France : les règles de la CNIL sur la prospection par email et la recommandation sur les pixels de suivi

La France transpose la règle de la directive ePrivacy sur le marketing par email à l’article L34-5 du Code des postes et des communications électroniques (CPCE), et sa règle sur l’équipement terminal (cookies et pixels) à l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (loi « Informatique et Libertés »). L’autorité de contrôle est la CNIL. Comme le PECR britannique et la LCAP, le régime français impose l’opt-in pour les particuliers. Il s’en distingue par un critère B2B propre, le « rapport avec la profession », là où le Royaume-Uni exempte les abonnés personnes morales, et, depuis 2026, par une règle phare pour les ESP : la plupart des pixels de suivi des ouvertures dans les emails nécessitent le consentement du destinataire.

Ceci n’est pas un avis juridique : vérifiez les seuils et les délais auprès des sources primaires (ci-dessous) et d’un conseil avant de vous y fier. Voir compliance/README.md.

Typologie des messages

La CNIL distingue trois types de messages ; le classement détermine les règles applicables :

Les messages transactionnels et relationnels ne doivent pas contenir de contenu promotionnel significatif ; y mêler du contenu commercial requalifie le message en prospection et déclenche les règles de consentement. (Le principe est le même que le critère de l’objet principal de CAN-SPAM, mais ici la requalification entraîne l’obligation d’opt-in.)

B2C : consentement préalable obligatoire

La prospection commerciale par email ou par SMS auprès de particuliers exige un consentement préalable (article L34-5 du CPCE), conforme à la définition de l’article 4, point 11, du RGPD : libre, spécifique, éclairé, univoque, et exprimé par un acte positif et spécifique.

• Les cases précochées sont interdites ; le mécanisme recommandé est une case à cocher décochée par défaut.
• L’acceptation des conditions générales ne peut pas tenir lieu de consentement.
• Le consentement peut être retiré à tout moment.
• Références juridiques : RGPD, article 4, point 11 (définition), article 6 (bases légales), article 7 (conditions applicables au consentement), article 21 (droit d’opposition) ; CPCE, articles L32 et L34-5.

Exception 1 : clients existants, produits ou services analogues

Aucun consentement préalable n’est nécessaire pour prospecter un client existant au sujet de produits ou services analogues fournis par la même entreprise, à condition que :

1. la personne ait été informée, au moment de la collecte de son adresse, que celle-ci serait utilisée à des fins de prospection pour des produits ou services analogues ; et
2. elle ait pu s’y opposer, simplement et gratuitement, lors de la collecte et dans chaque message ultérieur.

Les limites que souligne la CNIL :

• Une vente ou une prestation de service effectuée est nécessaire : selon la CNIL, « cette exception ne peut pas être mobilisée lorsqu’aucune vente ou prestation de service n’a été effectuée ». La simple création d’un compte (par exemple l’ouverture d’un compte sur un site marchand sans commande) ne confère pas la qualité de client ; le consentement est requis.
• CJUE, 13 novembre 2025 (Inteligo Media, C-654/23) : le titulaire d’un compte gratuit sur un site d’information, qui reçoit une newsletter faisant la promotion d’abonnements payants, peut relever de l’exception des clients existants : un service gratuit qui ouvre une relation client peut compter.
• Exemples de produits analogues : l’acheteur d’un billet de train qui reçoit des offres de services de transport analogues → l’exception s’applique (avec une possibilité d’opposition) ; une réservation d’hôtel utilisée pour envoyer des offres d’une compagnie aérienne partenaire → l’exception ne s’applique pas (autre entreprise, autres produits), le consentement est requis.

Exception 2 : prospection non commerciale (associations caritatives et assimilées)

Les associations caritatives et les organismes comparables peuvent prospecter sur la base de l’intérêt légitime plutôt que du consentement, à condition que la personne ait été informée lors de la collecte que ses coordonnées seraient utilisées pour de la « prospection non commerciale », et qu’elle dispose d’un moyen simple et gratuit de s’y opposer, lors de la collecte comme à chaque message.

