CONFORMITÉ CNIL
Autoriser l'envoi d'un e-mail ne signifie pas autoriser la mesure des interactions.
Un objet peu performant se traduit par un faible taux d'ouverture. Une base de mauvaise qualité génère des bounces. En revanche, un pixel de tracking qui se charge sans consentement au tracking ne laisse aucun signal visible : il s'active, les ouvertures remontent, le rapport de campagne semble normal. Rien en apparence ne permet de distinguer une mesure légitime d’une mesure qui ne l’est pas. Vous le découvrez souvent au moment au pire moment : une plainte, un contrôle, une demande de production du texte exact présenté au contact lors de son inscription. Et la réponse qu'attend la CNIL n'est pas seulement de savoir si le destinataire a accepté de recevoir de vos nouvelles. Elle veut savoir s’il a aussi consenti à ce que ses interactions soient mesurées.
2
règles distinctes encadrent chaque email marketing envoyé en France.
Une seule case à cocher ne peut pas couvrir les deux. L'un des consentements ne peut pas être déduit de l'autre.
Plus qu’un indicateur marketing, le taux d’ouverture est désormais un enjeu de conformité.
Découvrez dans ce livre blanc :
- La distinction faite par la CNIL entre l'envoi d'e-mails B2C et B2B : opt-in ou opt-out par défaut, les trois conditions cumulatives du soft opt-in, et le cas où une simple offre commerciale suffit à faire basculer un message transactionnel en prospection directe.
- La matrice de classification des pixels de tracking : quelles finalités de tracking nécessitent un consentement explicite préalable, de l'optimisation de campagne au profilage et à la détection des ouvertures en masse, ainsi que les rares cas d’exemption, notamment pour certaines finalités liées à la délivrabilité.
- Comment recueillir un consentement au tracking conforme : le bon moment, une information transparente et la granularité du choix, y compris les cas où un consentement unique est possible et la marche à suivre si aucun consentement au tracking n’a été recueilli lors de la collecte de l’adresse.
- L'architecture pour gérer les deux workflows : un centre de préférences unifié avec deux statuts distincts, une intégration dynamique des pixels selon le consentement du destinataire et deux mécanismes de retrait séparés, avec une gestion du retrait appliquée directement au niveau du serveur de tracking.
- Les quatre conditions pour des analytics web exemptées de consentement au regard du RGPD et de la loi Informatique et Libertés, les limite de la mesure sans cookies, et les cas particuliers à surveiller : scanners de sécurité, fichiers d’emails achetés ou loués et consentement demandé par email.
Le tracking email, de moins en moins fiable et plus encadré.
L’enjeu n’est pas d’arrêter de mesurer, mais de déplacer le signal principal hors de la boîte de réception : utiliser des pixels lorsque le consentement le permet, privilégier une mesure d’audience exemptée de consentement sur la landing page pour le reste, et centraliser le consentement dans un même référentiel, pris en compte en temps réel par l’ESP, le site web et la solution analytics. Lorsque ces systèmes sont séparés, le retrait du consentement n’est appliqué qu’au rythme de la synchronisation la plus lente.
Si vous pilotez les campagnes sans maîtriser le registre de consentement, si l’on vous a indiqué que l’opt-in newsletter couvre aussi le pixel de tracking, ou si vous n’êtes pas en mesure de produire l’horodatage et le texte exact du formulaire présenté à un contact français inscrit il y a dix-huit mois, ce livre blanc vous donne le cadre à respecter et l’architecture à mettre en place.
Cadre légal, classification des pixels, deux workflows de consentement, architecture technique et cas particuliers, sur la base des recommandations de la CNIL, l'article 82 de la loi Informatique et Libertés, et le RGPD.
Questions fréquentes
Cela dépend du destinataire. En B2C, l'opt-in est la règle par défaut : le consentement préalable doit être libre, spécifique, éclairé et non ambigu, exprimé par un acte affirmatif avant le premier message commercial. En B2B, l'opt-out est la règle par défaut, sous une condition — l'offre doit correspondre au rôle professionnel du destinataire, par exemple un logiciel RH à un directeur RH. Lorsque ce n'est pas le cas, les règles B2C s'appliquent.
Cela dépend du destinataire. En B2C, l'opt-in est la règle par défaut : le consentement préalable doit être libre, spécifique, éclairé et non ambigu, exprimé par un acte affirmatif avant le premier message commercial. En B2B, l'opt-out est la règle par défaut, sous une condition — l'offre doit correspondre au rôle professionnel du destinataire, par exemple un logiciel RH à un directeur RH. Lorsque ce n'est pas le cas, les règles B2C s'appliquent.
Non. L'envoi et la mesure sont des actes distincts en droit français et la CNIL les évalue séparément. Un email qui relève légitimement de l'opt-out B2B ou du soft opt-in B2C nécessite tout de même un opt-in séparé avant le chargement d'un pixel soumis à consentement. Le placement d'un pixel relève de l'article 82 de la loi Informatique et Libertés, qui transpose la règle ePrivacy sur l'accès aux équipements terminaux — un régime distinct des règles d'envoi.
Non. L'envoi et la mesure sont des actes distincts en droit français et la CNIL les évalue séparément. Un email qui relève légitimement de l'opt-out B2B ou du soft opt-in B2C nécessite tout de même un opt-in séparé avant le chargement d'un pixel soumis à consentement. Le placement d'un pixel relève de l'article 82 de la loi Informatique et Libertés, qui transpose la règle ePrivacy sur l'accès aux équipements terminaux — un régime distinct des règles d'envoi.
