En juin-juillet 2025, la CNIL a soumis à consultation publique son projet de recommandation sur les pixels de suivi dans les courriels. Nous y avons participé.

Début septembre 2025, l’Alliance Digitale a publié sa contribution.

Nous nous proposons d’analyser cette réponse de l’Alliance Digitale.

1. Pertinence du suivi et son rejet

L’Alliance Digitale distille des informations chiffrées contradictoires : d’un côté, la prospection commerciale par courriel générerait environ 30 % du chiffre d’affaires (CA) des entités concernées ; d’un autre, le taux de clic dans ces courriels serait de moins de 10 %. Il est improbable que 10 % des clics génèrent 30 % de CA en moyenne.

Elle ajoute que le taux d’ouverture global montre un engagement mais qu’il ne permet pas d’améliorer la diffusion, c’est-à-dire de continuer à bourrer les esprits. Il est donc partiellement inutile.

Si la CNIL devait préconiser l’obtention du consentement aux pixels de suivi pour les bases de données déjà constituées, l’Alliance Digitale estime que ce taux de consentement serait compris entre moins de 1 à 5 %, et « bien en-deça » de 30 %.

Pour les nouveaux prospects, elle estime que « le taux de consentement dépendra également de la manière de le recueillir », et, qu’en comparaison, « les CMP cookies favorisent plutôt l'acceptation [!] et le taux moyen de consentement y est d’environ 30 % ».

Ainsi, l’Alliance Digitale sait que l’écrasante majorité des personnes ne veut ni des cookies et traceurs web, ni des pixels de suivi, ni même de la prospection commerciale par courriel.

De plus, le consentement à la prospection commerciale, s’il est libre, éclairé, rétractable, etc., est suffisant pour mesurer l’intérêt. Les pixels de suivi servent uniquement à faire perdurer l’envoi de courriels dont personne ne veut.

Concernant les courriels transactionnels, les personnes concernées reviendront vers le RT en cas de non-réception. À l’inverse, aucun responsable de traitement (RT) n’est revenu spontanément vers nos membres, alors que ceux-ci bloquent les pixels de suivi et évitent les liens traçants. Cette finalité est fantaisiste.

L’Alliance Digitale expose que « les taux de clics sont très faibles dans une campagne [10 %] et ne peuvent pas non plus suffire pour savoir si une personne est intéressée ou non par ces envois ». Dès lors, un pixel de suivi ne saurait avoir une plus grande efficacité, pour calculer un intéressement, qu’une action explicite d’un utilisateur, notamment, car l’ouverture d’un courriel ne saurait être une manifestation d’intérêt.

Ensuite, l’Alliance Digitale expose que le blocage des pixels de suivi par les clients de messagerie Apple n’a que peu d’incidence sur la pertinence des statistiques, en ce que les terminaux Apple seraient minoritaires. Il en irait de même pour Gmail.

Des propres chiffres pointés par l’Alliance, la part de marché d’Apple sur le mobile (tablettes incluses) est d’environ 30 % (36 % pour Cloudflare). Cela est significatif puisqu’en « 2024, l’équipement privilégié pour se connecter à internet reste le smartphone » (source, 54 % du trafic de Cloudflare).

La part de marché du client de messagerie Apple Mail, qui doit être distinguée de celle du système d’un terminal, serait d’environ 50 % (sources : 1, 2).

De même, la part de marché de Gmail, en tant que fournisseur ou de logiciel de messagerie, serait de 30 % (source + celles du paragraphe précédent). Dans sa délibération SAN-2025-004, la CNIL écrit que « les comptes Google » occupent une « place centrale » dans « le quotidien des personnes résidant en France ».

Donc 60 % à 80 % du marché bloquent les pixels de suivi ou les déclenchent préventivement. À cela, il faut ajouter les outils de sécurité (antivirus, passerelles filtrantes, IDS, etc.) en entreprise comme à domicile, et le paramétrage des autres clients de messagerie ou du navigateur web et de ses extensions dans le cas des webmails.

Dès lors, une grande pertinence des pixels de suivi paraît peu crédible.

Par suite, l’Alliance Digitale évoque des finalités probatoires pour les pixels de suivi.

Or, d’une part, un équivalent électronique à un courrier recommandé ne saurait être mis en œuvre avec des pixels de suivi : il suffit de les bloquer, ou que le fournisseur de messagerie y procède, pour déclarer ne pas avoir reçu le courriel. D’ailleurs, le recommandé électronique de La Poste fonctionne via un environnement tiers fermé contrôlé par La Poste, pas avec des pixels de suivi. Il en va de même pour le suivi d’un colis.

