Un pixel de suivi dans un e-mail relève à la fois des règles sur les traceurs et du RGPD. Avec un suivi fondé sur le consentement, ce pixel et les liens suivis ne sont ajoutés que pour les destinataires qui l’ont accepté au préalable ; tous les autres reçoivent un e-mail ordinaire, sans suivi. Le destinataire peut retirer son accord à tout moment, et plus rien n’est mesuré ensuite. En France, la CNIL considère que l’analyse du taux d’ouverture nécessite en principe ce consentement, avec des exemptions étroites ; ailleurs, les règles dépendent du pays et de la finalité.
Cet article explique comment fonctionne ce modèle au quotidien, ce qui vaut ou non consentement et ce que disent les autorités. Il s’agit d’informations générales, pas d’un conseil juridique adapté à votre situation.
Deux questions, deux régimes
Avant de suivre quoi que ce soit, séparez deux questions :
- Ai-je le droit d’envoyer cet e-mail ? C’est le domaine des règles sur la prospection par voie électronique. En France, la CNIL renvoie sur ce point à l’article L. 34-5 du Code des postes et des communications électroniques (CPCE), qui prévoit par exemple une exception pour les produits ou services analogues proposés aux clients existants.
- Ai-je le droit d’en mesurer les ouvertures et les clics ? Un pixel de suivi déclenche une lecture d’informations sur le terminal du destinataire. En France, c’est l’article 82 de la loi « informatique et libertés », qui transpose l’article 5, paragraphe 3, de la directive ePrivacy. Les traitements de données qui suivent relèvent du RGPD.
Un oui à la première question ne répond pas à la seconde. La CNIL le dit explicitement : le régime du consentement aux pixels est indépendant de celui de l’envoi. Un consentement au pixel peut être nécessaire même pour un e-mail qui, lui, n’exige pas de consentement, comme une confirmation de commande ou une prospection auprès de professionnels en rapport avec leur profession (exemples cités par la CNIL).
Pixel de suivi e-mail et RGPD : ce que dit la recommandation de la CNIL
La CNIL a adopté sa recommandation le 12 mars 2026 ; elle a été publiée au Journal officiel le 14 avril 2026. Ses questions-réponses du 22 juillet 2026 en précisent l’application. Les points essentiels pour une entreprise qui écrit à ses clients et prospects :
- Le consentement est le principe. L’insertion de pixels requiert le consentement préalable, libre, spécifique, éclairé et univoque du destinataire, sauf exemption. L’analyse du taux d’ouverture pour mesurer et optimiser les performances des envois fait partie des finalités soumises au consentement.
- Les exemptions sont étroites. La CNIL cite la sécurité de l’authentification et la mesure individuelle de l’ouverture à des fins de délivrabilité, limitée à ce qui est strictement nécessaire pour adapter la fréquence ou cesser les envois aux destinataires inactifs, en principe en ne conservant que la date de la dernière ouverture. Ces exemptions ne concernent que les e-mails demandés par le destinataire ou rattachés à un service qu’il a demandé.
- Aucun type d’e-mail n’est exclu du champ. Selon la FAQ, la recommandation s’applique quel que soit l’expéditeur et quelle que soit la qualité du destinataire : client, prospect ou salarié.
- Les rôles comptent. L’expéditeur est responsable du traitement. Un prestataire qui gère les pixels uniquement pour son compte agit en principe comme sous-traitant ; s’il utilise aussi les données pour ses propres finalités, une responsabilité conjointe peut être retenue.
- La période de transition a en principe expiré le 14 juillet 2026. Pour les adresses collectées avant la publication, la pratique pouvait continuer sous réserve d’une information claire dans un délai de trois mois et de l’absence d’opposition. La CNIL admet une prolongation raisonnable lorsque des difficultés sont objectivement justifiées et documentées. Ce n’est pas une autorisation pour de nouvelles bases d’adresses.
Et dans les autres pays ?
Les positions ci-dessous résument des documents officiels. La liste n’est pas complète, et une exception reconnue dans un pays ne se transpose pas automatiquement à un autre.
| Juridiction | Référence | En bref |
|---|---|---|
| UE (tous les États membres) | Lignes directrices 2/2023 du CEPD | Décrivent l’expéditeur qui insère un pixel pour savoir quand un e-mail est lu ; la remise du pixel vaut stockage sur le terminal et la collecte de l’identifiant renvoyé vaut accès. |
| Espagne | Rapport 0011/2014 de l’AEPD | Pour les pixels des e-mails publicitaires, un lien vers la politique de confidentialité et l’absence d’opposition ne suffisent pas ; un consentement actif est nécessaire avant le premier e-mail. |
| Italie | Lignes directrices du Garante, 17 avril 2026 | Consentement préalable comme règle générale, avec des exceptions décrites pour des situations précises ; ces exceptions relèvent du cadre italien. |
| Royaume-Uni | PECR, règle 6, et guide de l’ICO | Les pixels relèvent des règles sur les technologies de stockage et d’accès ; consentement nécessaire sauf exception prévue. |
| États-Unis | CAN-SPAM Act (guide de la FTC) | Règles sur l’e-mail commercial, comme des en-têtes honnêtes et une désinscription qui fonctionne. Ce n’est pas un modèle mondial et cela ne règle pas la question du suivi au regard d’autres lois. |
Le fil conducteur en Europe : lorsque le consentement est requis, il doit intervenir avant le premier e-mail suivi et résulter d’un choix actif et éclairé.
