2026 : règles européennes sur le suivi email et pixels

TL;DR

• Les pixels de suivi d’ouverture en Europe nécessitent de plus en plus un consentement explicite préalable (France et Italie, 2026).
• Le suivi des clics et les liens UTM spécifiques aux destinataires doivent être revus selon les mêmes règles.
• SecureMailMerge n’ajoute ni l’un ni l’autre - pas de pixels, pas de liens réécrits, pas d’analyses d’engagement.

Pendant des années, insérer un petit pixel de suivi dans chaque email était simplement la façon de mesurer les taux d’ouverture.

En 2026, cela a cessé d’être sûr en Europe. La CNIL en France et le Garante en Italie ont tous deux publié des directives qui traitent les pixels de suivi des emails beaucoup plus comme des cookies que comme un simple rapport de campagne.

Alors, qu’est-ce que cela signifie vraiment pour toi ?

Le message pratique est simple : si un email marketing utilise un pixel invisible pour identifier si une personne spécifique a ouvert le message, un consentement préalable sera souvent requis. C’est un changement majeur pour les équipes habituées à considérer les taux d’ouverture comme des analyses standards.

Dans ce guide, nous allons t’expliquer ce qui a changé en France et en Italie, ce que cela signifie pour le suivi des ouvertures, le suivi des clics et les liens UTM, et comment SecureMailMerge envoie des publipostages personnalisés Outlook sans rien de tout cela.

Allons-y !

Qu’est-ce qui a changé en 2026 ?

Pendant des années, de nombreux outils de marketing par email inséraient une toute petite image invisible dans chaque email. Lorsque le destinataire ouvrait l’email, l’image se chargeait depuis le serveur de l’expéditeur et enregistrait des informations telles que :

• si l’email semblait avoir été ouvert
• quand il a été ouvert
• l’identifiant du destinataire attaché à ce pixel
• l’adresse IP et la localisation approximative
• les informations sur le client email et l’appareil

Les régulateurs examinent maintenant cela sous l’angle de la ePrivacy. Le problème n’est pas seulement que des données personnelles peuvent être traitées selon le RGPD. Le problème est aussi que le pixel de suivi peut accéder ou lire des informations depuis l’appareil du destinataire, ce qui le rapproche du suivi de type cookie.

C’est pourquoi le consentement est important. Les directives françaises et italiennes ne sont pas une nouvelle loi RGPD. C’est une application plus stricte des règles existantes de ePrivacy et de protection des données à une pratique devenue courante dans le marketing par email.

So regardons ce que chaque régulateur a réellement dit, en commençant par la France.

France : la CNIL attend un consentement séparé pour la plupart des suivis d’ouverture

La CNIL française a publié sa recommandation sur les pixels de suivi des emails en avril 2026. Sa position est actuellement l’une des plus strictes en Europe.

La règle principale est que les pixels de suivi utilisés pour mesurer les ouvertures individuelles d’emails nécessitent généralement un consentement préalable lorsqu’ils identifient un destinataire. Le consentement à recevoir une newsletter n’est pas automatiquement un consentement pour mesurer si cette personne l’a ouverte.

Cette distinction est importante. Un formulaire d’inscription qui dit seulement « envoie-moi des mises à jour par email » peut suffire pour l’envoi lui-même, mais la CNIL attend une base distincte pour le suivi de l’interaction du destinataire avec ces emails.

Dans une mise en œuvre prudente, cela signifie séparer les choix :

Choix	Ce que ça couvre
Recevoir des emails marketing	Permission d’envoyer la newsletter ou la campagne
Autoriser le suivi de l’engagement	Permission de mesurer les ouvertures, et potentiellement d’autres interactions

La CNIL reconnaît seulement quelques cas opérationnels étroits où le suivi peut être exempté de consentement, comme la sécurisation de l’authentification utilisateur et certaines tâches limitées de délivrabilité (ajuster la fréquence d’envoi ou arrêter les emails aux destinataires inactifs). L’analyse marketing, le scoring des prospects, l’optimisation du moment d’envoi, la détection de fraude et l’automatisation basée sur les ouvertures nécessitent tous un consentement.

