Pixels de suivi dans les courriers électroniques : une recommandation CNIL pour clarifier les pratiques et sécuriser la conformité

You will find the English version below.

Contexte et portée de la recommandation

La CNIL a adopté, le 12 mars 2026, une recommandation relative à l’utilisation des pixels de suivi dans les courriers électroniques, publiée le 14 avril 2026 à l’issue d’une consultation publique, en réponse à leur usage croissant et aux nombreuses plaintes reçues par l’autorité. L’autorité a publié le 22 juillet 2026, une FAQ pour accompagner les acteurs dans leur conformité.

Sans créer de nouvelles règles, elle prolonge les lignes directrices et la recommandation adoptées par la CNIL en 2020 sur les cookies et autres traceurs (art. 82 LIL) et rappelle que ces pixels sont soumis aux mêmes principes juridiques, dans la droite ligne des recommandations de l'EDPB sur ce sujet.

La recommandation explicite ainsi l’application de ces principes au contexte spécifique au canal de l’email, afin d’aider les responsables de traitement et leurs prestataires à mieux comprendre leurs obligations et à assurer le respect effectif des droits des personnes concernées. Nous en présentons ci-dessous les points clés. 

La recommandation s’applique aux acteurs utilisant des pixels de suivi quel que soit leur lieu d’établissement : la CNIL peut intervenir y compris à l’égard d’organismes non établis sur le territoire français s’ils visent des personnes se trouvant sur le territoire. Les courriels envoyés à des adresses professionnelles, y compris ceux adressés à des salariés, n’échappent pas non plus au champ d’application de la recommandation.

Définition technique et enjeux de transparence 

Un pixel de suivi est une image invisible (1×1 pixel), intégrée dans un courriel. Son chargement permet à l’expéditeur de savoir si le message a été ouvert et d’en déduire certaines informations (date, appareil, localisation). Ces pratiques se sont développées pour la mesure d’audience, la personnalisation et l’optimisation marketing, et impliquent de nombreux acteurs (expéditeur, prestataires d’emailing, fournisseurs de technologies…).

Ces pratiques posent des enjeux de transparence, la collecte étant automatique et invisible pour l’utilisateur, ce qui explique l’attention particulière de la CNIL. 

Rappel des principes de 2020 applicables aux pixels

La recommandation rappelle que les pixels de suivi sont soumis aux mêmes règles que les cookies et traceurs :

• les prestataires sont sous-traitants s’ils agissent pour le compte de l’expéditeur, mais responsables conjoints s’ils utilisent les données pour leurs propres finalités ;
• le consentement doit être recueilli via une action positive claire (cases pré-cochées interdites), et il doit être aussi simple de le retirer que de le donner ;
• la seule clause contractuelle engageant un tiers à recueillir le consentement ne suffit pas à démontrer sa validité ;
• même pour les traceurs exemptés, la CNIL recommande d’informer les utilisateurs dans la politique de confidentialité.
• le consentement préalable est requis pour les finalités publicitaires, d’optimisation, de profilage ou de détection de fraude, selon les critères classiques (consentement libre, spécifique, éclairé et univoque) ;
• sont exemptés les traceurs liés à l’authentification et à la sécurité, ainsi que ceux strictement nécessaires à un service demandé par l’utilisateur (exemption de délivrabilité) ;
  • la FAQ précise toutefois que l’exemption de sécurité ne couvre pas la lutte contre la fraude en général (par exemple, la lutte contre les bots), sauf lorsque les mesures sont centrées sur l’utilisateur (authentification, réinitialisation de mot de passe) ;
• un traceur poursuivant à la fois une finalité exemptée et une finalité non exemptée requiert le consentement pour la finalité non exemptée (la FAQ précise qu’il est possible de distinguer les finalités d’un même pixel et d’activer celles exemptées sans consentement) ;

Pour l’exemption de délivrabilité, la CNIL apporte des précisions : seule la date de la dernière ouverture (à la journée, sans l’heure) devrait être conservée, avec suppression de la précédente à chaque mise à jour, conformément au principe de minimisation. Par ailleurs, la FAQ clarifie que les courriels de prospection envoyés sur le fondement de l’exception « produits ou services analogues » (article 34-5 CPCE) ne peuvent pas bénéficier de cette exemption lorsqu’ils contiennent un pixel, car ils ne sont pas considérés comme un service demandé par l’utilisateur. En revanche, les courriels de prospection envoyés sur la base du consentement préalable du destinataire (y compris les newsletters demandées) peuvent en bénéficier lorsque le pixel est utilisé pour assurer la délivrabilité des messages.

