Pixels de suivi, régulateurs européens et vous : un guide serein pour comprendre ce qui vient de se passer 

Publié pour la première fois par Mailgun.

Devez-vous repenser le suivi des emails dans l’UE ? 

Pas cette semaine. Mais cela devrait figurer sur votre feuille de route, et pas seulement sur votre liste de projets à traiter « un jour ». 

En mars et avril 2026, les régulateurs en France (CNIL) et en Italie (le Garante) ont publié des directives sur l’utilisation des pixels de suivi dans les emails. Il ne s’agit pas de nouvelles lois. Ce sont des clarifications de règles existantes, principalement la directive ePrivacy (le même cadre juridique que pour les bannières de consentement aux cookies), ainsi que le RGPD, qui s’appliquent aux pixels de suivi dans les emails. 

Le message n’est pas simplement « arrêtez le suivi ». C’est : justifiez le suivi, limitez-le et, dans de nombreux cas, obtenez un consentement pour celui-ci. 

La CNIL et le Garante partent de la même prémisse : les pixels de suivi accèdent aux informations depuis l’appareil d’un utilisateur et cette activité relève des règles ePrivacy. Cela signifie que le consentement est requis à moins qu’une exemption spécifique ne s’applique. 

Si cela vous semble familier, c’est normal. L’email ne fait que rattraper son retard par rapport au suivi web, qui fonctionne ainsi depuis des années. Le mouvement est lancé depuis un certain temps. L’email arrive avec un retard à la fois élégant et réticent. 

Les deux régulateurs reconnaissent ce que l’industrie a appelé une « exemption de délivrabilité ». Bien qu’il ne s’agisse pas d’un terme juridique formel, les deux régulateurs reconnaissent que certaines utilisations limitées et spécifiques au suivi des ouvertures relèvent des exemptions d’ ePrivacy. 

La CNIL autorise le suivi des ouvertures au niveau individuel sans consentement, mais uniquement à des fins de délivrabilité strictement définies :  

• L’identification des destinataires inactifs 

• La gestion des listes de suppression 

• Le nettoyage des bases de données 

Les contraintes sont réelles : stocker un minimum de données (date de la dernière ouverture, et non l’historique complet d’engagement), ne pas les réutiliser à des fins de marketing ou de statistiques, et ne les appliquer qu’aux emails que le destinataire a demandés ou consenti à recevoir. 

Le Garante adopte une position significativement différente. L’exemption sans consentement est généralement limitée aux statistiques globales et anonymisées ; un pixel partagé par campagne, et non un suivi par destinataire, avec des adresses IP et des identifiants techniques anonymisés. Le suivi des ouvertures au niveau individuel requiert généralement un consentement, en dehors de cas d’utilisation spécifiques liés à la sécurité et à l’authentification. 

La plupart des modèles de suivi standards des services d’emailing (y compris le nôtre) génèrent des événements d’ouvertures par destinataire par défaut. Cette architecture satisfait à l’exemption de délivrabilité de la CNIL, lorsque l’expéditeur met en œuvre des contrôles appropriés de minimisation des données, de limitation des finalités et de conservation. Le fait que l’exemption s’applique dans un cas donné dépend de la manière dont les données sont utilisées ainsi que de la façon dont elles sont collectées.  

Cependant, le suivi des événements d’ouverture par destinataire ne satisfait pas aux exigences du Garante sans des modifications plus significatives. 

Si vos statistiques dépendent de signaux d’engagement individuels, vous entrez sur le territoire du consentement en Italie. 

1. Le consentement pour envoyer un email n’est pas le même que le consentement pour le suivre. 

C’est ce qui prend les gens au dépourvu, cela mérite donc sa propre section. 

Vous pouvez avoir une base juridique valide pour envoyer des emails de marketing, des emails transactionnels, ou même des messages de service de routine, et avoir tout de même besoin d’un consentement séparé pour y utiliser des pixels de suivi. Oui, même les emails transactionnels. L’exigence de consentement s’applique au pixel, et non au message qui le transporte. 