D’autre part, un renouvellement tacite de contrat fonctionne, légalement, sans pixels de suivi, en ce qu’il est prévu au contrat initial. Nos membres, qui bloquent les pixels de suivi et ne cliquent pas sur les liens traçants, ne rencontrent aucun problème en la matière.

Les finalités probatoires sont chimériques.

En tout état de cause, comme nous l’avons indiqué dans notre réponse, les normes techniques du courrier électronique permettent de demander un accusé de réception ou un accusé de lecture et de les traiter en masse avec un programme informatique (RFC 3464, RFC 8098, et RFC 9007). Ces mécanismes ne sont pas utilisés, car ils ne permettent pas de forcer la main des destinataires, de leur imposer un traitement de suivi de leur correspondance.

Comme nous l’avons écrit dans notre réponse, nous ne pensons pas crédible la détection efficace d’une fraude avec des pixels de suivi. La circonstance, soulevée par l’Alliance Digitale, qu’un même courriel électronique est ouvert à de multiples reprises en peu de temps ne démontre absolument pas une quelconque fraude, mais uniquement un destinataire qui y revient ou un dysfonctionnement technique. Cette information est inexploitable sans données supplémentaires.

Enfin, l’entretien des bases de données de destinataires et l’adaptation du rythme et du contenu des envois en fonction de l’intérêt porté par destinataire sont, là encore, des finalités fictives.

En effet, nos membres bloquent les pixels de suivi et ne cliquent pas sur les liens de traçage et pourtant, ils ne sont jamais exclus des emailings. C’est même l’inverse : ils doivent faire des pieds et des mains et déposer des réclamations auprès de la CNIL pour voir enfin respecté leur droit d’opposition.

La qualification des bases de destinataires, la facilitation et le respect du consentement ou de l’opposition, et la prise en compte des rebonds (= emails en erreur) permettent d’éviter les problèmes de réputation et de délivrabilité.

De même, les algorithmes des fournisseurs de messageries ne prennent pas en compte uniquement l’activité, et encore moins le taux d’ouverture (plutôt le taux de déplacement dans le dossier spam), mais une pluralité de critères, opaques et fluctuants dans le temps.

C’est pourquoi nous ne comprenons pas que la CNIL envisage d’exempter de consentement la délivrabilité.

Nous laissons l’Alliance à ses autres finalités fantaisistes. Par exemple, le suivi des cotisations d’une association se fait usuellement sans pixel de suivi, par des relances via différents canaux, puis une radiation prévue par les statuts.

2. Coordination européenne

L’Alliance Digitale en appelle à une coordination européenne afin de ne pas créer une exception française.

Contrairement à ce qu’affirme l’Alliance, les entreprises françaises ne sont pas « soumises » à des recommandations de la CNIL, qui sont un instrument de droit souple. Les entreprises françaises resteront soumises au principe de responsabilité et au droit de l’UE.

La comparaison avec l’ICO n’est pas topique : d’une part, le Royaume-Uni n’est plus membre de l’Espace économique européen ; d’autre part, le programme de travail de l’ICO, qui n’est qu’un projet, porte sur la publicité la moins intrusive et sur certaines sous-finalités de la pub, comme la détection de la fraude.

A priori, le règlement européen de révision de la directive ePrivacy est abandonné.

La position européenne est plus stricte que celle envisagée par la CNIL : dès WP118 en 2006, sous l’empire d’ePrivacy, le CEPD s’oppose à tout suivi de l’ouverture ou de la lecture d’une correspondance privée fondé sur une autre base légale que le consentement, et ce indépendamment de la technique utilisée ou de la finalité.

Dans ses lignes directrices 2/2023, le CEPD considère que les pixels de suivi tombent sous le coup de l’article 5(3) d’ePrivacy.

En tout état de cause, l’applicabilité d’ePrivacy est sans incidence sur le débat. Les traitements de DCP sous-jacents aux pixels de suivi (journalisation, dédoublement, isolement de marques de terminaux, agrégation et comptabilisation, etc.) tombent sous le coup du RGPD. À ce titre, ils doivent être fondés sur une base légale. L’intérêt légitime n’est pas mobilisable en ce que, d’une part, la nécessité n’est pas établie (cf. section 1 supra), et que, d’autre part, le caractère hautement intrusif, l’ineffectivité de l’opposition (pour les mêmes raisons que le retrait de consentement), etc. déséquilibrent irrémédiablement la balance des droits. Dès lors, seul le consentement est mobilisable.

