Pixels de suivi des emails : que change la recommandation CNIL pour la prospection B2B ?

En bref : depuis sa recommandation adoptée le 12 mars 2026, la CNIL exige un consentement préalable pour les pixels qui mesurent les ouvertures et les clics d'emails à des fins marketing. Les expéditeurs ont jusqu'au 14 juillet 2026 pour informer leurs bases existantes et permettre une opposition simple.

La CNIL (Commission nationale de l'informatique et des libertés) a publié le 14 avril 2026 sa recommandation sur les pixels de suivi dans les courriels. Vous dirigez le marketing ou les ventes d'une PME ou ETI B2B (business to business), avec un cycle de vente long et un CRM (logiciel de gestion de la relation client) — HubSpot ou autre — qui mesure chaque ouverture d'email ? Cette mesure vient de changer de statut juridique. Nous avons lu les 11 pages, puis appliqué le texte à notre propre CRM. Voici ce qui change, ce que vous risquez, et comment piloter votre pipeline sans taux d'ouverture.

Que dit exactement la recommandation CNIL ?

Un pixel de suivi est une image invisible d'un pixel, hébergée sur un serveur distant et insérée dans le corps de l'email. Son chargement signale au serveur que le message a été affiché : c'est lui qui alimente votre « taux d'ouverture ». La CNIL applique à ce traceur le même régime que les cookies (article 82 de la loi Informatique et Libertés) : consentement préalable libre, spécifique, éclairé et univoque, sauf exemptions strictes.

Deux précisions du texte concernent directement le B2B :

1. Le consentement au pixel est indépendant du droit d'envoyer l'email. La CNIL cite expressément « la prospection vers les professionnels en rapport avec la profession de la personne démarchée » : votre email de prospection B2B reste licite en opt-out, mais le pixel qu'il contient exige, lui, un consentement.
2. Les liens traçants sont logés à la même enseigne. Les liens réécrits qui mesurent les clics relèvent aussi de l'article 82 ; seuls les usages de sécurité (authentification, lien de retrait) sont exemptés.

Le calendrier est en deux temps :

Passé le 14 juillet, la période d'adaptation est terminée : la CNIL peut contrôler et sanctionner sur le fondement de l'article 82 — le même qui a servi aux sanctions « cookies » les plus lourdes.

Qu'est-ce qui change pour vos campagnes marketing ?

L'opt-in à votre newsletter ne vaut pas consentement au tracking : ce sont deux finalités distinctes. Concrètement, la recommandation attend de vous :

1. Un recueil au point de collecte : sur vos formulaires, une information et un choix dédiés au suivi, en plus de l'opt-in de réception.
2. Un rattrapage possible sans pixel : pour la base existante, la CNIL décrit un email de sollicitation sans traceur soumis à consentement, avec un lien vers une page où la personne confirme son choix par une action positive. L'inactivité vaut refus, et la bonne pratique est de ne pas re-solliciter pendant 6 mois.
3. Un retrait aussi simple que l'octroi : un lien en pied de chaque email, qui permet de retirer son consentement sans ressaisir son adresse.
4. Une preuve individualisée : vous devez pouvoir démontrer qui a consenti, quand et comment (article 7.1 du RGPD — le règlement général sur la protection des données).

Une souplesse à connaître : lorsque la prospection est expressément présentée comme personnalisée, un consentement unique peut couvrir à la fois la prospection et les pixels qui servent cette personnalisation. Bien formulé, votre parcours d'inscription peut donc rester fluide.

Est-ce la fin du « il a ouvert mon email » pour vos commerciaux ?

Les extensions de messagerie (HubSpot Sales, et leurs équivalents) posent le même pixel que l'emailing de masse. Les notifications d'ouverture en temps réel, les séquences qui enchaînent « si pas d'ouverture sous 3 jours », le lead scoring alimenté par les opens : tout cela repose sur un traceur désormais soumis à consentement — que l'email soit envoyé à 5 000 contacts ou à un seul.

Nous avons mesuré notre propre dépendance : sur notre portail HubSpot, 4 420 emails 1:1 ont été envoyés au premier semestre 2026, dont 3 488 avec au moins une ouverture enregistrée (données internes DigitaWeb, audit du 3 juillet 2026). Ce réflexe de pilotage doit changer. Ce qui reste mesurable sans consentement : les réponses, les rendez-vous pris, les transactions créées — les signaux qui engagent réellement votre pipeline.

Quels réglages changer dans HubSpot et vos outils de tracking ?

