---
visibility: public
Id.: R-2026-042
Version no: 1
Publication Date: '2026-03-12'
Latest Revision: '2026-04-14'
Ext. Link: 'https://www.cnil.fr/fr/recommandation-pixel-suivi-courriels'
Publication Status: Adopted
Language: French
NoteType: Guidelines
aliases:
  - Délibération 2026-042
  - Recommandation relative aux pixels de suivi dans les courriers électroniques
tags:
  - Privacy
  - CNIL
  - cookies
  - Online-tracking
  - guidelines
icon: "\U0001F1EB\U0001F1F7"
title: >-
  CNIL Délibération 2026-042 concernant les pixels de suivi dans les courriers
  électroniques
modified: null
---

[[Questions-réponses - recommandation relative aux pixels dans les courriers électroniques de la CNIL|Voir les Questions-Réponses de la CNIL sur le sujet]]
# CNIL Délibération 2026-042 concernant les pixels de suivi dans les courriers électroniques

Version adoptée le 12 mars 2026

# 1. Introduction
L'usage de pixels de suivi invisibles (parfois appelés « **pixels de tracking** ») insérés dans les courriers électroniques (ci-après « **courriels** ») connaît, depuis quelques années, une croissance significative. Ces outils techniques, largement répandus dans les communications électroniques, sont utilisés à des fins variées : assurer la bonne réception des courriels (appelée « **délivrabilité** »), mesurer l'audience, personnaliser la communication en fonction de l'intérêt des utilisateurs, etc.

Cette pratique soulève des enjeux particuliers dans le contexte d'une messagerie électronique, espace personnel destiné à la consultation de contenus privés, accessible après une procédure d'authentification. La CNIL reçoit un nombre croissant de signalements et de plaintes, qui témoignent d'une plus grande vigilance des personnes sur ces pratiques.

Le comité européen de la protection des données[^1] (CEPD) a publié ses lignes directrices 2/2023 sur le champ d'application technique de l'article 5, paragraphe 3, de la directive « vie privée et communications électroniques » (ci-après, la directive « **ePrivacy** »), transposé à l'article 82 de la loi du 6 janvier 1978 (ci-après la loi « informatique et libertés »). Ces lignes directrices rappellent l'application de ces dispositions aux pixels insérés dans les courriels.

Les principes et obligations posés par l'article 82 de la loi « informatique et libertés » à l'égard des opérations de lecture ou d'écriture d'informations ont fait l'objet de lignes directrices[^2] et d'une recommandation[^3]. La présente recommandation explicite en conséquence l'application de l'ensemble de ces textes en tenant compte des spécificités technologiques et opérationnelles relatives aux pixels et propose des recommandations concrètes pour s'y conformer.

Tout [[processing|traitement]] portant sur les [[personal data|données à caractère personnel]] produites ou collectées via un traceur (ci-après « **les traitements subséquents** ») doit respecter les dispositions du règlement général sur la protection des données ([[Official Texts/GDPR|RGPD]]) et les dispositions pertinentes de la loi « informatique et libertés ».

La recommandation s'applique aux opérations de lecture ou d'écriture, sans préjudice du respect du RGPD par les traitements subséquents.

La recommandation, et notamment les exemples qui y sont proposés, n'est ni réglementaire ni exhaustive et a pour seul objectif d'aider les professionnels dans leur démarche de mise en conformité. Elle a été élaborée à la suite d'une concertation avec des représentants des professions concernées et de la société civile. Elle a également fait l'objet d'une autre consultation publique du 12 juin au 24 juillet 2025.
# 2. Périmètre de la recommandation
## 2.1 Technologies et environnements concernés
Dans le contexte des courriels, les pixels de suivi sont des images, le plus souvent de très petite taille, qui ne sont pas directement contenues dans le courriel concerné mais sont hébergées sur des serveurs distants. Leur affichage au sein d'un client de messagerie électronique (que ce soit dans un logiciel spécifique ou au sein d'un navigateur) nécessite d'effectuer une requête sur le réseau, en utilisant l'URL fournie dans le corps du message.

L'URL de l'image comporte le plus souvent des paramètres individualisés se rapportant à l'utilisateur ou au contexte dans lequel l'image apparaît. En réponse à cet appel, l'image en question est téléchargée et écrite dans la mémoire du terminal de l'utilisateur, afin que le client de messagerie électronique l'affiche. L'affichage de cette image n'a généralement pas, en lui-même, de valeur informative pour l'utilisateur ; le processus qui conduit à cet affichage permet en revanche à l'émetteur du message ou à l'un de ses partenaires d'obtenir une information relative à la consultation d'un courriel par un utilisateur déterminé ou dans un contexte déterminé. 

