SYNTHÈSE
La législation française distingue l’envoi d’un email de la mesure des interactions.
Chacun repose sur sa propre base juridique, et la CNIL les évalue séparément : l’autorisation d’envoyer un email ne vaut pas autorisation de mesurer ce qui se passe ensuite. Les taux d'ouverture, les données de clics et le profilage comportemental nécessitent leur propre consentement.
Exigences B2C
Exigences B2B
Principaux points de vigilance
Opt-in par défaut.
Exception : soft opt-in pour les clients existants, produits ou services similaires.
Opt-out par défaut.
Condition : l'offre doit être en lien avec l’activité professionnelle du destinataire.
- Aucune case pré-cochée.
- Consentement distinct pour chaque partenaire tiers.
- Expéditeur identifié et lien de désinscription fonctionnel dans chaque email.
Opt-in par défaut.
Couvre l'optimisation des campagnes, le profilage et la détection des ouvertures massives.
Opt-in par défaut.
Les règles de tracking ne changent pas entre B2B et B2C.
- Consentement au tracking enregistré indépendamment du consentement à l'envoi.
- Lien distinct permettant de désactiver le tracking dans le footer.
- Après retrait du consentement, le pixel ne doit plus se charger, y compris lors de la réouverture d’un email déjà reçu.
Respecter ces deux exigences sans perdre en visibilité sur la performance de vos campagnes implique de ne plus faire du taux d'ouverture l’indicateur principal. Il s’agit plutôt d’utiliser des pixels lorsque le consentement le permet, et de privilégier des outils d'analyse web (web analytics) exemptés de consentement partout ailleurs. Voici quatre stratégies à suivre.
- Recueillez le consentement pour le pixel de tracking.
L’optimisation ciblée et la personnalisation reposent sur le pixel de tracking, qui nécessite lui-même un consentement actif, éclairé et granulaire. Le formulaire d’inscription est le meilleur support pour le recueillir. Quelle que soit la méthode utilisée, l’expéditeur doit conserver une preuve du consentement indiquant la date, le mode de recueil et le texte exact présenté au moment où il a été donné. - Prévoyez un parcours distinct pour désactiver le tracking.
Le footer doit comporter un lien permettant de désactiver le tracking, différent du lien de désinscription et tout aussi facile à trouver. Un destinataire ne devrait pas avoir à se désabonner des emails pour ne plus être suivi. Les deux actions doivent prendre effet dès le clic, sans attendre l’envoi suivant. - Mesurez sur la landing page, pas dans la boîte de réception.
Les dispositifs de protection des messageries basés sur l’IA et les systèmes de filtrage de sécurité ont rendu le taux d’ouverture moins fiable. Une analyse d’audience web exemptée de consentement permet de mesurer l’engagement après le clic, sans nécessiter de consentement supplémentaire. - Centralisez le consentement dans une architecture unique.
Réunir la création d’emails, le CRM, la gestion du consentement et l’analyse d’audience web au sein d’une même plateforme permet de centraliser le statut du consentement et de le prendre en compte en temps réel par l’ESP, le site web et la solution analytics. C’est le modèle présenté plus loin dans ce livre blanc et sur lequel repose JustRelate. Lorsque ces systèmes fonctionnent séparément, la mise à jour du statut du consentement est limitée par la vitesse de synchronisation du système le plus lent.
CADRE LÉGAL DE LA CNIL
Règles d'envoi des e-mails (B2C vs B2B)
Les règles de l’email marketing diffèrent selon que le destinataire est un particulier ou un professionnel. Si l’opt-in est la règle par défaut en B2C, le B2B bénéficie d’un cadre plus souple, sous réserve de respecter certaines conditions.
Pour les marketeurs, cela implique de bien identifier les règles applicables et de s’assurer que chaque campagne respecte les exigences correspondantes avant son envoi.
Marketing B2C
L’opt-in est la règle par défaut. L’expéditeur doit avoir recueilli au préalable un consentement libre, spécifique, éclairé, univoque et exprimé par un acte positif avant l’envoi du premier message commercial.
