Pixel de suivi email : les automatisations à revoir selon la CNIL

Lundi, 9 heures. Un commercial reçoit une alerte : son prospect a ouvert la proposition trois fois pendant le week-end. Il décroche son téléphone. Dans la nuit, le routeur a relancé tous les abonnés qui n’avaient pas ouvert la newsletter du jeudi.

Ces deux automatisations lisent un pixel de suivi email, une image invisible qui signale l’ouverture d’un message. La CNIL estime que ce traceur relève du consentement, adresses professionnelles comprises, sauf pour espacer ou arrêter les envois aux inactifs à partir de la seule date de dernière ouverture.

La recommandation ne supprime pas l’emailing. Elle retire l’ouverture individuelle du pilotage. Il faut donc classer chaque scénario selon sa finalité, confier à l’agence et au routeur une exécution vérifiable, et mesurer avec des signaux qui ne lisent rien dans la messagerie.

Ce que couvre la recommandation CNIL, et ce qu’elle laisse ouvert

La recommandation de la CNIL sur les pixels de suivi dans les courriels a été adoptée le 12 mars 2026, puis publiée le 14 avril. Des questions-réponses l’ont complétée le 22 juillet.

La recommandation en quatre repères

Source : CNIL, recommandation relative aux pixels de suivi dans les courriers électroniques.

Trois précisions de périmètre comptent pour un annonceur. Tout courriel est visé, y compris ceux adressés à des salariés, clients ou prospects professionnels. L’autorité se juge compétente à l’égard d’un expéditeur établi hors de France dès lors que les destinataires sont en France, sans guichet unique. Les messageries captives, internes à une plateforme, sont exclues.

Le statut du texte compte aussi : la CNIL le présente comme ni réglementaire ni exhaustif. L’obligation vient de l’article 82 de la loi n° 78-17 du 6 janvier 1978, qui impose le consentement pour lire ou écrire dans le terminal, sauf pour transmettre une communication électronique ou fournir un service expressément demandé.

Le 14 juillet 2026, une échéance à double régime

Pour les adresses collectées avant le 14 avril 2026, la CNIL admet le maintien du pixel si une information a été envoyée dans les trois mois, soit avant le 14 juillet 2026, sans opposition de la personne. Ce délai peut être prolongé si l’expéditeur documente ses difficultés. À défaut, il faut recueillir le consentement ou retirer les pixels non exemptés.

L’absence d’opposition vaut tant que les conditions d’envoi ne changent pas. Les adresses collectées depuis le 14 avril relèvent des règles pleines. Des professionnels demandaient six mois à un an lors de la consultation ; la CNIL a retenu trois mois. Le 14 juillet n’a donc pas fait basculer tous les pixels dans l’interdit.

Les clics, hors recommandation mais pas hors article 82

Les liens traçants sont-ils couverts ? La FAQ répond « Non, pas directement », puis les rattache à l’article 82 et au RGPD, comme le font les lignes directrices du CEPD (points 47 à 51). Le clic individualisé n’est donc ni soumis d’office au consentement, ni libre : il s’analyse par finalité.

Un seul cas d’exemption est cité : le lien unique de retrait ou de recueil du choix. Le centre d’aide de Brevo écrit que l’exigence couvre à la fois les ouvertures et les clics ; c’est la position prudente d’un routeur, pas la règle.

Le pixel de suivi email change de régime selon sa finalité

Le principe posé par la CNIL tient en une ligne : l’usage, pas la technologie, fixe le régime. Le tableau croise les usages courants avec leur base légale et la position de l’autorité ; la dernière colonne, qui propose une mesure de remplacement, est une lecture ExternFlow.

Usages du pixel de suivi : régime, consentement et mesure de remplacement

Colonnes 2 et 3 : recommandation du 12 mars 2026 et questions-réponses du 22 juillet 2026. Colonne 4 : interprétation ExternFlow. À faire relire par un juriste.

Trois nuances évitent les contresens. Un même pixel peut servir une finalité exemptée et une finalité consentie, mais aucun pixel ne peut attendre en réserve un consentement futur. Le régime du traceur est indépendant de celui de l’envoi : un courriel licite peut porter un pixel qui ne l’est pas. Enfin, l’anonymisation sur le terminal ne dispense pas du consentement.

Pour une newsletter personnalisée, la CNIL admet un consentement unique, du type « Je m’abonne », s’il couvre clairement l’envoi et la personnalisation.

