Mesurer une conversion après une publicité, recibler les visiteurs d’un site ou savoir si une newsletter a été ouverte : les pixels de suivi sont devenus des outils courants du marketing numérique. Leur discrétion ne signifie pourtant pas qu’ils échappent aux règles relatives à la protection des données.
En 2026, le sujet revient au premier plan. La CNIL a publié de nouvelles recommandations concernant les pixels de suivi intégrés aux courriers électroniques, tandis qu’une sanction de 3,5 millions d’euros prononcée fin 2025 a rappelé les risques liés à la transmission de données à des réseaux sociaux à des fins publicitaires sans consentement valable.
Pour les entreprises utilisant des outils de mesure publicitaire, des newsletters ou du retargeting, le moment est donc bien choisi pour vérifier précisément quelles données sont collectées et à quel moment les traceurs sont activés.
Un pixel peut suivre un utilisateur sans déposer de cookie classique
Le terme « pixel » peut donner l’impression d’une technologie anodine. À l’origine, il s’agit souvent d’une très petite image invisible chargée depuis un serveur distant. Son chargement permet au serveur de recevoir différentes informations et éventuellement de reconnaître l’utilisateur grâce à un identifiant.
Sur un site internet, ce mécanisme peut permettre de savoir qu’une personne a consulté une page, ajouté un produit à son panier ou réalisé un achat après avoir vu une publicité. Dans un courrier électronique, il peut permettre de déterminer qu’un message a été ouvert.
Les techniques se sont depuis largement diversifiées. Scripts JavaScript, balises publicitaires, identifiants uniques, liens traçants ou mécanismes similaires peuvent remplir des fonctions proches.
La réglementation ne se limite donc pas aux fichiers portant techniquement le nom de « cookie ». Le Comité européen de la protection des données considère notamment que les pixels et liens de suivi peuvent entrer dans le champ des règles européennes relatives aux traceurs.
La publicité ciblée nécessite généralement le consentement
En France, l’article 82 de la loi Informatique et Libertés prévoit qu’un traceur accédant à des informations présentes sur le terminal de l’utilisateur ou y inscrivant des informations nécessite en principe son consentement.
Il existe des exceptions lorsqu’un traceur est strictement nécessaire à la fourniture d’un service demandé par l’utilisateur ou lorsqu’il sert exclusivement à permettre ou faciliter une communication électronique.
La publicité personnalisée n’entre généralement pas dans ces exceptions. Un pixel servant à identifier un visiteur, mesurer des conversions à des fins publicitaires ou réaliser du retargeting doit donc normalement rester inactif tant que l’internaute n’a pas donné son accord.
La CNIL rappelle ces principes dans son espace consacré aux cookies et autres traceurs, qui détaille les règles applicables aux sites web et aux différentes technologies de suivi.
Refuser les cookies doit réellement empêcher le suivi publicitaire
L’installation d’un bandeau de consentement ne suffit pas à rendre un site conforme. Son fonctionnement technique doit correspondre au choix exprimé par l’utilisateur.
Lorsqu’un internaute refuse les traceurs publicitaires, les pixels concernés ne devraient pas continuer à transmettre des informations comme si le visiteur les avait acceptés. De même, des traceurs soumis à consentement ne doivent normalement pas être activés avant que l’utilisateur ait effectué son choix.
Ce point peut poser problème sur des sites où les scripts marketing sont intégrés directement dans le code ou déclenchés par un gestionnaire de balises mal configuré. Visuellement, la bannière fonctionne parfaitement, mais les requêtes vers certains services publicitaires partent déjà au chargement de la page.
La CNIL a encore illustré ce risque en janvier 2026 en annonçant une sanction de 3,5 millions d’euros contre une société ayant notamment transmis des adresses électroniques et des numéros de téléphone à un réseau social à des fins de ciblage publicitaire sans disposer d’un consentement valable. Lors de ses contrôles, elle avait également constaté le dépôt de onze cookies soumis à consentement avant que l’utilisateur ait exprimé son choix.
