Pixel espion dans vos emails : ce que change la CNIL en 2026

Un pixel espion, c'est quoi ?

Un pixel espion — aussi appelé pixel de suivi ou pixel invisible — est une minuscule image de 1 pixel sur 1 pixel insérée dans un email. Invisible à l'œil nu, elle est hébergée sur le serveur de l'expéditeur. Quand vous ouvrez le message, votre messagerie charge cette image : le serveur sait alors que l'email a été ouvert, quand, et souvent depuis quel appareil.

Rien de « gravissime » en soi : ce n'est ni un virus, ni un logiciel installé sur votre machine. C'est littéralement une image qui se charge. Mais cette simple requête suffit à collecter des informations à votre insu — date et heure d'ouverture, adresse IP, type d'appareil — et c'est ce caractère silencieux qui vaut au procédé son surnom de pixel espion.

À quoi ça sert vraiment ? Taux d'ouverture et nettoyage de listes

Le pixel tracking répond d'abord à un besoin de mesure. Les outils d'emailing (Brevo, Mailchimp, HubSpot…) l'activent souvent par défaut pour calculer le taux d'ouverture d'une campagne : combien de destinataires ont ouvert, à quelle heure, sur mobile ou ordinateur.

Trois usages dominent :

• La mesure marketing : comparer deux objets d'email, mesurer l'engagement d'une campagne, adapter les contenus.
• La relance ciblée : renvoyer automatiquement le message à ceux qui ne l'ont pas ouvert, ou dérouler un scénario selon le comportement.
• L'hygiène de liste : repérer les adresses inactives depuis des mois pour espacer les envois ou les retirer de la liste. C'est un enjeu de délivrabilité — continuer d'écrire à des adresses mortes dégrade la réputation de l'expéditeur et envoie ses emails en spam.

Cette distinction entre usages n'est pas anecdotique : c'est précisément sur elle que la CNIL a construit ses nouvelles règles.

Ce que disent les nouvelles règles françaises

Le cadre a changé en 2026. La CNIL a adopté le 12 mars 2026 une recommandation relative aux pixels de suivi dans les courriers électroniques (délibération n° 2026-042), publiée au Journal officiel le 14 avril 2026. Le principe : les pixels espions relèvent du même régime juridique que les cookies, au titre de l'article 82 de la loi Informatique et Libertés.

Concrètement, le consentement préalable du destinataire est requis pour la plupart des usages : mesure d'ouverture à des fins marketing, personnalisation, profilage, liens traçants non nécessaires. Trois familles d'usages restent exemptées, à condition de s'y tenir strictement :

• La délivrabilité : identifier les destinataires inactifs pour espacer ou arrêter les envois — données limitées à la date d'ouverture, sans réutilisation pour de la segmentation ou du scoring ;
• La sécurité : pixels dans les emails d'authentification ou de réinitialisation de mot de passe ;
• Les courriels administratifs des organismes de service public.

Vous envoyez des newsletters ? Ce que vous devez changer

Si vous êtes artisan, commerçant ou TPE et que vous envoyez des campagnes email, la logique est la même que pour la conformité RGPD et cookies de votre site : inventorier, choisir une base légale, informer. Dans l'ordre :

• Vérifiez si votre outil d'emailing active le suivi d'ouverture par défaut — c'est presque toujours le cas — et où se trouve l'option pour le désactiver.
• Listez vos usages réels : statistiques marketing, relances des non-ouvreurs, gestion des inactifs.
• Pour les usages marketing : recueillez un consentement libre et éclairé, par exemple via une case dédiée à l'inscription — ou désactivez le pixel de suivi.
• Pour la gestion des inactifs : vous pouvez continuer sans consentement, mais uniquement pour la délivrabilité, avec des données limitées à la date d'ouverture. Documentez-le.
• Offrez un retrait du consentement aussi simple que son recueil, et mentionnez les pixels dans votre politique de confidentialité.

Point rassurant : perdre les statistiques d'ouverture n'est pas perdre le pilotage. Le taux de clic, les réponses, les désabonnements et les conversions restent mesurables sans pixel espion mail — et ces indicateurs disent souvent plus que l'ouverture, gonflée artificiellement par les protections des messageries depuis des années.

Vous recevez des emails ? Comment détecter et bloquer les pixels

Côté destinataire, la parade est simple : empêcher le chargement automatique des images. Sans chargement, pas de pixel tracking — l'expéditeur ne voit rien.

Selon votre messagerie : Gmail, Outlook et Thunderbird permettent de bloquer les images distantes par défaut et de les afficher au cas par cas. Apple Mail va plus loin avec sa protection de la confidentialité, qui précharge les images via ses propres serveurs et brouille ainsi les statistiques d'ouverture. Des services comme Proton Mail bloquent le pistage nativement, et des extensions dédiées signalent les pixels espions détectés dans chaque message.

Gardez toutefois une chose en tête : le pixel ne lit pas vos emails et n'accède pas à votre machine. Le bloquer relève du choix de confidentialité, pas de la protection contre une menace.

Conclusion

Le pixel espion n'a rien d'un logiciel malveillant : c'est une image invisible qui signale l'ouverture de vos emails. Mais depuis le 14 juillet 2026, son usage marketing sans consentement n'est plus toléré en France. Les expéditeurs doivent trier leurs usages — mesure, relance, hygiène de liste — et se mettre en règle ; les destinataires peuvent bloquer le suivi en un réglage.

Votre site et vos newsletters obéissent désormais aux mêmes règles du jeu : consentement, information, transparence — comme l'ensemble des obligations légales des entreprises en ligne. Un doute sur votre conformité ? Contactez-moi : je vous fais un état des lieux clair de votre site et de vos campagnes, sans jargon et sans alarmisme.