- L'exception du « soft opt-in »
Le consentement préalable n’est pas requis si les trois conditions suivantes sont réunies : le destinataire est déjà client, le message concerne des produits ou services similaires proposés par la même entité juridique, et la possibilité de s’opposer à ces communications lui a été proposée lors de la collecte de son adresse. Si l’une de ces conditions fait défaut, la règle de l’opt-in s’applique à nouveau. - Exemption pour les communications non commerciales
Les messages transactionnels ou purement informatifs (exemple : une mise à jour des conditions générales ou une alerte de sécurité) ne nécessitent pas de consentement marketing à condition de ne contenir aucun contenu promotionnel. Une seule offre commerciale intégrée transforme le message en prospection directe.
Marketing B2B
L’opt-out est la règle par défaut. Le consentement préalable n’est pas requis lorsque le message s’adresse au destinataire dans le cadre de son activité professionnelle. Par exemple, un logiciel RH peut être proposé à un DRH. Si l’offre n’a pas de lien avec ses fonctions professionnelles, les règles d’opt-in prévues pour le B2C s’appliquent.
Exigence de traçabilité : la CNIL considère qu'une case pré-cochée ne vaut pas consentement, en B2B comme en B2C. Lorsque l’adresse doit être transmise à des partenaires commerciaux, l’expéditeur doit identifier ces partenaires lors de la collecte ou renvoyer vers une liste les mentionnant, et recueillir un opt-in distinct pour chacun d’entre eux.
Règles de tracking des e-mails (classification des pixels)
L’utilisation des pixels est encadrée par l’article 82 de la loi Informatique et Libertés, qui transpose les règles ePrivacy relatives à l’accès aux équipements terminaux. Ces règles sont distinctes de celles applicables à l’envoi d’emails. Un e-mail éligible à l'opt-out en B2B ou au soft opt-in en B2C nécessite tout de même un opt-in distinct avant le chargement d'un pixel soumis à consentement.
Pixels de tracking soumis à consentement
Un consentement explicite préalable est requis pour :
- analyser les taux d'ouverture afin d'optimiser les campagnes, d'adapter leur fréquence d'envoi,
- établir le profil des préférences des destinataires à des fins de ciblage publicitaire cross-canal,
- détecter les ouvertures de masse automatisées ou la fraude via le pixel,
- enregistrer les données d'ouverture au niveau individuel, au-delà des besoins liés à l’hygiène de la base de données.
Pixels de tracking exemptés de consentement
L’exemption s’applique, sous conditions, à certaines finalités :
- analyser la délivrabilité de manière agrégée à condition que la collecte soit limitée au strict nécessaire, notamment la date de dernière interaction sans l’heure précise.
- prouver que les informations légales obligatoires sont bien parvenues au destinataire ;
- utiliser des pixels uniquement pour vérifier l’état d’authentification ou identifier un appareil dans le cadre d’un parcours d’authentification unique (SSO).
Recueillir le consentement dans les règles (opt-in)
- Moment opportun : recueillez le consentement au tracking directement dans le formulaire utilisé pour collecter l’adresse email. Le demander ultérieurement implique davantage de contraintes.
- Information transparente : présentez chaque finalité de tracking de manière claire et concise, au plus près du choix proposé, avec un accès simple aux informations détaillées via un lien ou une liste déroulante.
- Consentement libre et granularité :
- Prévoyez une case à cocher dédiée au suivi des emails, distincte de celle utilisée pour le consentement à l’envoi.
- Un consentement unique peut couvrir l’envoi et le suivi lorsque ces deux finalités sont étroitement liées, notamment quand le pixel est utilisé pour personnaliser l’email.
- Le consentement au tracking e-mail peut être collecté conjointement avec le consentement au tracking web à condition de distinguer clairement chaque finalité et chaque choix.