Les pixels dans les newsletters sont particulièrement surveillés en 2026
Le changement le plus récent concerne les courriers électroniques. En avril 2026, la CNIL a publié une recommandation spécifiquement consacrée aux pixels de suivi dans les e-mails.
Ces traceurs sont fréquemment utilisés par les plateformes d’e-mailing pour mesurer le taux d’ouverture des newsletters. Lorsqu’un destinataire ouvre son message et que l’image distante est chargée, l’expéditeur peut potentiellement obtenir différentes informations liées à cette ouverture.
La CNIL distingue désormais plus précisément les finalités pouvant bénéficier d’une exemption de celles nécessitant un consentement.
| Utilisation du traceur | Consentement en principe |
|---|---|
| Publicité personnalisée et retargeting | Oui |
| Mesure de performance d’une campagne marketing individualisée | Oui |
| Amélioration d’un profil afin de mieux cibler une personne | Oui |
| Certaines mesures d’audience strictement limitées et anonymes | Possibilité d’exemption sous conditions |
| Certaines fonctions strictement nécessaires à un service demandé | Possibilité d’exemption sous conditions |
Mesurer le taux d’ouverture d’une newsletter n’est donc plus anodin
L’une des conséquences pratiques concerne les statistiques fournies automatiquement par les logiciels d’e-mailing. Beaucoup d’entreprises activent la mesure des ouvertures sans réellement considérer cette fonctionnalité comme une technologie de traçage.
Or, lorsque ces informations sont utilisées pour mesurer individuellement l’engagement d’un destinataire, optimiser une campagne commerciale ou enrichir son profil marketing, le consentement peut être nécessaire.
Il devient donc important de vérifier les paramètres utilisés dans les plateformes de newsletter. Une fonctionnalité activée par défaut par un prestataire ne signifie pas automatiquement qu’elle peut être utilisée sans formalité par son client.
La responsabilité dépend du rôle joué par chaque acteur. Lorsqu’un prestataire insère les pixels exclusivement pour le compte de l’entreprise expéditrice, il peut notamment agir comme sous-traitant, tandis que l’entreprise conserve ses propres responsabilités en tant que responsable du traitement.
Une échéance importante est passée le 14 juillet 2026
La recommandation de la CNIL sur les pixels dans les courriers électroniques a été publiée le 14 avril 2026. Elle prévoyait une période particulière pour les bases d’adresses constituées avant cette date.
Les organismes disposaient en principe de trois mois, soit jusqu’au 14 juillet 2026, pour informer les personnes concernées conformément aux conditions prévues par la recommandation lorsqu’ils souhaitaient bénéficier du mécanisme transitoire décrit par la CNIL.
Cette période est désormais terminée.
Dans sa foire aux questions publiée en juillet 2026, la CNIL précise que lorsque cette information n’a pas été réalisée dans le délai prévu, le responsable doit désormais recueillir le consentement pour les pixels qui le nécessitent. À défaut, il doit cesser d’utiliser ces pixels dans ses courriels.
Pour les entreprises envoyant régulièrement des newsletters commerciales, cette actualité rend donc particulièrement pertinente une vérification des réglages de leur logiciel d’e-mailing.
Tous les outils de mesure d’audience ne nécessitent pas forcément un consentement
Il serait toutefois excessif de considérer que toute statistique de fréquentation nécessite systématiquement une bannière de consentement.
Certains traceurs de mesure d’audience peuvent être exemptés sous des conditions strictes. Ils doivent notamment être limités à la mesure de l’audience du site ou de l’application pour le compte exclusif de l’éditeur et servir à produire des données statistiques anonymes.
Ils ne doivent pas permettre le suivi d’une même personne sur plusieurs sites ou applications, le rapprochement avec d’autres traitements ni la transmission de données non anonymes à des tiers.
Il existe donc une différence importante entre un outil statistique configuré pour mesurer anonymement la fréquentation d’un site et un pixel publicitaire permettant à une plateforme de reconnaître un visiteur et de l’intégrer ensuite dans une audience publicitaire.