L'inclusion de ces pixels de suivi dans les courriels constitue, dès lors, une instruction donnée au terminal de l'utilisateur de renvoyer des informations ciblées (identifiant du pixel, adresse IP, etc.) aux acteurs qui les déposent. Ces informations sont communiquées à travers les paramètres de la requête et leur collecte, par le serveur hébergeant l'image, constitue une opération de lecture sur le terminal de l'utilisateur. Par conséquent, et conformément à la position exprimée par le CEPD dans ses lignes directrices, l'article 82 de la loi « informatique et libertés » est applicable à l'utilisation de pixels de suivi dans les courriels.

La recommandation se limite à l'usage de pixel de suivi dans les courriels. Si certaines messageries captives (par exemple les messageries sécurisées proposées par les banques) peuvent présenter des similarités formelles avec les courriels, elles reposent sur d'autres protocoles, ce qui les exclut du champ de cette recommandation.
## 2.2 Acteurs concernés et qualifications au sens du RGPD
La recommandation s'adresse aux organismes du secteur privé ou public qui interviennent dans les opérations de lecture ou écriture liées aux pixels de suivi dans les courriels. Chacun de ces acteurs doit déterminer son rôle au regard du traitement réalisé.
### L'expéditeur du courriel
Le terme « expéditeur du courriel » désigne l'acteur (entreprise, organisme public, association, etc.) ayant décidé l'envoi du courriel, qu'il en soit techniquement l'expéditeur ou non.

Il peut décider de recourir à des solutions qui impliquent l'utilisation de pixels de suivi et détermine alors les finalités pour lesquelles ces traceurs sont utilisés ainsi que les moyens. Il doit donc être considéré comme [[controller|responsable du traitement]], y compris lorsqu'il sous-traite à des [[third party|tiers]] (le prestataire de service d'emailing, par exemple) la gestion des traceurs mis en place à sa demande.

En principe, il sera également responsable conjoint des opérations de lecture ou d'écriture, qu'il accepte contractuellement, réalisées par des tiers au sein des courriels dont il a demandé l'envoi[^4]. En effet, les finalités et les moyens de ces opérations sont, alors, déterminées conjointement[^5] même si les opérations de traitement subséquentes peuvent relever de la responsabilité indépendante de l'une ou de l'autre de ces parties.
### Le prestataire de service d'envoi de courriels (ou « emailing »)
Il s'agit de l'entreprise qui fournit la solution technique d'envoi de courriels. C'est elle qui propose le plus souvent l'intégration des fonctionnalités de suivi via la technologie du pixel. Ce prestataire agit, en général, pour le compte de l'expéditeur et selon ses instructions. Il agira, dans ce cadre, en tant que [[processor|sous-traitant]].
### Le prestataire de services de location de listes de diffusion et d'envoi de courriels
Il s'agit de l'entreprise qui met à disposition de ses clients une solution « clef en main » pour envoyer des communications vers des listes de diffusions proposées en location. Une analyse au cas par cas est, dans ce cas, nécessaire.

Lorsque le prestataire intègre des outils de suivi via la technologie du pixel pour fournir des informations à son client, responsable du traitement, il agit, en principe, comme sous-traitant.

Le prestataire peut également utiliser ces pixels pour des finalités qui lui sont propres et qui ne sont pas, généralement, liées à un client spécifique (par exemple, amélioration de la pertinence de ses listes de diffusion ou de la délivrabilité des courriels auprès des fournisseurs de messagerie). Dans ces situations, lorsqu'un client accepte contractuellement la mise en œuvre de telles opérations, une co-responsabilité de traitement peut être retenue pour ces opérations. Conformément à l'article 26 du RGPD, cette relation suppose une répartition claire et transparente des obligations respectives, notamment en matière d'information des personnes concernées et de respect de leurs droits.
### Le fournisseur de la technologie de suivi
Les pixels intégrés aux courriels peuvent être fournis par un acteur tiers spécialisé, distinct du prestataire d'envoi de courriels.

La qualification de cet acteur dépend des finalités qu'il poursuit à partir des données issues du suivi. Si les opérations de lecture ou écriture sont réalisées exclusivement pour le compte de l'expéditeur, le fournisseur de la technologie sera sous-traitant.

