Tracking d'e-mail : est-ce légal ? RGPD, CAN-SPAM et lois en 2026

Le tracking d’e-mail est-il légal ? Dans la plupart des pays, oui, à condition de suivre vos propres e-mails sortants pour une raison professionnelle légitime et d’être transparent à ce sujet. Les règles se durcissent vite lorsqu’il s’agit d’une campagne marketing et que le destinataire réside dans l’Union européenne ou au Royaume-Uni. Dans ce cas, le pixel de suivi lui-même nécessite un consentement préalable. Les messages individuels (comme une proposition, une facture ou une relance) se situent presque partout dans la catégorie à faible risque. C’est exactement l’usage pour lequel une extension Gmail comme Mail Tracker a été conçue.

Ce guide explique ce que dit réellement la loi aux États-Unis, dans l’UE, en France, au Royaume-Uni et au Canada. Il précise où se situe la limite entre un e-mail professionnel et une campagne, et propose une courte checklist pour suivre vos e-mails dans Gmail sans franchir la ligne rouge. Il s’agit d’informations générales et non de conseils juridiques. Si vous envoyez de vastes campagnes, consultez un conseiller juridique dans le pays du destinataire.

À retenir

• Aucun pays n’interdit totalement le tracking d’e-mails. Ce qui change selon la région, c’est si le pixel nécessite un consentement ou une simple information.
• Aux États-Unis, le CAN-SPAM réglemente l’e-mail, pas le pixel. Une décision fédérale californienne de 2025 a conclu qu’un expéditeur ne peut pas mettre sur écoute ses propres e-mails marketing.
• Dans l’UE et au Royaume-Uni, un pixel de suivi dans un e-mail marketing est traité comme un cookie : il nécessite un consentement préalable, sauf exception très précise.
• En France, la CNIL a adopté une recommandation dédiée aux pixels dans les e-mails en mars 2026, avec des exemptions pour les tests de délivrabilité et les e-mails transactionnels.
• La configuration la plus sûre pour une utilisation quotidienne de Gmail est le suivi individuel avec une notification visible. C’est d’ailleurs le fonctionnement par défaut de la version gratuite de Mail Tracker.

La réponse courte, région par région

La législation sur le suivi des e-mails comporte deux niveaux. Le premier régit l’e-mail lui-même : à qui vous pouvez l’envoyer, ce qu’il doit contenir et comment les personnes peuvent se désabonner. Le second niveau régit le pixel de suivi qu’il contient : une minuscule image qui renvoie un signal lorsqu’elle est chargée. La plupart des confusions viennent du mélange de ces deux aspects. Le tableau ci-dessous permet de les séparer clairement.

S’il n’y a qu’une chose à retenir, c’est celle-ci : un pixel dans un e-mail individuel que vous aviez déjà le droit d’envoyer relève de l’obligation d’information. Un pixel dans une campagne destinée à des boîtes de réception européennes ou britanniques relève du consentement.

Ce qu’un pixel de suivi collecte et ce que Gmail masque déjà

Un pixel de suivi d’e-mail est une image de 1x1 pixel hébergée sur le serveur de l’outil de tracking. Lorsque le client de messagerie du destinataire la charge, le serveur enregistre la requête. Cela indique à l’expéditeur que le message a été ouvert, à quel moment et combien de fois. Notre guide sur les pixels de suivi d’e-mail explique cette mécanique en détail. Le régulateur britannique décrit la même chose du point de vue du destinataire : de nombreux e-mails marketing incluent des pixels qui enregistrent “l’heure à laquelle un utilisateur a ouvert un e-mail, sa position géographique et le système d’exploitation de son appareil”, selon les directives de l’ICO sur le marketing direct.

Ce que les clients de messagerie bloquent déjà

Les clients de messagerie restreignent de plus en plus ce qu’un pixel peut voir. Gmail charge les images via les propres serveurs de Google après les avoir analysées. Sa page d’aide sur les images précise que “les expéditeurs ne peuvent pas utiliser le chargement d’images pour obtenir des informations sur votre ordinateur ou votre position géographique”, tout en admettant que “parfois, les expéditeurs peuvent savoir si vous avez ouvert un e-mail contenant une image”. Apple va encore plus loin. Selon le Guide de l’utilisateur de l’iPhone, la protection de la confidentialité dans Mail “masque votre adresse IP afin que les expéditeurs ne puissent pas la lier à vos autres activités en ligne ou déterminer votre position exacte” et “empêche les expéditeurs de voir si vous avez ouvert l’e-mail qu’ils vous ont envoyé”.

L’ensemble de données réaliste derrière une notification d’ouverture est donc restreint : un événement d’ouverture, un horodatage, un nombre d’ouvertures et, sur certains clients, un appareil ou une localisation approximative. Cela reste des données personnelles lorsqu’elles sont liées à une personne nommément désignée. C’est pourquoi les règles régionales ci-dessous s’appliquent.