Apports spécifiques au canal email

La CNIL transpose au canal email les principes de 2020 sur l’information de l’utilisateur, en précisant que le destinataire doit être informé de l’adresse email concernée par le traitement et du fait que des pixels peuvent être déposés sur tous les terminaux utilisés pour consulter ses messages.

S’agissant des modalités spécifiques au canal email, le consentement peut être recueilli :

• de préférence dès la collecte de l’adresse mail, avec un résumé des finalités et un lien vers une information détaillée ; 
• à défaut, il peut être sollicité via un courriel sans pixel, renvoyant vers une interface de choix impliquant une action positive (p.ex. un clic) sans pré‑chargement automatique. 

Dans ce second cas, l’usage d’un lien individuel traçant est recommandé par la CNIL afin de réserver l’expression des choix au titulaire de l’adresse. Il est d’ailleurs précisé dans la recommandation que cet usage est exempté de consentement au titre de l’article 82 LIL car il s’agit d’une mesure de sécurité liée à l’authentification de l’utilisateur, ces liens participant à la protection du destinataire contre l’accès non authentifié à des fonctionnalités qui leur sont réservées. 

Le responsable du traitement doit pouvoir démontrer à tout moment que les utilisateurs ont consenti de manière individualisée. La CNIL attire notamment l’attention sur les risques liés au recueil via une CMP (consent management platform) pour les pixels, les utilisateurs devant comprendre que leur choix concerne l’environnement email, distinct du web ou de l’application mobile pour lesquels les utilisateurs identifient aujourd’hui l’usage des CMP. En l’absence d’une telle compréhension, le consentement « éclairé » de l’utilisateur ne saurait être réuni. 

Enfin, la possibilité de retirer son consentement doit être offerte par un lien traçant dans le pied de page de chaque courriel, permettant le retrait sans action supplémentaire. Le responsable du traitement doit s’assurer de l’effectivité du retrait pour les courriels à venir et les courriels antérieurs rouverts.

Délai de mise en conformité 

C’est là l’apport majeur de cette recommandation. Pour les adresses collectées avant la publication, le responsable avait jusqu’au 14 juillet 2026 (trois mois après publication) pour informer les destinataires et leur permettre de s’opposer facilement. Une prolongation était possible à condition de documenter les difficultés rencontrées. À l’expiration de ce délai, les acteurs s’exposent à un risque accru de contrôles et de sanctions. Pour les adresses collectées avant la publication dont les titulaires n’ont pas été informés dans le délai, un consentement est désormais nécessaire. La FAQ précise toutefois que l’absence d’opposition ne vaut que tant que les conditions d’envoi des courriels demeurent inchangées : si un nouveau consentement est requis pour l’envoi des courriels (ajout de partenaires, évolution des conditions), un nouveau consentement pour les pixels doit également être recueilli.

En définitive, cette recommandation confirme que les règles applicables aux pixels de suivi ne sont pas nouvelles : elles découlent des principes posés dès 2020 pour les cookies et autres traceurs. Son apport réside dans l’application explicite au canal email, l’accompagnement pratique offert par la CNIL (notamment via la FAQ de juillet 2026), et surtout dans le délai de mise en conformité qui a été accordé.

English version

Tracking pixels in emails: A CNIL recommendation to clarify practices and secure compliance

Context and scope of the recommendation

On 12 March 2026, the CNIL adopted a recommendation on the use of tracking pixels in emails, published on 14 April 2026 following a public consultation, in response to their growing use and the numerous complaints received by the authority. On 22 July 2026, the authority published a FAQ to assist stakeholders with their compliance.

Without creating new rules, it builds on the guidelines and recommendation adopted by the CNIL in 2020 on cookies and other trackers (Article 82 of the French Data Protection Act) and reiterates that these pixels are subject to the same legal principles, in line with the EDPB's (European Data Protection Board) recommendations on this topic.

The recommendation thus spells out how these principles apply to the specific context of the email channel, in order to help data controllers and their service providers better understand their obligations and ensure the effective respect of data subjects' rights. We present the key points below.

The recommendation applies to actors using tracking pixels regardless of their place of establishment: the CNIL may intervene even against organisations not established in France if they target individuals located on French territory. Emails sent to professional addresses, including those addressed to employees, also fall within the scope of the recommendation.