En revanche, si les données collectées via les pixels sont également utilisées pour ses propres finalités (par exemple, afin d'améliorer la solution fournie), lorsqu'un client accepte contractuellement la mise en œuvre de telles opérations, le fournisseur de la technologie et l'expéditeur peuvent être considérés comme coresponsables des opérations de lecture ou d'écriture.
### Le fournisseur de service de messagerie
Le fournisseur de service de messagerie assure la réception et l'affichage des courriels adressés à ses utilisateurs.

Bien qu'il soit un acteur technique indispensable au fonctionnement du courriel, il n'intervient pas directement dans le traitement lié à l'usage des pixels.

Ce fournisseur peut toutefois influencer techniquement la capacité du pixel à déclencher une opération de lecture sur le terminal, par exemple en bloquant le chargement automatique des images. Néanmoins, dans la mesure où il n'utilise pas les données générées par le pixel, il n'est ni sous-traitant ni responsable du traitement.
# 3. Objectifs poursuivis par le traitement (finalités)
Les pixels de suivi dans les courriels sont susceptibles d'être utilisés pour plusieurs finalités. 

Conformément aux dispositions de l'article 82 de la loi « informatique et libertés », l'insertion de pixels de suivi dans les courriels requiert le recueil préalable du consentement libre, spécifique, éclairé et univoque du destinataire, sauf si ces opérations :
- ont pour finalité exclusive de permettre ou faciliter la communication par voie électronique ou ;
- sont strictement nécessaires à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur.

### 3.1 Les finalités qui nécessitent le consentement du destinataire
Au regard de ces dispositions législatives, la CNIL estime que l'utilisation des pixels pour les finalités suivantes nécessite le recueil du consentement du destinataire :
- L'**analyse du taux d'ouverture des courriels pour mesurer et optimiser les performances des campagnes** en personnalisant le contenu des messages ou en adaptant la fréquence d'envoi ou le canal de communication (courriel, SMS, notification push, etc). Cette finalité inclut les procédés de fiabilisation de cette mesure (par exemple de lutte contre la fraude publicitaire). 
- La **création de profils des destinataires au regard des préférences et centres d'intérêt manifestés afin de les cibler dans d'autres contextes que les courriels** (sur des sites web, des applications mobiles ou via d'autres canaux de communication).
- La **détection et l'analyse de suspicions de fraude**, telles que l'identification d'ouvertures inhabituelles ou massives de courriels, susceptibles d'indiquer un comportement automatisé (par exemple, inscriptions massives à un jeu concours, tentatives d'exfiltration d'informations, etc.).
- La **mesure individuelle du taux d'ouverture des courriels à des fins de délivrabilité** lorsqu'elle est réalisée en dehors des cas visés au point 3.2 de la présente recommandation.

### 3.2 Les finalités exemptées du recueil du consentement
Au regard de ces mêmes dispositions de l'article 82 de la loi, et en l'état des pratiques portées à sa connaissance, la CNIL estime que les pixels utilisés exclusivement pour les finalités suivantes peuvent être exemptés de consentement :
- La **mise en œuvre de mesures de sécurité participant à l'authentification de l'utilisateur.** Dans ce cadre, l'usage de pixel de suivi poursuit l'unique finalité de participer à la sécurisation d'une authentification (en s'assurant, par exemple, que le courriel contenant un code utilisé dans le cadre du processus d'authentification est bien ouvert sur un terminal connu pour appartenir à l'utilisateur visé).
- La **mesure individuelle du taux d'ouverture des courriels à des fins de délivrabilité**. La gestion d'une liste de diffusion requiert presque systématiquement l'utilisation de statistiques d'ouverture des courriels afin d'identifier d'éventuelles problématiques de délivrabilité. Pour que les pixels puissent être exemptés au titre de cette finalité, le responsable du traitement devra démontrer que les opérations effectuées ont vocation à se limiter à ce qui est strictement nécessaire pour adapter la fréquence ou arrêter l'envoi des courriels aux destinataires dits « inactifs » (nettoyage des bases). Sous cette réserve, les pixels pourront être également utilisés pour les objectifs suivants :
	- évaluer et adapter le canal de communication pour, le cas échéant, choisir des modalités alternatives de contact ;
	- contribuer à la démonstration du respect d'une obligation légale relative à la transmission d'informations au destinataire : la conservation de la trace de l'ouverture du courriel peut contribuer à démontrer le respect d'une obligation légale dans le cadre de certains courriels (par exemple, la délivrance des informations requises par des dispositions légales et règlementaires en amont, pendant ou en aval de la contractualisation, etc.).

