L'autorité italienne de protection des données vient de tracer une ligne claire autour de l'un des outils les plus courants mais les moins transparents du marketing par email. Le Garante, l'autorité italienne de protection des données, a publié de nouvelles directives qui redéfinissent la façon dont les organisations peuvent utiliser les pixels de suivi dans les emails. Les règles, adoptées le 17 avril 2026, et rapportées par Byte.Legali le 21 avril, exigent le consentement explicite de l'utilisateur avant que tout pixel de suivi ne s'active dans un email commercial. Pour les marketers qui s'appuient sur les données de taux d'ouverture, c'est un changement opérationnel important avec un délai serré.
Ce que le Garante a réellement décidé
Les pixels de suivi sont des images transparentes, souvent de la taille d'un seul pixel, intégrées dans les emails et hébergées sur des serveurs distants. Lorsqu'un destinataire ouvre un message, le pixel se télécharge automatiquement, permettant à l'expéditeur de savoir si et quand l'email a été lu, combien de fois il a été ouvert, depuis quel appareil, et des données techniques incluant l'adresse IP.
Le régulateur a décrit cette technologie comme particulièrement intrusive, surtout lorsqu'elle est déployée sans la pleine conscience du destinataire. Jusqu'à présent, aucune règle spécifique du droit italien n'abordait directement cette pratique. Avant le 17 avril 2026, aucune orientation spécifique n'en disciplinait l'utilisation dans le système juridique italien, et le Garante a comblé cette lacune avec une décision qui établit des obligations techniques et juridiques précises pour quiconque utilise ces outils.
L'Autorité a confirmé que les pixels de suivi relèvent de l'article 122 du Code de la confidentialité italien, qui régit les technologies qui accèdent aux informations sur l'appareil d'un utilisateur ou surveillent l'activité en ligne. En termes pratiques, cela place les pixels de suivi des emails dans la même catégorie réglementaire que les cookies de navigateur et les soumet aux mêmes exigences de consentement.
Le consentement doit être préalable, libre et spécifique
Au cœur du cadre se trouve une attente claire selon laquelle les organisations doivent obtenir un consentement préalable et éclairé avant d'utiliser les pixels de suivi dans la plupart des cas. Le langage du Garante est direct: le consentement ne peut pas être intégré discrètement dans une politique de confidentialité ni supposé du consentement général d'un abonné à recevoir des emails marketing.
La bonne nouvelle pour les marketers gérant la fatigue du consentement: le Garante permet une certaine consolidation. Le consentement pour les pixels de suivi peut être inclus dans le consentement plus large à recevoir des communications promotionnelles, évitant de multiplier les demandes redondantes. La condition est que la demande soit formulée de manière neutre, sans pression, et que l'abonné soit clairement informé que le suivi est impliqué.
Un accent particulier est mis sur le retrait "granulaire": les utilisateurs doivent pouvoir choisir s'ils souhaitent continuer à recevoir des emails sans suivi, ou arrêter complètement les communications, sans faire face à des pénalités ou restrictions de service. Ce mécanisme de désabonnement doit être accessible via un lien standardisé ou une icône dans le pied de page de chaque email, menant à une page de préférences dédiée.
Qui doit se conformer
Le champ d'application est large. Les directives s'appliquent aux fournisseurs de services de la société de l'information, aux organisations offrant des services en ligne accessibles au public, aux fournisseurs d'email, aux plateformes d'envoi d'emails en masse, et plus généralement à toute entité utilisant des pixels de suivi. Cela couvre les ESP, les opérateurs de newsletters et toute entreprise envoyant des emails commerciaux aux résidents italiens.
Les pixels de suivi se sont avérés, selon les inspections propres du Garante menées entre octobre 2025 et février 2026, être présents dans pratiquement toutes les campagnes de communication numérique. Cette ampleur signifie que peu d'expéditeurs seront exemptés.
Des exceptions limitées persistent
L'Autorité s'est arrêtée avant une interdiction pure et simple. Des exceptions limitées subsistent pour les utilisations liées à la sécurité, les fonctions techniques strictement nécessaires, et certaines communications institutionnelles ou de service. Même dans ces cas, les organisations doivent respecter les principes de proportionnalité et de minimisation des données.
L'utilisation statistique des pixels nécessite l'anonymisation complète des données, empêchant toute identification individuelle. Si votre rapport de taux d'ouverture est agrégé et non identifiable, il peut échapper à l'exigence de consentement, mais le suivi de l'engagement au niveau individuel ne le permet pas.
Six mois pour se conformer
Le Garante a fixé une période transitoire de six mois à compter de la publication des directives dans la Gazzetta Ufficiale (journal officiel italien), dans laquelle toutes les parties affectées doivent mettre en conformité leurs pratiques. Le délai n'a pas encore commencé formellement, car la publication dans la Gazzetta Ufficiale était encore en attente au moment de la décision, mais les équipes doivent traiter cela comme une priorité immédiate.
Le Garante exige l'adoption des principes de protection des données dès la conception et par défaut, obligeant les responsables du traitement à intégrer la protection des données dans la conception des systèmes dès le départ. Les mesures recommandées incluent l'utilisation d'identifiants anonymes, la séparation des données personnelles des systèmes de suivi et la limitation de la circulation des informations collectées.
Ce n'est pas l'Italie qui agit seule. L'autorité française de protection des données (CNIL) a lancé une consultation publique en juin 2025 sur les pixels de suivi dans les emails, pouvant potentiellement exiger le consentement explicite même pour le suivi basique des ouvertures d'emails. La direction des régulateurs européens est cohérente: le suivi des emails au niveau individuel sans consentement préalable clair n'est plus une zone grise.
Ce que les marketers par email doivent faire maintenant
Pour toute équipe envoyant aux abonnés italiens ou gérant des campagnes transfrontalières en UE, la liste de contrôle de conformité est claire:
- Auditez vos flux de consentement. Vérifiez que vos formulaires d'inscription divulguent explicitement l'utilisation des pixels de suivi, pas seulement le marketing par email en général.
- Ajoutez des contrôles de désabonnement granulaires. Chaque pied de page d'email doit disposer d'un mécanisme permettant aux abonnés de désactiver le suivi sans perdre leur abonnement entièrement.
- Examinez vos accords ESP. Si votre fournisseur de services d'email déploie des pixels de suivi pour ses propres besoins, comme l'amélioration de la délivrabilité ou la qualité de la liste, vous et le fournisseur pouvez être classés comme responsables du traitement conjoints, ce qui déclenche des responsabilités partagées en matière de documentation et de divulgation.
- Anonymisez les rapports agrégés. Si vous n'avez besoin que de données de taux d'ouverture au niveau de la campagne, le passage à des agrégats anonymisés supprime l'exigence de consentement pour ce traitement.
- Documentez tout. En vertu de l'article 7.1 du RGPD, vous devez être en mesure de démontrer que les utilisateurs ont donné leur consentement. Les systèmes doivent conserver un enregistrement individuel du consentement de chaque abonné ainsi que les circonstances dans lesquelles il a été obtenu.
La décision du Garante arrive également aux côtés d'une action d'exécution distincte: l'Autorité a simultanément sanctionné Poste Italiane avec 6,6 millions d'euros et Postepay avec 5,8 millions d'euros pour traitement illégal des données. Le message est clair. Les régulateurs ne se contentent pas de rédiger des règles; ils les appliquent.