Les automatisations qui se déclenchent sur une ouverture

La méthode tient en trois temps. Exporter les automatisations actives du routeur et du CRM. Noter pour chacune le déclencheur et la donnée lue. Classer ensuite chaque scénario : exempté, soumis au consentement ou à supprimer.

Huit scénarios automatisés à requalifier

« Sans consentement » vise un contact ni consentant ni informé sans opposition avant le 14 juillet 2026. Colonnes 2 et 3 : recommandation, questions-réponses et référentiel de 2021. Colonne 4 : proposition ExternFlow.

Un scénario soumis au consentement ne s’arrête pas pour autant. Il continue pour les contacts consentants ou informés sans opposition, à condition que l’outil prévoie une branche pour le statut inconnu. Les règles de pondération restent une décision de l’annonceur, comme le rappellent les pondérations de scoring à garder en interne.

Lead scoring et alertes commerciales privés de leur signal

Le lead scoring attribue des points à un contact selon son comportement, pour décider quand le transmettre aux commerciaux. Les points gagnés à l’ouverture et les alertes « le prospect a ouvert » des outils de séquence relèvent de la mesure ou de la personnalisation : ils demandent le consentement, B2B compris.

La date exemptée ne peut pas servir à scorer, puisque l’exemption vise des opérations exclusivement destinées à régler la fréquence ou à arrêter les envois. Restent des signaux solides : une réponse, un rendez-vous, une demande de devis, un formulaire rempli. En prospection B2B menée sans consentement, le courriel n’est pas « demandé » : par analogie avec les produits analogues, l’exemption de délivrabilité semble exclue.

Tests A/B et heure d’envoi : un étalon à remplacer

Un test A/B envoie deux versions d’un même message à deux groupes pour retenir la meilleure. Choisir la variante gagnante sur l’ouverture, ou calculer l’heure d’envoi idéale contact par contact, relève de l’amélioration des campagnes : consentement requis, et l’heure d’ouverture sort de l’exemption.

Trois remplacements tiennent : désigner le gagnant sur les réponses ou sur les conversions agrégées, fixer des créneaux par segment, limiter le test aux consentants en signalant le biais. La statistique globale anonymisée issue d’un pixel exempté reste admise. Elle montre une tendance ; elle ne départage pas deux variantes sans avis juridique.

Nettoyer sa base avec la seule date de dernière ouverture

C’est la seule automatisation marketing exemptée, et ses conditions sont cumulatives. La finalité doit être exclusive : espacer ou arrêter les envois aux inactifs. Le courriel doit être demandé, transactionnel, de renouvellement, d’information légale ou consenti. La donnée gardée est la date de dernière ouverture, à la journée, remplacée à chaque ouverture.

Collecter l’adresse IP ou le user-agent fait perdre l’exemption, même avec une anonymisation rapide. Trois actions sont admises : cesser les envois, les espacer, changer de canal. Leur effet se documente par le taux de désinscription.

Deux pièges demeurent. La simple ouverture n’est pas un contact. Elle ne relance pas le délai de trois ans de conservation des données d’un prospect, compté depuis la collecte ou le dernier contact émanant de lui, selon le référentiel de la CNIL de 2021.

Second piège : la protection de la confidentialité d’Apple Mail empêche l’expéditeur de savoir si le message a été ouvert. Filtrer ces ouvertures automatiques par les adresses IP d’Apple entre en tension avec l’interdiction de collecter l’IP : la question est à poser au routeur. Pour les signaux qui remplacent l’ouverture, voir la réputation du domaine d’envoi suivie dans Postmaster Tools.

Qui décide, qui exécute, qui prouve : les rôles autour du routeur

Le texte fixe deux qualifications. L’expéditeur reste responsable de traitement, même s’il sous-traite l’envoi. Le prestataire d’envoi est en général sous-traitant, tenu de proposer la désactivation des traceurs et l’envoi selon un signal de consentement. Il devient co-responsable, au sens de l’article 26 du RGPD, dès qu’il utilise les données pour ses propres finalités.

L’agence n’est pas nommée par la CNIL. ExternFlow la qualifie selon ce qu’elle fait des données : sous-traitante quand elle exécute sur instruction, co-responsable si elle les réutilise. La stratégie reste chez l’annonceur, l’exécution chez l’agence et le routeur, le contrôle passe par des preuves datées.