États-Unis : le CAN-SPAM couvre l’e-mail, pas le pixel

Il n’existe aucune loi fédérale américaine rédigée spécifiquement pour les pixels de suivi d’e-mails. La loi à laquelle on se réfère souvent, le CAN-SPAM, concerne le message commercial lui-même. Le guide de conformité de la FTC énumère sept exigences :

• En-têtes honnêtes : les champs De, À et Répondre à doivent identifier l’expéditeur du message.
• Objets honnêtes : l’objet doit refléter le contenu.
• Mention publicitaire : le message doit indiquer qu’il s’agit d’une publicité.
• Adresse postale : inclure une adresse postale physique valide.
• Méthode de désabonnement : expliquer comment stopper les futurs e-mails marketing.
• Désabonnements rapides : honorer une demande dans un délai de 10 jours ouvrables.
• Responsabilité des prestataires : vous ne pouvez pas déléguer la conformité légale à l’agence qui envoie les e-mails pour vous.

Le guide fixe l’amende à un maximum de 53 088 $ par e-mail distinct en infraction, et il ne mentionne pas du tout les pixels de suivi. Si vous faites de la prospection à froid depuis Gmail, notre guide sur les listes d’e-mails B2B couvre plus en détail l’aspect CAN-SPAM.

La légalité des pixels aux États-Unis a plutôt été testée en vertu des lois des États sur les écoutes téléphoniques, principalement le California Invasion of Privacy Act. L’affaire la plus citée a donné raison à l’expéditeur. Dans Ramos v. Gap, Inc., le tribunal fédéral du district nord de la Californie a rejeté les accusations d’écoute illicite concernant les pixels dans les e-mails marketing de The Gap le 29 juillet 2025, sans possibilité de modification, selon Inside Class Actions. Comme Klein Moynihan Turco a résumé la décision, “The Gap ne peut pas, par définition, mettre sur écoute ses propres communications”, et les taux d’ouverture ne constituent pas le contenu d’une communication. Les plaignants continuent de déposer des variantes de ces poursuites contre les détaillants. La position pratique aux États-Unis est donc la suivante : suivre vos propres e-mails est légal, indiquez-le dans votre politique de confidentialité, ne collectez pas plus que nécessaire et proposez une option de désabonnement fonctionnelle.

Union européenne : RGPD et ePrivacy imposent le consentement pour les pixels marketing

Deux règles européennes se superposent. Le RGPD s’applique car l’information “cette personne précise a ouvert cet e-mail à 14h02” concerne un individu identifiable. Vous avez donc besoin d’une base légale, d’une politique de confidentialité et d’un moyen pour les personnes de s’y opposer. La directive ePrivacy s’applique car un pixel stocke ou lit des informations sur l’appareil du destinataire. L’article 5(3) de cette directive exige un consentement pour stocker ou accéder à des informations sur l’appareil d’un utilisateur, à moins que cela ne soit strictement nécessaire à un service demandé par ce dernier. Les Lignes directrices 2/2023 du Comité européen de la protection des données sur le champ d’application technique de l’article 5(3), publiées dans leur version finale 2.0 le 16 octobre 2024, montrent à quel point les régulateurs interprètent cette disposition de manière large.

France : la recommandation de la CNIL de 2026 sur les pixels dans les e-mails

La France a transformé ce principe en un règlement concret. Le 14 avril 2026, la CNIL a publié la version finale de sa recommandation sur les pixels de suivi dans les courriels, adoptée par la délibération n° 2026-042 du 12 mars 2026 en vertu de l’article 82 de la loi Informatique et Libertés. Les points principaux pour les expéditeurs sont les suivants :

1. Le consentement est la règle pour les pixels utilisés pour personnaliser le contenu, mesurer les audiences ou créer des profils. La recommandation précise les cas où le consentement est requis.
2. Les tests de délivrabilité sont exemptés, mais uniquement pour les e-mails liés à un service demandé par le destinataire, seulement pour repérer les adresses qui n’ouvrent plus rien, et avec des données “limitées à ce qui est strictement nécessaire”.
3. Les e-mails transactionnels sont considérés comme des services demandés : confirmations de commande, factures, avis d’expédition, réinitialisations de mot de passe et alertes de sécurité.
4. Les listes existantes ont trois mois : les expéditeurs utilisant des adresses collectées avant la publication doivent informer clairement les destinataires que des pixels sont utilisés et faciliter leur droit d’opposition.
5. Des contrôles suivront : la CNIL indique qu’elle vérifiera la conformité lors de futurs audits.

