Non, pas directement. Toutefois, la recommandation fournit des principes permettant aux acteurs recourant à cette technologie d’évaluer leur conformité.

Les liens « traçants » sont des liens hypertextes contenant un identifiant ou un autre paramètre permettant de détecter les clics sur des contenus ou liens. Lorsqu’ils sont intégrés dans un courriel, ils permettent d’associer ces actions au destinataire du message. Ils sont notamment utilisés pour mesurer les clics sur un contenu, suivre les interactions ou établir des statistiques d'utilisation.

Bien que les liens « traçants » ne soient pas directement visés par la recommandation, plusieurs éléments doivent être pris en compte :

• Comme d’autres technologies de traçage (cookies, empreinte numérique), ils impliquent des opérations de lecture et/ou d’écriture sur le terminal de l’utilisateur. À ce titre, les acteurs qui les utilisent doivent respecter l’article 82 de la loi Informatique et Libertés en plus du RGPD (comme le rappellent les lignes directrices n° 02/2023 du Comité européen de la protection des données (CEPD)).
• Pour comprendre les obligations applicables à cette technologie, il est nécessaire de déterminer, au regard des objectifs (ou finalités) poursuivis, si ces opérations sont nécessaires au service fourni ou non.

Pour rappel, les opérations strictement nécessaires à la fourniture d’un service explicitement demandé par l’utilisateur ou ayant pour seule finalité de permettre ou de faciliter la communication électronique peuvent bénéficier d’une exemption à l’obligation de recueillir le consentement.

La recommandation « cookies et autres traceurs » et la recommandation relative aux pixels dans les courriers électroniques constituent des ressources utiles pour faire cette analyse et réfléchir, lorsque c’est nécessaire, aux modalités de recueil du consentement.

Non, pas uniquement.

La CNIL peut contrôler et sanctionner des acteurs établis en France, dans un autre État membre de l'Union européenne (UE) ou en dehors de l'UE, si les conditions d'application de la loi Informatique et Libertés sont réunies.

C'est notamment le cas lorsque le recours aux pixels de suivi est effectué dans le cadre des activités d'un établissement situé en France. Les dispositions de la loi peuvent également s'appliquer à un acteur qui n'est pas établi dans l'Union européenne lorsque les pixels sont utilisés pour suivre le comportement de personnes se trouvant sur le territoire français.

En outre, s'agissant de l'application de l'article 82 de la loi Informatique et Libertés relatif aux opérations de lecture et d'écriture sur les terminaux, la CNIL est compétente pour contrôler les manquements concernant les utilisateurs situés en France. Le mécanisme de coopération européen (guichet unique) ne s'applique pas à ces contrôles.

Non.

La recommandation s’applique à tout recours à des traceurs dans les courriels, quel que soit le contexte dans lequel ceux-ci sont envoyés. Elle s’applique donc indépendamment de la nature de l’organisme expéditeur ou la qualité du destinataire (par exemple, un client, un prospect, un salarié, etc.).

En revanche, l'application des principes énoncés par la recommandation et l'appréciation des obligations qui en découlent (nécessité de recueillir un consentement ou non) peut dépendre des circonstances propres à l’utilisation de ces traceurs (finalités poursuivies, catégorie de courriels, etc.).

Tout dépend de leur qualification pour les opérations de traitement liées aux pixels (voir partie 2.2 de la recommandation).

Lorsque les pixels sont insérés exclusivement pour le compte de l’expéditeur, les prestataires agissent comme sous-traitants pour ces opérations. Ils doivent notamment traiter les données sur instruction du responsable du traitement, mettre en œuvre des mesures de sécurité appropriées et assister ce dernier dans le respect de ses obligations (article 28 du RGPD).

Par ailleurs, les prestataires sont invités à concevoir et paramétrer leurs solutions de manière à permettre à leurs clients de respecter la réglementation applicable. À ce titre, ils devraient notamment proposer des fonctionnalités facilitant la désactivation des traceurs, la gestion différenciée des destinataires au sein des listes ainsi que la gestion de listes de diffusion sur la base d’un signal de consentement lorsque celui-ci est requis, ainsi que le respect du principe de protection des données dès la conception et par défaut.