Qui décide, qui exécute, qui prouve autour du routeur

Qualifications tirées de la partie 2.2 de la recommandation et des questions-réponses, sauf pour l’agence, que la CNIL ne nomme pas : interprétation ExternFlow fondée sur les articles 26 et 28 du RGPD. Colonnes 3 et 4 : méthode ExternFlow.

Une clause contractuelle ne prouve pas un consentement recueilli par un tiers : il faut la preuve individuelle, comme l’a montré le précédent de la prospection téléphonique externalisée. Le réglage des contacts au consentement inconnu, proposé par des routeurs comme Brevo, est une décision de responsable de traitement, pas un paramètre technique.

Mesurer une campagne sans suivi individuel des ouvertures

Ce qui suit est une proposition ExternFlow, adossée à deux constats de la CNIL. Lors de la consultation sur les enjeux économiques, un tiers des 16 contributeurs ont jugé que le taux d’ouverture devait être complété par d’autres indicateurs. L’autorité relève aussi l’absence de solutions moins intrusives, faute de demande. Les conversions sur le site restent mesurables, sans contourner le consentement : voir la mesure des conversions côté serveur et ses limites.

Des indicateurs qui ne lisent rien dans la messagerie

• Rebonds par domaine, pour repérer une adresse morte ou un filtrage.
• Plaintes et réputation, lues dans les outils des messageries.
• Désinscriptions par segment, qui mesurent la pression d’envoi.
• Réponses et rendez-vous, enregistrés dans le CRM.
• Commandes ou devis rattachés, par un code ou un formulaire dédié.
• Groupe témoin sans envoi, comparé sur les ventes.

Le taux de consentement devient un indicateur de pilotage

Suivez trois populations par source de collecte : consentants, refusants, inconnus. Le consentement se recueille à la collecte de l’adresse ; à défaut, par un courriel sans pixel soumis au consentement et une action positive sur une page. L’inactivité vaut refus, et la CNIL recommande de ne pas solliciter à nouveau avant six mois.

Le retrait passe par un lien unique en pied de message, sans ressaisie de l’adresse. Un centre de préférences est admis.

Contrôler sur un email reçu ce que le pixel collecte

Un contrôle trimestriel suffit. Le protocole suivant est proposé par ExternFlow.

1. Deux adresses de test : recevoir chaque scénario sur une adresse consentante et sur une adresse au statut inconnu.
2. Le code source : relever dans le message les URL qui portent un identifiant.
3. Les champs enregistrés : obtenir du routeur la liste des données stockées à l’ouverture, date, heure, adresse IP, user-agent.
4. Les usages en aval : vérifier qu’une ouverture non consentie n’alimente ni score ni segment.
5. Le retrait : retirer le consentement, puis rouvrir un ancien message, dont le pixel doit être ignoré.

Ce contrôle complète les contrôles à mener sur un message reçu avant lancement. Il a un avantage : il ne dépend pas de la bonne foi de l’agence, puisque le message reçu fait preuve.

Un déclencheur sans finalité écrite n’a plus sa place dans l’outil

La CNIL annonce des contrôles sans en donner le calendrier. L’ordre des opérations, lui, est clair. Désactivez tout scénario sans finalité écrite, ou réservez-le aux contacts consentants, avant la prochaine campagne ; reconstruisez la mesure ensuite.

Exportez vos automatisations actives et classez-les avec le tableau des usages avant les campagnes de fin d’année. La newsletter d’ExternFlow suivra les prochaines publications de la CNIL.

Sources et références

Cet article s’appuie notamment sur la recommandation de la CNIL relative aux pixels de suivi dans les courriers électroniques, adoptée le 12 mars 2026, ses questions-réponses du 22 juillet 2026, l’annonce de sa publication le 14 avril 2026, l’article 82 de la loi Informatique et Libertés, les lignes directrices 2/2023 du CEPD sur le champ technique de l’article 5.3 de la directive ePrivacy et le référentiel de la CNIL relatif à la gestion des activités commerciales, délibération n° 2021-131.

Les données déclaratives viennent de la synthèse de la consultation publique sur le projet de recommandation et de la synthèse de la consultation sur les enjeux économiques des pixels de suivi. Le centre d’aide de Brevo sur les pixels de suivi et la recommandation de la CNIL sert d’exemple de mise en œuvre par un routeur.