Le suivi des e-mails est-il légal ? Ce que disent les règles

« Le suivi des e-mails est-il légal ? » est une bonne question dont la réponse est frustrante : cela dépend de l’endroit où vous et votre destinataire vous trouvez, et de ce que vous envoyez. En résumé, aux États-Unis le suivi des ouvertures est largement permis et à peine réglementé en tant que tel, tandis que dans l’UE et au Royaume-Uni les régulateurs traitent les pixels de suivi à peu près comme des cookies, avec des attentes de transparence et, souvent, de consentement.

Cet article fournit des informations générales et ne constitue pas un conseil juridique. Les règles évoluent, elles varient d’un pays à l’autre, et votre situation peut comporter des particularités qui changent la réponse. Si votre activité en dépend, interrogez un avocat qualifié dans votre juridiction.

Ce que fait un pixel de suivi, en termes juridiques

Un pixel de suivi est une petite image, généralement invisible, placée dans le corps de l’e-mail. Quand l’application de messagerie du destinataire la charge, le serveur apprend que le message a été ouvert, approximativement quand, depuis quelle adresse IP, et souvent avec quelle application de messagerie. C’est tout : aucun accès à la boîte aux lettres, aucune lecture des autres messages, aucun logiciel installé. Le mécanisme est expliqué dans comment fonctionnent les pixels de suivi.

Deux éléments attirent l’attention des régulateurs : l’adresse IP, généralement considérée comme une donnée personnelle en Europe, et le simple fait que l’image soit mise en cache sur l’appareil du destinataire.

Les États-Unis

Aucune loi fédérale américaine ne nomme le suivi des ouvertures d’e-mails pour l’interdire. Le guide de conformité au CAN-SPAM Act publié par la FTC énonce les règles applicables aux e-mails commerciaux : pas d’en-têtes faux ou trompeurs, pas d’objets mensongers, identifier le message comme une publicité, indiquer une adresse postale physique valide, expliquer comment se désinscrire, honorer les demandes de désinscription sous dix jours ouvrables, et surveiller ce que des tiers font pour votre compte. Les pixels de suivi, le suivi des ouvertures et les accusés de lecture n’y figurent pas.

Cela ne signifie pas que tout est permis. Deux sujets méritent d’être connus.

Les lois d’État sur la vie privée. Un nombre croissant d’États américains disposent de lois générales sur la protection des données, avec leurs propres obligations d’information et de retrait. Si vous collectez des données d’ouverture sur des consommateurs à grande échelle, c’est une question pour un avocat.

Les recours fondés sur les lois d’écoute. Des contentieux actifs existent aux États-Unis sur les technologies de suivi, au titre des lois fédérales et d’État sur les écoutes, en particulier les lois de consentement bilatéral dans des États comme la Californie et la Pennsylvanie. L’essentiel concerne le suivi sur les sites web plutôt que les pixels dans les e-mails, mais cela mérite attention si vous suivez en volume.

Pour un particulier qui veut simplement savoir si une proposition a été ouverte, la position américaine est permissive.

L’UE et le Royaume-Uni

L’Europe aborde la question sous un autre angle. La question n’est pas « le suivi est-il autorisé » mais « avez-vous le droit de déposer et de lire quelque chose sur l’appareil d’une personne », et la réponse part du consentement.

La règle ePrivacy

L’article 5, paragraphe 3, de la directive ePrivacy, largement connu comme la règle sur les cookies, exige un consentement avant de stocker des informations sur l’appareil d’un utilisateur ou d’accéder à des informations qui y sont stockées. Il est neutre sur le plan technologique : il n’a donc jamais concerné les seuls cookies.

Le Comité européen de la protection des données (EDPB) a tranché son application à l’e-mail dans ses lignes directrices 2/2023 sur le champ d’application technique de l’article 5, paragraphe 3, adoptées en octobre 2024. Les lignes directrices relèvent que, dans le cas d’un e-mail, l’expéditeur peut insérer un pixel de suivi pour détecter le moment où le destinataire lit le message. L’EDPB conclut que la diffusion de tels pixels vers l’équipement terminal de l’utilisateur constitue bien un stockage, ne serait-ce que par le mécanisme de mise en cache du logiciel client, et que l’article 5, paragraphe 3, est donc applicable même si le stockage n’est pas permanent. Il considère également que la collecte de l’identifiant renvoyé constitue un accès au sens du même article.

En clair : les régulateurs européens considèrent que les pixels de suivi dans les e-mails entrent dans le champ d’application.

La position britannique

L’Information Commissioner’s Office (ICO) britannique aboutit au même endroit par la voie du PECR. Ses orientations sur la prospection directe par courrier électronique indiquent que les règles du PECR sur la prospection par courrier électronique s’appliquent à l’e-mail lui-même, et non aux pixels de suivi, ceux-ci relevant des règles distinctes du PECR sur les technologies de stockage et d’accès. Ses orientations sur ces technologies décrivent les pixels de suivi comme de petits morceaux de code, généralement un fichier image, intégrés à un site web ou à un e-mail, et confirment que, lorsqu’ils stockent ou consultent des informations sur l’appareil d’un utilisateur, la règle 6 s’applique.

La règle 6 est celle du consentement et de l’information. Un expéditeur britannique qui fait de la prospection par e-mail avec suivi des ouvertures doit donc réfléchir à la fois à informer les gens et, dans la plupart des cas, à leur demander leur accord.