B2B : le critère du rapport avec la profession

La prospection par email auprès de professionnels n’exige pas systématiquement de consentement. La base légale est l’intérêt légitime, sous trois conditions :

1. le message est en rapport avec la profession de la personne démarchée ; l’exemple de la CNIL : proposer un logiciel au directeur informatique d’une entreprise répond à ce critère ;
2. la personne a été informée (lors de la collecte ou, pour les données déjà détenues ou acquises auprès de tiers, de manière vérifiable) que ses coordonnées pourraient être utilisées à des fins de prospection, ainsi que de l’origine des données et de l’objet du message ;
3. un mécanisme d’opposition simple et gratuit est proposé.

Les adresses génériques d’organisation (info@company.fr, contact@company.fr, commande@company.fr), qui concernent des personnes morales et non des personnes physiques, échappent entièrement à ces règles de consentement et d’opposition. À comparer avec le PECR britannique, où les adresses de rôle des abonnés personnes morales sont elles aussi exemptées de la règle du consentement, mais où les obligations d’identification et d’opt-out s’appliquent toujours ; voir Pays-Bas et la question du B2B pour la comparaison entre pays.

Exigences générales (toute prospection)

• Identifier clairement l’organisme expéditeur.
• Proposer un mécanisme de désabonnement simple dans chaque message.
• Respecter les oppositions de façon permanente : la CNIL recommande une liste repoussoir (une liste de suppression) pour éviter toute nouvelle sollicitation (même architecture que dans RGPD et listes de suppression).
• Répondre aux demandes d’exercice des droits (accès, rectification, opposition, effacement) sous un mois maximum.
• Fournir l’information prévue par le RGPD lors de la collecte.
• Un manquement peut faire l’objet d’une plainte auprès de la CNIL ; les SMS indésirables peuvent être signalés à la plateforme 33700.

La liste de contrôle de la CNIL pour les expéditeurs : classer le type de message ; vérifier que les messages transactionnels ou relationnels ne contiennent pas de promotion significative ; déterminer la base légale ; informer lors de la collecte ; valider le consentement lorsqu’il est requis ; proposer l’opposition lors de la collecte et dans chaque message ; tenir à jour une liste repoussoir ; encadrer les prestataires ; sécuriser les données ; définir des durées de conservation ; tout documenter.

---

La recommandation de la CNIL sur les pixels de suivi (2026)

Délibération n° 2026-042, adoptée le 12 mars 2026, publiée le 14 avril 2026 (la consultation publique s’est tenue du 12 juin au 24 juillet 2025). C’est le premier corpus de règles opérationnelles publié par une autorité de contrôle pour les pixels de suivi des ouvertures dans les emails ; il encadre directement la façon dont les ESP qui servent des destinataires français peuvent suivre les ouvertures. La recommandation applique l’article 82 de la loi Informatique et Libertés (la transposition française de l’article 5, paragraphe 3, de la directive ePrivacy), dans le prolongement des lignes directrices 2/2023 du Comité européen de la protection des données (CEPD) sur le champ d’application technique de l’article 5, paragraphe 3, de la directive vie privée et communications électroniques, qui ont confirmé que ces dispositions s’appliquent aux pixels insérés dans les emails.

Pourquoi les pixels sont concernés : le pixel est une image hébergée à distance dont l’URL comporte des paramètres individualisés ; son affichage conduit le terminal du destinataire à renvoyer des informations ciblées (identifiant du pixel, adresse IP, etc.) à l’acteur qui l’a déposé. Cette collecte constitue une opération de lecture sur le terminal de l’utilisateur, ce qui déclenche l’article 82. La recommandation ne vise que l’email (les messageries captives, comme les messageries sécurisées des banques, reposent sur d’autres protocoles et sont hors champ). Elle n’est pas réglementaire, mais la CNIL a annoncé des webinaires et veillera à son respect dans le cadre de ses contrôles.

