Questions-réponses - recommandation relative aux pixels dans les courriers électroniques de la CNIL

Executive Summary

This is the CNIL’s FAQ (published 22 July 2026) on its recommendation concerning tracking pixels in emails, adopted 14 April 2026. The recommendation requires that tracking pixels embedded in emails comply with Article 82 of the French Data Protection Act (transposing the ePrivacy Directive), which governs read/write operations on user terminals.

The core principle: tracking pixels require prior consent unless they qualify for a narrow exemption. Two exemptions exist: deliverability (adapting frequency or stopping emails to inactive recipients) and security (e.g., pixels in authentication or password-reset emails). To qualify, the pixel must be in an email tied to a service explicitly requested by the user, and data collected must be limited to what is strictly necessary (in principle, only the date of last open).

The FAQ clarifies that tracking links, while not directly covered, fall under the same legal framework. The recommendation applies regardless of sender type or recipient status (customers, prospects, employees). Service providers inserting pixels on behalf of senders act as processors; if they also use pixel data for their own purposes, they become joint controllers.

For consent collection, the CNIL allows a global accept button on a first layer provided granular per-purpose choices are available on a second layer. Consent withdrawal must be as easy as giving it. A 6-month re-solicitation cooldown is recommended. For email addresses collected before April 14, 2026, a 3-month transitional period applied (extendable if documented), during which informing users and honoring opt-outs sufficed.

Applicability examples from the FAQ:

Scenario	Applies / Exempt?	Explanation
Tracking links in emails	No (not directly covered)	But same legal principles apply; actors must self-assess
CNIL jurisdiction limited to France-only entities	No	CNIL can enforce against EU and non-EU entities targeting French users
Some emails excluded (e.g., to employees)	No	Recommendation applies to all emails with pixels, regardless of recipient
Aggregated open-rate stats from exempt pixels (no consent)	Yes (allowed)	If data is effectively anonymized/aggregated first
Extra data (IP, user-agent) collected then quickly anonymized qualifies for exemption	No	Collection beyond what’s strictly necessary disqualifies the exemption
Email open = “contact” under CNIL’s commercial activities framework	No	Opening an email does not count as prospect-initiated contact
Mixed-purpose pixel (exempt + non-exempt)	Yes (allowed)	Exempt purposes proceed without consent; non-exempt purposes require it
Anti-fraud pixels (e.g., bot detection) exempt as security	No	Only user-centered security measures (authentication, password reset) qualify
Purchase/subscription confirmation email	Yes (transactional)	Triggered by user action, informational, no promotional content
Subscription renewal email	Yes (transactional)	Tied to ongoing contractual relationship
Abandoned cart email	No (not transactional)	Promotional in nature, requires consent
Legal/regulatory information email	Yes (in principle)	Related to a service the user subscribed to
Newsletter pixel exempt	Depends	Yes if user expressly requested it; No if sent under the “similar products” exception without consent
Anonymous/aggregated pixel data dispenses with consent	No	Article 82 applies regardless of whether data is personal or not
Single preference center link for pixels + unsubscribe	Yes (allowed)	Must not complicate the exercise of rights
Global consent (all purposes at once)	Yes (allowed)	If granular per-purpose choices are available on a second layer
Consent required per email category	No (not mandatory)	Can be tied to the email address rather than email type

Le champ d’application

1. Les liens traçants sont-ils couverts par la recommandation ?

Non, pas directement. Toutefois, la recommandation fournit des principes permettant aux acteurs recourant à cette technologie d’évaluer leur conformité.

Les liens « traçants » sont des liens hypertextes contenant un identifiant ou un autre paramètre permettant de détecter les clics sur des contenus ou liens. Lorsqu’ils sont intégrés dans un courriel, ils permettent d’associer ces actions au destinataire du message. Ils sont notamment utilisés pour mesurer les clics sur un contenu, suivre les interactions ou établir des statistiques d’utilisation.

Bien que les liens « traçants » ne soient pas directement visés par la recommandation, plusieurs éléments doivent être pris en compte :

• Comme d’autres technologies de traçage (cookies, empreinte numérique), ils impliquent des opérations de lecture et/ou d’écriture sur le terminal de l’utilisateur. À ce titre, les acteurs qui les utilisent doivent respecter  l’article 82 de la loi Informatique et Libertés en plus du RGPD (comme le rappellent les lignes directrices n° 02-2023 du Comité européen de la protection des données (CEPD)).
• Pour comprendre les obligations applicables à cette technologie, il est nécessaire de déterminer, au regard des objectifs (ou finalités) poursuivis, si ces opérations sont nécessaires au service fourni ou non.

