Pixels de suivi email : pourquoi ce déluge de messages CNIL

Asmodee, H&M, Fnac, Decathlon… Depuis quelques semaines, votre boîte mail se remplit de messages presque identiques : « nos e-mails contiennent des pixels de suivi, vous pouvez vous y opposer ». Ce n'est pas une coïncidence. Le 14 avril 2026, la CNIL a publié sa recommandation sur les pixels de suivi dans les courriers électroniques, avec une date butoir au 14 juillet 2026. Cette vague d'e-mails, c'est la mise en conformité de toute la grande distribution, en direct dans votre boîte de réception.

Cet article est informatif : il ne constitue pas un conseil juridique. Règles constatées à la mi-2026. Le texte de référence à jour est sur cnil.fr.

À retenir

• Pixel de suivi email : balise invisible dans l'e-mail qui enregistre si le destinataire l'ouvre et quand (impossible à bloquer côté utilisateur sans Apple Mail Privacy).
• CNIL le 14/04/2026 : tout pixel email requiert un consentement préalable explicite, détaché du consentement marketing.
• Obligation à partir du 14/07/2026 : informer les destinataires que des pixels sont présents ET offrir la possibilité de refuser (pas pénalisée).
• Pour les PME qui envoient des newsletters : il faut donc un bandeau, une politique claire, ou renoncer au tracking et accepter de ne pas savoir qui ouvre.

Que dit la recommandation CNIL exactement ?

Pourquoi toutes les enseignes envoient-elles ce même e-mail ?

La réponse tient en une date. La recommandation CNIL du 14 avril 2026 aligne les pixels de suivi sur le régime des cookies : consentement préalable pour la plupart des usages. Mais pour les bases d'adresses déjà constituées, la CNIL a prévu une période transitoire de trois mois : informer clairement chaque destinataire et lui offrir un moyen simple de s'opposer suffit, pas besoin de redemander un consentement à toute la base. D'où le déluge de messages avant le 14 juillet.

Chaque enseigne y détaille ses finalités. Celui d'Asmodee, par exemple, annonce utiliser les pixels pour :

« Adapter la fréquence d'envoi de ses communications ; mesurer la performance des communications ; établir des profils afin de personnaliser les contenus proposés selon vos préférences ; détecter l'ouverture des emails et collecter des données techniques (type d'appareil, navigateur). »

Quatre finalités, dont le profilage, exactement ce que la CNIL veut rendre visible. Depuis le 14 juillet, la période de tolérance est terminée et la CNIL a annoncé des contrôles.

Un pixel de suivi, c'est quoi exactement ?

Un pixel de suivi est une image invisible d'un pixel sur un pixel, insérée dans le corps de l'e-mail. Quand votre messagerie charge les images, elle appelle le serveur de l'expéditeur avec un identifiant unique, qui apprend ainsi que vous avez ouvert le message, à quel moment, sur quel appareil, et votre localisation approximative via l'adresse IP.

La pratique est massive et ancienne. En 2018, une étude de Princeton (conférence PETS) portant sur plus de 12 000 e-mails commerciaux avait mesuré que 70 % contenaient des traceurs, et que 29 % transmettaient carrément votre adresse e-mail à des tiers au moment de l'ouverture. Vous n'avez jamais rien vu : c'est précisément le problème que la CNIL veut corriger, un traçage invisible auquel personne n'a jamais pu consentir.

Ironie du calendrier : la mesure d'ouverture est déjà faussée depuis 2021. Apple Mail précharge les images de tous les e-mails (Mail Privacy Protection), gonflant artificiellement les taux d'ouverture. Les marques défendent donc une métrique déjà à moitié cassée.

Qu'exige la recommandation CNIL sur les pixels de suivi ?

Le principe est le même que pour les cookies de votre site web : c'est l'article 82 de la loi Informatique et Libertés qui s'applique, et le critère n'est pas technique mais fonctionnel : à quoi sert le traceur ?

L'exemption « délivrabilité » explique la petite ligne au bas de l'e-mail H&M : même en cas de refus, « des informations limitées concernant l'ouverture des e-mails pourront néanmoins être utilisées pour identifier une inactivité prolongée ». C'est le périmètre exact que la CNIL laisse hors consentement.