Qui est responsable (rôles au sens du RGPD)

C’est l’un des rares textes d’une autorité de contrôle qui nomme explicitement le rôle de l’ESP : un ESP qui réutilise pour ses propres optimisations les données d’ouverture de ses clients devient responsable conjoint du traitement.

Finalités soumises au consentement

Un consentement préalable libre, spécifique, éclairé et univoque est requis pour les pixels utilisés pour :

• l’analyse du taux d’ouverture pour mesurer et optimiser les performances des campagnes : personnaliser le contenu, adapter la fréquence d’envoi ou changer de canal (email, SMS, notification push) ; cela inclut les procédés de fiabilisation de cette mesure, comme la lutte contre la fraude publicitaire ;
• la création de profils de destinataires à partir des préférences et centres d’intérêt observés, pour les cibler en dehors de l’email (sites web, applications mobiles, autres canaux) ;
• la détection et l’analyse de suspicions de fraude (par exemple des ouvertures inhabituelles ou massives révélant un comportement automatisé : inscriptions massives à un jeu concours, tentatives d’exfiltration d’informations) ;
• la mesure individuelle du taux d’ouverture à des fins de délivrabilité lorsqu’elle est réalisée en dehors du périmètre exempté ci-dessous.

Finalités exemptées de consentement

Les pixels utilisés exclusivement pour les finalités suivantes peuvent fonctionner sans consentement :

1. Les mesures de sécurité participant à l’authentification de l’utilisateur : par exemple, s’assurer que l’email contenant un code d’authentification est bien ouvert sur un terminal connu pour appartenir à l’utilisateur visé.
2. La mesure individuelle du taux d’ouverture à des fins de délivrabilité. La CNIL admet que la gestion d’une liste de diffusion « requiert presque systématiquement » des statistiques d’ouverture pour repérer d’éventuels problèmes de délivrabilité ; le responsable du traitement doit toutefois démontrer que les opérations se limitent à ce qui est strictement nécessaire pour adapter la fréquence ou arrêter l’envoi des emails aux destinataires dits « inactifs » (nettoyage des bases). Dans cette limite, les données du pixel peuvent aussi servir à :
   • évaluer et adapter le canal de communication (choisir d’autres modalités de contact) ;
   • contribuer à démontrer le respect d’une obligation légale de transmission d’informations (preuve que les informations exigées par la loi avant ou après la conclusion du contrat ont bien été délivrées).

Contrainte de minimisation : en principe, seule la date de la dernière ouverture connue, à la journée et sans l’heure, mise à jour à chaque nouvelle ouverture avec suppression de la précédente, devrait être conservée.

Limite de périmètre des exemptions : parce que l’exemption de l’article 82 repose sur la « demande expresse » de l’utilisateur, les exemptions ne s’appliquent qu’aux emails demandés par le destinataire ou rattachés à un service qu’il a demandé, c’est-à-dire aux emails transactionnels ou aux emails que le destinataire a consenti à recevoir. La recommandation définit les emails transactionnels comme des messages déclenchés par une action ou un événement propre à l’utilisateur, informatifs ou fonctionnels et nécessaires à la relation contractuelle : emails de bienvenue, alertes de compte, notifications d’expédition, confirmations de commande et factures, rappels et réinitialisations de mot de passe, réponses du service client, rappels de rendez-vous ou de réservation, notifications de paiement, notifications de violation liées au service demandé. Les pixels des emails de l’administration envoyés dans le cadre d’une mission de service public (y compris l’information proactive sur les droits) relèvent eux aussi des exemptions.

Réutilisation de données anonymisées : une fois les données collectées par un pixel effectivement anonymisées, leur réutilisation ne nécessite aucun consentement (le traitement d’anonymisation lui-même reste soumis au RGPD).