Les fournisseurs, peuvent, de manière optionnelle, fournir des fonctionnalités de recueil du consentement.

Lorsque les prestataires utilisent également les pixels pour leurs propres finalités (amélioration de service, de la pertinence de leurs listes de diffusion, etc.), ils peuvent être qualifiés de responsable conjoint avec l’expéditeur qui accepte contractuellement ces opérations.

Ils doivent répartir leurs obligations de manière claire et transparente, notamment en matière d’information et de respect des droits (article 26 du RGPD).

En pratique, celui qui est en contact avec les personnes sera en charge de recueillir le consentement au pixel : par exemple, il peut s’agir de l’expéditeur lors de la collecte de l’adresse électronique ou du prestataire de location des listes de diffusion et d’envoi de courriels lors de l’envoi d’un courriel sollicitant le consentement au pixel. Dans tous les cas, celui qui « délègue » le recueil du consentement ne peut se limiter à une clause dans le contrat pour apporter la preuve du consentement. Il doit pouvoir démontrer que le consentement a été valablement recueilli, pour son compte (ce qui implique de réaliser des vérifications par le biais d’audits, par exemple).

Les pixels utilisés pour la délivrabilité doivent répondre à l’ensemble des conditions mentionnées dans la recommandation pour être exemptés de consentement (partie 3.2 de la recommandation).

À l'inverse, le consentement est requis dès lors que l'une de ces conditions n'est pas remplie. Il peut, par exemple, s'agir des situations suivantes :

• Le pixel collecte des informations qui ne sont pas strictement nécessaires à la seule finalité de délivrabilité. Par exemple, si le pixel permet également de connaître l'heure d'ouverture des courriels ou toute autre information allant au-delà de ce qui est nécessaire.
• Le courriel dans lequel le pixel est inséré ne correspond pas / ne se rattache pas à un service explicitement demandé par l'utilisateur. Par exemple, un courriel de prospection envoyé sur le fondement de l'exception applicable aux produits ou services analogues (article 34-5 du code des postes et des communications électroniques ou CPCE) ne peut pas être considéré comme un service demandé par l'utilisateur.

Oui.

Lorsque des données sont collectées au moyen d'un pixel, que cette collecte soit soumise au consentement ou bénéficie d'une exemption, leur réutilisation ne nécessite pas de consentement si elles ont été préalablement anonymisées de manière effective, par exemple via un processus d’agrégation.

Des données collectées par un pixel exempté peuvent ainsi, par exemple, être utilisées pour établir une statistique globale du taux d'ouverture d'une campagne. Le traitement consistant à anonymiser les données reste soumis au RGPD.

Pour pouvoir bénéficier de l’exemption décrite par la recommandation, le responsable du traitement doit démontrer que les opérations effectuées ont vocation à se limiter à ce qui est strictement nécessaire pour adapter la fréquence ou arrêter l’envoi des courriels aux destinataires dits « inactifs ».

En principe, la seule donnée nécessaire à cette fin est la date de dernière ouverture du courriel sauf si l’envoyeur peut documenter qu’il a besoin de conserver d’autres données pour atteindre cet objectif.

Le fait que des données supplémentaires, telles que l'adresse IP ou le user-agent , soient rendues anonymes ou supprimées peu après leur collecte ne remet pas en cause le fait qu'elles ont été collectées au-delà de ce qui est nécessaire pour assurer la délivrabilité. Cette anonymisation ne permet donc pas de bénéficier de l'exemption.

Dans le cadre de l’exemption relative à la délivrabilité, l’absence d’ouverture des courriels doit amener l’expéditeur à considérer que le canal de communication concerné présente une faible efficacité pour atteindre le destinataire.

En conséquence et en fonction du type de communication concernée, il peut, par exemple :

• cesser les envois face à l’absence d’intérêt de la personne et la retirer de la base de diffusion ;
• diminuer la fréquence des envois pour réduire les sollicitations envers la personne et favoriser une lecture des informations les plus importantes ;
• utiliser des canaux de communication alternatifs pour contacter la personne (par exemple, via SMS si les conditions légales permettant d’utiliser ce canal sont réunies).