Pour rappel, les opérations strictement nécessaires à la fourniture d’un service explicitement demandé par l’utilisateur ou ayant pour seule finalité de permettre ou de faciliter la communication électronique peuvent bénéficier d’une exemption à l’obligation de recueillir le consentement.

Exemple : la recommandation relative aux pixels dans les courriers électroniques cite un exemple dans lequel l’usage d’un lien « traçant » est exempté de consentement : il s’agit de l’utilisation d’un lien « traçant » permettant le retrait simple et sécurisé du consentement (voir l’encadré page 8 de la recommandation). Dans ce cas, le lien est considéré comme strictement nécessaire à la fourniture du service expressément demandé par l’utilisateur.

La recommandation « cookies et autres traceurs » et la recommandation relative aux pixels dans les courriers électroniques constituent des ressources utiles pour faire cette analyse et réfléchir, lorsque c’est nécessaire, aux modalités de recueil du consentement. 

2. La CNIL peut-elle uniquement intervenir à l’égard d’acteurs exclusivement établis sur le territoire français (expéditeurs de courriels et/ou fournisseurs d’outils d’envoi de courriels) ?

Non, pas uniquement.

La CNIL peut contrôler et sanctionner des acteurs établis en France, dans un autre État membre de l’Union européenne (UE) ou en dehors de l’UE, si les conditions d’application de la loi Informatique et Libertés sont réunies.

C’est notamment le cas lorsque le recours aux pixels de suivi est effectué dans le cadre des activités d’un établissement situé en France. Les dispositions de la loi peuvent également s’appliquer à un acteur qui n’est pas établi dans l’Union européenne lorsque les pixels sont utilisés pour suivre le comportement de personnes se trouvant sur le territoire français.

En outre, s’agissant de l’application de l’article 82 de la loi Informatique et Libertés relatif aux opérations de lecture et d’écriture sur les terminaux, la CNIL est compétente pour contrôler les manquements concernant les utilisateurs situés en France. Le mécanisme de coopération européen (guichet unique) ne s’applique pas à ces contrôles.

3. Certains courriels sont-ils exclus du champ d’application de la recommandation (par exemple, les courriels envoyés aux salariés sur leurs adresses professionnelles) ?

Non.

La recommandation s’applique à tout recours à des traceurs dans les courriels, quel que soit le contexte dans lequel ceux-ci sont envoyés. Elle s’applique donc indépendamment de la nature de l’organisme expéditeur ou la qualité du destinataire (par exemple, un client, un prospect, un salarié, etc.).

En revanche, l’application des principes énoncés par la recommandation et l’appréciation des obligations qui en découlent (nécessité de recueillir un consentement ou non) peut dépendre des circonstances propres à l’utilisation de ces traceurs (finalités poursuivies, catégorie de courriels, etc.).

La responsabilité des acteurs

4. Quelles sont les obligations des prestataires s’agissant de l’utilisation des pixels (service d’envoi de courriels, service de location des listes de diffusion et d’envoi de courriels, fournisseur de la technologie de suivi) ?

Tout dépend de leur qualification pour les opérations de traitement liées aux pixels (voir partie 2.2 de la recommandation).

Lorsque les pixels sont insérés exclusivement pour le compte de l’expéditeur, les prestataires agissent comme sous-traitants pour ces opérations. Ils doivent notamment traiter les données sur instruction du responsable du traitement, mettre en œuvre des mesures de sécurité appropriées et assister ce dernier dans le respect de ses obligations (article 28 du RGPD)).

Par ailleurs, les prestataires sont invités à concevoir et paramétrer leurs solutions de manière à permettre à leurs clients de respecter la réglementation applicable. À ce titre, ils devraient notamment proposer des fonctionnalités facilitant la désactivation des traceurs, la gestion différenciée des destinataires au sein des listes ainsi que la gestion de listes de diffusion sur la base d’un signal de consentement lorsque celui-ci est requis, ainsi que le respect du principe de protection des données dès la conception et par défaut.