En principe, dans le respect du principe de minimisation (article 5.1.b) du RGPD, seule la date (à la journée et sans enregistrer l'heure) de la dernière ouverture connue de courriels, mise à jour à chaque nouvelle ouverture avec suppression de la précédente, devrait être conservée.

Dans la mesure où l'article 82 de la loi évoque une « demande expresse » de l'utilisateur, ces exemptions ne peuvent concerner que les courriels demandés par le destinataire ou qui se rattachent à un service demandé par ce dernier.

Il s'agit, par exemple, des courriels dits « transactionnels » (voir encadré) ou pour lesquels les destinataires ont donné leur consentement. 

> [!important]+ **Qu'est-ce qu'un courriel dit « transactionnel » ?**
> 
Pour les besoins de cette recommandation, un courriel transactionnel peut être entendu comme un message déclenché par une action ou un événement spécifique d'un utilisateur. Ces courriels sont généralement envoyés pour fournir aux utilisateurs des informations importantes concernant un service demandé, leur compte ou leur transaction.
>
Il ne s'agit pas d'un message promotionnel, mais d'un message informatif ou fonctionnel, nécessaire à la relation contractuelle ou au service demandé.
>
Il s'agit, par exemple, de courriels de bienvenue, d'alertes de compte, de notifications liées à des événements comme l'expédition d'un colis, confirmations de commande et factures d'achat, de rappels et réinitialisation de mot de passe, de réponses aux demandes envoyées au service client, de rappels de rendez-vous ou de réservations, de notifications de paiement ou encore de courriels de notification de violation en lien avec le service demandé.

Les pixels insérés dans les courriels de l'administration, lorsque ceux-ci sont adressés dans le cadre d'une activité directement liée à une mission de service public, en particulier ceux envoyés dans le cadre de démarches proactives bénéficiant à l'usager (information sur la possibilité de bénéficier d'un droit), relèvent également du champ de ces exemptions.

La réutilisation de données effectivement rendues anonymes est présumée ne pas créer d'atteinte supplémentaire à la vie privée au regard de la protection apportée par l'article 82 de la loi « informatique et libertés ». Il en résulte que lorsque des données à caractère personnel sont collectées pour une finalité initiale – que celle-ci soit soumise au consentement des personnes concernées ou exemptée – leur réutilisation ne nécessite pas de consentement à la condition qu'elles aient été préalablement anonymisées de manière effective. Le RGPD reste applicable au traitement d'anonymisation lui-même.
# 4. Information et consentement
Le consentement doit être recueilli dans les conditions rappelées à l'article 2 des lignes directrices[^6] et l'article 2 de la recommandation[^7] « cookies et autres traceurs », sous réserve des recommandations spécifiques présentées ci-dessous qui tiennent compte des spécificités technologiques et opérationnelles liées à l'environnement des pixels.
## 4.1 Information sur les finalités des traceurs
En complément des autres informations nécessaires au recueil d'un consentement éclairé (identité des responsables de traitement, catégories de données, etc.), il résulte des textes applicables, tels qu'interprétés par la jurisprudence, que les finalités des traceurs doivent être présentées aux destinataires avant de leur offrir la possibilité de consentir ou de refuser : elles doivent être formulées de manière intelligible, dans un langage adapté et suffisamment clair pour permettre aux personnes concernées de comprendre précisément la portée de leur choix.

La CNIL recommande que chaque finalité soit mise en avant dans un intitulé court et que sa mise en évidence soit accompagnée d'un bref descriptif. Des exemples permettant de se conformer aux règles applicables sont présentés ci-dessous :
#### Analyse du taux d'ouverture des courriels à des fins de délivrabilité :
- [Nom de l'expéditeur des courriels] et [des sociétés tierces] utilisent des traceurs (pixels de suivi) pour savoir si vous ouvrez les courriels et la date à laquelle vous le faites afin d'établir des statistiques de diffusion et entreprendre les actions (adaptation de la fréquence ou arrêt des envois) nécessaires à la gestion des listes de diffusion.
#### Analyse du taux d'ouverture des courriels pour mesurer et optimiser les performances des campagnes :
- [Nom de l'expéditeur des courriels] et [des sociétés tierces] utilisent des traceurs (pixels de suivi) pour savoir si vous ouvrez les courriels, l'heure à laquelle vous le faites ainsi que des informations sur le terminal que vous utilisez afin de personnaliser le contenu des messages, adapter la fréquence d'envoi ou le canal de communication utilisé.
#### Créations de profils de destinataires au regard des préférences et centres d'intérêt manifestés afin de vous cibler dans d'autres contextes que les courriels :
- [Nom de l'expéditeur des courriels] et [des sociétés tierces] utilisent vos préférences (par exemple, les emails que vous avez ouverts ou les sujets qui vous intéressent) pour vous proposer des contenus ou des publicités adaptés sur d'autres sites, applications ou canaux de communication.
- Ces traceurs nous permettent de savoir si vous ouvrez les courriels, l'heure à laquelle vous le faites ainsi que d'obtenir des informations sur le terminal que vous utilisez.
#### Détection et analyse des suspicions de fraude :
- [Nom de l'expéditeur des courriels] et [des sociétés tierces] utilisent des traceurs (pixels de suivi) afin de détecter et analyser des suspicions de fraude. Ces traceurs nous permettent de savoir si vous ouvrez les courriels, l'heure à laquelle vous le faites ainsi que d'obtenir des informations sur le terminal que vous utilisez.