- Consentement ultérieur par e-mail : si le consentement au tracking n’a pas été recueilli lors de la collecte de l’adresse. Cet email ne doit lui-même contenir aucun pixel nécessitant un consentement. Le lien renvoie vers une page dédiée où le destinataire doit ensuite accomplir une action spécifique, par exemple en cliquant sur un bouton et non en se contentant de la consulter. En cas de refus, ce choix doit être conservé, et la CNIL recommande d’attendre au moins six mois avant de solliciter à nouveau l’utilisateur.
ARCHITECTURE TECHNIQUE
Trois critères structurent l’ensemble des workflows présentés dans ce document.
Exigences système
- Centre de préférences unifié
Une interface unique, avec deux indicateurs de consentement distincts : l’un pour l’envoi des emails, l’autre pour le tracking. Aucun ne peut être déduit de l’autre. - Module dynamique d’insertion de pixels
L’ESP ou la plateforme de marketing automation insère un pixel soumis à consentement uniquement si le profil du destinataire dispose d’un consentement au tracking vérifié et actif (email_tracking_consent = true). En l’absence de consentement ou après son retrait, le système bascule vers une mesure de délivrabilité exemptée de consentement. - Mécanisme de désinscription à double niveau
- Désinscription de la liste de diffusion (modifie l'autorisation d'envoi).
- Désactivation du tracking (retire l'autorisation de suivi, mais maintient l'inscription à la liste de diffusion).
Note technique : un email ne peut plus être modifié après envoi ; l’URL du pixel reste donc intégrée au message reçu. Le retrait du consentement doit donc être appliqué au niveau du serveur qui traite la requête du pixel, et non dans l’email lui-même. Lorsque le destinataire clique sur « Désactiver le tracking », son statut de consentement est mis à jour immédiatement dans le CRM, et le domaine de tracking cesse de répondre aux requêtes associées à son pixel, y compris celles provenant d’un proxy d’images. Une synchronisation différée, par exemple nocturne, laisserait le pixel actif jusqu’à la prochaine mise à jour.
WORKFLOW TECHNIQUE
Cycle de vie d'un destinataire B2C
- Collecte des données
Le formulaire présente des cases non pré-cochées : une pour l’opt-in liée à l’envoi d’emails et, selon le cas, une seconde destinée soit à la mesure, soit à l’opt-in unique groupé lorsque l’email est réellement personnalisé. - Enregistrement du consentement
Le système crée une entrée immuable : ID utilisateur, adresse IP, horodatage, version du texte de consentement et les informations sur chaque champ du formulaire. - Envoi et affichage :
- Consentement à l'envoi = oui ET Consentement au tracking = oui : la campagne est envoyée avec les pixels de suivi.
- Consentement à l'envoi = oui ET Consentement au tracking = non : la campagne est envoyée sans pixels de suivi et seuls les journaux d’accès nécessaires à la maintenance de la base sont utilisés.
Cycle de vie d'un destinataire B2B
- Collecte des données
Le formulaire précise que les communications sont liées à l’activité professionnelle du destinataire et comporte une case distincte pour recueillir son consentement au tracking. - Envoi et affichage :
- l’email est envoyé sur la base de l’opt-out ;
- le pixel de tracking reste désactivé tant qu’un consentement spécifique n’a pas été recueilli lors de la collecte ou synchronisé depuis une plateforme externe de gestion du consentement (CMP).
Du formulaire de collecte à la réponse webhook
STRATÉGIES ALTERNATIVES
La fonctionnalité Mail Privacy Protection d'Apple pré-charge les images de chaque email distribué, tandis que les scanners de sécurité en entreprise peuvent ouvrir les messages avant leur destinataire. Résultat : certains taux d’ouverture sont artificiellement gonflés, tandis que d’autres deviennent invisibles. Le pixel de tracking implique désormais une contrainte de conformité pour un indicateur dont la valeur diminue.