Les fournisseurs, peuvent, de manière optionnelle, fournir des fonctionnalités de recueil du consentement.

Lorsque les prestataires utilisent également les pixels pour leurs propres finalités (amélioration de service, de la pertinence de leurs listes de diffusion, etc.), ils peuvent être qualifiés de responsable conjoint avec l’expéditeur qui accepte contractuellement ces opérations.

Ils doivent répartir leurs obligations de manière claire et transparente, notamment en matière d’information et de respect des droits (article 26 du RGPD).

En pratique, celui qui est en contact avec les personnes sera en charge de recueillir le consentement au pixel : par exemple, il peut s’agir de l’expéditeur lors de la collecte de l’adresse électronique ou du prestataire de location des listes de diffusion et d’envoi de courriels lors de l’envoi d’un courriel sollicitant le consentement au pixel. Dans tous les cas, celui qui « délègue » le recueil du consentement ne peut se limiter à une clause dans le contrat pour apporter la preuve du consentement. Il doit pouvoir démontrer que le consentement a été valablement recueilli, pour son compte (ce qui implique de réaliser des vérifications par le biais d’audits, par exemple).

Les pixels exemptés

Délivrabilité

5. Dans quels cas les pixels intégrés pour assurer la délivrabilité des courriels nécessitent-ils, ou non, un consentement des personnes ?

Les pixels utilisés pour la délivrabilité doivent répondre à l’ensemble des conditions mentionnées dans la recommandation pour être exemptés de consentement (partie 3.2 de la recommandation).

À l’inverse, le consentement est requis dès lors que l’une de ces conditions n’est pas remplie. Il peut, par exemple, s’agir des situations suivantes :

• Le pixel collecte des informations qui ne sont pas strictement nécessaires à la seule finalité de délivrabilité. Par exemple, si le pixel permet également de connaître l’heure d’ouverture des courriels ou toute autre information allant au-delà de ce qui est nécessaire.

• Le courriel dans lequel le pixel est inséré ne correspond pas / ne se rattache pas à un service explicitement demandé par l’utilisateur. Par exemple, un courriel de prospection envoyé sur le fondement de l’exception applicable aux produits ou services analogues (article 34-5 du code des postes et des communications électroniques ou CPCE) ne peut pas être considéré comme un service demandé par l’utilisateur.

6. Est-il possible d’utiliser les données collectées à l’aide de pixels exemptés afin d’établir une statistique globale de taux d’ouverture d’une campagne sans consentement ?

Oui.

Lorsque des données sont collectées au moyen d’un pixel, que cette collecte soit soumise au consentement ou bénéficie d’une exemption, leur réutilisation ne nécessite pas de consentement si elles ont été préalablement anonymisées de manière effective, par exemple via un processus d’agrégation.

Des données collectées par un pixel exempté peuvent ainsi, par exemple, être utilisées pour établir une statistique globale du taux d’ouverture d’une campagne. Le traitement consistant à anonymiser les données reste soumis au RGPD.

7. Un pixel peut-il bénéficier de l’exemption lorsque des données supplémentaires sont collectées (user-agent, adresse IP, etc.), si ces données sont anonymisées à bref délai ?

Pour pouvoir bénéficier de l’exemption décrite par la recommandation, le responsable du traitement doit démontrer que les opérations effectuées ont vocation à se limiter à ce qui est strictement nécessaire pour adapter la fréquence ou arrêter l’envoi des courriels aux destinataires dits « inactifs ».

En principe, la seule donnée nécessaire à cette fin est la date de dernière ouverture du courriel sauf si l’envoyeur peut documenter qu’il a besoin de conserver d’autres données pour atteindre cet objectif.

Le fait que des données supplémentaires, telles que l’adresse IP ou le user-agent , soient rendues anonymes ou supprimées peu après leur collecte ne remet pas en cause le fait qu’elles ont été collectées au-delà de ce qui est nécessaire pour assurer la délivrabilité. Cette anonymisation ne permet donc pas de bénéficier de l’exemption.

8. Quelles conséquences tirer d’une absence d’ouverture des courriels ?

Dans le cadre de l’exemption relative à la délivrabilité, l’absence d’ouverture des courriels doit amener l’expéditeur à considérer que le canal de communication concerné présente une faible efficacité pour atteindre le destinataire.