La CNIL invite les acteurs à documenter le respect des conditions posées par la recommandation (par exemple, en mesurant le taux de désinscription des bases à la suite de l’absence d’intérêt des personnes).

Non.

Si l’ouverture d’un courriel permet de qualifier un utilisateur d’« actif » (par opposition à un utilisateur « inactif ») cette notion se comprend dans le contexte spécifique de l’objectif de délivrabilité visé par la recommandation relative aux pixels dans les courriers électroniques.

Elle n’est pas transposable au référentiel relatif à la gestion des activités commerciales : dans ce contexte, la règle selon laquelle la simple ouverture d'un courriel ne devrait pas être considérée comme un contact émanant du prospect continue de s’appliquer (partie 7 du référentiel relatif aux traitements de données personnelles mis en oeuvre aux fins de gestion des activités commerciales).

Oui.

Un même pixel peut poursuivre plusieurs finalités dont certaines sont exemptées de consentement et d'autres soumises au consentement, en application de l'article 82 de la loi Informatique et Libertés.

Dans ce cas, les finalités exemptées peuvent être mises en œuvre sans consentement, sous réserve que les conditions de l'exemption soient remplies. En revanche, les finalités soumises au consentement ne peuvent être poursuivies qu'après le recueil du consentement valide de l'utilisateur.

Dans tous les cas, un pixel ne peut pas être déposé sans poursuivre de finalité. Il doit, dès son dépôt, répondre à au moins une finalité déterminée. Il n'est donc pas possible de déposer un pixel uniquement dans l'attente d'un éventuel consentement qui permettrait, ultérieurement, de l'utiliser.

Les pixels impliquent généralement des traitements de données personnelles. Ces traitements sont soumis à l’ensemble des dispositions pertinentes du RGPD. Le responsable du traitement devra donc s’assurer de respecter les droits des personnes tels que prévus aux articles 12 à 22 du RGPD.

Ainsi :

• Si l’article 82 de la loi Informatique et Libertés n’impose pas d’informer les utilisateurs sur l’utilisation de tels traceurs, la CNIL recommande qu’ils soient informés de leur existence afin d’assurer une transparence sur ces opérations. Cette information peut être délivrée au sein de la politique relative aux cookies. Par ailleurs, les personnes doivent être informées de tous les traitements de données personnelles mis en œuvre, conformément au RGPD.
• Le responsable du traitement devra mettre à la disposition des utilisateurs un mécanisme lui permettant de s’opposer au traitement de ses données personnelles dès lors que le traitement est fondé sur l’intérêt légitime (article 6.1.f du RGPD). Ce mécanisme doit être aisément accessible afin de faciliter l’exercice des droits.

Non. Uniquement en partie.

Les conditions relatives à la qualification du courriel de service explicitement demandé par l’utilisateur et à la limitation, en principe, de la collecte à la date de dernière ouverture du courriel s’appliquent à l’exemption liée à la sécurité.

En revanche, celles qui sont liées à la diminution de la fréquence ou l’arrêt des envois des courriels aux destinataires dits « inactifs » (nettoyage des bases) sont propres à l’exemption de délivrabilité. Elles ne concernent pas à l’exemption liée à la sécurité.

Non.

Les traceurs utilisés à des fins de lutte contre la fraude, de manière générale, n’entrent pas dans les exemptions prévues par l’article 82 de la loi Informatique et Libertés.

Cependant, la CNIL considère que cela peut être le cas, dans certaines hypothèses particulières, lorsque les mesures de sécurité sont centrées sur l’utilisateur.

À l’inverse, les pixels visant à lutter contre la manipulation d’inventaire publicitaire ne peuvent relever de cette exemption. Or, le recueil du consentement n’est souvent pas adapté pour cette finalité : la CNIL recommande donc de privilégier des méthodes ne reposant pas sur l’accès aux terminaux des utilisateurs.