Il y a aussi une période de transition. Pour les contacts collectés avant la recommandation, la CNIL a fixé une date limite au 14 juillet 2026 pour informer les destinataires et leur permettre de s’opposer à l’utilisation des pixels ; les contacts ajoutés à partir du 14 avril 2026 doivent être couverts par un consentement conforme dès le départ.

Pour plus de contexte, voir les résumés de Inside Privacy et Hogan Lovells.

Italie : direction similaire, avec des différences pratiques

Le Garante italien a adopté des lignes directrices sur les pixels de suivi en avril 2026, avec une période de conformité de six mois. La date limite de conformité rapportée est le 28 octobre 2026.

La position de l’Italie est similaire à celle de la France sur l’aspect le plus important : le suivi individuel des ouvertures d’emails via des pixels nécessite généralement un consentement préalable lorsqu’il est utilisé à des fins marketing ou d’analyse comportementale.

Il y a deux différences pratiques à noter :

• L’Italie semble plus ouverte à regrouper le consentement marketing et le consentement au suivi, tant que la formulation est claire, volontaire et non trompeuse.
• L’Italie laisse plus explicitement de la place pour des statistiques véritablement agrégées et anonymisées, où les destinataires ne peuvent pas être identifiés.

Cela ne signifie pas que le suivi par pixel est à faible risque. Cela signifie que le consentement et la conception des analyses peuvent différer selon la juridiction. Pour les campagnes européennes, le modèle opérationnel le plus sûr est de supposer que le suivi individuel des ouvertures nécessite un consentement clair par opt-in.

Pour plus de contexte, voir les résumés de Global Policy Watch et iubenda.

Qu’en est-il du suivi des clics ?

Les pixels d’ouverture font les gros titres. Mais qu’en est-il des liens dans ton email ?

Les directives françaises et italiennes se concentrent principalement sur les pixels de suivi d’ouverture. Le suivi des clics n’est pas abordé aussi explicitement.

Cependant, le suivi des clics fonctionne souvent en remplaçant le lien original par un lien de redirection contrôlé par la plateforme d’email. Lorsque le destinataire clique, la plateforme peut enregistrer le destinataire, la campagne, l’horodatage, l’URL de destination, les détails de l’appareil, et parfois la localisation dérivée de l’IP avant d’envoyer la personne vers la page finale.

Cela signifie que le suivi des clics peut toujours créer des données comportementales sur un destinataire identifiable. Même si les directives actuelles de 2026 sont plus explicites sur les pixels, les équipes de confidentialité devraient examiner le suivi des clics selon les mêmes principes ePrivacy et RGPD :

• Le suivi est-il nécessaire, ou juste utile pour l’analyse ?
• Le destinataire est-il clairement informé ?
• Le clic est-il lié à une personne nommée ou identifiable ?
• Le consentement est-il nécessaire pour l’analyse marketing, le scoring de leads ou l’automatisation ?
• La campagne peut-elle fonctionner avec des liens ordinaires à la place ?

Pour une approche conservatrice dans l’UE, considère le suivi des ouvertures et des clics comme des analyses d’engagement qui devraient être couvertes par un choix clair de consentement au suivi.

Les paramètres UTM sont-ils aussi couverts ?

C’est là que ça devient un peu plus flou.

Les paramètres UTM sont plus nuancés que les pixels ouverts ou le suivi des clics basé sur les redirections. Un lien basique au niveau de la campagne comme ?utm_source=newsletter&utm_campaign=july_update identifie généralement la campagne, pas le destinataire individuel. Si le site web n’utilise pas de cookies, ne stocke pas d’identifiant de dispositif, et utilise uniquement les valeurs UTM pour des analyses anonymes agrégées, le risque pour la vie privée est moindre.

Cela ne signifie pas que les liens UTM sont automatiquement hors-la-loi. Les directives françaises et italiennes de 2026 concernent principalement les pixels de suivi dans les emails, mais les anciennes règles ePrivacy couvraient déjà le stockage d’informations sur, ou l’accès à des informations depuis, l’appareil d’un utilisateur. Le Comité européen de la protection des données a également indiqué que le suivi via URL peut relever de l’article 5(3) de la directive ePrivacy. En clair : les régulateurs peuvent toujours examiner les liens de suivi dans le cadre de la “loi sur les cookies” existante, même lorsqu’aucun cookie n’est utilisé.