Conséquence pratique pour les ESP : un suivi généralisé des ouvertures par destinataire, destiné à des tableaux de bord d’engagement, à l’optimisation de l’heure d’envoi ou au déclenchement d’automatisations, exige le consentement pour les destinataires français ; un suivi des ouvertures dont le seul résultat conservé est une date de dernière ouverture, utilisée pour appliquer des politiques de mise en sommeil ou d’inactivité, peut être exempté sur les emails transactionnels et consentis. Le régime du consentement des pixels est indépendant de celui de l’email lui-même : le consentement aux pixels peut être nécessaire dans des emails qui n’exigent eux-mêmes aucun consentement (confirmations de commande, prospection pour des produits analogues, prospection caritative, prospection B2B en rapport avec la profession).

Recueillir le consentement aux pixels

• Présentation finalité par finalité : chaque finalité doit porter un intitulé court accompagné d’un bref descriptif, et les descriptions détaillées doivent être accessibles depuis l’interface de recueil du consentement (bouton de déroulement ou lien hypertexte au premier niveau d’information). La CNIL fournit des modèles de formulation, par exemple :
  • « [Nom de l’expéditeur des courriels] et [des sociétés tierces] utilisent des traceurs (pixels de suivi) pour savoir si vous ouvrez les courriels et la date à laquelle vous le faites afin d’établir des statistiques de diffusion et entreprendre les actions (adaptation de la fréquence ou arrêt des envois) nécessaires à la gestion des listes de diffusion » (délivrabilité) ;
  • « […] pour savoir si vous ouvrez les courriels, l’heure à laquelle vous le faites ainsi que des informations sur le terminal que vous utilisez afin de personnaliser le contenu des messages, adapter la fréquence d’envoi ou le canal de communication utilisé » (performance des campagnes) ;
  • le profilage hors email et la détection de la fraude ont des modèles analogues.
• Bonne pratique : mentionner, dans la politique de confidentialité, même les pixels exemptés de consentement.
• Clarté du périmètre : le destinataire doit pouvoir identifier l’adresse email concernée par les pixels, et comprendre que les traceurs seront déposés sur tous les terminaux sur lesquels il consulte cette boîte.
• Moment à privilégier : recueillir le consentement aux pixels au moment de la collecte de l’adresse email elle-même, en intégrant au formulaire d’inscription une information synthétique sur les finalités (avec un lien vers la politique relative aux traceurs).
• Recueil a posteriori : lorsque le consentement n’a pas été recueilli avec l’adresse (ou que l’adresse vient d’un tiers sans preuve du consentement aux pixels, ou a été recueillie à l’oral), envoyez un email sans pixel contenant un lien vers une interface de recueil du consentement. Le lien doit mener à une page qui exige une action positive (clic sur un bouton), afin que le préchargement automatique des liens par certains clients de messagerie ne puisse pas enregistrer un consentement fantôme ; c’est la même protection que pour les points de terminaison du désabonnement en un clic. Utilisez un lien de suivi propre à chaque destinataire, afin que seul le titulaire de l’adresse puisse exprimer son choix ; ces liens, qui participent à la sécurité et à l’authentification de l’utilisateur, sont eux-mêmes exemptés de consentement au titre de l’article 82.
• Inactivité = refus. L’absence de réponse à une demande de consentement doit être analysée comme un refus ; la sollicitation ne doit pas exercer de pression sur les destinataires ni gêner la lecture. Proposez un « refuser » explicite aussi simple que « accepter », enregistrez le choix et ne sollicitez plus la personne pendant un certain temps : l’absence de sollicitation pendant 6 mois est citée comme une bonne pratique. (Ce délai de 6 mois est un intervalle avant une nouvelle sollicitation, propre au consentement aux pixels, et non une règle générale de fraîcheur du consentement ; pour sa comparaison avec les durées retenues dans d’autres juridictions, voir Conservation des preuves de consentement.)
• Granularité : le consentement devrait être demandé de façon indépendante pour chaque finalité ; une interface à deux niveaux (acceptation globale au premier niveau, choix par finalité au second) est admise. Un consentement unique peut couvrir à la fois la prospection commerciale directe par voie électronique (article L34-5 du CPCE) et les pixels poursuivant des finalités connexes : par exemple une prospection expressément présentée comme personnalisée et les pixels qui la personnalisent, ou des emails de jeu concours et des pixels antifraude. Les finalités non connexes exigent des consentements distincts, et la publicité display et la prospection par email sont toujours deux finalités distinctes.
• Prudence avec les CMP : recueillir le consentement aux pixels au moyen d’une plateforme de gestion du consentement (CMP) web ou applicative est possible mais demande une attention particulière : la personne doit comprendre que son choix concerne un autre environnement (sa messagerie) et quelle adresse est concernée.