Il s’agit des organismes de droit public ou privé dont les courriels intégrant des pixels de suivi à des fins de « délivrabilité » sont envoyés dans le cadre de l’exercice d’une mission de service public, que cette mission soit exercée à titre principal ou accessoire.

Le régime applicable à la prospection commerciale et celui applicable aux pixels de suivi répondent à des règles distinctes :

• la prospection commerciale par courriel relève de l’article L. 34-5 du Code des postes et des communications électroniques (CPCE) ;
• les pixels de suivi sont encadrés par l’article 82 de la loi Informatique et Libertés.

Lorsqu'un courriel de prospection est envoyé sur la base du consentement préalable de son destinataire, ce courriel peut, en principe, être considéré comme un service explicitement demandé par l'utilisateur. Les pixels utilisés aux seules fins d'assurer sa délivrabilité peuvent alors bénéficier de l'exemption de consentement, sous réserve que l'ensemble des conditions rappelées par la recommandation soient respectées.

En revanche, lorsqu'un courriel est envoyé sans consentement préalable sur le fondement de l'exception applicable à la prospection de produits ou services analogues, il ne peut pas être considéré, de ce seul fait, comme ayant été explicitement demandé par l'utilisateur. Les pixels de suivi utilisés pour assurer sa délivrabilité ne peuvent donc pas bénéficier de cette exemption et sont, en principe, soumis au recueil du consentement prévu par l'article 82 de la loi.

Ainsi, le fait qu'un courriel puisse être envoyé sans consentement au titre des règles applicables à la prospection commerciale ne signifie pas que les pixels de suivi qu'il contient sont eux-mêmes exemptés de consentement.

Un courriel de confirmation d’achat ou de souscription à un service

Oui.

Il s’agit d’un message déclenché par une action spécifique de l’utilisateur (par exemple, l’achat), à caractère informatif et fonctionnel, nécessaire à l’exécution de la relation contractuelle.

En revanche, il ne doit pas contenir une part d’éléments promotionnels (par exemple, mise en avant d’offres, incitation à l’achat, promotion de services) car, dans ce cas, il perdrait son caractère « transactionnel ».

Un pixel de suivi dans ce type de courriel peut donc être exempté de consentement préalable si les autres conditions de l'exemption prévues par la recommandation sont réunies.

Un courriel de « renouvellement » d’abonnements

Oui.

Il s’agit d’un message qui reste lié à l’exécution ou à la poursuite d’une relation contractuelle initiée par l’utilisateur lorsqu’il le reçoit alors que son abonnement arrive prochainement à expiration.

Un pixel de suivi dans ce type de courriel peut donc être exempté de consentement préalable si les autres conditions de l'exemption prévues par la recommandation sont réunies.

Un courriel de relance panier

Non.

Il s’agit de courriels promotionnels qui relèvent de l’article 34-5 du CPCE et nécessitent donc le consentement préalable du destinataire. En effet, leur objet est essentiellement commercial : ce type de courriel vise à inciter le destinataire à finaliser un achat.

Un pixel de suivi dans un courriel de ce type ne peut pas être exempté de consentement préalable.

Un courriel d’information légale ou réglementaire

En principe, oui.

Lorsqu'un courriel a pour seul objet d'informer l'utilisateur d'une évolution légale, réglementaire ou contractuelle ayant une incidence sur le service auquel il a souscrit (par exemple, une modification des conditions générales d'utilisation, de la politique de confidentialité ou des conditions tarifaires), il s'inscrit dans la gestion de la relation avec l'utilisateur. Il peut ainsi être regardé comme se rattachant à un service expressément demandé par celui-ci.

Un pixel de suivi dans ce type de courriel peut, dans ce cas, être exempté de consentement préalable si les autres conditions de l’exemption prévues par la recommandation sont réunies.

Cela dépend.