La France, et un exemple concret

L’autorité française de protection des données, la CNIL, a publié le 14 avril 2026 une recommandation spécifique relative aux pixels de suivi dans les courriers électroniques. Sa position est que le consentement est en principe requis pour les pixels utilisés afin de mesurer les taux d’ouverture à des fins de performance publicitaire, de constituer des profils de destinataires et pour des finalités analytiques similaires. Elle prévoit des exemptions étroites, notamment les e-mails transactionnels comme les confirmations de commande et les réinitialisations de mot de passe, ainsi que la mesure individuelle de délivrabilité limitée à l’identification des destinataires inactifs. Elle a également accordé aux organisations une période de transition pour informer leurs destinataires existants et leur offrir un moyen simple de s’y opposer.

La CNIL fait une distinction facile à manquer et pourtant essentielle : consentir à recevoir des e-mails de prospection n’est pas la même chose que consentir à être suivi. Ce sont deux questions distinctes.

L’e-mail de prospection et l’e-mail individuel ne sont pas la même chose

La plupart des règles ci-dessus ont été écrites en pensant aux envois de masse : des campagnes visant des milliers de personnes dont le comportement est ensuite profilé. C’est une activité différente de celle d’un commercial qui veut savoir si une proposition unique est arrivée chez un client unique, même si l’image sous-jacente est identique.

La position honnête est que les règles ePrivacy sur les pixels ne se limitent pas à la prospection : les droits d’un destinataire européen ne s’évaporent donc pas parce que vous n’avez envoyé qu’un seul e-mail. Ce qui change, c’est la réponse proportionnée. Pour un e-mail professionnel individuel, la transparence est la mesure proportionnée. Pour des campagnes vers une liste, il vous faut un vrai mécanisme de consentement et une politique de confidentialité décrivant ce que vous collectez.

Le savoir-vivre en pratique

Règles mises à part, un principe simple vous met à l’aise dans presque toutes les situations. Partez du fait qu’un pixel montre qu’une image a été chargée, pas qu’une personne a lu quoi que ce soit.

Dites-le si vous avez le moindre doute. Une seule ligne dans votre signature, du type « j’utilise un outil qui m’indique quand mes e-mails sont ouverts », supprime entièrement la dimension de dissimulation. Cela ne vous coûte presque rien et il est très difficile d’y trouver à redire.

Ayez une politique de confidentialité si vous envoyez en volume. Décrivez ce qui est collecté, pourquoi, et comment s’y opposer. C’est une obligation en Europe et une bonne pratique partout.

Servez-vous-en pour choisir le moment de vos relances, pas pour juger les gens. Une ouverture est un signal faible sur l’attention, pas une déclaration d’intérêt. Quand relancer après l’ouverture d’un e-mail explique comment en faire bon usage.

Ne mentionnez jamais le suivi dans la relance. « J’ai vu que vous aviez ouvert mon e-mail deux fois » donne aux gens le sentiment d’être surveillés, et c’est le moyen le plus rapide de perdre la relation que vous cherchiez à construire.

Ne vous en servez jamais pour localiser ou surveiller quelqu’un. Ne suivez pas une personne que vous n’avez aucune raison professionnelle de contacter. N’utilisez pas les lieux d’ouverture pour déduire où se trouve un individu. Au-delà du caractère déplaisant, c’est le type d’usage qui peut relever des lois sur le harcèlement, lesquelles n’ont rien à voir avec les pixels. Et en pratique cela ne fonctionne même pas, car la localisation par adresse IP est au mieux approximative, comme l’explique quelle est la précision de la localisation des ouvertures.

Ce que cela signifie pour un expéditeur ordinaire

Si vous êtes aux États-Unis et que vous suivez des e-mails professionnels réellement envoyés à des gens que vous connaissez réellement, vous êtes sur un terrain solide, et une ligne d’information rend la démarche également respectueuse. Si vous écrivez à des personnes dans l’UE ou au Royaume-Uni, surtout à des fins de prospection, traitez le suivi des ouvertures comme une question de consentement et de transparence, et mettez les choses en place correctement. Si vous ne savez pas dans quelle catégorie vous êtes, demandez à un avocat plutôt qu’à un site web.

Où se situe Email Tracker

Email Tracker est une app iPhone qui suit les e-mails que vous rédigez depuis elle, via la fenêtre de rédaction d’Apple Mail. Elle est conçue pour l’e-mail individuel plutôt que pour les campagnes de masse, et elle est prudente dans ce qu’elle signale : elle ignore le préchargement automatique d’Apple Mail au lieu de le compter comme une ouverture, et elle n’affiche aucune localisation plutôt que celle d’un proxy.

Côté données : pour vous montrer une ouverture, le service conserve l’objet de l’e-mail suivi et les événements d’ouverture, qui comprennent l’adresse IP, la localisation approximative et le user agent. Il ne se connecte pas à votre boîte aux lettres, ne la lit pas et n’y accède pas. Pour l’alternative intégrée à la plupart des systèmes de messagerie, voyez accusé de lecture ou suivi des e-mails.

Cet article fournit uniquement des informations générales et ne constitue pas un conseil juridique. Consultez un avocat qualifié pour votre situation et votre juridiction.