Si vos campagnes mesurent encore automatiquement les ouvertures et les clics, leur fonctionnement doit être réexaminé avant le 14 juillet 2026. La nouvelle recommandation de la CNIL assimile tout traceur placé dans un email à un cookie lorsqu’il lit ou dépose une donnée sur l’appareil du destinataire.
La règle concerne les campagnes grand public comme la prospection B2B, y compris les bases issues d’outils tels qu’Apollo, Sales Navigator ou Phantombuster. Elle impose aussi de revoir les formulaires, les workflows, le reporting et les informations adressées aux contacts déjà présents dans une base. Pour une entreprise qui envoyait chaque semaine des séquences de prospection commerciale, le changement ne consiste donc pas seulement à décocher une option technique : il faut repenser la mesure de la performance et la gouvernance des données.
En bref
- Un pixel qui lit ou écrit une information sur le terminal est traité comme un cookie.
- Le consentement préalable est requis pour les finalités marketing liées au suivi.
- La règle s’applique aux bases BtoC et BtoB, anciennes comme nouvelles.
- Les contacts existants doivent être informés et pouvoir s’opposer avant le 14 juillet 2026.
- Le reporting doit privilégier les clics qualifiés, les réponses et les actions réellement volontaires.
- Un lien de désactivation du suivi doit être accessible dans chaque message concerné.
Les nouvelles règles CNIL sur le tracking des ouvertures et clics en prospection email à partir de juillet 2026
La CNIL encadre désormais l’usage des traceurs intégrés aux courriels. Le sujet ne porte pas sur l’envoi d’un message en lui-même, mais sur la collecte automatique d’informations au moment où celui-ci est ouvert ou consulté. La date du 14 juillet 2026 devient le point de référence opérationnel pour les bases existantes.
Une entreprise peut toujours envoyer une prospection commerciale lorsqu’elle respecte les règles applicables à la sollicitation. En revanche, elle ne peut plus mesurer silencieusement le comportement individuel du destinataire si cette mesure repose sur une lecture ou un dépôt de donnée nécessitant une intervention sur son terminal. Le suivi n’est donc pas interdit dans l’absolu : il devient conditionné à un choix préalable et documenté.
Interdiction du tracking par pixel dans les emails : principes et fondements juridiques
Un pixel est généralement une image minuscule, parfois invisible, chargée depuis le serveur de la plateforme d’envoi. Son appel peut révéler l’ouverture, l’adresse IP, l’appareil utilisé ou l’heure de consultation. Les pixels de suivi produisent donc un signal comportemental, même lorsqu’aucun formulaire n’est rempli.
Le principe juridique repose sur la protection des informations stockées ou lues sur le terminal. Dès lors que le dispositif accède à cet environnement, il est rapproché du régime des cookies. Le consentement doit être libre, spécifique, éclairé et exprimé avant l’activation, sans être noyé dans une acceptation générale des messages.
Recommandation CNIL du 14 avril 2026 : pixel de suivi et cookie, quelle équivalence ?
Dans sa recommandation du 14 avril 2026, la CNIL pose une équivalence fonctionnelle : peu importe que le traceur soit installé sur une page web ou appelé depuis un email. Ce qui compte est son effet sur le terminal et la finalité poursuivie. Un outil présenté comme une simple fonctionnalité de campagne ne peut donc pas échapper aux exigences de transparence.
Cette approche répond à une réalité technique : les plateformes modernes combinent email, site, CRM et publicité. Un même identifiant peut servir à mesurer une ouverture, enrichir un profil puis déclencher du retargeting. La qualification dépend alors de l’usage réel des données, pas du nom commercial de la fonctionnalité.
Consentement préalable et exceptions limitées : ce que dit la CNIL sur le tracking email
Le consentement doit être recueilli avant le déclenchement du traceur et non après la première ouverture. Une case précochée, une formulation ambiguë ou une acceptation globale des conditions commerciales ne suffit pas. La preuve doit rester disponible, avec la date, la version de l’information et la finalité choisie.
