Ce que dit la recommandation 2026 de la CNIL

En mai 2026, l’autorité française de protection des données, la CNIL, a publié une recommandation sur l’utilisation des pixels de suivi dans les e-mails. Elle ne crée pas de droit nouveau ; elle explique comment le droit existant s’applique à une pratique qui opérait depuis des années dans une zone grise.

Cette page est un résumé pédagogique, non un avis juridique. Lorsque la précision compte, consultez directement la recommandation et les textes sous-jacents.

La chaîne juridique sur laquelle elle repose

• L’article 5, paragraphe 3, de la directive ePrivacy (2002/58/CE) exige le consentement avant de stocker des informations sur, ou d’accéder à des informations déjà stockées dans, l’équipement terminal d’un utilisateur — sauf lorsqu’une exemption étroite s’applique.
• L’article 82 de la Loi Informatique et Libertés transpose cette règle en droit français et constitue le fondement que la CNIL fait appliquer.
• Les Lignes directrices 2/2023 du CEPD (EDPB) ont précisé que l’article 5, paragraphe 3, est neutre technologiquement : il s’applique non seulement aux cookies, mais à toute technique qui lit ou écrit sur un appareil — y compris explicitement les pixels de suivi dans les e-mails et la mise en cache de ressources distantes.

Lire un pixel implique que votre appareil récupère et met en cache une ressource distante ; il relève donc pleinement de l’article 5, paragraphe 3.

Ce que la recommandation demande aux expéditeurs

1. Consentement avant insertion. En règle générale, un pixel de suivi ne peut être inséré dans un e-mail que si le destinataire a donné un consentement préalable, spécifique, éclairé et libre à cette fin — sauf lorsqu’une exemption reconnue s’applique (voir pixels exemptés vs. soumis au consentement).
2. Granularité des finalités. Le consentement pour une finalité (par exemple, mesurer la délivrabilité) n’autorise pas une autre (par exemple, construire un profil marketing). Chaque finalité doit être présentée clairement.
3. Retrait aussi facile que le consentement. Les destinataires doivent pouvoir retirer leur consentement à tout moment, et ce retrait doit être aussi simple que l’octroi du consentement — sans friction, sans obstacles de ré-authentification.
4. Retrait effectif. Une fois le consentement retiré, le suivi doit réellement cesser — y compris pour les e-mails déjà envoyés. Un pixel présent dans un ancien message ne doit plus enregistrer d’ouvertures.
5. Le lien propre à chaque destinataire. Un lien de désabonnement/de gestion des préférences unique dans le pied de page de l’e-mail, rattaché à un seul destinataire, est traité comme une mesure de sécurité (il limite l’action au titulaire de l’adresse). Ce lien est lui-même exempté de consentement préalable.

Ce que cela signifie pour vous en tant que destinataire

• Vous avez le droit d’être interrogé avant qu’une marque ne suive vos ouvertures, et le droit de refuser.
• Si vous avez consenti, vous pouvez changer d’avis, et ce changement doit prendre effet immédiatement — même sur les messages déjà présents dans votre boîte de réception.
• Vous ne devriez jamais avoir à saisir votre adresse e-mail dans un formulaire pour vous désinscrire ; le lien personnel vous identifie déjà de manière sécurisée. Voir vos droits.

Où se situe TrackingCompliant

TrackingCompliant est la surface de gestion des préférences qu’un expéditeur exploite pour satisfaire en pratique les points 3 à 5 : un retrait en un clic depuis le lien du pied de page, effectif sur le courrier déjà envoyé. Elle est gérée par l’expéditeur, non par un auditeur indépendant — nous le disons clairement, car l’honnêteté sur l’identité de l’exploitant de l’outil fait partie d’une pratique correcte.