La CNIL recommande en outre de faire figurer la description détaillée de ces finalités de manière aisément accessible depuis l'interface de recueil du consentement. Cette information peut, par exemple, être affichée sous un bouton de déroulement que l'internaute peut activer directement au premier niveau d'information. Elle peut également être rendue disponible en cliquant sur un lien hypertexte présent au premier niveau d'information.

Enfin si l'article 82 de la loi « informatique et libertés » n'impose pas d'informer les personnes sur l'utilisation de pixels qui ne nécessitent pas leur consentement, la CNIL recommande à titre de bonne pratique qu'elles soient informées de leur existence afin d'assurer une transparence pleine et entière sur ces opérations. Cette information peut être délivrée au sein de la politique de confidentialité.
## 4.2 Modalités pratiques de recueil du consentement
### Information sur la portée du consentement
Il résulte des textes applicables, tels qu'éclairés par la jurisprudence, que le destinataire doit être conscient de la portée du consentement qu'il envisage de donner. Par suite, la CNIL estime que l'information apportée doit notamment permettre au destinataire d'identifier l'adresse électronique qui sera concernée par l'utilisation des pixels de suivi. De même, cette information doit également lui permettre de comprendre que les traceurs seront déposés sur l'ensemble des terminaux sur lesquels il est susceptible de consulter ses courriels.
#### Privilégier un recueil du consentement au moment de la collecte de l'adresse électronique concernée
La CNIL recommande que le consentement à l'utilisation de pixels de suivi dans les courriels soit recueilli au moment de la collecte de l'adresse électronique concernée. En effet, en informant l'utilisateur lors de la fourniture de son adresse électronique, le responsable du traitement peut, à cette occasion, préciser de manière intelligible que des traceurs pourront être insérés dans les courriels qui seront envoyés à l'adresse fournie, notamment ceux qui nécessitent un consentement valide. Le lien direct entre l'adresse électronique collectée et l'usage ultérieur de traceurs est ainsi explicite et renforce la compréhension par l'utilisateur de la portée de son consentement.

Concrètement, la CNIL recommande donc d'intégrer, au niveau du formulaire de collecte de l'adresse, les informations nécessaires au recueil d'un consentement éclairé dont une information synthétique sur les finalités des traceurs (voir le point 4.1) avec un lien vers une information plus détaillée (par exemple, la politique « cookies et autres traceurs »).
#### Recueillir ultérieurement un consentement via un lien intégré dans un courriel sans pixel de suivi
Lorsque le recueil du consentement ne peut être effectué concomitamment à la collecte de l'adresse électronique concernée, le responsable du traitement peut solliciter le consentement de la personne visée par l'envoi d'un message électronique qui ne devra pas contenir de dispositif de suivi soumis au consentement.

Le recours à cette modalité de recueil est approprié dans les situations suivantes :
- Pour pouvoir utiliser des pixels soumis au consentement dans des courriels envoyés à une adresse électronique, lorsque ce consentement n'a pas été recueilli au moment de la collecte de celle-ci.
- Lorsque l'adresse électronique est collectée par un tiers sans transmission de la preuve du consentement pour les pixels de suivi.
- Lorsque l'adresse électronique est collectée dans des conditions qui rendent difficile le recueil d'un consentement valide pour les pixels de suivi (par exemple, lorsque l'adresse est recueillie à l'oral).