3. Impact économique

Le prétendu impact économique du projet de recommandation n’est pas suffisamment précisé : l’Alliance Digitale expose le faible taux de clic (10 %), la part du chiffre d’affaires imputable à la prospection commerciale (environ 30 %), etc, mais elle ne fournit aucun chiffre sur le taux d’ouverture, ni sur ce qui est imputable aux pixels de suivi.

Comme vu supra, 60 à 80 % du marché bloque déjà ou déclenche préventivement les pixels de suivi, leur retirant tout intérêt. L’éventuel impact économique ne sera donc pas imputable à la recommandation future de la CNIL comme le prétend l’Alliance.

L’Alliance Digitale expose que les entités utilisatrices se tourneront vers des services d’emailing étrangers qui ne respecteront pas la recommandation future de la CNIL. Une telle prédiction est erronée.

D’une part, en application de l’article 28 du RGPD, un RT ne peut recourir qu’à des prestataires conformes au RGPD. Il lui appartient de piloter, de contrôler, et d’auditer ses prestataires. Dès lors, le recours à un acteur étranger non-conforme au RGPD peut faire l’objet d’une sanction par la CNIL.

D’autre part, au nom du protectionnisme réglementaire découlant du RGPD, une association professionnelle, comme l’Alliance Digitale, devrait demander à la CNIL de sanctionner les acteurs (étrangers) non-conformes, au lieu de menacer de se réfugier chez eux. Elle devrait réclamer un niveau élevé de protection des DCP et l’exclusion du marché des acteurs non-conformes. En agissant de la sorte, ladite association professionnelle protégerait effectivement ses membres, forcément conformes, de la concurrence déloyale qu’elle prétend anticiper.

L’Alliance évoque de lourds investissements pour satisfaire au projet de recommandation, des problématiques nouvelles à résoudre, etc. Cela nous paraît contradictoire avec le court délai de mise en conformité de six mois qui est sollicité. Cela accrédite l’idée d’une exagération de l’Alliance sur les difficultés, les problématiques et les investissements.

Quoi qu’il en soit, l’éventuel impact économique serait imputable à un manquement au principe de responsabilité (article 5(2) du RGPD) des acteurs. Comme rappelé supra, les analyses d’impact des RT et les documents du CEPD depuis 2006 auraient dû les conduire à fonder leur traitement sur le seul consentement. Or, les réclamations déposées auprès de la CNIL par nos membres attestent que les RT n’informent même pas de l’existence du traitement « pixel de suivi ». L’effort minimal n’est pas produit.

4. Consentement

L’Alliance Digitale évoque la collecte du consentement aux pixels pour les bases de destinataires déjà constituées, qu’elle nomme à juste titre rétroactivité.

Cette rétroactivité, que nous soutenons, est nécessaire pour assainir les bases déjà constituées puisque, selon l’Alliance, 95 à 99 % des personnes d’une telle base ne consentiront pas aux pixels de suivi. Elle continue en affirmant qu’il « pourrait également s’agir de personnes inactives, dont la suppression est de toute façon une nécessité » (ce qui accrédite à nouveau l’idée que les bases ne sont actuellement pas saines).

Si le consentement est la seule base légale, il se déduit que la seule alternative à la rétroactivité est la cessation du traitement tant que le consentement n’est pas obtenu. Le choix est laissé aux RT : cessation ou obtention du consentement.

Pour ces bases existantes, il est possible d’échelonner dans le temps la collecte du consentement afin d’éviter tant la fatigue du consentement que les sanctions des fournisseurs de messagerie.

Le référentiel de la CNIL relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciale ne traite pas des pixels de suivi et n’est pas topique : il y est question de calquer la base légale de la transmission des DCP à un tiers sur celle de l’envoi ultérieur réalisé par ledit tiers. En l’espèce, le caractère hautement intrusif des pixels de suivi en relation avec leur absence de pertinence ne permet pas toujours d’envisager une même base légale pour l’envoi et pour les pixels. Dans certains cas, l’envoi sera fondé sur l’intérêt légitime, dans d’autres sur le consentement, et idem pour les pixels de traçage. Deux traitements, deux bases légales. L’Alliance sollicite une brèche supplémentaire dans les droits fondamentaux des personnes en se fondant sur une mansuétude antérieure de la CNIL.

C’est à raison que la CNIL soulève que le consentement aux pixels de suivi peut être plus difficile à obtenir à l’oral. Au point 109 de ses lignes directrices 05/2020, le CEPD évoque l’enregistrement d’une déclaration orale du consentement, ce qui est contraignant. De même, nos membres constatent qu’en général, au-delà des pixels de suivi, l’obligation d’information et de transparence n’est pas remplie par absence d’informations ou par communication d’informations insuffisantes ou de piètre qualité, d’autant plus à l’oral par absence de formation du personnel. Dès lors, un consentement oral sur les pixels risque fort de ne pas être éclairé.