La CNIL est explicite à ce sujet : le consentement au suivi peut être requis même lorsque l’email en lui-même ne requiert pas de consentement. Dans certains cas, ceux-ci peuvent être regroupés en une seule demande clairement décrite, mais l’hypothèse par défaut selon laquelle « ils se sont inscrits, donc nous pouvons les suivre » n’est pas prudente. 

2. Un contrat seul ne prouve pas le consentement. 

Si votre liste inclut des contacts loués, des adresses provenant de partenaires, des prospects affiliés ou des données importées de n’importe où en dehors de vos propres flux d’inscription, ceci est pour vous. 

La CNIL exige que le consentement soit démontrable pour chaque destinataire individuel ; qui a consenti, quand et sous quelles conditions. Une clause de contrat stipulant qu’un partenaire a recueilli le consentement en votre nom est une partie importante de votre cadre de responsabilité, mais ce n’est pas suffisant en soi. Si vous ne pouvez pas fournir la preuve que chaque destinataire individuel spécifique a réellement donné un consentement éclairé, vous ne l’avez pas. Cela vaut la peine d’avoir une conversation avec votre équipe juridique, surtout si votre liste a des origines mixtes. Il ne serait pas non plus inutile de vous assurer que vous respectez également la politique d’utilisation acceptable de votre service d’emailing, car ces prospects pourraient aller à l’encontre de leurs règles dès le départ. 

Les deux régulateurs affirment que le retrait du consentement doit être facile y compris pour les emails qui se trouvent déjà dans la boîte de réception de quelqu’un. 

Voici ce que cela signifie concrètement. Un utilisateur retire son consentement aujourd’hui. Demain, il ouvre un email que vous avez envoyé il y a trois mois. Le pixel se charge. L’attente est que vous ne devriez pas enregistrer cela comme un événement d’ouverture identifiable. Reste à savoir avec quelle rigueur cela sera appliqué dans la pratique, mais le retrait du consentement devrait prendre effet lorsque l’utilisateur le demande, y compris pour les emails précédemment envoyés. 

Cela exige que votre point de terminaison de pixel vérifie l’état du consentement de manière dynamique au moment de chaque ouverture, et ajuste son comportement en conséquence ; en enregistrant l’événement pour les destinataires consentants, et en ne l’enregistrant pas pour ceux qui se sont rétractés. L’image se charge quand même dans tous les cas, mais votre comportement de suivi doit changer. 

Vous ne pouvez pas changer cela avec un bouton dans votre plateforme d’envoi. Il s’agit d’une infrastructure de pixel sensible au consentement, et la plupart des systèmes d’emailing (y compris le nôtre, et presque tous les services d’emailing du marché) n’ont pas été initialement construits de cette façon. Le fossé entre l’architecture actuelle et ce que ces directives impliquent est réel, et le combler n’est pas une mince affaire. 

L’exemption de délivrabilité, même dans la forme plus permissive de la France, suppose que les données d’ouverture sont un signal utile pour identifier les destinataires inactifs. Mais le suivi des ouvertures est pollué depuis des années. 

Apple Mail Privacy Protection (entre autres) précharge les images, générant des ouvertures qui peuvent n’avoir aucun lien avec un humain lisant un email. Les passerelles de sécurité analysent les messages et déclenchent automatiquement le chargement des pixels. Les filtres anti-spam et les bots génèrent de l’activité avant même qu’un destinataire ne voie le message dans sa boîte de réception. 

Cela crée une véritable tension dans les directives. Les régulateurs affirment que vous pouvez utiliser les ouvertures pour supprimer les utilisateurs inactifs sans consentement, mais les ouvertures sont de moins en moins des signaux humains. Et les techniques nécessaires pour filtrer l’activité non humaine peuvent elles-mêmes nécessiter le type de traitement au niveau individuel qui requiert un consentement. 

