La CNIL a adopté une recommandation finale le 18 décembre 2025 et l'a publiée au Journal officiel le 18 janvier 2026, consolidant de nouvelles règles qui vont transformer la manière dont les entreprises suivent l'engagement email. La CNIL a lancé une consultation publique en juin 2025 sur les pixels de suivi dans les emails, pouvant exiger un consentement explicite même pour le suivi basique des ouvertures. Pour tout responsable marketing ou équipe de croissance s'appuyant sur les taux d'ouverture comme métrique clé, cela représente un tournant majeur dans la collecte et l'utilisation des données d'engagement.
Le double consentement change la donne
La CNIL propose que les utilisateurs fournissent deux consentements indépendants : l'un pour recevoir des emails marketing et un second, distinct, spécifiquement pour le déploiement de pixels de suivi. Ce n'est pas une subtilité réglementaire mineure. Cela signifie que regrouper le consentement dans une seule case à cocher intitulée « J'accepte de recevoir des emails marketing » ne couvre plus l'utilisation de pixels de suivi.
L'exigence de double consentement oblige les organisations à obtenir deux autorisations distinctes : le consentement de recevoir des emails en vertu de l'article 13 de la directive ePrivacy et un consentement séparé pour le suivi en vertu de l'article 5.3, la même disposition qui régit les cookies. Cette distinction invalide la pratique courante de regrouper le consentement de suivi dans les inscriptions aux newsletters. Une case à cocher affirmant « J'accepte de recevoir des emails marketing » ne couvre pas le déploiement de pixels de suivi. Chaque opération exige son propre consentement explicite.
Cela impacte la segmentation des campagnes email, la personnalisation et la notation des leads. Si vous suivez les ouvertures pour déterminer l'engagement, signalez les contacts comme actifs ou ajustez la fréquence d'envoi en fonction du comportement d'ouverture, vous avez désormais besoin d'une preuve documentée d'un consentement séparé pour ce suivi spécifique.
Et le retrait rétroactif du consentement ?
L'un des aspects les plus techniquement exigeants concerne les droits de retrait. Les liens de désinscription ou de retrait de consentement doivent avoir un effet rétroactif immédiat, même pour les messages envoyés précédemment. Cette exigence pose des défis d'implémentation particuliers, car elle oblige les organisations à développer une infrastructure technique capable d'empêcher l'activation du pixel, même quand les utilisateurs rouvrent les messages reçus après le retrait du consentement.
Cela signifie que votre système de suivi email ne peut pas simplement stocker les données d'ouverture et les archiver. Si un utilisateur révoque son consentement de suivi, les organisations doivent arrêter l'activation du pixel, y compris sur les emails envoyés avant le retrait. Les pixels de suivi traditionnels sont statiques : une fois intégrés dans un email, ils fonctionnent de la même façon indéfiniment. Les nouvelles règles exigent effectivement des systèmes de suivi dynamiques capables de vérifier le statut de consentement au moment du chargement du pixel, et non uniquement au moment de l'envoi.
Les exceptions sont plus étroites que vous ne l'espérez
La CNIL autorise bien un suivi sans consentement explicite, mais uniquement dans des conditions spécifiques. Des exceptions peuvent s'appliquer pour les pixels utilisés à des fins purement techniques (sécurité, authentification) ou pour des mesures agrégées et non identifiables des taux d'ouverture. Cependant, identifier individuellement qui ouvre les emails, cibler les contacts selon leur comportement d'ouverture ou personnaliser le contenu selon les interactions d'ouverture individuelles exigent tous un consentement explicite. En revanche, mesurer les taux d'ouverture globaux anonymisés au niveau de la campagne ou par domaine destinataire ne nécessite pas de consentement supplémentaire.
Cette distinction compte pour les équipes de délivrabilité. Vous ne pouvez pas utiliser les données d'ouverture individuelles pour identifier les adresses qui rebondissent ou les segments inactifs sans consentement, même à des fins opérationnelles.
Le B2B est le plus gros point d'interrogation
Le secteur B2B sera probablement le plus affecté, puisqu'il tombera désormais sous l'exigence de consentement, alors que les emails commerciaux B2B fonctionnent généralement selon un régime opt-out. De nombreux responsables marketing B2B ont construit des workflows autour du suivi des ouvertures sans consentement explicite, s'appuyant sur les règles de soft opt-in pour les emails professionnels. Cette protection ne s'applique plus aux pixels de suivi selon le cadre de la CNIL.
Calendrier d'application et étapes pratiques
La CNIL fera probablement preuve de bienveillance lors de la période initiale d'application, en adressant des rappels avant les amendes. Mais les organisations disposaient effectivement de jusqu'à janvier 2026 pour être conformes. Après cette date, les mesures d'application deviennent nettement plus probables. Puisque cette date a désormais passé, la conformité n'est plus optionnelle.
La CNIL a souligné lors de sa conférence EMDay 2025 que les organisations ne doivent pas attendre les recommandations finales pour respecter ces exigences. L'obligation légale d'obtenir un consentement pour le suivi email existe depuis la mise en œuvre du RGPD en 2018.
Ce que les responsables marketing et les équipes de croissance doivent faire dès maintenant
Commencez par auditer quelles données vous suivez vraiment et quelles décisions marketing en dépendent. Les organisations doivent pouvoir démontrer le consentement des utilisateurs à tout moment lors des audits réglementaires, en conservant des registres détaillés du moment où le consentement a été obtenu, du suivi spécifique consenti et de la manière dont le mécanisme de consentement a été présenté.
Mettez à jour vos flux d'inscription pour collecter un consentement séparé pour le suivi. Repensez les workflows d'automatisation qui s'appuient sur les données d'ouverture individuelles pour fonctionner uniquement avec les segments ayant consenti ou pivotez vers des métriques agrégées anonymisées. Pour les bases de données de contacts existantes sans consentement de suivi documenté, vous avez deux options : arrêter de suivre ces contacts ou cesser la pratique entièrement, sauf si vous pouvez prouver que le consentement a été collecté.
Le paysage réglementaire évolue dans toute l'UE, et la CNIL française montre la voie. Ce qui était une pratique courante au cours des cinq dernières années est désormais une responsabilité de conformité. Les organisations qui agissent rapidement pour mettre en place des mécanismes de consentement séparé et des systèmes de suivi conscients du consentement auront le temps d'adapter les workflows et la messagerie avant l'intensification de l'application.