Pour un expéditeur indépendant, la leçon concerne moins les campagnes que les habitudes. Sur le papier, la loi ne prévoit pas d’exception pour les e-mails individuels. Ce qui réduit votre risque sur un message individuel, c’est d’en informer le destinataire. C’est pourquoi une notification de suivi visible a plus d’importance en Europe que partout ailleurs.

Royaume-Uni : le PECR traite un pixel comme un cookie

Le Royaume-Uni a conservé la structure européenne après le Brexit. La position de l’ICO dans ses directives sur le marketing direct est inhabituellement claire : “Les règles du PECR sur le marketing par courrier électronique s’appliquent à l’e-mail lui-même, pas aux pixels de suivi. Les pixels de suivi sont couverts par les règles distinctes du PECR sur les technologies de stockage et d’accès. Par conséquent, si l’e-mail inclut des pixels de suivi, vous devez vous conformer à ces règles.”

En clair, avoir l’autorisation d’envoyer l’e-mail marketing (que ce soit par consentement ou par “soft opt-in” pour les clients existants) ne couvre pas le pixel qu’il contient. Le pixel est évalué en vertu de l’article 6, la même règle qui régit les cookies. Dans la plupart des scénarios marketing, cela signifie un consentement préalable, sauf exception très précise. Un spécialiste du marketing à Manchester a donc besoin de deux choses : l’autorisation d’envoyer un e-mail et l’autorisation de le suivre.

Canada : la LCAP concerne le message, et le consentement prime

Les recherches canadiennes sur la légalité du suivi des e-mails au Canada renvoient généralement à la LCAP (CASL en anglais), la loi anti-pourriel. Comme le CAN-SPAM, elle réglemente le message commercial plutôt que le pixel, mais elle est plus stricte en matière d’autorisation. Selon Innovation, Sciences et Développement économique Canada, les entreprises sont “tenues d’obtenir le consentement des clients avant de leur envoyer des messages électroniques commerciaux”. Le consentement exprès signifie qu’une personne a donné son accord, verbalement ou par écrit. Le consentement tacite n’est reconnu que dans certaines circonstances, comme une relation d’affaires existante, et il est généralement limité dans le temps.

La même page exige que chaque message identifie l’entreprise et toute personne au nom de laquelle il est envoyé. Elle précise également que “toute demande de désabonnement doit être traitée dans un délai de 10 jours ouvrables ou moins, et ce, sans frais pour le destinataire”. Les données d’ouverture liées à un contact nommé constituent des renseignements personnels en vertu de la loi générale canadienne sur la protection des renseignements personnels (LPRPDE ou PIPEDA). Les principes habituels de transparence et de collecte limitée s’appliquent donc à ce que votre outil de suivi stocke.

Où se situe la limite : e-mail individuel contre campagnes

Chaque régime mentionné ci-dessus devient plus strict à mesure que le volume augmente et que la relation s’affaiblit. Une proposition suivie envoyée à un client avec qui vous avez parlé hier est un objet juridique différent d’une newsletter suivie envoyée à 40 000 abonnés, même si les deux utilisent le même pixel. Les affaires américaines qui ont atteint les tribunaux jusqu’à présent impliquent toutes le marketing de masse des détaillants, les exemptions de la CNIL sont rédigées autour des e-mails demandés, et la formulation de l’ICO vise les campagnes marketing.

Utilisez ces trois catégories comme un test rapide avant d’insérer un tracker :

• E-mail professionnel individuel : un message que vous auriez envoyé de toute façon, à une personne qui s’attend à avoir de vos nouvelles. Suivez-le, signalez-le et limitez les données aux ouvertures et aux horodatages.
• E-mail marketing aux destinataires américains : suivez le CAN-SPAM pour le message et décrivez le suivi des ouvertures dans votre politique de confidentialité. Ne vous attendez à aucune exigence de consentement fédéral, mais évitez de créer des profils à partir des données.
• E-mail marketing aux destinataires de l’UE ou du Royaume-Uni : obtenez un consentement préalable pour le pixel, distinct de l’autorisation d’envoyer l’e-mail, à moins que vous ne rentriez parfaitement dans le cadre d’une exemption comme le test de délivrabilité de la CNIL.

Si votre travail correspond principalement à la première catégorie, l’effort de conformité est minime et un tracker Gmail est le bon outil. S’il correspond plutôt à la troisième catégorie, vous avez besoin d’un registre de consentements avant le premier envoi, et d’une plateforme d’envoi en masse pour le stocker.

Comment suivre légalement les e-mails dans Gmail : une checklist en six étapes

Les étapes ci-dessous supposent que vous utilisez Gmail et un outil de suivi intégré. Elles sont conçues pour vous maintenir dans la catégorie à faible risque dans toutes les régions couvertes ci-dessus.