Les finalités autorisées sans consentement explicite en prospection email
Les exceptions sont étroites. Elles peuvent couvrir une fonction strictement technique, comme la sécurisation de la délivrance d’un email transactionnel, la prévention d’un abus ou la gestion simplifiée de contacts manifestement inactifs lorsque l’opération ne sert pas à établir un profil commercial.
Une entreprise pourrait, par exemple, vérifier qu’un message de confirmation de commande a bien été techniquement acheminé. Elle ne pourrait pas réutiliser cette information pour classer le client comme « très engagé » et lui adresser une offre personnalisée sans consentement. Une finalité fonctionnelle ne doit jamais devenir un détour vers le marketing.
Consentement obligatoire pour toute finalité marketing via le tracking
Toute mesure destinée à personnaliser une campagne, scorer un prospect, segmenter une audience ou déclencher une relance marketing exige un consentement préalable. Cette obligation vaut même lorsque le destinataire travaille dans une entreprise et que son adresse est professionnelle.
Les bases achetées ou constituées par enrichissement ne créent pas une autorisation automatique. Une adresse issue d’Apollo ou de Sales Navigator peut permettre un contact dans certaines conditions, mais elle ne prouve jamais le consentement au suivi comportemental. La séparation entre droit d’écrire et droit de tracer doit être nette.
L'application aux bases d'adresses existantes et la gestion de l'information des contacts avant le 14 juillet 2026
La CNIL vise également les bases constituées avant la recommandation. Les organisations doivent identifier les contacts pour lesquels aucun consentement valable n’est documenté, puis leur envoyer une information dédiée avant l’échéance. Le message doit expliquer les usages envisagés et proposer une opposition simple.
Cette opération ne consiste pas à activer rétroactivement un traceur dans l’email d’information. Il faut privilégier un message sobre, sans pixel comportemental, avec un accès clair à la gestion des préférences. Les réponses et refus doivent ensuite être intégrés au CRM.
Obligation d’information claire avec présentation en deux niveaux
La CNIL recommande une information lisible, organisée en deux niveaux. Le premier doit permettre de comprendre rapidement les finalités ; le second donne les détails utiles sur les données, les durées, les destinataires et les droits.
Titres courts par finalité pour une transparence optimale
Chaque choix mérite un intitulé compréhensible : « mesure des clics », « personnalisation des offres » ou « analyse des campagnes ». Un titre comme « amélioration de l’expérience » est trop vague s’il masque plusieurs traitements. Cette présentation facilite un consentement réellement informé.
Explications détaillées accessibles sur le tracking et le consentement
Le niveau détaillé doit expliquer le fonctionnement du pixel, la nature des événements collectés et l’identité des prestataires concernés. La politique de confidentialité doit être mise à jour afin de reprendre ces éléments sans renvoyer le lecteur vers une documentation illisible.
Granularité du consentement : choix distincts selon les finalités du suivi
Un contact doit pouvoir accepter la mesure des clics sans accepter la personnalisation publicitaire. Le consentement doit donc être séparé par finalité, avec une possibilité de refuser certaines utilisations tout en conservant les communications nécessaires.
Le choix doit être recueilli au moment de la collecte de l’adresse. Pour les contacts déjà enregistrés sans preuve suffisante, un email d’information spécifique est nécessaire. L’absence de réponse ne peut pas être transformée en accord implicite.
| Finalité | Consentement | Exemple de traitement |
|---|---|---|
| Transmission technique | Exception possible | Sécuriser un email transactionnel |
| Mesure individuelle | Requis | Identifier l’ouverture d’un prospect |
| Personnalisation | Requis | Adapter une offre selon le comportement |
| Analyse agrégée strictement fonctionnelle | À documenter | Surveiller la qualité générale d’un service |
Impacts organisationnels pour responsables de traitement, DPO et équipes marketing
La CNIL attend du responsable de traitement une analyse des usages réels, pas une simple déclaration du fournisseur. Le premier chantier consiste à inventorier les pixels, domaines de tracking, événements collectés, règles de scoring et connexions avec le CRM.
