Pixels de suivi dans les emails marketing : ce que la CNIL impose depuis le 14 juillet 2026

Vous ouvrez un email. Rien à cliquer, aucune pièce jointe, juste un texte anodin. Et pourtant, l’expéditeur sait déjà que vous l’avez lu, à quelle heure, combien de fois, et parfois depuis quelle ville. Ce petit indicateur s’appelle un pixel de suivi, et il est présent dans une bonne partie des newsletters que vous recevez.

Depuis le 14 juillet 2026, la CNIL a encadré la pratique. Ces pixels de suivi passent désormais sous le même régime que les cookies : sans votre accord, ils n’ont plus leur place dans un email marketing. Je vais vous expliquer ce qu’est vraiment ce pixel, ce que la règle change pour votre boîte de réception, comment le désactiver si vous y tenez, et surtout si ça vaut la peine de s’en inquiéter. Je vous préviens tout de suite : de mon côté, je n’ai pas révoqué grand-chose. Et comme je gère aussi des newsletters, je vous raconte l’envers du décor, côté expéditeur et je vous explique, si vous y tenez vraiment, comment bloquer les pixels de suivi depuis Gmail, Apple Mail ou votre logiciel de messagerie.

C’est quoi, un pixel de suivi dans un email ?

Concrètement, c’est une image d’un pixel sur un pixel, transparente, invisible à l’œil nu. Elle est hébergée sur le serveur de l’expéditeur. Quand votre logiciel de messagerie affiche l’email, il va chercher cette image sur le serveur pour la télécharger. Ce simple appel suffit : le serveur enregistre que l’image a été demandée, donc que l’email a été ouvert.

Et il ne note pas que ça. Au passage, il récupère l’heure d’ouverture, votre adresse IP (qui indique votre zone géographique et votre fournisseur d’accès), le type d’appareil et le logiciel que vous utilisez. Répété sur des milliers d’envois, ça dessine un profil : à quelle heure vous consultez vos mails, sur quel appareil, quels sujets vous font réagir. C’est un ressort classique du marketing par email, et vous n’aviez jamais donné votre accord pour ça.

Ce que la CNIL a changé, et pourquoi le 14 juillet compte

La CNIL a adopté sa recommandation le 12 mars 2026 et l’a publiée le 14 avril. Le principe tient en une phrase : un pixel qui sert à mesurer les ouvertures, à profiler ou à personnaliser demande maintenant un consentement préalable, explicite et distinct. Distinct, c’est le mot clé. Le fait que vous vous soyez abonné à une newsletter ne vaut pas accord pour être suivi. Recevoir un email et voir ses ouvertures mesurées, ce sont deux choses différentes, et il faut désormais deux accords séparés.

Pourquoi le 14 juillet ? Parce que la CNIL a laissé trois mois aux expéditeurs pour se mettre en règle sur leurs bases de contacts déjà collectées. Trois mois à compter de la publication, soit jusqu’au 14 juillet 2026 pour informer les gens et leur permettre de refuser. Ce délai vient donc de tomber. Depuis cette date, en plus du classique lien de désinscription, les emails doivent aussi proposer un lien pour retirer son consentement au suivi. Passé l’échéance, la CNIL peut contrôler et sanctionner, sur la base de l’article 82 de la loi Informatique et Libertés, comme pour les cookies.

Il reste deux exceptions, mais étroites. Un pixel purement technique lié à la sécurité (vérifier qu’un email de connexion arrive bien à destination) échappe à la règle. Et la mesure de simple délivrabilité, pour repérer les adresses inactives, reste tolérée à une condition stricte : ne pas recouper ces données avec autre chose pour faire du marketing. En dehors de ça, pas de consentement, pas de pixel.

Le point que beaucoup d’expéditeurs ont raté : c’est vous le responsable, pas votre outil

Voilà où je change de casquette, parce que je suis aussi de l’autre côté. Je gère en partie (pour le côté technique) les newsletters d’une petite structure éditoriale (Philo éditions, éditeur de Sciences Humaines et de Philosophie magazine), et cette recommandation m’a occupé une partie des dernières semaines. La phrase de la CNIL qui compte, la voici : le responsable, c’est l’expéditeur, pas la plateforme d’emailing. Que ce soit Brevo, Mailchimp ou un autre qui pose techniquement le pixel, ça ne vous dédouane de rien. Si vous envoyez, c’est vous qui devez recueillir le consentement. Beaucoup comptaient se reposer sur leur outil. Ce n’est pas comme ça que ça marche.

Sauf que tous les outils n’ont pas réagi pareil, et c’est là que ça s’est compliqué pour moi. D’un côté, Brevo a fait le travail : la plateforme a sorti une fonction d’anonymisation du suivi et de quoi gérer proprement le lien de retrait dans le pied de page. L’anonymisation est la vraie astuce à connaître : le pixel mesure toujours combien d’emails ont été ouverts au global, mais ne stocke plus aucune donnée par personne. Comme il n’y a plus de donnée individuelle, il n’y a plus besoin de consentement. On perd le suivi nominatif, on garde les statistiques d’ensemble. Pour une petite équipe, c’est le compromis qui arrange bien les choses.

De l’autre côté, sur Mailchimp, je n’ai pas trouvé d’équivalent aussi clair et aussi bien documenté pour se caler sur la recommandation française. Résultat : plutôt que de bricoler une conformité incertaine, nous avons décidé de migrer la base concernée vers Brevo. Et là, soyons clairs, trois mois pour informer sa base, revoir ses formulaires de consentement, tester les pieds de page et déménager des contacts d’un outil à l’autre, quand on n’a pas un service juridique et une équipe technique dédiée, c’est court. Les grosses structures ont absorbé ça sans difficulté. Les petites, elles, ont dû s’organiser dans l’urgence. Résultat : nous avons désactiver temporairement le suivi d’ouverture pour rester conforme à la législation et préparer sereinement à la migration de Mailchimp à Brevo.