La question clé est de savoir si la configuration UTM est vraiment une mesure anonyme de campagne ou un suivi au niveau du destinataire. Les paramètres de type UTM deviennent plus risqués lorsqu’ils incluent un ID de destinataire, un hash d’email, un ID CRM, un score de lead, ou toute valeur permettant de relier la visite ou le clic à une personne. Même les UTM uniquement liés à la campagne peuvent poser un problème de consentement si la page d’atterrissage les combine avec des cookies analytiques, du fingerprinting, des données d’utilisateur connecté, ou des pixels publicitaires.

Pourquoi les taux d’ouverture sont de toute façon moins fiables

Voici le truc : même si le consentement n’était pas un problème, le suivi des ouvertures n’est plus le signal fiable qu’il était.

Le changement légal n’est pas la seule raison de repenser le suivi des ouvertures. Les taux d’ouverture sont devenus moins fiables parce que les clients de messagerie modernes et les outils de confidentialité peuvent précharger les images, faire passer les requêtes d’images par un proxy, bloquer les images ou cacher les détails réseau.

Cela signifie qu’une “ouverture” ne veut pas toujours dire qu’un humain a lu le message, et qu’une ouverture manquante ne veut pas toujours dire que le message a été ignoré.

Pour le publipostage Outlook basé sur la relation, de meilleurs signaux viennent souvent de :

• réponses
• retours directs des clients
• rendez-vous pris
• formulaires soumis
• documents retournés
• complétion des processus métier
• tendances de désabonnement ou de plaintes

Ces résultats sont généralement plus significatifs que d’essayer d’inférer une intention à partir d’un pixel caché.

Comment SecureMailMerge gère le suivi

Où est-ce que SecureMailMerge s’insère dans tout ça ?

SecureMailMerge ne prend pas en charge le suivi des ouvertures ni le suivi des clics.

Cela signifie :

• aucun pixel de suivi invisible n’est inséré dans ton email
• aucune image unique de suivi d’ouverture n’est générée par destinataire
• aucun lien n’est réécrit via une redirection de suivi
• aucune analyse d’ouverture, de clic, d’appareil ou de localisation n’est collectée par SecureMailMerge
• aucun profil d’engagement des destinataires n’est créé dans SecureMailMerge

C’est intentionnel. SecureMailMerge est conçu pour les utilisateurs de Microsoft 365 qui veulent envoyer des campagnes de publipostage personnalisées depuis Outlook tout en gardant les données de campagne dans leur propre flux de travail Microsoft 365.

Les feuilles de calcul des destinataires sont traitées localement sur ton ordinateur à l’intérieur de l’add-in. Les emails sont envoyés depuis ta boîte aux lettres, et les réponses restent dans Outlook. C’est utile pour la communication interne, les avis aux clients, les mises à jour transactionnelles, les factures, les certificats, les messages sensibles à la conformité, et autres envois où les pixels de suivi seraient inutiles ou indésirables.

En savoir plus sur la gestion des données du produit dans le guide de sécurité informatique SecureMailMerge.

Les accusés de lecture Outlook sont-ils les mêmes que les pixels de suivi ?

Non. Les accusés de lecture Outlook et les pixels de suivi cachés sont différents.

Un accusé de lecture est une fonctionnalité standard des emails où le client de messagerie du destinataire peut demander s’il doit envoyer une confirmation au retour à l’expéditeur. Le destinataire ou son organisation peut souvent refuser ou désactiver cette option. C’est un comportement visible contrôlé par le système de messagerie.

Un pixel de suivi est généralement invisible. Il est chargé comme une image distante et peut identifier le destinataire sans une demande directe dans le client de messagerie.

SecureMailMerge peut utiliser les options standard d’Outlook, comme les accusés de lecture, lorsque cela est pris en charge par Microsoft 365 et le système de messagerie du destinataire. Ce n’est pas la même chose que d’ajouter un suivi par pixel tiers ou une redirection de lien. Pour une comparaison plus approfondie, voir Email Tracking vs Outlook Read Receipts Explained.