En conséquence et en fonction du type de communication concernée, il peut, par exemple :

• cesser les envois face à l’absence d’intérêt de la personne et la retirer de la base de diffusion ;
• diminuer la fréquence des envois pour réduire les sollicitations envers la personne et favoriser une lecture des informations les plus importantes ;
• utiliser des canaux de communication alternatifs pour contacter la personne (par exemple, via SMS si les conditions légales permettant d’utiliser ce canal sont réunies).

La CNIL invite les acteurs à documenter le respect des conditions posées par la recommandation (par exemple, en mesurant le taux de désinscription des bases à la suite de l’absence d’intérêt des personnes).

9. L’ouverture d’un courriel constitue-t-elle un contact au sens du référentiel de la CNIL sur la gestion des activités commerciales ?

Non.

Si l’ouverture d’un courriel permet de qualifier un utilisateur d’« actif » (par opposition à un utilisateur « inactif ») cette notion se comprend dans le contexte spécifique de l’objectif de délivrabilité visé par la recommandation relative aux pixels dans les courriers électroniques.

Elle n’est pas transposable au référentiel relatif à la gestion des activités commerciales : dans ce contexte, la règle selon laquelle la simple ouverture d’un courriel ne devrait pas être considérée comme un contact émanant du prospect continue de s’appliquer (partie 7 du référentiel relatif aux traitements de données personnelles mis en oeuvre aux fins de gestion des activités commerciales).

10. Est-il possible d’utiliser un pixel de suivi « mixte » poursuivant à la fois une finalité exemptée et une finalité non-exemptée ?

Oui.

Un même pixel peut poursuivre plusieurs finalités dont certaines sont exemptées de consentement et d’autres soumises au consentement, en application de l’article 82 de la loi Informatique et Libertés.

Dans ce cas, les finalités exemptées peuvent être mises en œuvre sans consentement, sous réserve que les conditions de l’exemption soient remplies. En revanche, les finalités soumises au consentement ne peuvent être poursuivies qu’après le recueil du consentement valide de l’utilisateur.

Dans tous les cas, un pixel ne peut pas être déposé sans poursuivre de finalité. Il doit, dès son dépôt, répondre à au moins une finalité déterminée. Il n’est donc pas possible de déposer un pixel uniquement dans l’attente d’un éventuel consentement qui permettrait, ultérieurement, de l’utiliser.

11. L’utilisation de pixels exemptés de consentement doit-elle faire l’objet d’une information ? Un utilisateur peut-il s’opposer à un pixel exempté de consentement ?

Les pixels impliquent généralement des traitements de données personnelles. Ces traitements sont soumis à l’ensemble des dispositions pertinentes du RGPD. Le responsable du traitement devra donc s’assurer de respecter les droits des personnes tels que prévus aux articles 12 à 22 du RGPD.

Ainsi :

• Si l’article 82 de la loi Informatique et Libertés n’impose pas d’informer les utilisateurs sur l’utilisation de tels traceurs, la CNIL recommande qu’ils soient informés de leur existence afin d’assurer une transparence sur ces opérations. Cette information peut être délivrée au sein de la politique relative aux cookies. Par ailleurs, les personnes doivent être informées de tous les traitements de données personnelles mis en œuvre, conformément au RGPD.
   
• Le responsable du traitement devra mettre à la disposition des utilisateurs un mécanisme lui permettant de s’opposer au traitement de ses données personnelles dès lors que le traitement est fondé sur l’intérêt légitime (article 6.1.f du RGPD). Ce mécanisme doit être aisément accessible afin de faciliter l’exercice des droits.

Exemption de consentement relative à la sécurité

12. L’ensemble des conditions applicables à l’exemption relative à la délivrabilité s’appliquent-elles également à l’exemption liée à la sécurité ?

Non. Uniquement en partie.

Les conditions relatives à la qualification du courriel de service explicitement demandé par l’utilisateur et à la limitation, en principe, de la collecte à la date de dernière ouverture du courriel s’appliquent à l’exemption liée à la sécurité.

En revanche, celles qui sont liées à la diminution de la fréquence ou l’arrêt des envois des courriels aux destinataires dits « inactifs » (nettoyage des bases) sont propres à l’exemption de délivrabilité. Elles ne concernent pas à l’exemption liée à la sécurité.  