Les formulaires doivent ensuite proposer des choix explicites. Le DPO, les équipes marketing et les administrateurs CRM doivent partager une même cartographie : qui collecte, pour quelle raison, pendant combien de temps et avec quelle preuve. Si vos équipes commerciales gèrent une partie de la prospection en interne, c’est aussi l’occasion de revoir leurs pratiques via une formation prospection commerciale intégrant ces nouvelles exigences dès le départ.
Audit des usages de pixels et adaptation des formulaires de collecte
L’audit doit tester plusieurs scénarios : inscription à une newsletter, téléchargement d’un livre blanc, réponse à une campagne locale et envoi transactionnel. Il faut vérifier si un clic déclenche une redirection identifiante, si une ouverture est enregistrée et si une donnée est réutilisée pour une autre campagne.
Pour les campagnes locales, seules les données issues de contacts consentants peuvent servir à personnaliser une zone géographique, une offre ou une séquence. Cette règle oblige parfois à réduire une audience plutôt qu’à exploiter indistinctement toute la base.
Révision des systèmes emailing et gestion du consentement avec HubSpot et autres plateformes
Les plateformes comme HubSpot proposent des réglages pour distinguer les abonnements, les préférences et certaines catégories de suivi. Ces fonctionnalités doivent être paramétrées, testées et documentées ; leur présence ne transfère pas la responsabilité juridique à l’éditeur.
Les campagnes, workflows, règles de scoring, segments et tableaux de bord devront être révisés. Un prestataire spécialisé peut accompagner le paramétrage, l’audit des sous-domaines et la reconstruction des preuves de consentement. La conformité devient un processus transversal, et non une case à cocher dans l’outil d’envoi.
Conséquences sur les campagnes email : limitation du tracking et adaptation des indicateurs clés
La limitation du suivi fera baisser mécaniquement le taux ouverture individuel observable. Ce recul ne signifiera pas nécessairement une baisse de l’intérêt : Apple Mail Privacy Protection et certains systèmes de sécurité préouvrent ou analysent les messages, tandis que des robots anti-spam peuvent aussi générer des clics artificiels.
Diminution du taux d’ouverture individuel et risques de biais statistiques
Le taux d’ouverture a toujours été une métrique fragile. Une campagne peut afficher un résultat flatteur grâce à des ouvertures automatiques, alors que les destinataires humains ne lisent pas réellement le contenu. À l’inverse, une ouverture non mesurée peut correspondre à une lecture attentive.
Les liens HTML et les redirections de tracking peuvent aussi dégrader la délivrabilité en ajoutant des signaux suspects. Repasser à des messages plus simples, parfois en texte brut, améliore souvent la confiance des serveurs et la qualité de la mesure — c’est d’ailleurs l’un des leviers détaillés dans notre guide complet sur la délivrabilité email.
Évolution vers des indicateurs fiables : clics et actions volontaires du destinataire
Le taux de clics doit être interprété avec prudence, car les filtres peuvent visiter automatiquement les liens. Les indicateurs les plus utiles sont les actions qui demandent une intention humaine : réponse rédigée, prise de rendez-vous, téléchargement confirmé ou demande de devis.
Une équipe peut suivre trois repères concrets : un taux de bounce inférieur à 2 %, un taux de réponse hors auto-réponses supérieur à 3 % et un taux de réponse positive supérieur à 15 % sur une audience qualifiée. Ces seuils sont des points de comparaison, non des garanties universelles.
| Indicateur | Repère opérationnel | Lecture recommandée |
|---|---|---|
| Bounce | < 2 % | Qualité et fraîcheur de la base |
| Réponse réelle | 3 % ou plus | Intérêt suscité par le message |
| Réponse positive | 15 % ou plus sur cible qualifiée | Pertinence de l’offre et du ciblage |
Champ d'application en BtoC et BtoB : fin de l'exception pour le tracking en prospection professionnelle
La prospection email ne bénéficie pas d’un passe-droit parce que l’adresse appartient à un salarié. Le même raisonnement s’applique à la prospection B2B : le contexte professionnel peut influencer les règles d’envoi, mais il ne supprime pas l’exigence liée au traceur.