Le passage au « server-side » ne fait pas disparaître automatiquement les obligations
Face à la disparition progressive de certains cookies tiers et aux restrictions imposées par les navigateurs, de nombreuses entreprises se tournent vers le server-side tracking, les API de conversion ou d’autres méthodes permettant de transmettre des événements aux plateformes publicitaires.
Ces technologies peuvent offrir des avantages techniques et donner davantage de contrôle à l’entreprise sur les données envoyées. Elles ne constituent cependant pas une méthode permettant de contourner automatiquement les règles de protection des données.
Le principe reste le même : il faut analyser les informations collectées, leur origine, leur finalité, les destinataires des données et les traitements réalisés. Une nouvelle technologie publicitaire ne devient pas conforme simplement parce qu’elle n’utilise plus un cookie tiers traditionnel.
Cette approche est particulièrement importante lorsqu’une entreprise transmet à une plateforme des données comme une adresse électronique, un numéro de téléphone, un identifiant client ou des événements d’achat afin de retrouver la personne sur un réseau publicitaire.
Les données clients envoyées aux plateformes publicitaires méritent une vérification particulière
Le ciblage publicitaire ne repose pas uniquement sur le suivi de la navigation. Certaines plateformes permettent également aux annonceurs de téléverser leur propre fichier de clients afin de retrouver des utilisateurs similaires ou de diffuser des annonces à une audience déterminée.
Les données peuvent parfois être hachées avant leur transmission. Cette opération améliore certaines garanties de sécurité, mais elle ne rend pas nécessairement les données anonymes. Si une plateforme peut comparer l’empreinte obtenue à celles générées à partir de ses propres utilisateurs, l’information reste exploitable pour identifier une correspondance.
La sanction annoncée par la CNIL en janvier 2026 illustre précisément les risques associés à la transmission de données clients à un réseau social pour réaliser du ciblage publicitaire sans base juridique appropriée.
Une entreprise qui utilise des fonctionnalités d’audience personnalisée devrait donc savoir exactement quelles informations quittent son propre système et sur quel fondement elles sont transmises.
Un audit marketing doit regarder plus loin que la bannière cookies
Pour vérifier ses pratiques, une entreprise peut commencer par dresser un inventaire concret des technologies présentes sur son site, son application et ses campagnes : pixels publicitaires, gestionnaire de balises, outils analytics, scripts de réseaux sociaux, logiciel d’e-mailing, audiences personnalisées et éventuelles API de conversion.
Il faut ensuite tester le comportement réel des outils avant et après un refus du consentement. Cette vérification technique est importante : une politique de confidentialité parfaitement rédigée ne compense pas l’envoi de données publicitaires effectué avant le choix de l’internaute.
Les entreprises devraient également contrôler les finalités déclarées dans leur gestionnaire de consentement, la liste des partenaires destinataires des données et la possibilité offerte à l’utilisateur de retirer son consentement aussi facilement qu’il l’a donné.
En 2026, le marketing doit devenir plus sélectif dans son utilisation des traceurs
Les pixels de suivi ne sont pas interdits. Ils restent utilisables pour de nombreuses activités marketing à condition de respecter les règles correspondant à leur finalité.
La tendance réglementaire est néanmoins claire : remplacer un cookie par un pixel, une API ou un identifiant différent ne suffit pas à faire disparaître les obligations liées au suivi des utilisateurs.
Avec les recommandations publiées par la CNIL au printemps 2026 sur les pixels dans les courriels et la fin de la période transitoire intervenue le 14 juillet, les entreprises disposent aujourd’hui d’une raison supplémentaire pour examiner leurs pratiques.
L’enjeu n’est donc pas nécessairement de supprimer tous les outils publicitaires, mais de conserver ceux qui apportent une réelle valeur, de savoir exactement quelles données ils collectent et de s’assurer qu’ils ne commencent à suivre l’utilisateur que lorsque les conditions juridiques nécessaires sont effectivement réunies.