C’est un cercle vicieux, vous avez besoin de données plus propres pour être en conformité, mais le nettoyage des données peut nécessiter un consentement. Les régulateurs n’ont pas encore complètement abordé ce point, et cette lacune est importante. Nous surveillons cela de près. 

Pas inutiles, mais moins fiables, et probablement moins fiables que vous ne le souhaiteriez. 

Si le suivi des ouvertures devient soumis au consentement, vous ne verrez que les données des destinataires qui ont accepté d’être suivis. Cette population sera probablement restreinte et auto-sélectionnée, biaisée vers vos abonnés les plus engagés, ce qui la rend statistiquement peu fiable pour tirer des conclusions sur votre public plus large. Ajoutez à cela les ouvertures générées par des machines, et vous obtenez des statistiques qui sont à la fois biaisées et gonflées. 

En pratique, cela affecte les automatisations basées sur les ouvertures, les flux de ré-engagement, les tests d’objet d’email, la segmentation, la logique de personnalisation et le score d’engagement. Aucun d’entre eux ne va cesser de fonctionner du jour au lendemain. Mais si votre programme s’appuie fortement sur les données d’ouverture, il vaut la peine d’auditer quelles décisions se dégraderaient si ce signal devenait plus étroit et plus bruyant qu’il ne l’est déjà. 

Cela peut donner l’impression qu’on vous enlève encore quelque chose. En réalité, c’est l’accélération d’un processus déjà en cours. Les ouvertures étaient déjà devenues bruyantes. Maintenant, elles deviennent sélectives et bruyantes. Les programmes qui en ressentiront le moins les effets sont ceux qui s’orientaient de toute façon vers les clics, les conversions, les réponses et les actions explicites des utilisateurs. 

Possiblement ! Et peut-être pour l’ensemble de l’UE au fil du temps. 

Les cadres français et italien ne sont pas les mêmes, et une approche alignée sur la CNIL pourrait ne pas satisfaire aux exigences italiennes. Pour les expéditeurs ayant une concentration de public significative sur ces deux marchés, les traiter de manière identique crée une exposition au risque. 

Pour de nombreux expéditeurs, la voie la plus simple est de s’aligner sur la norme la plus stricte pour les envois dans toute l’UE. Cela réduit la fragmentation, diminue le risque de se retrouver pris entre deux cibles mouvantes, et vous positionne raisonnablement bien si d’autres régulateurs européens publient des directives similaires, ce qui, étant donné que la CNIL et le Garante s’appuient tous deux sur le même cadre de l’EDPB, est une prédiction relativement sûre. 

Ce blog se concentre sur les récentes directives de la CNIL et du Garante, mais des principes similaires s’appliquent dans d’autres juridictions. Au Royaume-Uni, les directives du PECR et de l’ICO imposent des exigences comparables pour les technologies de type cookie, y compris les pixels de suivi. Les expéditeurs ayant des publics au Canada, aux États-Unis ou sur d’autres marchés devraient également tenir compte de leurs obligations en vertu de la LCAP, de CAN-SPAM et des lois émergentes sur la confidentialité au niveau des États. La tendance vers plus de transparence et de consentement dans le suivi numérique ne se limite pas à l’UE. 

En tant que plateforme d’envoi, Sinch Mailgun et Mailjet opèrent en tant que sous-traitants des données. Dans le cadre de la CNIL, nous sommes le « fournisseur de services d’emailing ». Vous, l’expéditeur, êtes le responsable du traitement des données. 

Cela signifie que l’obligation de collecter, de stocker et de démontrer le consentement du destinataire vous incombe, non pas parce que nous nous déchargeons de cette responsabilité, mais parce que c’est vous qui avez la relation avec le destinataire. Vous savez ce que disait votre formulaire d’inscription. Vous savez d’où proviennent ces adresses. Nous ne le savons pas. 