13. L’exemption relative à la sécurité s’étend-elle à la lutte contre la fraude en général, par exemple la lutte contre les bots informatiques ?

Non.

Les traceurs utilisés à des fins de lutte contre la fraude, de manière générale, n’entrent pas dans les exemptions prévues par l’article 82 de la loi Informatique et Libertés.

Cependant, la CNIL considère que cela peut être le cas, dans certaines hypothèses particulières, lorsque les mesures de sécurité sont centrées sur l’utilisateur.

Exemples de traceurs liés à la sécurité pouvant être exemptés de consentement :

• Les traceurs destinés à assurer la sécurité d’un mécanisme d’authentification de l’utilisateur (par exemple, en limitant les tentatives d’accès robotisées ou inattendues), qui peuvent être considérés comme nécessaires au service de communication en ligne demandé par l’utilisateur.
   
• Dans le cadre des courriels, les pixels dans les courriels d’authentification ou les courriels de réinitialisation des mots de passe, qui pourraient faire l’objet d’une tentative d’interception.

À l’inverse, les pixels visant à lutter contre la manipulation d’inventaire publicitaire ne peuvent relever de cette exemption. Or, le recueil du consentement n’est souvent pas adapté pour cette finalité : la CNIL recommande donc de privilégier des méthodes ne reposant pas sur l’accès aux terminaux des utilisateurs.

Courriels concernés par les exemptions  

14. Qui sont les organismes visés par le terme « administration » employé dans la recommandation ?

Il s’agit des organismes de droit public ou privé dont les courriels intégrant des pixels de suivi à des fins de « délivrabilité » sont envoyés dans le cadre de l’exercice d’une mission de service public, que cette mission soit exercée à titre principal ou accessoire.

15. Quelle articulation entre le régime applicable en matière de prospection commerciale et l’exemption relative à la délivrabilité ?

Le régime applicable à la prospection commerciale et celui applicable aux pixels de suivi répondent à des règles distinctes :

• la prospection commerciale par courriel relève de l’article L. 34-5 du Code des postes et des communications électroniques (CPCE) ;
• les pixels de suivi sont encadrés par l’article 82 de la loi Informatique et Libertés.

Lorsqu’un courriel de prospection est envoyé sur la base du consentement préalable de son destinataire, ce courriel peut, en principe, être considéré comme un service explicitement demandé par l’utilisateur. Les pixels utilisés aux seules fins d’assurer sa délivrabilité peuvent alors bénéficier de l’exemption de consentement, sous réserve que l’ensemble des conditions rappelées par la recommandation soient respectées.

En revanche, lorsqu’un courriel est envoyé sans consentement préalable sur le fondement de l’exception applicable à la prospection de produits ou services analogues, il ne peut pas être considéré, de ce seul fait, comme ayant été explicitement demandé par l’utilisateur. Les pixels de suivi utilisés pour assurer sa délivrabilité ne peuvent donc pas bénéficier de cette exemption et sont, en principe, soumis au recueil du consentement prévu par l’article 82 de la loi.

Ainsi, le fait qu’un courriel puisse être envoyé sans consentement au titre des règles applicables à la prospection commerciale ne signifie pas que les pixels de suivi qu’il contient sont eux-mêmes exemptés de consentement.

16. Les courriels suivants sont-ils des courriels dits « transactionnels », au sens de la recommandation ?

À noter : les courriels transactionnels ne sont pas les seuls pour lesquels les pixels insérés peuvent être exemptés de consentement. Le critère déterminant est que le courriel soit demandé par l’utilisateur ou se rattache à un service demandé par ce dernier. C’est notamment le cas de certains courriels auxquels l’utilisateur a consenti, s’ils correspondent au service qu’il a demandé et que les autres conditions de l’exemption prévues par la recommandation sont réunies.

Un courriel de confirmation d’achat ou de souscription à un service 

Oui.

Il s’agit d’un message déclenché par une action spécifique de l’utilisateur (par exemple, l’achat), à caractère informatif et fonctionnel, nécessaire à l’exécution de la relation contractuelle.

En revanche, il ne doit pas contenir une part d’éléments promotionnels (par exemple, mise en avant d’offres, incitation à l’achat, promotion de services) car, dans ce cas, il perdrait son caractère « transactionnel ».