Pourquoi « je m'oppose » et pas « j'accepte » ?

C'est la subtilité juridique de ces e-mails. Pour les abonnés existants, le régime transitoire n'exige qu'une information et un droit d'opposition : si vous ne cliquez pas, le suivi continue. Pour les nouveaux inscrits en revanche, le consentement doit désormais être recueilli dès l'inscription à la newsletter : une case dédiée, distincte de l'inscription elle-même, aussi facile à refuser qu'à accepter.

Autrement dit : ces e-mails « je m'oppose » sont une session de rattrapage offerte aux marques pour leur stock d'adresses. Le silence des destinataires vaut poursuite du traçage : c'est légal dans ce cadre transitoire, mais ce n'est pas un consentement, et la nuance a son importance si les finalités évoluent.

Destinataire : faut-il cliquer sur « je m'oppose » ?

Trois points pour décider :

• S'opposer ne coûte rien. Contrairement à ce que certains e-mails laissent entendre en agitant la perte des « nouveautés et promos », l'opposition porte sur le traçage, pas sur l'abonnement. Vous continuez de recevoir la newsletter : l'expéditeur ne sait simplement plus si vous l'ouvrez.
• Les données déjà collectées restent acquises. L'opposition ne vaut que pour l'avenir ; H&M le dit explicitement en bas de son message.
• La protection radicale existe déjà : désactiver le chargement automatique des images distantes dans votre messagerie (option disponible dans Gmail, Outlook, Thunderbird). Sans chargement d'image, pas de pixel, quelle que soit la politique de l'expéditeur.

Vous envoyez une newsletter ? Vous êtes concerné aussi

C'est le point que les PME risquent de découvrir trop tard : la recommandation ne vise pas que les géants. L'expéditeur est responsable de traitement, même si l'envoi passe par Brevo, Mailchimp ou HubSpot : ces outils ne sont que sous-traitants, et le suivi des ouvertures y est activé par défaut. Si votre newsletter part avec la case « open tracking » cochée (c'est presque toujours le cas), vous utilisez des pixels de suivi. Les adresses B2B nominatives (prenom.nom@entreprise.fr) sont des données personnelles et entrent dans le périmètre.

La mise en conformité, concrètement :

1. Inventoriez : vérifiez dans votre outil d'emailing si le suivi des ouvertures et des clics est actif, et pour quelles finalités vous l'utilisez réellement.
2. Tranchez : soit vous désactivez le suivi (l'option la plus simple ; soyons honnêtes, beaucoup de PME ne regardent jamais ces statistiques), soit vous recueillez le consentement à l'inscription via une case dédiée.
3. Rattrapez votre base existante : la fenêtre des trois mois s'est refermée le 14 juillet 2026. Si votre e-mail d'information n'est pas parti, envoyez-le maintenant plutôt que jamais, avec un lien d'opposition fonctionnel.
4. Documentez : politique de confidentialité à jour, mention des pixels dans vos informations de collecte, preuve des consentements conservée. Un audit externe de conformité légale couvre ce point en même temps que le reste (RGAA, RGPD, mentions obligatoires).

La logique est la même que pour le bandeau cookies : le traceur qu'on supprime est celui qui ne coûte ni conformité, ni confiance. Un taux d'ouverture approximatif (et doublement faussé par Apple) vaut rarement le risque juridique qui l'accompagne.

En résumé

• La recommandation CNIL du 14 avril 2026 soumet les pixels de suivi des e-mails au consentement, comme les cookies.
• Les e-mails « vous pouvez vous y opposer » de Fnac, Decathlon, H&M ou Asmodee sont le régime transitoire : information + opposition pour les bases existantes, avant la date butoir du 14 juillet 2026.
• S'opposer ne désabonne pas de la newsletter ; bloquer les images distantes neutralise tous les pixels d'un coup.
• Si vous envoyez une newsletter, le suivi d'ouverture activé par défaut dans votre outil fait de vous un utilisateur de pixels : désactivez-le ou recueillez le consentement.