documentez. Conservez la preuve des envois d'information, le libellé exact de la case de consentement, la date de chaque réponse et la logique de nettoyage de base si vous invoquez l'exemption. En cas de contrôle, c'est tout ce qui compte.

Reprenons notre fleuriste fictive. Sa lettre mensuelle part vers des personnes inscrites elles-mêmes, donc l'exemption est envisageable, mais pas l'usage qu'elle en fait, puisqu'elle s'en sert pour relancer les non-ouvreurs. Ses deux relances commerciales annuelles relèvent de la mesure d'audience, donc du consentement. Ses confirmations de commande, elles, peuvent rester en l'état.

Sa décision, prise en vingt minutes : couper la mesure des ouvertures sur la lettre mensuelle et sur les deux relances, garder les confirmations telles quelles, et ne pas lancer de campagne de reconsentement sur 620 adresses pour un chiffre qu'elle ne regardait pas. C'est une option parfaitement valable, et souvent la plus raisonnable.

Questions fréquentes

Mon outil d'emailing gère-t-il ça tout seul ?

Non. Un éditeur peut fournir les fonctionnalités, mais c'est vous, expéditeur, qui répondez de l'ensemble. Vérifiez ce que votre compte fait par défaut : le réglage initial de la plupart des outils reste la mesure des ouvertures.

Le consentement aux cookies de mon site suffit-il ?

Non. Ce sont deux recueils distincts, sur deux terminaux et dans deux contextes différents. La foire aux questions de la CNIL admet que votre politique relative aux cookies serve de support d'information sur l'existence des pixels, mais à aucun moment elle n'en fait un moyen de recueillir le consentement au suivi de vos courriels. Il faut une case dédiée là où vous collectez l'adresse.

Comment savoir si mon outil pose un pixel ?

Ouvrez l'un de vos envois et affichez son code source — dans Gmail, le menu à trois points puis « Afficher l'original ». Cherchez une balise image d'un pixel sur un pixel dont l'adresse pointe vers le domaine de votre outil d'envoi : c'est le pixel. Évitez le test qui consiste à désactiver les images pour voir si l'ouverture est comptée : Apple Mail et Gmail préchargent les images pour leur propre compte, ce qui peut enregistrer une ouverture que vous n'avez pas faite.

Puis-je encore mesurer les clics ?

Oui, mais pas librement. La recommandation sur les pixels ne traite pas des liens traçants, et la CNIL précise que la nécessité d'un consentement dépend de la finalité et non de la technologie. Un clic enregistré pour alimenter un profil ou personnaliser une offre suit donc le même régime qu'un pixel de mesure d'audience. Un clic simplement compté dans un total agrégé, sans rattachement à une personne, est beaucoup moins exposé.

Et pour une lettre interne aux salariés ?

Elle est concernée : la recommandation vise tout recours à des traceurs dans les courriels, sans exclusion liée au statut du destinataire. Le consentement d'un salarié étant rarement considéré comme librement donné, le plus simple est un envoi interne sans pixel.

Que faire de ma liste constituée avant 2026 ?

Vous n'avez pas à la supprimer, ni à redemander un consentement pour l'envoi lui-même, qui relève d'autres règles. Ce qui est en cause, c'est uniquement le suivi. Deux voies restent ouvertes : demander le consentement au suivi par un courriel propre, ou cesser d'utiliser les pixels soumis à consentement.

Ce qu'il faut faire cette semaine

Ouvrez votre outil d'emailing, regardez si le suivi des ouvertures est actif, et décidez. Soit vous l'arrêtez, et le sujet se referme en dix minutes. Soit vous le gardez, et il vous faut un consentement par contact, deux modèles d'envoi, un lien de retrait en pied de page et la preuve de tout cela. Pour une base jamais informée, il n'y a pas de troisième option, sauf à pouvoir documenter votre retard et montrer votre plan.

Si le branchement entre votre formulaire, votre site et votre outil d'envoi est le point qui bloque, c'est le genre de chantier que nous prenons en charge. Décrivez votre situation en quelques lignes via le devis gratuit ou la page contact. Nous répondons sous 48 h ouvrées, et nous vous dirons d'abord si le plus simple, chez vous, n'est pas de cesser de mesurer.