Mettre en œuvre une solution de web analytics exemptée de consentement
L'engagement peut être mesuré sur la landing page plutôt que dans la boîte de réception. Le trafic e-mail arrive alors sur un site utilisant une configuration analytique que la CNIL exempte de consentement, avec ou sans cookies. Pour bénéficier de l'exemption fondée sur les cookies au titre du RGPD et de la loi Informatique et Libertés, la configuration du tracking web doit respecter quatre conditions :
- Limitation stricte des finalités
Les données sont utilisées uniquement pour la mesure d'audience et le fonctionnement du site, sans transmission à des réseaux publicitaires tiers. - Anonymisation à la source
Les adresses IP sont tronquées avant d'être stockées, limitant la précision de la géolocalisation à l'échelle de la ville ou de la région. - Absence de tracking inter-sites
Les identifiants de visiteurs ne suivent pas la personne sur des sites web ou des applications mobiles sans lien entre eux. - Rapports agrégés uniquement
Les rapports peuvent porter sur les données de trafic, techniques, d'engagement et de conversion, y compris les flux utilisateurs et les cartes de défilement. Les parcours et identifiants individuels restent inaccessibles.
L’analytics sans cookies permet un suivi plus large, notamment des conversions et des interactions avec des réseaux publicitaires tiers, mais avec une mémoire limitée à 24 heures pour la reconnaissance des visiteurs récurrents et le comptage des visiteurs uniques. JustRelate etracker combine cette approche avec un modèle hybride : sans cookies par défaut, puis avec cookies après consentement pour enrichir le suivi du parcours client. En réunissant l’envoi d’emails, la gestion du consentement et le tracking sur une même plateforme, JustRelate réduit les risques de non-conformité entre systèmes et facilite le respect des exigences européennes et françaises en matière de protection des données.
- Gestion centralisée du consentement
Les préférences d’envoi d’emails, de suivi web et de tracking des e-mails sont réunies dans un même système. - Module dynamique de gestion de contenu et de pixels
Il insère ou supprime le pixel de suivi des e-mails selon le statut du consentement. Aucun code personnalisé n'est requis. - Traçabilité des consentements
Les informations exactes du formulaire, la date et le contexte du consentement peuvent être exportés afin de constituer une preuve exploitable en cas de contrôle de la CNIL. - Architecture composable
Des API REST permettent de connecter vos CRM d'entreprise, à vos plateformes de gestion du consentement (CMP) et à vos routeurs d'e-mails (ESP) existants.
FAQ & Cas particuliers
Les passerelles de sécurité pré-analysent les e-mails entrants, en suivant les liens et en chargeant les pixels avant même que le destinataire ne consulte le message. Comptabiliser ces événements relève de l'analytique, et selon les directives de la CNIL, l'analytique requiert un consentement. En l'absence de consentement au tracking, aucun pixel soumis à consentement ne doit figurer dans le message : seule la date de dernière interaction peut être conservée, et les interactions générées par les scanners ne doivent pas apparaître dans les rapports de campagne. Lorsque le consentement est présent, es ouvertures générées automatiquement doivent néanmoins être exclues des statistiques générées.
Les passerelles de sécurité pré-analysent les e-mails entrants, en suivant les liens et en chargeant les pixels avant même que le destinataire ne consulte le message. Comptabiliser ces événements relève de l'analytique, et selon les directives de la CNIL, l'analytique requiert un consentement. En l'absence de consentement au tracking, aucun pixel soumis à consentement ne doit figurer dans le message : seule la date de dernière interaction peut être conservée, et les interactions générées par les scanners ne doivent pas apparaître dans les rapports de campagne. Lorsque le consentement est présent, es ouvertures générées automatiquement doivent néanmoins être exclues des statistiques générées.
Oui, à condition que l'e-mail demandant le consentement au suivi ne contienne pas lui-même de pixel de tracking. Le lien du CTA doit rediriger le destinataire vers une landing page externe, où le consentement est recueilli via une action spécifique.
Oui, à condition que l'e-mail demandant le consentement au suivi ne contienne pas lui-même de pixel de tracking. Le lien du CTA doit rediriger le destinataire vers une landing page externe, où le consentement est recueilli via une action spécifique.