Ce que nous pouvons faire : fournir des contrôles flexibles au niveau du compte, du sous-compte et de la clé API, documenter le fonctionnement de nos systèmes et faire évoluer notre plateforme à mesure que cet espace se développe. Nos équipes juridiques, de produits et de délivrabilité surveillent activement les directives publiées sur ce sujet, et nous communiquerons clairement avant d’apporter toute modification au comportement de la plateforme. 

Ce que nous ne pouvons pas faire : savoir si vos destinataires ont consenti au suivi à moins que vous ne nous le disiez. Tout futur comportement prenant en compte le consentement au niveau de la plateforme dépend de ce signal venant de votre part. Ce n’est pas une limitation de la plateforme que nous pouvons contourner, mais une réalité structurelle de la façon dont le RGPD et ePrivacy assignent la responsabilité. De même, la décision d’activer ou de désactiver le suivi pour le trafic d’email que vous envoyez vous appartient.  

C’est le moment de s’organiser, pas d’être dans la réaction. 

Auditez votre utilisation des données d’ouverture. Cartographiez où les ouvertures alimentent vos systèmes, y compris les déclencheurs d’automatisation, les tableaux de bord de statistiques, la segmentation, la personnalisation et les décisions de délivrabilité. Comprenez ce qui se dégraderait si ce signal devenait soumis au consentement ou même plus limité. 

Passez en revue vos flux de consentement et votre documentation sur la confidentialité. Les formulaires d’inscription mentionnent-ils le suivi ? Votre politique de confidentialité le décrit-elle clairement ? La CNIL recommande que le consentement pour le suivi par pixel soit recueilli au moment de la capture de l’adresse email lorsque cela est possible. 

Regardez d’où vient votre liste. Pour toute adresse qui ne provient pas de vos propres formulaires et flux, comme celles louées, co-enregistrées ou fournies par des partenaires, demandez-vous si vous pouvez prouver le consentement individuel. Un contrat ne suffit pas en soi. (Et comme toujours, vous devez également vous conformer à votre politiquesservice d’emailing) 

Identifiez votre exposition à l’UE. La France et l’Italie ont les plans d’application les plus immédiats. Si vous effectuez des envois significatifs vers l’un ou l’autre de ces marchés, ils constituent votre priorité. 

Décidez s’il faut activer ou désactiver le suivi. Désactiver tout le suivi des ouvertures pourrait créer des problèmes opérationnels sans améliorer votre positionnement en matière de conformité – la seule façon de le savoir est d’examiner votre utilisation des informations. Comprenez d’abord la situation dans son ensemble sur ce que ces récentes directives signifient pour vous, puis agissez. 

Ce n’est pas tout à fait la fin du suivi des emails, mais c’est le signe que l’email évolue vers le même modèle sous lequel le suivi web a opéré pendant des années : un objectif plus clair, plus de transparence, plus de contrôle pour l’utilisateur. 

La différence est une question de timing. Le suivi web a dû réagir à la réglementation après coup. L’email a l’occasion de s’y préparer, et c’est une position véritablement meilleure. 

Ce changement était déjà en cours. Entre l’Apple MPP, les analyses de sécurité et l’évolution du comportement des boîtes de réception, les taux d’ouverture perdaient déjà en fiabilité bien avant qu’un quelconque régulateur n’intervienne. Ces directives rendent la chose officielle : l’avenir de l’engagement par email repose sur des signaux intentionnels, et non passifs. Clics. Conversions. Réponses. Des actions qui signifient quelque chose lorsqu’elles se produisent. 

Il n’y a pas de campagnes d’application aujourd’hui, mais la direction est claire : le fossé entre le fonctionnement actuel du suivi des emails et la façon dont les régulateurs s’attendent à ce qu’il fonctionne est réel, et combler ce fossé prendra du temps, de la coordination et nécessitera de repenser l’architecture. 

La bonne nouvelle est que vous pouvez le voir venir. 

C’est une position bien plus confortable que de le découvrir après coup. 

Auteur: Alison Gootee Deliverability Specialist at Sinch Mailgun