Un consentement explicite préalable est requis dès lors que le pixel sert à des fins d'analytics ou de profilage : lecture des taux d'ouverture pour optimiser une campagne ou ajuster la fréquence d'envoi, profilage des préférences pour un ciblage multiplateforme, détection des ouvertures automatisées en masse, ou enregistrement des indicateurs d'ouverture au niveau individuel. Un sous-ensemble étroit est exempté — analyse agrégée de délivrabilité, preuve de réception d'informations légales obligatoires, vérifications d'authentification — chacun assorti d'une condition. Le livre blanc présente la classification complète et les conditions applicables.
Un consentement explicite préalable est requis dès lors que le pixel sert à des fins d'analytics ou de profilage : lecture des taux d'ouverture pour optimiser une campagne ou ajuster la fréquence d'envoi, profilage des préférences pour un ciblage multiplateforme, détection des ouvertures automatisées en masse, ou enregistrement des indicateurs d'ouverture au niveau individuel. Un sous-ensemble étroit est exempté — analyse agrégée de délivrabilité, preuve de réception d'informations légales obligatoires, vérifications d'authentification — chacun assorti d'une condition. Le livre blanc présente la classification complète et les conditions applicables.
Non. La CNIL considère qu'une case pré-cochée ne vaut pas consentement, en B2B comme en B2C. Le consentement exige un acte affirmatif, enregistré avec un timestamp et le contexte du formulaire. Lorsque l'adresse est destinée à être transmise à des partenaires commerciaux, l'expéditeur les nomme au moment de la collecte ou renvoie à une liste, et enregistre un opt-in distinct pour chacun.
Non. La CNIL considère qu'une case pré-cochée ne vaut pas consentement, en B2B comme en B2C. Le consentement exige un acte affirmatif, enregistré avec un timestamp et le contexte du formulaire. Lorsque l'adresse est destinée à être transmise à des partenaires commerciaux, l'expéditeur les nomme au moment de la collecte ou renvoie à une liste, et enregistre un opt-in distinct pour chacun.
Oui, sous une contrainte : l'email sollicitant le consentement au tracking ne peut pas lui-même contenir un pixel de tracking. L'appel à l'action redirige le destinataire vers une page de destination où le consentement est donné par un acte affirmatif — en cliquant sur un bouton, et non simplement en arrivant sur la page. Après un refus, l'expéditeur patiente avant de renouveler la demande ; six mois est le délai généralement retenu.
Oui, sous une contrainte : l'email sollicitant le consentement au tracking ne peut pas lui-même contenir un pixel de tracking. L'appel à l'action redirige le destinataire vers une page de destination où le consentement est donné par un acte affirmatif — en cliquant sur un bouton, et non simplement en arrivant sur la page. Après un refus, l'expéditeur patiente avant de renouveler la demande ; six mois est le délai généralement retenu.
Non. Une garantie contractuelle d'un prestataire ne transfère aucune responsabilité. L'obligation de démontrer le consentement incombe au responsable du traitement, adresse par adresse : timestamp, URL source et libellé exact du formulaire que la personne a vu. Si le prestataire ne peut pas produire ces enregistrements par contact, l'expéditeur ne peut pas démontrer le consentement, et l'envoi est illicite.
Non. Une garantie contractuelle d'un prestataire ne transfère aucune responsabilité. L'obligation de démontrer le consentement incombe au responsable du traitement, adresse par adresse : timestamp, URL source et libellé exact du formulaire que la personne a vu. Si le prestataire ne peut pas produire ces enregistrements par contact, l'expéditeur ne peut pas démontrer le consentement, et l'envoi est illicite.
Oui, en déplaçant la mesure hors de la boîte de réception. Le trafic email atterrit sur un site utilisant une configuration d'analytics que la CNIL exempte de consentement, qui mesure l'engagement faisant suite au clic sans obligation de consentement propre. L'exemption est conditionnelle — quatre exigences encadrent la finalité, l'anonymisation, les identifiants intersites et la granularité des rapports. Le livre blanc les liste toutes, ainsi que ce à quoi la mesure sans cookies oblige à renoncer.
Oui, en déplaçant la mesure hors de la boîte de réception. Le trafic email atterrit sur un site utilisant une configuration d'analytics que la CNIL exempte de consentement, qui mesure l'engagement faisant suite au clic sans obligation de consentement propre. L'exemption est conditionnelle — quatre exigences encadrent la finalité, l'anonymisation, les identifiants intersites et la granularité des rapports. Le livre blanc les liste toutes, ainsi que ce à quoi la mesure sans cookies oblige à renoncer.
Cette page fournit des informations générales sur les exigences de la CNIL en matière d'email marketing et ne constitue pas un conseil juridique. Les obligations spécifiques dépendent de vos données, de vos destinataires et de vos finalités de traitement.
Comment pouvons-nous vous accompagner ?
JustRelate évalue votre stack MarTech au regard des exigences françaises en matière de protection des données, à travers un audit technique de vos workflows de consentement ou une démonstration d’une architecture capable de gérer séparément le consentement à l’envoi et au tracking, puis d’activer ou de désactiver automatiquement le pixel selon le statut enregistré, sans développement spécifique.