Le critère déterminant est de savoir si la lettre d'information s'inscrit dans un service explicitement demandé par l'utilisateur :

• Oui, lorsqu'elle est adressée à la suite d'une demande expresse de l'utilisateur à recevoir cette lettre d'information (par exemple, lorsque le consentement à recevoir de la prospection est recueilli conformément à l’article 34-5 du CPCE). Dans ce cas, le courriel peut, en principe, être considéré comme un service expressément demandé : le pixel utilisé aux seules fins d'assurer sa délivrabilité peut bénéficier de l'exemption, sous réserve que l'ensemble des conditions rappelées par la recommandation soient respectées.
• En revanche, non, lorsque la lettre d'information ne peut pas être regardée comme un service explicitement demandé par l'utilisateur. Tel peut notamment être le cas lorsqu'il s'agit d'un courriel de prospection envoyé sur le fondement de l'exception applicable aux produits ou services analogues (article 34-5 du CPCE). Dans cette hypothèse, le pixel de délivrabilité ne peut, en principe, pas bénéficier de l'exemption de consentement.

L’évaluation de l’exemption de consentement doit donc être réalisée au cas par cas par l’expéditeur, en fonction des conditions dans lesquelles la lettre d'information est adressée et de son lien avec un service demandé par l'utilisateur.

Pixels de suivi permettant la collecte de données anonymes ou agrégées

Non.

L’article 82 de la loi Informatique et Libertés s’applique que les données concernées soient personnelles ou non. En conséquence, l’anonymisation préalable des données sur le terminal n’est pas une condition suffisante pour exempter leur collecte de consentement.

Si l’objectif d’assurer la délivrabilité (adapter la fréquence ou arrêter l’envoi des courriels aux destinataires dits « inactifs ») peut être poursuivi à l’aide de mesures anonymes ou agrégées, il convient de le privilégier conformément au principe de minimisation.

Les utilisateurs doivent être informés, avant d'exprimer leur choix, de l'ensemble des finalités poursuivies par les pixels de suivi. Ces finalités doivent être présentées de manière claire, intelligible et dans un langage compréhensible.

La CNIL recommande que chaque finalité soit mise en exergue dans un intitulé court et mis en évidence, accompagné d’un bref descriptif (voir les exemples à la partie 4.1 de la recommandation).

Lorsque l'information est présentée sur plusieurs niveaux, la CNIL recommande que les intitulés courts des finalités figurent dès le premier niveau. Une description accessible doit pouvoir être consultée facilement depuis ce premier niveau (par exemple, au moyen d'un lien hypertexte ou d'un menu déroulant).

Rappel : il est interdit de déposer des pixels de suivi sans avoir défini une finalité.

Il est possible de recueillir un consentement via un bouton d’acceptation globale sur le premier niveau d’information sous réserve d’offrir la possibilité à l’utilisateur, sur un second niveau d’information, d’effectuer un choix de façon indépendante et spécifique pour chaque finalité distincte.

L’objectif est de simplifier la présentation des formulaires de recueil du consentement, tout en respectant le principe de liberté du consentement.

Par ailleurs, il est possible de recueillir un unique consentement lorsque les finalités poursuivies sont connexes, à savoir lorsqu’elles sont suffisamment liées entre elles.

La recommandation cite des exemples de finalités connexes. Dans ce cas, le consentement au pixel et à l’envoi du courriel sont indissociables : l’un ne va pas sans l’autre. La personne qui ne souhaite pas consentir au pixel, ne recevra pas le courriel.

Non, pas nécessairement.

La recommandation n'impose pas de recueillir le consentement par catégorie de courriels. En revanche, les organismes doivent veiller à ce que la personne comprenne la portée de son choix, c’est-à-dire si celui-ci s’applique uniquement à un type de courriel ou à tous les courriels qui lui sont envoyés. Un organisme peut donc envisager de lier le consentement aux pixels à l’adresse courriel d’un utilisateur plutôt qu’à un type de communication.

Cela n’empêche pas à un organisme de solliciter le consentement pour l’insertion de pixels de manière différenciée, par catégorie de courriel si cela correspond à ses besoins opérationnels (par exemple, les organismes qui utilisent des outils logiciels d’envoi différenciés par type de courriel).