Concrètement, le courriel peut comprendre un lien pour recueillir les choix de la personne concernée mais il convient d'éviter que le consentement ne soit collecté de manière involontaire par un pré-chargement automatique du lien par certains clients de messagerie. A cette fin, la CNIL recommande, par exemple, de prévoir que le lien redirige vers une page sur laquelle la personne aura à effectuer une action positive (cliquer sur un bouton, etc.) pour confirmer son consentement, à l'instar des mécanismes utilisés pour les liens de désinscription.

La CNIL recommande l'usage d'un lien traçant afin de permettre au seul titulaire de l'adresse électronique d'exprimer son consentement.^71b30d

> [!important]+ **Les liens traçants utilisés pour participer à la sécurité de l'utilisateur peuvent être exemptés de consentement au sens de l'article 82 de la loi « informatique et libertés »**
> 
Comme rappelé dans les lignes directrices 2/2023 du CEPD, l'utilisation de liens traçants est soumise à l'article 5.3 de la directive « ePrivacy », transposé en droit national à l'article 82 de la loi « informatique et libertés ».
>
>Cependant, l'utilisation d'un lien unique par destinataire limite l'usage d'une fonctionnalité (en l'espèce l'expression des choix) au seul utilisateur visé et évite les accès abusifs à cette fonctionnalité. Par conséquent, dans la mesure où ces liens traçants participent à la protection du destinataire contre l'accès non authentifié à des fonctionnalités qui leur sont réservées, cet usage correspond à une mesure de sécurité liée à l'authentification de l'utilisateur et est exempté du consentement, les traceurs étant strictement nécessaires au service demandé par l'utilisateur.

Lorsque le consentement à l'utilisation des pixels de suivi est sollicité par l'envoi d'un courriel contenant un lien vers une interface de recueil des choix, cette sollicitation ne doit pas être conçue de manière à exercer une pression disproportionnée sur les personnes concernées en vue de les inciter à consentir, notamment en empêchant ou en gênant la lecture des courriels.

Le consentement devant procéder d'un acte positif, l'inactivité du destinataire doit être analysée comme l'expression d'un refus de consentir à l'utilisation de pixels de suivi.

La CNIL recommande que le destinataire se voit proposer la possibilité de refuser explicitement les pixels de suivi, de manière aussi simple que leur acceptation, et que les choix du destinataire soient enregistrés afin qu'il ne soit plus sollicité dans les courriels ultérieurs pendant un certain laps de temps. L'absence de sollicitation pendant une durée de 6 mois constitue une bonne pratique de la part des éditeurs.
#### L'expression d'un consentement libre
Le consentement ne peut être valide que si les destinataires sont en mesure d'exercer librement leur choix.

Le fait de recueillir de manière simultanée un consentement unique pour plusieurs opérations de traitement répondant à des finalités distinctes (couplage de finalités), sans possibilité d'accepter ou de refuser finalité par finalité, est susceptible d'affecter, dans certains cas, la liberté de choix et donc la validité du consentement (considérant 43 du RGPD).

Par conséquent, afin de s'assurer du caractère libre du consentement donné, la CNIL recommande de demander aux destinataires leur consentement de façon indépendante et spécifique pour chaque finalité distincte.

Toutefois, lorsque le moyen de collecte du consentement présente deux niveaux d'informations, il est possible de recueillir un consentement global au premier niveau d'information uniquement si l'utilisateur est en capacité, au second niveau, de donner son consentement par finalité, ou par famille de finalités lorsque celles-ci sont connexes.

Il est possible de recueillir un unique consentement – donc sans offrir au destinataire la possibilité de choisir de manière granulaire sur le second niveau d'information – pour la prospection commerciale directe par voie électronique (conformément à l'article 34-5 du code des postes et des communications électroniques (CPCE)) et pour l'utilisation de pixels de suivi dans les courriels de prospection commerciale pour des finalités connexes.

À titre d'exemples :
- Lorsque la prospection est expressément présentée comme personnalisée, le consentement à cette prospection et l'utilisation de pixels de suivi contribuant directement à cette personnalisation (par exemple, pour la personnalisation du contenu ou l'adaptation de la fréquence des envois) peuvent être couverts par un consentement unique.
- Un consentement unique peut être donné pour la prospection commerciale directe par voie électronique et l'utilisation de pixels de suivi pour lutter contre l'inscription frauduleuse à un jeux-concours par courriel, afin de garantir des conditions d'égalité des participants en excluant les participants qui utiliseraient des solutions automatisées pour s'inscrire de multiples fois.

Dans l'hypothèse où les opérations de lecture ou d'écriture poursuivent des finalités distinctes et non connexes (voir le point 4.1), le consentement doit être obtenu de façon indépendante et spécifique pour chacune d'entre elles.