Un pixel de suivi dans ce type de courriel peut donc être exempté de consentement préalable si les autres conditions de l’exemption prévues par la recommandation sont réunies.

Un courriel de « renouvellement » d’abonnements

Oui.

Il s’agit d’un message qui reste lié à l’exécution ou à la poursuite d’une relation contractuelle initiée par l’utilisateur lorsqu’il le reçoit alors que son abonnement arrive prochainement à expiration.

Un pixel de suivi dans ce type de courriel peut donc être exempté de consentement préalable si les autres conditions de l’exemption prévues par la recommandation sont réunies.

Un courriel de relance panier 

Non.

Il s’agit de courriels promotionnels qui relèvent de l’article 34-5 du CPCE et nécessitent donc le consentement préalable du destinataire. En effet, leur objet est essentiellement commercial : ce type de courriel vise à inciter le destinataire à finaliser un achat.

Un pixel de suivi dans un courriel de ce type ne peut pas être exempté de consentement préalable.

Un courriel d’information légale ou réglementaire

En principe, oui.

Lorsqu’un courriel a pour seul objet d’informer l’utilisateur d’une évolution légale, réglementaire ou contractuelle ayant une incidence sur le service auquel il a souscrit (par exemple, une modification des conditions générales d’utilisation, de la politique de confidentialité ou des conditions tarifaires), il s’inscrit dans la gestion de la relation avec l’utilisateur. Il peut ainsi être regardé comme se rattachant à un service expressément demandé par celui-ci.

Un pixel de suivi dans ce type de courriel peut, dans ce cas, être exempté de consentement préalable si les autres conditions de l’exemption prévues par la recommandation sont réunies.

17. Un pixel intégré dans une lettre d’information (newsletter) peut-il bénéficier de l’exemption ?

Cela dépend.

Le critère déterminant est de savoir si la lettre d’information s’inscrit dans un service explicitement demandé par l’utilisateur :

• Oui, lorsqu’elle est adressée à la suite d’une demande expresse de l’utilisateur à recevoir cette lettre d’information (par exemple, lorsque le consentement à recevoir de la prospection est recueilli conformément à l’article 34-5 du CPCE). Dans ce cas, le courriel peut, en principe, être considéré comme un service expressément demandé : le pixel utilisé aux seules fins d’assurer sa délivrabilité peut bénéficier de l’exemption, sous réserve que l’ensemble des conditions rappelées par la recommandation soient respectées.
   
• En revanche, non, lorsque la lettre d’information ne peut pas être regardée comme un service explicitement demandé par l’utilisateur. Tel peut notamment être le cas lorsqu’il s’agit d’un courriel de prospection envoyé sur le fondement de l’exception applicable aux produits ou services analogues (article 34-5 du CPCE). Dans cette hypothèse, le pixel de délivrabilité ne peut, en principe, pas bénéficier de l’exemption de consentement.

L’évaluation de l’exemption de consentement doit donc être réalisée au cas par cas par l’expéditeur, en fonction des conditions dans lesquelles la lettre d’information est adressée et de son lien avec un service demandé par l’utilisateur.

Pixels de suivi permettant la collecte de données anonymes ou agrégées

18. Le fait de collecter, par l’intermédiaire de pixels de suivi, des données anonymes ou agrégées, dispense-t-il de recueillir de consentement ?

Non.

L’article 82 de la loi Informatique et Libertés s’applique que les données concernées soient personnelles ou non. En conséquence, l’anonymisation préalable des données sur le terminal n’est pas une condition suffisante pour exempter leur collecte de consentement.

Si l’objectif d’assurer la délivrabilité (adapter la fréquence ou arrêter l’envoi des courriels aux destinataires dits « inactifs ») peut être poursuivi à l’aide de mesures anonymes ou agrégées, il convient de le privilégier conformément au principe de minimisation.

Modalités pratiques de recueil du consentement

Consentement libre

19. Avec quel degré de détail les finalités poursuivies doivent-elles être présentées à l’utilisateur ?

Les utilisateurs doivent être informés, avant d’exprimer leur choix, de l’ensemble des finalités poursuivies par les pixels de suivi. Ces finalités doivent être présentées de manière claire, intelligible et dans un langage compréhensible.