Lorsque le consentement est retiré, il convient :

• de s’assurer que les pixels déposés précédemment ne seront plus exploités ;

Dans la mesure où l’envoyeur ne peut pas supprimer des messages après leur envoi, il est nécessaire de mettre en œuvre un mécanisme permettant d'ignorer totalement toute requête provenant d’un terminal ayant un identifiant de pixel associé à ce consentement retiré.

• de supprimer les données collectées si aucune autre base légale ne justifie la conservation de ces données.

Si le traitement de données repose sur le consentement de la personne (article 6.1.a du RGPD), généralement collecté simultanément au consentement à l’utilisation des pixels, son retrait implique l’arrêt des opérations de lecture et d’écriture ainsi que la suppression des données précédemment collectées.

Oui.

Le choix des interfaces mises à disposition des personnes relève du responsable du traitement sous réserve de respecter leurs obligations en matière d’exercice des droits des personnes concernées.

Il est donc possible de regrouper, au sein d'un même centre de préférences, les différents choix offerts à l'utilisateur (par exemple, gestion des pixels de suivi, désinscription ou autres préférences de communication). En revanche, cette organisation ne doit pas avoir pour effet de compliquer l'exercice des droits.

La CNIL recommande d'enregistrer le choix exprimé par l'utilisateur (acceptation ou refus) afin qu'il ne soit pas sollicité de nouveau à chaque envoi de courriel. Une sollicitation trop fréquente des personnes ayant exprimé un refus est susceptible de faire obstacle à la liberté du consentement.

Cette durée doit notamment être évaluée au regard de la nature de la relation entre l’envoyeur et le destinataire, notamment si celle-ci a vocation à s’inscrire dans une longue temporalité.

Ne pas solliciter à nouveau l'utilisateur pendant une durée de six mois constitue une bonne pratique.

Ce délai est relatif à l’usage de pixels dans les adresses électroniques collectées avant la publication de la recommandation.

Pour ces adresses, l’insertion de pixels peut continuer, sous réserve de l’envoi d’une information claire et accessible aux destinataires dans un délai qui ne saurait, en principe, excéder 3 mois à partir de la publication de la recommandation et de l’absence d’opposition de ceux-ci.

Il court à compter du 14 avril 2026, date de publication de la recommandation au Journal Officiel.

Toutefois, ce délai n’est pas toujours suffisant, en raison du volume de la base de données et des problèmes de délivrabilité qu’un groupement des envois pourrait occasionner. Dans ce cas, et sous réserve de documenter ces difficultés, le délai peut être prolongé de manière raisonnable. Cette possibilité est toutefois encadrée : les difficultés rencontrées doivent être objectivement justifiées et documentées.

En principe, oui.

Si à l’issue du délai de 3 mois à compter de la publication de la recommandation, c’est-à-dire le 14 juillet 2026 (ou plus sous réserve d’une justification, voir la réponse à la question n° 25), le courriel d’information rendant possible l’opposition de la personne n’a pas été envoyé, les règles posées par la recommandation deviennent applicables et notamment la nécessité de collecter le consentement lorsque c’est nécessaire – y compris donc à l’égard des adresses électroniques collectées avant la publication de la recommandation.

À défaut, l’expéditeur doit cesser l’usage de pixels qui nécessite le consentement dans les courriels.

Lorsque les utilisateurs dont les adresses électroniques ont été collectées avant le 14 avril 2026, date de publication de la recommandation ont été informés, conformément à la recommandation, de leur droit de s'opposer à l'utilisation de pixels de suivi, le responsable de traitement peut continuer à se fonder sur l'absence d'opposition pour les courriels ultérieurs.

Dans tous les cas, si le responsable de traitement doit recueillir un nouveau consentement pour l'envoi des courriels (par exemple, parce que de nouveaux partenaires sont ajoutés ou que les conditions de la prospection évoluent), il devra également recueillir un consentement conforme à la recommandation pour les pixels de suivi qui ne bénéficient pas d'une exemption.

Ainsi, l'absence d'opposition ne vaut que tant que les conditions dans lesquelles les courriels sont adressés demeurent inchangées et qu'aucun nouveau consentement n'est requis.