La simple garantie d'un fournisseur affirmant que sa base est « 100 % conforme CNIL » ne suffit pas. Le responsable du traitement doit être en mesure de prouver le consentement pour chaque contact : horodatage, URL source et copie exacte du formulaire présenté par la personne. Si le fournisseur n'est pas en mesure de fournir ces éléments pour chaque contact, l'expéditeur ne peut pas démontrer la validité du consentement et l'envoi est illicite.
La simple garantie d'un fournisseur affirmant que sa base est « 100 % conforme CNIL » ne suffit pas. Le responsable du traitement doit être en mesure de prouver le consentement pour chaque contact : horodatage, URL source et copie exacte du formulaire présenté par la personne. Si le fournisseur n'est pas en mesure de fournir ces éléments pour chaque contact, l'expéditeur ne peut pas démontrer la validité du consentement et l'envoi est illicite.
Prochaines étapes pour les équipes juridiques et marketing
- Auditer l'utilisation actuelle des pixels
Passez en revue vos campagnes actives et vérifiez qu’aucun pixel soumis à consentement ne se charge pour un contact n’ayant pas explicitement consenti au tracking. - Mettre à jour les pieds de page des e-mails
Vérifiez que chaque modèle comporte bien un lien désinscription et un lien distinct de retrait du suivi, et que chacun décrit explicitement l'action qu'il accomplit. - Vérifier le stockage du consentement
Assurez-vous que votre base de données conserve, pour chaque contact, le contexte exact du formulaire, l'horodatage et les choix actifs de consentement, et que ces enregistrements peuvent être exportés.
JustRelate analyse les stacks Martech des entreprises au regard des exigences françaises en matière de protection des données. Demandez un audit technique de vos workflows de consentement, ou une démonstration de l'architecture JustRelate conforme à la CNIL.
À PROPOS DE L'AUTEUR
JustRelate
JustRelate Group s’appuie sur plus de 30 ans d’expérience dans la digitalisation de la relation client auprès des entreprises de taille intermédiaire et des grandes organisations. Sa plateforme go-to-market modulaire, utilisée par plus de 4 000 entreprises parmi lesquelles L’Oréal, Lancôme, Lacoste, Le Figaro, Saint-Gobain et TAG Heuer, s’appuie sur l’IA pour accompagner chaque étape du parcours client. Elle réunit au sein d’un même système la création de contenus, l’engagement client, l’automatisation et l’analytics.
Conçue pour répondre aux exigences européennes en matière de protection des données, JustRelate fournit aux équipes marketing l’infrastructure nécessaire pour appliquer les règles de la CNIL : un registre de consentement unique distinguant l’autorisation d’envoi de celle liée au tracking ; un email builder qui intègre ou désactive automatiquement le pixel de suivi selon le statut du consentement, sans développement spécifique ; et etracker, une solution de mesure d’audience exemptée de consentement, sans cookies analytiques ni fingerprinting, dont les données sont traitées et hébergées en Europe. Là où de nombreuses plateformes permettent d’enregistrer le consentement, JustRelate permet aussi de l’appliquer au moment même de l’envoi.
En tant qu'éditeur de la plateforme, JustRelate propose des applications dédiées pour l'e-mail, le web, le CRM, le marketing automation, le CPQ, les portails et l'analytique. Toutes fonctionnent au sein d’un même environnement et s’intègrent à votre stack MarTech existante, sans nécessiter de remplacer vos outils en place.
Présent en France, en Allemagne et en Pologne, JustRelate accompagne ses clients dans toute l’Europe en combinant expertise locale et dimension internationale.
4000+
clients satisfaits
200+
collaborateurs engagés
100k+
utilisateurs actifs dans le monde
30+
années d'innovation
Ce contenu a fait l'objet de recherches approfondies ; toutefois, nous déclinons toute responsabilité quant à son exactitude, son exhaustivité ou son actualité. Il ne saurait remplacer un conseil juridique personnalisé.