Ce qui ne vaut pas consentement
- Le silence ou l’absence d’opposition. La CNIL précise que l’inactivité du destinataire doit être analysée comme un refus.
- Une mention dans l’e-mail. Elle informe et peut offrir un moyen de refuser, mais elle agit après coup.
- Des cases précochées ou des conditions groupées. Le RGPD attend un acte positif clair, libre et spécifique.
- Un clic sur un lien quelconque. Les scanners de sécurité cliquent automatiquement, et une personne qui clique pour lire une page n’a pas accepté d’être suivie.
- Une désinscription ultérieure. Quitter une liste ne dit rien d’un consentement antérieur à la mesure.
Le suivi avec consentement, étape par étape
1. Définir la finalité et les rôles
Écrivez pourquoi vous voulez mesurer les ouvertures et les clics (par exemple, choisir le bon moment pour relancer un client) et qui en décide. L’entreprise qui décide pourquoi et qui elle suit est normalement responsable du traitement.
2. Recueillir le consentement au bon moment
La CNIL recommande de le recueillir au moment de la collecte de l’adresse : formulaire d’inscription, création de compte, espace client. Indiquez l’adresse concernée, ce qui est mesuré, par qui et comment refuser. Si ce n’est pas possible, la CNIL admet un e-mail de sollicitation sans traceur soumis au consentement, dont le lien mène à une page où la personne doit effectuer une action positive, pour éviter qu’un préchargement automatique ne « consente » à sa place. Refuser doit être aussi simple qu’accepter.
3. Conserver la preuve
Le responsable du traitement doit pouvoir démontrer chaque consentement : source, date, finalité, version de l’information affichée. Si un partenaire recueille le consentement pour votre compte, une simple clause dans votre contrat avec lui ne suffit pas à le prouver.
4. Décider destinataire par destinataire, à chaque envoi
Avant de construire l’e-mail, vérifiez chaque destinataire. Consentement enregistré : exemplaire suivi. Pas de consentement, statut incertain ou refus : e-mail ordinaire, sans pixel ni liens suivis.
5. Informer et rendre le retrait facile
La CNIL recommande un lien de retrait dans le pied de page de chaque e-mail. Si le lien mène à une page web, celle-ci devrait permettre le retrait sans démarche supplémentaire, notamment sans ressaisir l’adresse.
6. Rendre le retrait effectif
Après un retrait, plus aucune mesure dans les e-mails à venir, et plus d’exploitation des traceurs des e-mails déjà envoyés lorsque la personne les rouvre. Gardez trace du refus pour ne pas réactiver le suivi par erreur.
7. Séparer journaux techniques et mesure d’audience
Certains journaux de requêtes sont nécessaires au fonctionnement et à la sécurité d’un service. Décrivez leur portée et leur durée de conservation à part de la mesure comportementale.
Comment HawkOpen met en œuvre ce modèle
HawkOpen, l’application de suivi des e-mails, des documents et des propositions commerciales éditée par TriStiX S.L., repose sur le consentement destinataire par destinataire :
- Le suivi est désactivé tant que le propriétaire de l’entreprise ou un administrateur ne l’a pas activé. Ensuite, seuls les destinataires dont le consentement est enregistré sont suivis, avec une décision distincte pour les ouvertures et pour les liens ; les autres reçoivent un e-mail ordinaire.
- Le consentement est enregistré sur la page de consentement de HawkOpen, uniquement quand le destinataire l’y confirme, avec sa source, sa date, sa finalité et la version de l’information affichée.
- Chaque e-mail suivi se termine par l’avis « Ce message contient des éléments de suivi HawkOpen. », suivi du lien « Ne pas suivre mon activité ». Aucun réglage ni aucune offre ne le retire. Chaque e-mail, suivi ou non, se termine aussi par « Ne m’envoyez plus de messages ».
- Le refus est immédiat et durable. Ouvrir la page du lien ne change rien ; son bouton refuse définitivement le suivi par cette entreprise, supprime ce qui a été mesuré auparavant sur l’adresse et en informe l’expéditeur. La mesure s’arrête aussi dans les e-mails envoyés auparavant.
- Les documents suivent la même logique. Le temps passé sur les pages d’un document n’est mesuré qu’après l’accord du lecteur sur la page.
HawkOpen fournit ces outils ; l’entreprise qui l’utilise décide de la finalité et des destinataires et reste responsable de disposer d’une base valable lorsqu’elle est nécessaire. HawkOpen ne promet pas qu’un usage donné du suivi est licite. Lorsque des règles exigeant un consentement s’appliquent, le suivi ne peut démarrer qu’une fois ce consentement obtenu, et le lien présent dans le message permet de le retirer par la suite.
HawkOpen est actuellement en lancement contrôlé. Pour les questions propres à chaque pays, consultez la FAQ sur ce que disent la CNIL et les autres autorités européennes et sur le pixel de suivi et le RGPD. Pour savoir ce que les données de suivi peuvent montrer une fois le consentement obtenu, commencez par comment savoir si quelqu’un a lu votre e-mail.
Avertissement : Ces informations sont d’ordre général et portent sur les fonctionnalités de HawkOpen. Elles ne constituent ni un conseil juridique individuel, ni une appréciation de la conformité à la réglementation d’une campagne ou d’un document déterminés. Chaque utilisateur reste maître de ses décisions et, si nécessaire, consulte un professionnel qualifié. Cela ne limite en rien les droits reconnus par les dispositions impératives.