La CNIL recommande que chaque finalité soit mise en exergue dans un intitulé court et mis en évidence, accompagné d’un bref descriptif (voir les exemples à la partie 4.1 de la recommandation).

Lorsque l’information est présentée sur plusieurs niveaux, la CNIL recommande que les intitulés courts des finalités figurent dès le premier niveau. Une description accessible doit pouvoir être consultée facilement depuis ce premier niveau (par exemple, au moyen d’un lien hypertexte ou d’un menu déroulant).

Rappel : il est interdit de déposer des pixels de suivi sans avoir défini une finalité.

20. Dans quel cas est-il possible de recueillir un consentement global (pour l’ensemble des finalités) ?

Il est possible de recueillir un consentement via un bouton d’acceptation globale sur le premier niveau d’information sous réserve d’offrir la possibilité à l’utilisateur, sur un second niveau d’information, d’effectuer un choix de façon indépendante et spécifique pour chaque finalité distincte.

L’objectif est de simplifier la présentation des formulaires de recueil du consentement, tout en respectant le principe de liberté du consentement.

Par ailleurs, il est possible de recueillir un unique consentement lorsque les finalités poursuivies sont connexes, à savoir lorsqu’elles sont suffisamment liées entre elles.

La recommandation cite des exemples de finalités connexes. Dans ce cas, le consentement au pixel et à l’envoi du courriel sont indissociables : l’un ne va pas sans l’autre. La personne qui ne souhaite pas consentir au pixel, ne recevra pas le courriel.

Exemple : l’utilisateur s’abonne à une lettre d’information personnalisée intégrant l’utilisation de pixels de suivi contribuant directement à cette personnalisation (par exemple, personnalisation du contenu ou adaptation de la fréquence des envois). Dans ce cas, sous réserve qu’une information claire et accessible soit délivrée, un unique consentement, par exemple par le biais d’un bouton « Je m’abonne », peut-être recueilli.

21. Le consentement à l’utilisation de pixels doit-il être recueilli par catégorie de courriels (par exemple courriels de prospection, courriels transactionnels, etc.) ?

Non, pas nécessairement.

La recommandation n’impose pas de recueillir le consentement par catégorie de courriels. En revanche, les organismes doivent veiller à ce que la personne comprenne la portée de son choix, c’est-à-dire si celui-ci s’applique uniquement à un type de courriel ou à tous les courriels qui lui sont envoyés. Un organisme peut donc envisager de lier le consentement aux pixels à l’adresse courriel d’un utilisateur plutôt qu’à un type de communication.

Exemple : lors de la création d’un compte utilisateur, l’organisme sollicite le consentement à l’insertion de pixels dans tous types de communications par mail à venir (sans distinguer entre les courriels de prospection, les courriels transactionnels, etc.).

Cela n’empêche pas à un organisme de solliciter le consentement pour l’insertion de pixels de manière différenciée, par catégorie de courriel si cela correspond à ses besoins opérationnels (par exemple, les organismes qui utilisent des outils logiciels d’envoi différenciés par type de courriel).

Exemple : l’organisme peut solliciter le consentement de l’utilisateur lors de son abonnement à une lettre d’information puis plus tard, lors de la création de compte, pour un autre type de communication.

Retrait et gestion du consentement

22. En cas de retrait du consentement, les données collectées antérieurement peuvent-elles être encore exploitées ?

Lorsque le consentement est retiré, il convient :

• de s’assurer que les pixels déposés précédemment ne seront plus exploités ;

Dans la mesure où l’envoyeur ne peut pas supprimer des messages après leur envoi, il est nécessaire de mettre en œuvre un mécanisme permettant d’ignorer totalement toute requête provenant d’un terminal ayant un identifiant de pixel associé à ce consentement retiré.

• de supprimer les données collectées si aucune autre base légale ne justifie la conservation de ces données.

Si le traitement de données repose sur le consentement de la personne (article 6.1.a du RGPD), généralement collecté simultanément au consentement à l’utilisation des pixels, son retrait implique l’arrêt des opérations de lecture et d’écriture ainsi que la suppression des données précédemment collectées.

23. Est-ce possible d’utiliser un lien unique renvoyant vers un centre de préférences (pixels, désinscriptions) ?

Oui.