Technical definition and transparency issues

A tracking pixel is an invisible image (1×1 pixel) embedded in an email. When it loads, it allows the sender to know whether the message has been opened and to infer certain information from this (date, device, location). These practices have developed for audience measurement, personalization, and marketing optimization, and involve numerous actors (sender, email service providers, technology providers, etc.).

These practices raise transparency issues, since the collection is automatic and invisible to the user, which explains the CNIL's particular attention to this matter.

Reminder of the 2020 principles applicable to pixels

The recommendation reiterates that tracking pixels are subject to the same rules as cookies and other trackers:

• Service providers are processors if they act on behalf of the sender, but joint controllers if they use data for their own purposes;
• Consent must be collected through a clear positive action (pre-ticked boxes are prohibited), and it must be as easy to withdraw consent as to give it;
• A contractual clause alone requiring a third party to collect consent is not sufficient to prove its validity;
• Even for exempt trackers, the CNIL recommends informing users in the privacy policy.
• Prior consent is required for advertising, optimization, profiling, or fraud detection purposes, according to standard criteria (free, specific, informed, and unambiguous consent);
• Trackers related to authentication and security, as well as those strictly necessary for a service requested by the user (deliverability exemption), are exempt;
• The FAQ specifies, however, that the security exemption does not cover fraud prevention in general (e.g., bot detection), except when the measures are user-centered (authentication, password reset);
• A tracker pursuing both an exempt and a non-exempt purpose requires consent for the non-exempt purpose (the FAQ clarifies that it is possible to distinguish the purposes of the same pixel and activate exempt purposes without consent);

For the deliverability exemption, the CNIL provides clarifications: only the date of the last opening (to the day, without the time) should be retained, with the previous date deleted upon each update, in accordance with the data minimization principle. Furthermore, the FAQ clarifies that commercial prospection emails sent under the “similar products or services” exception (Article L. 34-5 of the French Postal and Electronic Communications Code) cannot benefit from this exemption when they contain a pixel, as they are not considered a service requested by the user. In contrast, prospection emails sent on the basis of the recipient’s prior consent (including requested newsletters) may benefit from it when the pixel is used to ensure the deliverability of messages.

Email channel-specific guidance

The CNIL transposes to the email channel the 2020 principles on user information, specifying that the recipient must be informed of the specific email address covered by the processing and the fact that pixels may be deployed on all devices used to access their messages.

Regarding email-specific methods, consent may be collected:

• Preferably, at the time the email address is collected, with a summary of the purposes and a link to detailed information;
• Failing that, it may be requested via a pixel-free email, directing to a choice interface requiring a positive action (e.g., a click) without automatic pre-loading.

In this second case, the CNIL recommends the use of an individual tracking link in order to ensure that only the email address holder can express their choices. The recommendation further specifies that this use is exempt from consent under Article 82 of the French Data Protection Act, as it constitutes a security measure related to user authentication, these links serving to protect the recipient against unauthenticated access to functionalities reserved for them.

The data controller must be able to demonstrate at all times that users have given individualized consent. The CNIL specifically draws attention to the risks associated with collecting consent via a CMP (consent management platform) for pixels, as users must understand that their choice relates to the email environment, which is distinct from the web or mobile application environments for which users currently recognize the use of CMPs. In the absence of such understanding, the user’s "informed" consent cannot be considered to have been obtained.

Finally, the option to withdraw consent must be offered via a tracking link in the footer of each email, allowing withdrawal without any additional action. The data controller must ensure that the withdrawal is effective both for future emails and for previously sent emails that are reopened.

Compliance deadline

This is the major contribution of this recommendation. For email addresses collected prior to publication, controllers had until 14 July 2026 (three months after publication) to inform recipients and enable them to easily object. An extension was possible provided difficulties were documented. After this deadline, organizations face an increased risk of inspections and sanctions. For addresses collected before publication where recipients were not informed within the deadline, consent is now required. The FAQ specifies, however, that the absence of objection only applies as long as the conditions for sending emails remain unchanged: if new consent is required for sending emails (e.g., adding partners, changes to conditions), new consent for pixels must also be obtained.

Ultimately, this recommendation confirms that the rules applicable to tracking pixels are not new: they derive from principles established in 2020 for cookies and other trackers. Its contribution lies in the explicit application to the email channel, the practical guidance offered by the CNIL (including through the July 2026 FAQ), and above all in the compliance deadline that was granted.