Contexte européen et convergence réglementaire, notamment en Italie
La CNIL s’inscrit dans un mouvement européen de rapprochement des pratiques. L’Italie a également renforcé son approche des traceurs utilisés dans les communications électroniques, ce qui réduit l’intérêt des stratégies consistant à déplacer techniquement les campagnes hors de France.
Une entreprise active sur plusieurs marchés doit harmoniser ses préférences et conserver une preuve par contact. Cette convergence rend la mise en conformité plus urgente pour les groupes, agences et plateformes opérant dans plusieurs pays.
Obligations de transparence, retrait du consentement et traçabilité des choix des destinataires
La CNIL exige que le retrait soit aussi simple que l’acceptation. Le consentement peut être retiré à tout moment, sans justification, et cette décision doit interrompre rapidement les usages concernés.
Mécanisme simple et accessible pour désactiver le tracking dans chaque email
Chaque message concerné devrait comporter un lien visible, comparable au lien de désabonnement, permettant de désactiver le suivi. Le contact ne doit pas devoir ouvrir un compte ou contacter le support pour exercer ce choix.
Le système doit distinguer le désabonnement des communications et la désactivation du tracking. Une personne peut refuser la mesure comportementale tout en souhaitant recevoir une information contractuelle ou une newsletter non personnalisée.
Responsabilité du responsable de traitement et limites de la sous-traitance
Le responsable de traitement doit démontrer la validité du consentement, la cohérence des finalités et l’exécution des retraits. Confier l’envoi à HubSpot, un routeur ou une agence ne supprime pas cette obligation.
La traçabilité doit couvrir la source de l’adresse, le texte présenté, la date du choix, la version du formulaire et les modifications ultérieures. En cas de contrôle, une capture d’écran isolée ne remplacera pas un historique exploitable.
Checklist immédiate :
- Désactiver le tracking des ouvertures et des clics non autorisés.
- Désactiver le sous-domaine de tracking lorsque son usage n’est pas justifié.
- Tester des messages en texte brut et contrôler leur délivrabilité.
- Reconfigurer les formulaires avec un consentement distinct par finalité.
- Reconstruire le reporting autour des bounces, réponses et actions qualifiées.
- Envoyer l’information dédiée aux contacts existants avant le 14 juillet 2026.
La fin d’une mesure superficielle peut devenir un avantage : moins de traceurs signifie souvent des messages plus légers, une meilleure délivrabilité et des décisions fondées sur des comportements réellement volontaires. Des entreprises comme Radiant ou Scopa ont d’ailleurs vu leurs campagnes gagner en performance en s’appuyant sur ce type d’indicateurs qualifiés plutôt que sur le seul taux d’ouverture. Pour vérifier vos campagnes, vos formulaires et vos réglages, LLBB peut proposer un audit gratuit et un échange de mise en conformité.
Le suivi des ouvertures est-il totalement interdit ?
Non. Il devient soumis à un consentement préalable lorsqu’il lit ou dépose une donnée sur le terminal et sert à une finalité de mesure ou de marketing. Les usages strictement techniques ou fonctionnels peuvent relever d’exceptions limitées.
La règle concerne-t-elle les adresses professionnelles ?
Oui. Le régime s’applique en BtoC comme en BtoB. Le caractère professionnel d’une adresse ne suffit pas à autoriser le suivi comportemental.
Que faire des contacts présents dans une ancienne base ?
Il faut vérifier les preuves disponibles, informer les personnes concernées et leur permettre de s’opposer avant le 14 juillet 2026. L’absence de réponse ne vaut pas accord.
Peut-on continuer à utiliser HubSpot ?
Oui, à condition de configurer les préférences, les finalités et les mécanismes de retrait, puis de documenter les réglages. L’utilisation d’un sous-traitant ne transfère pas la responsabilité du traitement.