La CNIL rappelle que la publicité – personnalisée ou contextuelle – affichée au sein de bannières publicitaires en ligne (aussi appelée publicité display) et la prospection commerciale sont deux finalités distinctes. Les utilisateurs doivent donc avoir la possibilité de consentir de façon indépendante et spécifique à ces deux finalités.

> [!important]+ **Point d'attention**
> 
Le régime du consentement des pixels de suivi est indépendant de celui applicable à l'envoi du courriel en question : ainsi le consentement pour des pixels de suivi pourra être nécessaire pour des courriels qui ne nécessitent pas, en principe, le consentement des destinataires (confirmation d'une commande, prospection des produits ou services similaires fournis par la même entreprise à ses clients, prospection caritative, prospection vers les professionnels en rapport avec la profession de la personne démarchée, etc.).

> [!important]+ **Le recueil d'un consentement aux pixels via une plateforme de gestion du consentement (consent management platform ou CMP)**
> 
Aujourd'hui, les CMP sont identifiées par le public comme des outils destinés à recueillir les choix relatifs aux traceurs déposés sur le web ou au sein d'applications mobiles.
>
Par ailleurs, le recueil du consentement aux pixels interviendrait, dans certains cas, de manière décorrélée de la collecte de l'adresse électronique.
>
L'utilisation d'une CMP afin de collecter un consentement relatif à l'insertion de pixels dans des courriels appelle, dès lors, une attention particulière. Le caractère « éclairé » du consentement suppose notamment que la personne comprenne aisément la portée de son consentement, en particulier que son choix concerne également des opérations réalisées en lien avec un environnement (courriel) distinct de celui dans lequel elle exprime son consentement (web ou application mobile) ainsi que l'adresse électronique qui serait finalement concernée par ces choix.
# 5. Retrait et gestion du consentement
Il résulte des textes applicables, tels qu'éclairés par la jurisprudence, que les personnes ayant donné leur consentement à l'utilisation de traceurs doivent être en mesure de le retirer à tout moment. Il doit, par ailleurs, être aussi simple de retirer son consentement que de le donner.

Dans le contexte de l'utilisation de pixels de suivi dans des courriels, la CNIL recommande que la possibilité de retirer son consentement soit offerte par un lien traçant dans le pied de page de chaque courriel. Le responsable du traitement doit mettre en œuvre les mesures techniques appropriées pour permettre un retrait facile du consentement. Dans le cas où le lien dirigerait l'utilisateur vers une page web, celle-ci devrait permettre le retrait du ou des consentements(s) accordé(s) sans action supplémentaire (notamment sans avoir à entrer l'adresse électronique concernée dans un formulaire).

L'usage d'un lien unique par destinataire permet de limiter l'usage de cette fonctionnalité au seul destinataire visé par l'outil de retrait et d'éviter, ainsi, les accès abusifs à cette fonctionnalité tout en respectant le critère de facilité du retrait du consentement.

Par conséquent, comme rappelé dans l'encadré ci-dessus (« Les liens traçants utilisés pour participer à la sécurité de l'utilisateur peuvent être exemptés de consentement, au sens de l'article 82 de la loi « informatique et libertés »), cet usage correspond à une mesure de sécurité au bénéfice de l'utilisateur et est exempté du consentement puisque les traceurs sont alors strictement nécessaires au service demandé par l'utilisateur, conformément à l'article 82 de la loi « informatique et libertés ».

Le responsable du traitement doit s'assurer de l'effectivité du retrait du consentement : les opérations de lecture ou d'écriture concernées par ce retrait ne peuvent plus avoir lieu lors de l'envoi de courriels à venir. S'agissant des courriels déjà envoyés, étant donné le contexte technique spécifique, il peut être nécessaire de mettre en place des solutions pour garantir l'absence d'exploitation des traceurs précédemment utilisés (notamment lorsque le destinataire ouvre à nouveau le courriel) pour que le retrait du consentement soit effectif.

# 6. Preuve du consentement
Le responsable du traitement doit être en mesure de démontrer, à tout moment, que les utilisateurs ont donné leur consentement (article 7.1 du RGPD).

En principe, les mécanismes mis en œuvre par les acteurs doivent permettre de garder la preuve du consentement de manière individualisée, c'est-à-dire la trace du consentement de chaque personne, ainsi que les conditions dans lesquelles ce consentement a été obtenu.