1. Suivez les messages individuels, pas les listes. Insérez un tracker dans les propositions, factures, candidatures et relances. Gardez les newsletters et les séquences de prospection à froid sur une plateforme qui gère le consentement.
2. Informez le destinataire. La page de tarification de Mail Tracker explique explicitement que le forfait gratuit “ajoute une petite signature visible qui permet à vos destinataires de savoir que l’e-mail est suivi”. La version Premium débloque un tracker invisible, et vous pouvez changer cela à tout moment dans les paramètres. Pour les destinataires européens et britanniques, laissez la notification visible activée.
3. Ajoutez une phrase dans votre politique de confidentialité. Indiquez que vous utilisez le suivi des ouvertures sur les e-mails professionnels, ce qu’il enregistre et combien de temps vous le conservez. C’est l’étape unique qui règle la plupart des questions juridiques aux États-Unis.
4. Ne collectez que ce dont vous avez besoin. Les ouvertures, leur nombre et les horodatages suffisent pour planifier une relance. N’exportez pas les données d’ouverture pour créer des profils et ne les partagez pas avec des tiers.
5. Honorez les oppositions instantanément. Si quelqu’un vous demande de ne pas le suivre, arrêtez d’insérer des trackers pour ce contact et supprimez ce que vous détenez s’il le demande.
6. Utilisez les accusés de réception basés sur le consentement lorsqu’ils existent. Sur un domaine Google Workspace, un administrateur peut activer les accusés de lecture Gmail, et peut exiger que les destinataires approuvent chaque accusé avant qu’il ne soit renvoyé. Google note qu’ils ne fonctionnent pas avec les comptes personnels gmail.com, ne sont pas envoyés aux groupes et ne doivent pas être considérés comme une preuve de livraison fiable. C’est pourquoi la plupart des expéditeurs les associent à un tracker. Notre guide sur les accusés de lecture Gmail compare les deux approches.

Essayez Mail Tracker

Accusés de lecture, nombre d'ouvertures et notifications en temps réel dans Gmail, gratuits et illimités. Le forfait gratuit indique aux destinataires que l'e-mail est suivi, afin que vos relances individuelles restent transparentes par défaut.

Commencer →

Mail Tracker s’installe depuis le Google Workspace Marketplace plutôt que comme une extension de navigateur. Cela signifie qu’il fonctionne dans Gmail sur le web et dans l’application Gmail sur iOS et Android. Vous insérez le tracker depuis la fenêtre de rédaction, et les ouvertures apparaissent sous forme de doubles coches vertes dans vos messages envoyés.

Pourquoi vos données d’ouverture ne seront jamais complètes, et pourquoi ce n’est pas grave

Les destinataires disposent de véritables contrôles, et un tracker légal les respecte plutôt que de les contourner. Dans Gmail, le paramètre “Demander avant d’afficher des images externes” garde chaque image (y compris un pixel) masquée jusqu’à ce que le lecteur clique pour les afficher. Sur un iPhone, la Protection de la confidentialité dans Mail est un simple interrupteur situé dans Réglages, Apps, Mail, Protection de la confidentialité. Une fois activée, Apple affirme que les expéditeurs ne peuvent pas voir si le message a été ouvert. Les passerelles de sécurité d’entreprise préchargent également les images, ce qui peut enregistrer une ouverture avant même qu’un humain ne lise le message.

Considérez une ouverture comme un indice sur le bon moment pour relancer, pas comme une preuve. Notre guide pour savoir si quelqu’un a lu votre e-mail explique comment combiner les ouvertures avec les réponses et d’autres signaux, afin qu’un pixel non chargé ne fausse jamais votre jugement.

FAQ

Suivez vos e-mails la conscience tranquille

Alors, le tracking d’e-mail est-il légal ? Pour le cas le plus courant (une relance suivie depuis Gmail vers une personne qui s’attend à recevoir votre e-mail), la réponse aux États-Unis, au Canada, dans l’UE et au Royaume-Uni est oui, tant que vous êtes transparent, que vous minimisez les données et que vous respectez toute personne qui s’y oppose. La réponse ne devient “avec consentement préalable” que lorsque l’e-mail est une campagne marketing destinée à des boîtes de réception européennes ou britanniques. Il s’agit alors d’une tâche pour une plateforme d’envoi en masse dotée d’un registre de consentements, et non pour une extension Gmail.

Placez-vous du bon côté de cette limite : gardez le tracker sur les messages individuels, laissez la notification visible activée pour les contacts internationaux et ajoutez une phrase sur le suivi des ouvertures à votre politique de confidentialité. Mail Tracker vous offre gratuitement des accusés de lecture et des notifications d’ouverture illimités dans Gmail, avec la notification au destinataire activée dès le premier message. Pour une comparaison des outils qui font cela bien, consultez notre sélection du meilleur tracker d’e-mail pour Gmail.