5. Retrait du consentement

Aux sections 2.4 et 3.5 de sa contribution, l’Alliance Digitale écrit, en substance, qu’il n’existe aucune solution pour garantir l’effectivité d’un retrait de consentement, car des lectures des pixels déjà déposés perdurent après le retrait.

La CNIL ne confond pas l’opposition et l’effacement. Il s’agit de retrait du consentement. Aux points 117 et 119 de ses lignes directrices 05/2020, le CEPD expose, en substance, qu’un retrait de consentement entraîne nécessairement la cessation du traitement reposant sur ledit consentement et la suppression des DCP sauf si une autre base légale, notamment probatoire, impose leur conservation.

Le retrait est une composante essentielle du consentement en tant que base légale. Celle-ci est indivisible. Si un RT ne sait pas garantir l’effectivité du retrait de consentement, alors cette base légale ne saurait être mobilisée. Si aucune autre base légale n’est mobilisable, alors le traitement ne doit pas être mis en œuvre. Au mépris du principe de responsabilité, les RT ont choisi d’esquiver en recourant à l’intérêt légitime alors qui ni les conditions de nécessité ni d’équilibre des droits ne sont réunis.

Il n’y a aucune asymétrie entre l’octroi et le retrait d’un consentement : un clic en univers authentifié, deux en univers non-authentifié (double opt-in pour confirmer l’inscription à l’emailing et le consentement aux pixels de suivi).

Le projet de recommandation, droit souple, n’exclut pas, par définition, la gestion du consentement depuis un espace client web.

L’Alliance Digitale fait mine de s’interroger sur ce qu’il advient du consentement aux pixels de suivi en cas de désabonnement aux courriels puis de réabonnement à ces envois. Cela ne semble pas poser de difficulté : le retrait portera sur l’envoi et sur les pixels. Pour plus de tranquillité, le RT pourrait préciser, à l’utilisateur, le périmètre de son retrait, ce qui permettra à une même interface de gérer tant les envois fondés sur le consentement que les envois fondés sur l’intérêt légitime (auquel cas, le retrait portera uniquement sur les pixels, le reste, l’envoi, sera de l’opposition).

6. Preuve du consentement

L’Alliance Digitale déclare que la « gestion de la preuve du consentement aux pixels de suivi » est une « problématique nouvelle pour le secteur ».

À nouveau, cela peut être lu comme un manquement au principe de responsabilité : les analyses d’impact auraient dû conduire les RT à fonder ces traitements sur le consentement, et donc à en gérer la preuve.

L’Alliance ajoute : « De plus, dans le cas des cookies c’est une preuve de procédé qui est requise et non individualisée. Il serait donc utile à notre sens qu’une vision unifiée des deux régimes soit adoptée par la CNIL. ».

Cette déclaration est très surprenante : les traceurs, dont les cookies, fondés sur le consentement nécessitent bien une preuve individuelle, car il s’agit du même régime juridique (ePrivacy renvoyant au RGPD).

En effet, l’article 7(1) du RGPD dispose que : « le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant. ».

Le considérant 42 précise : « le responsable du traitement devrait être en mesure de prouver que ladite personne a consenti à l’opération de traitement ».

La section 5.1 des lignes directrices 05/2020 du CEPD ajoute : « Il ne serait pas suffisant de simplement se référer à une configuration adéquate du site internet en question. ».

De même, elle consigne : « Il incombe au responsable du traitement de prouver qu’un consentement valable a été obtenu de la part de la personne concernée » ; « Le responsable du traitement doit toutefois être en mesure de prouver qu’une personne concernée a donné son consentement dans un cas spécifique » ; et qu’un RT peut « conserver une trace des déclarations de consentement reçues ».

La mansuétude de la CNIL ne change rien au droit. Sa recommandation cookies de 2020 doit nécessairement se lire comme la conservation, d’un côté, de ce que le CEPD nomme une « déclaration de consentement », et, de l’autre, d’une preuve qu’à cette date, le site web ou l’application, par son code informatique sous séquestre, ou son rendu visuel, ou via un tiers certificateur, recueillait bien le consentement. La preuve de consentement est le cumul de ces deux types d’éléments.

Dès lors, il existe déjà une obligation unifiée pour tous les traceurs, web ou courriel : consentement individuel. Il convient simplement de la (faire) respecter.