Liste de contrôle pratique pour les expéditeurs d’emails européens

Pas sûr par où commencer ? Voici une liste de contrôle rapide que tu peux utiliser dès aujourd’hui.

Si ton organisation envoie des emails marketing ou des newsletters à des destinataires européens, vérifie ta pile d’emails maintenant :

1. Vérifie si ta plateforme insère par défaut des pixels de suivi d’ouverture.
2. Vérifie si les liens sont réécrits via des domaines de suivi.
3. Sépare le consentement à l’abonnement par email du consentement à l’analyse de l’engagement lorsque c’est nécessaire.
4. Passe en revue les automatisations existantes qui utilisent les ouvertures, les clics, les scores de leads ou les segments d’engagement.
5. Privilégie les rapports agrégés et anonymisés lorsque le suivi individuel n’est pas nécessaire.
6. Mets à jour les avis de confidentialité et les formulaires d’inscription pour que les destinataires comprennent ce qui est mesuré.
7. Garde une preuve du consentement et facilite le retrait.
8. Consulte un conseiller juridique pour savoir comment la France, l’Italie et tes pays cibles impactent tes campagnes.

Cet article est une information générale, pas un conseil juridique. La bonne mise en œuvre dépend de ton audience, de l’objectif, du langage du consentement, des flux de données, des fournisseurs et des règles nationales ePrivacy.

FAQ

Est-ce que les pixels de suivi d’ouverture d’email nécessitent un consentement en Europe ?

Souvent, oui. En 2026, la CNIL en France et le Garante en Italie ont tous deux estimé que le suivi individuel d’ouverture d’email via des pixels nécessite généralement un consentement préalable lorsqu’il est utilisé pour des analyses marketing ou un suivi comportemental.

Est-ce une nouvelle loi RGPD ?

Non. Les recommandations appliquent les principes existants du ePrivacy et du RGPD aux pixels de suivi dans les emails. La loi n’est pas nouvelle, mais les attentes des régulateurs sont désormais plus claires.

Le consentement à la newsletter couvre-t-il aussi le suivi d’ouverture ?

Pas nécessairement. La CNIL en France est particulièrement claire : le consentement à recevoir une newsletter ne signifie pas automatiquement le consentement au suivi pour savoir si la personne l’a ouverte.

Le suivi des clics est-il interdit ?

Les recommandations de 2026 sont plus explicites concernant les pixels de suivi d’ouverture que le suivi des clics. Cependant, le suivi des clics peut toujours identifier les destinataires et mesurer leur comportement, il doit donc être examiné selon les principes du ePrivacy et du RGPD.

Est-ce que SecureMailMerge suit les ouvertures ou les clics ?

Non. SecureMailMerge n’insère pas de pixels de suivi d’ouverture et ne réécrit pas les liens pour le suivi des clics. Il se concentre sur le publipostage Outlook, la personnalisation, les pièces jointes, la planification et l’envoi via Microsoft 365.

Existe-t-il un outil email conforme à la CNIL sans pixels de suivi ?

L’obligation de consentement CNIL est déclenchée par le suivi d’ouverture et de clic, donc un outil qui n’ajoute ni l’un ni l’autre l’évite. SecureMailMerge n’insère aucun pixel d’ouverture et ne réécrit aucun lien, ce qui signifie qu’il n’y a pas de suivi basé sur des pixels nécessitant un consentement séparé. Tu gères toujours le consentement marketing et les avis de confidentialité pour l’envoi lui-même, mais l’étape supplémentaire de consentement aux pixels ne s’applique pas.

Quel outil email respecte les règles du Garante italien sans suivi d’ouverture ?

Le même principe s’applique. Les règles du Garante du 28 octobre 2026 ciblent les pixels qui identifient qui a ouvert un message. SecureMailMerge envoie depuis ta propre boîte Microsoft 365 sans suivi d’ouverture ni de clic, donc il ne crée pas les données d’engagement au niveau du destinataire que ces directives régulent.