Dans certaines situations, le responsable du traitement ne collecte pas lui-même le consentement des personnes concernées. C'est le cas, notamment, lorsque les données sont transmises par un tiers qui est également en charge de recueillir le consentement en son nom et pour son compte. L'obligation de rapporter la preuve du consentement ne peut pas être remplie par la seule présence d'une clause contractuelle engageant l'une des parties à recueillir un consentement valable pour le compte de l'autre partie. En effet, une telle clause ne permet pas à l'organisme de garantir, en toutes circonstances, l'existence d'un consentement valide.

Le contrat pourra, en revanche, être utilisé pour encadrer :
- les mécanismes mis en place pour permettre de démontrer le recueil d'un consentement valide ;
- la mise à disposition des éléments de preuve au profit de l'organisme qui souhaite se prévaloir du consentement ;
- le cas échéant, les conditions dans lesquelles ces éléments de preuve doivent être conservés, notamment afin de conserver leur valeur probante ;
- les modalités d'audit régulier des mécanismes de recueil du consentement.

Ces engagements contractuels n'exonèrent pas le responsable du traitement de sa responsabilité, s'il n'est pas en mesure de fournir la preuve du consentement en raison de la défaillance du tiers.
# 7. Modalités d'application de la recommandation de la CNIL
La recommandation vient expliciter la portée des dispositions applicables à ce type d'opérations de lecture ou d'écriture.

Dans ces conditions, s'agissant des adresses électroniques déjà collectées, les opérations de lecture ou d'écriture peuvent continuer à être mises en œuvre, sous réserve de l'envoi d'une information claire et accessible aux destinataires dans un délai qui ne saurait, en principe, excéder 3 mois à compter de la publication de la recommandation. Cette information doit permettre à ces destinataires, dans l'hypothèse où leur consentement n'aurait pas été recueilli conformément aux modalités explicitées dans la présente recommandation, d'être mis en capacité de s'opposer à de telles opérations pour les courriels futurs.

Toutefois, lorsque le responsable du traitement est tenu de solliciter un nouveau consentement pour l'utilisation de l'adresse électronique (par exemple, pour la transmission des données à de nouveaux responsables de traitement à des fins de prospection par voie électronique), il devra recueillir un consentement valide pour la mise en œuvre des opérations de lecture ou d'écriture qui ne sont pas exemptées.

## Notes

[^1]: Lignes directrices 2/2023 sur le champ d'application technique de l'article 5, paragraphe 3, de la directive vie privée et communications électroniques, Version 2.0, adoptées le 7 octobre 2024.

[^2]: Délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l'application de l'article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d'un utilisateur (notamment aux « cookies et autres traceurs ») et abrogeant la délibération n° 2019-093 du 4 juillet 2019.

[^3]: Délibération n° 2020-092 du 17 septembre 2020 portant adoption d'une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux « cookies et autres traceurs ».

[^4]: Par analogie, dans l'environnement web, la responsabilité de traitement de l'éditeur d'un site web a été retenue s'agissant des opérations de lecture/écriture réalisées par des tiers dans une décision « Éditions Croque Futur », n° 412589 du 6 juin 2018, dans laquelle le Conseil d'État estime que l'éditeur d'un site qui autorise le dépôt et l'utilisation de cookies tiers doit être considéré comme responsable de traitement. De même, dans une délibération n°SAN-2021-013 du 27 juillet 2021, la CNIL a considéré que l'éditeur du site avait une certaine responsabilité (une obligation de moyens) s'agissant du recueil du consentement sur les cookies tiers. Ainsi, le fait que les cookies proviennent de partenaires n'affranchit pas l'éditeur du site de sa propre responsabilité dans la mesure où il a la maîtrise de son site et de ses serveurs.

[^5]: Dans ce cas, un intérêt mutuel se dégage de cette opération. Voir, CJUE, 29 juill. 2019, aff. [[CJEU C-40-17 - Fashion ID|C-40/17]], Fashion ID GmbH & Co. KG c. / Verbraucherzentrale NRW eV.

[^6]: Délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l'application de l'article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d'un utilisateur (notamment aux « cookies et autres traceurs ») et abrogeant la délibération n° 2019-093 du 4 juillet 2019. Disponible ici : https://www.cnil.fr/sites/cnil/files/atoms/files/lignes_directrices_de_la_cnil_sur_les_cookies_et_autres_traceurs.pdf

[^7]: Délibération n° 2020-092 du 17 septembre 2020 portant adoption d'une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux « cookies et autres traceurs ». Disponible ici : https://www.cnil.fr/sites/cnil/files/atoms/files/recommandation-cookies-et-autres-traceurs.pdf