L’Alliance Digitale invite la CNIL à préciser la durée de conservation de la preuve de consentement. Dans ses lignes directrices 05/2020, le CEPD consigne, in fine, une durée de conservation égale à la durée de validité éventuellement rehaussée par ce qui est strictement nécessaire pour respecter une obligation légale ou l’exercice des droits en justice. La question ne se pose donc pas.

L’Alliance ne précise pas ce que contiennent les « logs systèmes attestant du statut du consentement d’une liste d’envoi » qu’elle évoque. Dès lors, la CNIL est dans l’incapacité d’apporter une réponse et, en application du principe de responsabilité, il appartient aux RT de déterminer si leur type de log est suffisant.

7. Périmètre de la recommandation

Nous soutenons l’unique emploi du terme « pixels espions ».

D’une part, car la CNIL ne fait qu’inventorier les différentes dénominations d’un même traitement sans porter d’appréciation.

D’autre part, car c’est le ressenti des personnes concernées, comme nos membres : une intrusion forte dans leur correspondance privée. Personne ne s’autoriserait cela par courrier postal (qui, au demeurant, pose les mêmes problématiques de délivrabilité à cause de prestataires défaillants, de mesure de l’intérêt, etc.).

8. Liens traçants

L’Alliance Digitale expose : « ces services demandés [par l’utilisateur] devraient faire l’objet d’une exemption au titre de la mesure individuelle et pas uniquement des liens traçants comme l’encadré en partie 4 l’indique » ; « [les liens traçants] n’ayant pas été expertisés lors de la concertation, leur inclusion ici ne se justifie pas ».

Comme nous l’avons indiqué dans notre contribution, le projet de recommandation ne traite pas des liens traçants, mais des seuls liens authentifiés, qui, sur le modèle des pixels de suivi participant à la sécurisation d’une authentification, permettent de valider une opération en univers non-authentifié, comme un retrait de consentement aux pixels de suivi.

Dès lors, aucune « exemption des liens traçants » n’est prévue par le projet de recommandation. Il appartient à la CNIL de préciser cela.

Dans ses lignes directrices 2/2023, le CEPD expose que les liens traçants tombent sous le coup de l’article 5(3) de la directive ePrivacy. Comme les pixels de suivi, ils ne sont pas strictement nécessaires à la communication électronique ni à la fourniture d’un service expressément demandé par l’utilisateur. Dès lors, ils ne peuvent reposer que sur le consentement.

Ils tombent également sous le coup de WP118 en ce qu’ils permettent de suivre l’ouverture et la lecture d’un courriel.

L’Alliance Digitale expose que « les taux de clics sont très faibles dans une campagne [10 %] et ne peuvent pas non plus suffire pour savoir si une personne est intéressée ou non par ces envois ». La pertinence des liens traçants est faible voire nulle, contrairement à leur caractère hautement intrusif (même raisonnement que pour les pixels de suivi), donc l’intérêt légitime n’est pas mobilisable.

Les finalités sont similaires à celles des pixels de suivi.

Dès lors, la CNIL aurait dû présenter un projet de recommandation unifié (pixels et liens), mais elle ne l’a pas fait.

9. Isolement des destinataires

Dans notre contribution, nous avons exposé que la mesure du taux global d’ouverture des courriels repose sur du suivi individuel, ne serait-ce que pour dédoublonner (ne pas comptabiliser plusieurs fois un email ouvert plusieurs fois par un même destinataire), et qu’une personne concernée est mise dans l’incapacité de distinguer si la finalité réelle est une mesure globale ou individuelle.

La réponse de l’Alliance Digitale au questionnaire économique évoque la possibilité d’exclure certains modèles de terminaux (Apple) ou certains fournisseurs de messagerie (Gmail) afin de tenter de préserver la pertinence des statistiques.

L’Alliance expose que cela repose sur l’« identifiant de l’infrastructure » Apple. Nous pensons que, tant pour Apple que Gmail, cela repose sur les entêtes HTTP User-Agent (marque+modèle du terminal et du logiciel utilisés) et Referer (provenance d’une visite).

Dans tous les cas, le caractère hautement intrusif des pixels, le suivi individuel, et la conservation supplémentaire de DCP non-anonymisées afin d’effectuer ce type de raffinage a posteriori, sont confortés.

À titre infiniment subsidiaire, la faisabilité technique d’un tel isolement de certains destinataires dépend fortement de la configuration du logiciel de messagerie (lecture en mode texte, etc.) ou, dans le cas d’un webmail, du navigateur web et de ses extensions (blocage des requêtes tierces, etc.).