Retrait

• Proposez le retrait au moyen d’un lien de suivi dans le pied de page de chaque email ; retirer son consentement doit être aussi simple que le donner.
• Si le lien ouvre une page web, le retrait doit s’effectuer sans action supplémentaire, notamment sans avoir à saisir de nouveau l’adresse email.
• Le retrait doit être effectif : les emails à venir ne doivent plus déclencher les opérations et, pour les emails déjà envoyés, l’expéditeur peut devoir prendre des mesures pour que les pixels déjà insérés ne soient plus exploités lorsqu’un message est rouvert.

Preuve du consentement

• Le responsable du traitement doit pouvoir démontrer à tout moment le consentement (article 7, paragraphe 1, du RGPD) au moyen de traces individualisées : le consentement de chaque personne et les conditions dans lesquelles il a été obtenu.
• Lorsqu’un tiers a collecté l’adresse et le consentement, une clause contractuelle obligeant le partenaire à recueillir un consentement valable ne constitue pas une preuve suffisante. Le contrat peut en revanche encadrer : les mécanismes de recueil du consentement, la mise à disposition des éléments de preuve pour l’organisme qui s’en prévaut, les conditions de conservation des preuves préservant leur valeur probante, et les audits réguliers des mécanismes de recueil du consentement. Les engagements contractuels n’exonèrent pas le responsable du traitement de sa responsabilité s’il ne peut pas produire la preuve.

Transition pour les listes existantes

Pour les adresses déjà collectées avant la publication, le suivi peut se poursuivre uniquement si une information claire et accessible est envoyée aux destinataires dans un délai qui ne saurait, en principe, excéder 3 mois à compter de la publication de la recommandation, afin de permettre à toute personne dont le consentement n’a pas été valablement recueilli de s’opposer à ces opérations pour les emails futurs. Lorsqu’un nouveau consentement est de toute façon nécessaire (par exemple pour transmettre les données à de nouveaux responsables du traitement à des fins de prospection), un consentement valable aux pixels doit être recueilli pour les opérations non exemptées.

Enjeux pour la délivrabilité

La France est la première juridiction à encadrer en détail les mécanismes du suivi des ouvertures, et elle aboutit à la position que les praticiens de la délivrabilité avaient déjà atteinte pour des raisons techniques : les données d’ouverture ne sont pas fiables (Apple Mail Privacy Protection précharge les pixels ; Gmail fait passer les images par un proxy), et leur usage opérationnel légitime est l’hygiène de base de données, précisément la finalité que la CNIL exempte. Les ESP devraient traiter l’analyse des ouvertures par destinataire pour les destinataires français comme une fonction soumise au consentement, conserver une date de dernière ouverture minimale pour les politiques de mise en sommeil, et privilégier les signaux de clic et de conversion pour mesurer l’engagement. Voir aussi la position britannique (PECR) : les pixels y relèvent également des règles sur le stockage et l’accès, mais sans recommandation opérationnelle équivalente (pour l’instant).