Pixels de suivi dans les emails : le délai accordé par la CNIL s’achève aujourd’hui, 14 juillet 2026

Le 12 mars 2026, la CNIL a adopté la délibération n° 2026-042, une recommandation relative aux pixels de suivi dans les courriels, à l’issue d’une consultation publique. Publiée le 14 avril 2026, elle s’adresse à tout organisme, privé ou public, qui insère un pixel de suivi — une image invisible d’un pixel sur un pixel qui signale l’ouverture du message — dans un email. La recommandation qualifie ces pixels de traceurs au sens de l’article 82 de la loi Informatique et Libertés, le même article qui encadre les cookies, ce qui soumet en principe leur usage au consentement préalable. Pour les adresses email déjà présentes dans une base avant le 14 avril 2026, la CNIL a accordé une fenêtre transitoire de trois mois : pas d’obligation de recueillir un consentement rétroactif dans l’immédiat, mais l’obligation d’informer clairement ces destinataires de la présence du pixel et de leur offrir un moyen simple de s’y opposer. Cette fenêtre se referme aujourd’hui, 14 juillet 2026 — date à laquelle la CNIL a annoncé le lancement de ses contrôles.

Ce qui change concrètement

• →Un pixel de suivi n’est pas couvert par le consentement donné à la newsletter elle-même : s’inscrire pour recevoir des emails et consentir à être suivi à leur ouverture sont deux finalités distinctes, que la CNIL traite comme telles.
• →La prospection B2B reste licite sur la base de l’opt-out, en vertu de l’exception française — mais le pixel intégré dans ces emails nécessite, lui, un consentement séparé.
• →Les adresses collectées à partir du 14 avril 2026 exigent un consentement pleinement conforme dès le premier envoi : la voie transitoire « information + opt-out » ne s’appliquait qu’aux bases historiques.
• →Pour les adresses collectées avant cette date, l’obligation était d’informer clairement et d’offrir un opt-out — une obligation due aujourd’hui, pas dans un futur abstrait.
• →Les responsables de traitement doivent pouvoir démontrer eux-mêmes la preuve du consentement : la CNIL précise explicitement que s’appuyer uniquement sur les conditions générales de sa plateforme d’emailing ne suffit pas.

Ce que ça change pour votre PME

Presque toutes les PME envoient une newsletter ou des emails marketing via une plateforme comme Mailchimp, Brevo ou HubSpot — et par défaut, la plupart de ces outils intègrent un pixel de suivi des ouvertures pour mesurer le taux d’ouverture, sans que l’expéditeur ait jamais consciemment activé quoi que ce soit. Peu de dirigeants ont vérifié si ce suivi par défaut était correctement porté à la connaissance de leurs contacts, et encore moins si cette information est bien partie avant l’échéance d’aujourd’hui. Le risque ne vient pas de l’outil de newsletter en lui-même, mais d’une base construite au fil des années, sans aucune trace que quiconque ait été informé de la présence du pixel — exactement le type de faille qu’un contrôle CNIL est fait pour repérer, dans un secteur déjà rompu à la sanction : l’autorité a notamment infligé des amendes à SHEIN et Google pour des manquements comparables sur le consentement aux cookies.

Avant ce soir : ce qu’il faut vérifier

• →Séparez votre base d’emails en deux : les adresses collectées avant le 14 avril 2026, et celles collectées depuis — l’obligation diffère pour chacune.
• →Pour la liste historique, vérifiez qu’une information claire sur le pixel de suivi a bien été envoyée, avec un lien de désinscription fonctionnel, avant aujourd’hui.
• →Pour les adresses collectées depuis le 14 avril 2026, vérifiez que votre formulaire d’inscription mentionne le pixel séparément de l’inscription à la newsletter elle-même.
• →Ne présumez pas que les conditions générales de votre plateforme d’emailing vous couvrent : documentez de votre côté comment et quand le consentement a été recueilli.
• →Pour la prospection B2B envoyée sur base d’opt-out, conservez ce régime pour l’email lui-même, mais isolez le consentement pour tout pixel qu’il contient.

C’est un cas d’école pour un agent de veille réglementaire : une échéance fixée dans une recommandation technique plutôt qu’une loi qui fait la une, un délai de grâce qui s’éteint discrètement trois mois après la publication, une règle dont la plupart des PME n’entendent parler qu’une fois la fenêtre de contrôle déjà ouverte. Un agent conçu pour suivre les publications officielles de la CNIL et les textes en préparation signale une date comme le 14 juillet 2026 le jour où elle est fixée — pas le jour où elle expire.