HubSpot a publié sa réponse aux régulateurs : une section dédiée de sa documentation nomme la France et l'Italie, rappelle que la responsabilité incombe à l'expéditeur, et introduit de nouveaux réglages — dont la désactivation du suivi email par email, en bêta. Quatre réglages couvrent l'essentiel :

Attention au faux ami : le garde-fou natif « confidentialité des données » de HubSpot bloque le tracking uniquement pour les contacts sans base légale. Si votre base est propre — la nôtre est renseignée à 100 % —, il ne filtre rien : l'intérêt légitime suffit à ses yeux, pas à ceux de la CNIL. Les autres plateformes d'emailing et d'outreach offrent des interrupteurs équivalents : le principe reste le même, suivi désactivé par défaut vers la France, réactivé segment par segment sur les contacts consentis.

Délivrabilité : peut-on encore la piloter sans les ouvertures ?

C'est l'objection que nous entendons le plus. Trois faits pour y répondre.

1. Votre pixel ne fait pas votre délivrabilité. L'inbox placement (le fait d'arriver en boîte de réception plutôt qu'en spam) est décidé par Gmail, Outlook et les autres à partir de leurs propres signaux : plaintes, authentification SPF/DKIM/DMARC (les standards qui prouvent que l'expéditeur est bien celui qu'il prétend être), engagement observé chez eux. Perdre votre pixel ne dégrade pas votre placement — vous perdez un instrument de mesure, pas la performance mesurée.

2. La CNIL préserve l'usage délivrabilité — dans un cadre étroit. La mesure individuelle d'ouverture reste exemptée de consentement quand elle sert uniquement à « adapter la fréquence ou arrêter l'envoi des courriels aux destinataires dits "inactifs" », avec une minimisation forte : conserver seulement la date de dernière ouverture, à la journée. Et l'exemption ne couvre que les emails demandés par le destinataire — vos newsletters opt-in, pas votre prospection à froid.

3. Vos taux d'ouverture étaient déjà faux. Apple Mail Privacy Protection (MPP), déployé depuis 2021, précharge les pixels que le destinataire lise ou non l'email — or Apple Mail représente plus de 50 % des ouvertures mondiales selon Litmus, pour une inflation de l'ordre de 15 à 20 points sur les audiences très équipées Apple. Sur notre portail, 79 % des emails 1:1 du semestre affichaient une « ouverture » : personne ne lit 8 emails commerciaux sur 10.

Les indicateurs qui doivent prendre le relais dans votre reporting : taux de plainte spam sous 0,3 % via Google Postmaster Tools (exigence Gmail/Yahoo pour les expéditeurs en volume depuis 2024), désinscription en un clic (RFC 8058 — le standard qui permet de se désabonner depuis le client mail), taux de rebond, clics consentis, réponses et conversions. Autrement dit : brancher l'attribution sur le pipeline, pas sur un pixel.

Comment se mettre en conformité avant le 14 juillet ?

Nous avons déroulé cet exercice sur notre propre portail : une demi-journée, une dizaine de requêtes CRM en lecture seule, six décisions à arbitrer. Dans l'ordre :

1. Arbitrez la posture avec votre juridique : tracking coupé partout, ou maintien sur la base existante avec information + opposition déployées avant le 14 juillet.
2. Informez votre base : mention des pixels dans vos emails et votre politique de confidentialité, lien d'opposition simple.
3. Équipez vos formulaires : choix « suivi » dédié + propriété CRM de consentement (avec date et source, pour la preuve).
4. Cadrez les emails 1:1 : suivi désactivé par défaut vers la France, consigne écrite à l'équipe commerciale.
5. Mettez la purge des inactifs en conformité : gardez la seule date de dernière ouverture, limitée aux emails demandés.
6. Recalibrez scoring, séquences et rapports : sortez les opens de vos critères, entrez réponses et conversions.

Faut-il couper tout le tracking dès maintenant ?

Non — il faut le mettre sous contrôle. La recommandation CNIL ne tue pas la prospection B2B : elle retire un indicateur déjà faussé et impose un cadre au pixel. Les expéditeurs qui déploient l'information et l'opposition avant le 14 juillet, collectent le consentement au bon endroit et basculent leur pilotage sur les réponses et les conversions gardent toute leur capacité d'exécution — avec un reporting plus honnête qu'avant.

Chez DigitaWeb, c'est l'exercice que nous venons de dérouler sur notre propre portail, et que nous outillons pour les PME B2B : cadrage de la posture, réglages HubSpot, refonte des indicateurs dans votre moteur de croissance. Pour aller plus loin sur la protection des données dans votre CRM, lisez aussi notre guide RGPD & HubSpot.

Sources officielles

• Recommandation CNIL relative aux pixels de suivi (PDF, adoptée le 12 mars 2026)
• CNIL — communiqué de publication
• HubSpot Knowledge Base — Email tracking consent compliance
• Litmus — Apple Mail Privacy Protection
• Mailgun — exigences expéditeurs Gmail/Yahoo
• Garante (Italie) — lignes directrices pixels

Cette analyse ne constitue pas un conseil juridique : pour votre situation spécifique, votre conseil reste la référence.