Pixel de suivi dans les emails : ce que c'est, et pourquoi la CNIL s'y intéresse

Vous ouvrez le rapport de votre dernière newsletter : 2 400 envois, 38 % d'ouverture. Le chiffre paraît aller de soi. Il est pourtant le produit d'une petite mécanique technique que peu d'expéditeurs connaissent en détail — le pixel de suivi — et que la CNIL a décidé d'encadrer dans une recommandation adoptée le 12 mars 2026 et publiée le 14 avril 2026.

Rien de dramatique là-dedans. Mais si vous envoyez des emails à des destinataires en France, cela vaut la peine de comprendre de quoi on parle. Voici l'essentiel, sans jargon.

Un email ne sait pas qu'il est ouvert

C'est le point de départ, et il surprend souvent : techniquement, un email envoyé ne « rend pas de comptes ». Une fois parti, c'est un fichier posé dans une boîte mail. Rien, dans le protocole, ne prévient l'expéditeur qu'il a été lu.

Pour obtenir cette information, l'industrie de l'emailing utilise depuis vingt ans une astuce : le pixel de suivi. Dans le corps HTML du message, on insère une image minuscule — un carré d'un pixel sur un pixel, transparent, invisible à l'œil. Cette image n'est pas contenue dans l'email : elle est hébergée sur un serveur distant, et son adresse contient un identifiant unique par destinataire et par campagne.

Quand le logiciel de messagerie affiche le message, il doit aller chercher cette image sur le serveur pour la dessiner. C'est cette requête — et elle seule — qui signale l'ouverture. Le serveur note : « l'identifiant 8f2c… a demandé son image, à telle heure ». Et votre statistique passe de 37 % à 38 %.

Selon les cas, la requête permet aussi de connaître l'heure exacte de l'ouverture, l'adresse IP (donc une géolocalisation approximative), le type d'appareil et le client de messagerie utilisés.

À quoi ça sert, concrètement

Le pixel alimente à peu près tout ce que vous regardez dans vos rapports : taux d'ouverture, courbe des ouvertures dans le temps, répartition mobile/desktop, meilleurs horaires d'envoi. Il sert aussi à repérer les contacts qui n'ouvrent plus rien depuis un an, pour nettoyer sa liste ou adapter sa fréquence d'envoi.

Autrement dit : ce n'est pas un gadget d'espionnage, c'est l'instrument de mesure standard du secteur. Ce qui n'empêche pas qu'il pose une vraie question.

Pourquoi une boîte mail n'est pas une page web

C'est le cœur du raisonnement de la CNIL, et il mérite d'être compris plutôt que subi.

Sur un site web, vous savez que vous êtes chez quelqu'un d'autre. Une boîte mail, non : la CNIL la décrit comme un « espace personnel destiné à la consultation de contenus privés, accessible après une procédure d'authentification ». Vous ne vous y « rendez » pas, vous y êtes chez vous. Et vous n'avez rien demandé au moment où le message arrive.

Le raisonnement juridique découle de là. En allant chercher l'image sur un serveur distant, votre appareil télécharge et écrit un contenu dans sa mémoire, et renvoie au passage des informations vous concernant. Aux yeux du régulateur, c'est une opération de lecture sur le terminal de l'utilisateur — exactement la catégorie que vise l'article 82 de la loi Informatique et Libertés, celui-là même qui régit les cookies. Cette lecture-là est d'ailleurs partagée au niveau européen : le Comité européen de la protection des données l'a établie dans ses lignes directrices 2/2023.

La CNIL note aussi, en introduction, qu'elle reçoit un nombre croissant de signalements et de plaintes sur le sujet. Ce n'est pas une lubie de juriste : les gens s'en aperçoivent, et ça les dérange.

Ce que dit la recommandation, en trois points

1. La mesure de performance des campagnes est soumise au consentement. La CNIL range explicitement parmi les finalités qui nécessitent le consentement préalable du destinataire « l'analyse du taux d'ouverture des courriels pour mesurer et optimiser les performances des campagnes ». C'est, disons-le franchement, l'usage numéro un du pixel en marketing.

2. Quelques usages en sont exemptés, sous conditions strictes. Deux surtout : les mesures de sécurité liées à l'authentification (vérifier que l'email contenant un code a bien été ouvert sur un appareil connu), et la mesure d'ouverture à seule fin de délivrabilité — identifier les inactifs pour nettoyer sa base ou arrêter les envois. Cette seconde exemption est étroite : elle ne vaut que pour des emails demandés par le destinataire (typiquement les emails transactionnels : confirmation de commande, réinitialisation de mot de passe…), et impose de ne conserver, en principe, que la date de la dernière ouverture connue, à la journée et sans l'heure, écrasée à chaque nouvelle ouverture. Pas d'heure, pas de terminal, pas de statistiques de campagne.

3. Le consentement au pixel est indépendant du consentement à recevoir l'email. C'est le point qui déroute le plus. La CNIL le signale en encadré : le régime du pixel ne suit pas celui de l'envoi. Une adresse parfaitement opt-in pour votre newsletter ne vaut pas, à elle seule, accord pour mesurer les ouvertures. Ce sont deux questions distinctes.

Et le retrait ?

La recommandation demande que le destinataire puisse revenir sur son choix à tout moment, et aussi simplement qu'il l'a donné : un lien en pied de page de chaque email, menant à une page où le retrait se fait « sans action supplémentaire » — sans avoir à retaper son adresse.

Et ce retrait doit être effectif. Pas seulement pour les envois futurs : pour les emails déjà envoyés aussi, qui contiennent toujours leur pixel et peuvent être rouverts demain.

Ce que ça change pour vous, expéditeur

D'abord, la mesure : la recommandation « n'est ni réglementaire ni exhaustive », écrit la CNIL — c'est un document d'aide à la mise en conformité, pas un texte de loi supplémentaire. Elle explicite comment le régulateur lit l'article 82, ce qui suffit à en faire la référence pratique.

Ensuite, la responsabilité. Si vous décidez de l'envoi d'un email, vous êtes responsable de traitement, y compris quand vous confiez l'exécution à un prestataire d'emailing — lequel agit, lui, comme sous-traitant. Le choix de l'outil ne transfère pas la responsabilité.

Enfin, le calendrier. Pour les adresses déjà en base, la CNIL a prévu un régime transitoire : la mesure pouvait continuer, à condition d'informer clairement les destinataires et de leur permettre de s'y opposer, dans un délai « qui ne saurait, en principe, excéder 3 mois à compter de la publication ». Ce délai est arrivé à échéance le 14 juillet 2026 : si cette information n'est pas encore partie, c'est désormais votre priorité. Pour les adresses que vous collectez maintenant, la logique est différente : c'est au moment de la collecte que le consentement se joue.

Rien de tout cela ne signifie la fin du taux d'ouverture. Cela signifie qu'il se mesure désormais avec l'accord des gens, et que ceux qui refusent doivent pouvoir le dire en un clic — et être entendus.

Pour aller plus loin

• Pixels de suivi : ce que vous devez faire, ce que Mailpro fait pour vous — le partage des responsabilités et la checklist concrète.
• Vos taux d'ouverture après l'opt-out : pourquoi ils restent fiables — l'impact réel sur vos statistiques.
• Source officielle : Recommandation CNIL relative aux pixels de suivi (PDF) et le communiqué du 14 avril 2026.

Cet article est un document d'information générale et ne constitue pas un conseil juridique. Pour votre situation particulière, rapprochez-vous de votre juriste ou de votre DPO.