Est-ce si grave, au fond ?

Prenons deux secondes de recul, parce que je n’ai pas envie de vous vendre une panique qui n’a pas lieu d’être. Qu’est-ce qu’un expéditeur apprend, au fond, avec ce pixel ? Que vous avez ouvert son email, à quelle heure, sur quel appareil. Franchement, ce n’est pas le secret le mieux gardé de votre vie. Savoir que j’ai ouvert une newsletter à 8h12 dans le métro, ça n’intéresse pas grand monde et ça ne me met pas en danger.

Le vrai sujet des données personnelles se joue ailleurs, et à une tout autre échelle. Votre moteur de recherche sait ce que vous cherchez. Les réseaux sociaux savent sur quoi vous vous attardez, seconde par seconde. Les régies publicitaires vous suivent de site en site pendant des semaines et recoupent tout ça pour dresser un portrait bien plus précis que « il ouvre ses mails le matin ». À côté de cette collecte, le pixel d’une newsletter qui compte les ouvertures, c’est un tout petit joueur…

Je vais être honnête avec vous. Depuis le 14 juillet, j’ai reçu des dizaines d’emails avec le fameux lien pour retirer mon consentement au suivi. Je n’en ai révoqué presque aucun. Pas par négligence, par arbitrage : le temps que je passerais à cliquer partout, je préfère le garder pour des gestes qui protègent vraiment mes données. Un mot de passe solide, la double authentification, ne pas semer mes coordonnées bancaires n’importe où. Voilà ce qui compte. Le suivi d’ouverture d’une newsletter, très loin derrière.

Ça ne veut pas dire que la règle de la CNIL est inutile, au contraire. Elle remet le curseur au bon endroit : c’est à vous de choisir, pas à l’expéditeur de décider pour vous. Avoir le choix, même si on ne s’en sert pas, ça change tout. Mais ne culpabilisez pas si vous ne cliquez sur aucun lien de retrait. Vous ne commettez aucune faute de sécurité.

Si vous voulez quand même bloquer ces pixels

Admettons que le principe vous agace quand même. Bonne nouvelle : dans la majorité des cas, vous n’avez rien à faire. La plupart des logiciels de messagerie bloquent déjà les images distantes par défaut, et le pixel ne se déclenche pas tant que vous n’affichez pas les images. Voici l’état des lieux, messagerie par messagerie :

• Outlook (application classique) : il bloque déjà le téléchargement automatique par défaut. Pour le vérifier, allez dans Fichier > Options > Centre de gestion de la confidentialité > Paramètres du Centre de gestion de la confidentialité > Téléchargement automatique, et assurez-vous que la case « Ne pas télécharger les images automatiquement dans les messages HTML ou les éléments RSS » est cochée.
• Thunderbird : lui aussi bloque le contenu distant par défaut, avec un bandeau « contenu distant bloqué » en haut du message. Pour vérifier le réglage, ouvrez le menu ≡ puis Paramètres > Vie privée et sécurité, et laissez décochée l’option « Autoriser le contenu distant dans les messages ». Le bouton « Exceptions » permet d’autoriser un expéditeur de confiance au cas par cas.

• Gmail : dans les paramètres, section « Images », cochez « Demander avant d’afficher les images externes ». Gmail fait déjà transiter les images par ses propres serveurs, ce qui masque votre adresse IP réelle, mais ce réglage bloque en plus le déclenchement automatique.

• Apple Mail (iPhone, iPad, Mac) : activez la Protection de la confidentialité dans Mail, dans les réglages de l’app Mail. Elle charge les contenus de façon anonyme et masque à la fois votre adresse IP et le moment réel d’ouverture. Sur les versions récentes, elle est souvent déjà active. Dans la même logique, Apple permet aussi de générer une adresse email masquée qui cache votre vraie adresse aux expéditeurs.

Vous l’aurez compris : entre les clients qui bloquent d’origine et ceux qui protègent votre adresse, le pixel est déjà largement désamorcé sans que vous ayez levé le petit doigt. Le seul compromis, c’est que les images ne s’affichent pas toutes seules et que vous cliquez pour les charger quand un message vous intéresse. On s’y fait en deux jours.

À retenir

Trois choses en sortant de cet article. Un : oui, un email peut savoir quand vous l’avez ouvert, mais non, ce n’est pas la fuite de données qui doit vous empêcher de dormir, d’autres pistages sont bien plus intrusifs. Deux : si le sujet vous agace, la plupart des messageries bloquent déjà ces images (Outlook et Thunderbird d’origine, Gmail et Apple Mail via un réglage), souvent sans rien faire de votre part. Trois, si vous envoyez des newsletters : là, en revanche, la règle vous concerne pour de bon, c’est vous le responsable, et le choix de l’outil fait la différence. Pour tout le monde, ma reco tient en une ligne : ne passez pas votre soirée à révoquer des consentements un par un. Gardez cette énergie pour ce qui protège vraiment vos données.

Cela pourrait aussi vous intéresser

Arnaque CNIL : ces faux emails qui promettent d’effacer vos données après une fuite Suivi colis bloqué depuis trois jours : pourquoi et que faire ? SE Ranking : avis sur ce logiciel SEO complet pour le suivi de votre référencement Comment regarder la Coupe du Monde 2026 de football en streaming : gratuit, payant et depuis l’étranger