Le choix des interfaces mises à disposition des personnes relève du responsable du traitement sous réserve de respecter leurs obligations en matière d’exercice des droits des personnes concernées.

Il est donc possible de regrouper, au sein d’un même centre de préférences, les différents choix offerts à l’utilisateur (par exemple, gestion des pixels de suivi, désinscription ou autres préférences de communication). En revanche, cette organisation ne doit pas avoir pour effet de compliquer l’exercice des droits.

L’utilisateur doit pouvoir exprimer son choix de manière simple et rapide, sans étape inutile, sans multiplication des clics et sans avoir à naviguer dans une interface complexe ou trompeuse. En particulier, le consentement doit pouvoir être retiré aussi facilement qu’il a été donné.

24. Quelle est la durée de conservation des choix de l’utilisateur en matière de pixels ?

La CNIL recommande d’enregistrer le choix exprimé par l’utilisateur (acceptation ou refus) afin qu’il ne soit pas sollicité de nouveau à chaque envoi de courriel. Une sollicitation trop fréquente des personnes ayant exprimé un refus est susceptible de faire obstacle à la liberté du consentement.

Cette durée doit notamment être évaluée au regard de la nature de la relation entre l’envoyeur et le destinataire, notamment si celle-ci a vocation à s’inscrire dans une longue temporalité.

Ne pas solliciter à nouveau l’utilisateur pendant une durée de six mois constitue une bonne pratique.

Modalités d’application de la recommandation dans le temps

25. À quoi correspond le délai de trois mois qui est visé dans la recommandation ?

Ce délai est relatif à l’usage de pixels dans les adresses électroniques collectées avant la publication de la recommandation.

Pour ces adresses, l’insertion de pixels peut continuer, sous réserve de l’envoi d’une information claire et accessible aux destinataires dans un délai qui ne saurait, en principe, excéder 3 mois à partir de la publication de la recommandation et de l’absence d’opposition de ceux-ci.                                                                       

Il court à compter du 14 avril 2026, date de publication de la recommandation au Journal Officiel.

Toutefois, ce délai n’est pas toujours suffisant, en raison du volume de la base de données et des problèmes de délivrabilité qu’un groupement des envois pourrait occasionner. Dans ce cas, et sous réserve de documenter ces difficultés, le délai peut être prolongé de manière raisonnable. Cette possibilité est toutefois encadrée : les difficultés rencontrées doivent être objectivement justifiées et documentées.

26. L’information sur les pixels n’a pas été envoyée avant le 14 juillet 2026 s’agissant des adresses électroniques collectées avant le 14 avril 2026, faut-il solliciter le consentement des personnes ?

En principe, oui.

Si à l’issue du délai de 3 mois à compter de la publication de la recommandation, c’est-à-dire le 14 juillet 2026 (ou plus sous réserve d’une justification, voir la réponse à la question n° 25), le courriel d’information rendant possible l’opposition de la personne n’a pas été envoyé, les règles posées par la recommandation deviennent applicables et notamment la nécessité de collecter le consentement lorsque c’est nécessaire – y compris donc à l’égard des adresses électroniques collectées avant la publication de la recommandation.

À défaut, l’expéditeur doit cesser l’usage de pixels qui nécessite le consentement dans les courriels.

27. Certains utilisateurs ne se sont pas opposés au pixel de suivi pendant les trois mois octroyés par la CNIL après la publication de sa recommandation. À quel moment dois-je leur redonner le choix ?

Lorsque les utilisateurs dont les adresses électroniques ont été collectées avant le 14 avril 2026, date de publication de la recommandation ont été informés, conformément à la recommandation, de leur droit de s’opposer à l’utilisation de pixels de suivi, le responsable du traitement peut continuer à se fonder sur l’absence d’opposition pour les courriels ultérieurs.

Dans tous les cas, si le responsable du traitement doit recueillir un nouveau consentement pour l’envoi des courriels (par exemple, parce que de nouveaux partenaires sont ajoutés ou que les conditions de la prospection évoluent), il devra également recueillir un consentement conforme à la recommandation pour les pixels de suivi qui ne bénéficient pas d’une exemption.

Ainsi, l’absence d’opposition ne vaut que tant que les conditions dans lesquelles les courriels sont adressés demeurent inchangées et qu’aucun nouveau consentement n’est requis.