FAQ CNIL sur la recommandation pixel

Le 22 juillet 2026, la CNIL a publié une FAQ précisant la mise en œuvre de sa recommandation relative aux pixels de suivi. Cette publication fait notamment suite aux nombreuses questions auxquelles elle a pu répondre lors des deux webinaires qu’elle a organisé le 28 mai et le 4 juin 2026.

Pour mémoire, la CNIL avait organisé deux webinaires sur la mise en œuvre de cette Délibération que vous pouvez retrouver ici et là. Nous vous avions partagé un CR du webinaire du 28 mai. Celui-ci sera prochainement amendé à l'aune des précisions apportées dans la FAQ.

Lire la FAQ

Nous vous résumons ci-dessous les principaux apports :

Sur le champ d’application

• Liens traçants. Sans être directement traités dans la recommandation, la CNIL confirme qu’ils relèvent de l’article 82 de la Loi Informatique et Libertés lorsqu’ils impliquent une lecture ou une écriture sur le terminal. La recommandation pixel ainsi que celle sur les cookies et autres traceurs fournissent les principes permettant aux acteurs recourant à cette technologie d’évaluer leur conformité. Leur régime dépend de la finalité poursuivie. Elle donne un exemple d’exemption : le recours à un lien traçant unique permettant un retrait simple et sécurisé du consentement peut être strictement nécessaire au service demandé.
•  Catégories d’emails concernées. La recommandation couvre également les courriels adressés aux salariés et ceux envoyés à des adresses génériques ; les obligations restent appréciées selon les finalités et les circonstances d’utilisation.

Précisions nouvelles sur les pixels exemptés et l’anonymisation

• Statistiques globales d’ouverture. Une réutilisation sans consentement est possible après anonymisation effective de données licitement collectées (pixel soumis à consentement ou exempté), notamment pour produire une statistique globale du taux d’ouverture d’une campagne.
• Données strictement nécessaires. La CNIL confirme et affine le principe déjà présenté : en matière de délivrabilité, la donnée normalement nécessaire est la date de dernière ouverture, à la journée et sans l’heure. L’adresse IP, le user-agent ou l’heure d’ouverture ne peuvent être collectés au titre de l’exemption que si leur nécessité est spécialement documentée ; leur anonymisation ou suppression rapide ne régularise pas une collecte excessive.

• Conséquences de l’inactivité. La CNIL détaille les suites concrètes à donner à l’absence d’ouverture : cessation ou réduction des envois, retrait de la base ou recours à un autre canal lorsque les conditions légales sont réunies. Les organismes doivent documenter la réalité de cette démarche. Elle confirme aussi que l’ouverture ne constitue pas un « contact » au sens du référentiel relatif à la gestion des activités commerciales.
• Pixels à finalités multiples. Un même pixel peut combiner une finalité exemptée et une finalité soumise au consentement. Seule la première peut être activée sans consentement, à condition de satisfaire aux critères de l’exemption. Le pixel doit poursuivre une finalité déterminée dès son dépôt.

Opposition aux traitements liés aux pixels exemptés

L’article 82 de la loi Informatique et Libertés n’impose ni consentement ni mécanisme d’opposition propre à l’opération de lecture ou d’écriture lorsqu’elle bénéficie d’une exemption. Toutefois, le pixel donne généralement lieu à un traitement ultérieur de données personnelles soumis au RGPD. Si ce traitement repose sur l’intérêt légitime, la personne doit pouvoir s’y opposer au moyen d’un mécanisme aisément accessible. Par ailleurs, si l’article 82 n’impose pas d’informer sur le traceur exempté, la CNIL recommande cette information par souci de transparence, l’information relative au traitement de données personnelles demeure obligatoire au titre du RGPD.

Exemption liée à la sécurité

L’exemption peut couvrir la sécurisation de l’authentification ainsi que les pixels insérés dans les courriels d’authentification ou de réinitialisation de mot de passe. Elle ne couvre ni la lutte contre la fraude en général, ni la lutte générale contre les robots, ni la lutte contre la manipulation d’inventaire publicitaire. Certaines mesures contre des accès automatisés peuvent néanmoins être exemptées lorsqu’elles sont directement centrées sur la sécurisation de l’authentification de l’utilisateur.

Les exemptions appliquées aux catégories de courriels

• Prospection pour des produits ou services analogues. La licéité de l’envoi sans consentement au titre de l’article L. 34-5 du CPCE n’emporte pas exemption du pixel de délivrabilité.
• Courriels transactionnels. La CNIL qualifie de transactionnels la confirmation d’achat ou de souscription et le courriel de renouvellement d’un abonnement. Le courriel d’information légale, réglementaire ou contractuelle l’est en principe lorsqu’il a pour seul objet une évolution ayant une incidence sur le service souscrit. À l’inverse, la relance de panier est promotionnelle. Une confirmation d’achat comportant une composante promotionnelle perd son caractère transactionnel.
• Newsletters.  L’exemption est possible lorsque la newsletter a été expressément demandée et que le pixel sert uniquement sa délivrabilité. Elle est en principe exclue lorsque l’envoi de la newsletter repose sur l’exception des produits ou services analogues. 
• L’anonymisation préalable des données sur le terminal n’est pas une condition suffisante pour se dispenser du consentement au pixel lorsqu’il est requis.

Recueil du consentement

• Portée du choix. Le consentement peut être lié à l’adresse électronique plutôt qu’à une catégorie de courriels, à condition que l’utilisateur comprenne précisément les communications concernées.
• Retrait. en cas de retrait de consentement, les données collectées doivent être supprimées si aucune autre base légale ne justifie leur conservation. Les requêtes provenant de pixels déjà insérés doivent en outre être totalement ignorées après le retrait.
• Durée des choix. La CNIL qualifie de de bonne pratique l’absence de nouvelle sollicitation pendant six mois, pour l’acceptation comme pour le refus.

Période transitoire : confirmation du dispositif et tolérance en cas de difficultés justifiées

• La prolongation au-delà du 14 juillet 2026 doit rester raisonnable et reposer sur des difficultés objectivement justifiées et documentées, notamment le volume de la base ou les risques de délivrabilité.
• À défaut d’envoi de l’information dans le délai applicable, le consentement doit être recueilli pour les pixels non exemptés ; sinon, leur utilisation doit cesser.
• L’absence d’opposition des contacts informés avant l’échéance peut continuer à être invoquée tant que les conditions d’envoi demeurent inchangées. Si un nouveau consentement à la prospection devient nécessaire, un consentement conforme doit également être recueilli pour les pixels non exemptés.