Délibération CNIL n° 2026-042 : les pixels de suivi email
Depuis le 12 mars 2026, un pixel mesurant l'ouverture ou le clic d'un email à des fins commerciales, statistiques ou de profilage est un traceur au sens de l'article 82 de la loi Informatique et Libertés : consentement préalable requis, sauf mesure individuelle de délivrabilité pour purger les adresses inactives. Le délai de mise en conformité pour les adresses déjà collectées a expiré le 14 juillet 2026.
Ce qu'un logiciel RGPD doit couvrir
- Registre des traitements (art. 30 RGPD) par client
- Analyse d'impact relative à la protection des données (AIPD, art. 35 RGPD) avec assistant guidé
- Gestion des violations de données avec minuteur de 72 heures (art. 33/34 RGPD)
- Archive documentaire avec historique des versions, opposable en cas de contrôle
- Calendrier des échéances légales et des revues périodiques
- IA Act européen : synthèse des obligations et modèles de documents pour les déployeurs
Pour un DPO externe suivant dix ou vingt clients, ce qui compte n'est pas la liste des fonctionnalités mais la séparation par client avec une vue d'ensemble des échéances — exactement ce qu'une collection de fichiers isolés ne permet pas.
Un registre, des échéances, par client
Dans DPO Workspace, chaque client dispose de son propre registre des traitements, relié à l'AIPD, aux violations et aux documents — avec historique des versions pour le contrôle. Essai gratuit de 30 jours, sans carte bancaire.
Essayer gratuitementQuestions fréquentes
Qui doit désigner un délégué à la protection des données en France ?
L'article 37 du RGPD impose la désignation d'un DPO pour les autorités et organismes publics, les organismes dont l'activité de base implique un suivi régulier et systématique à grande échelle des personnes, ou un traitement à grande échelle de données sensibles. Contrairement à l'Allemagne, qui abaisse ce seuil à 20 salariés affectés au traitement automatisé (§ 38 BDSG), le droit français ne fixe aucun seuil chiffré : c'est la nature du traitement, pas la taille de l'organisme, qui déclenche l'obligation.
Un logiciel RGPD remplace-t-il le délégué à la protection des données ?
Non. Le logiciel structure le travail quotidien — registre, échéances, documents, AIPD — mais ne remplace ni l'analyse juridique du DPO ni la responsabilité du responsable de traitement au titre des articles 5, 24 et 32 du RGPD.
Un tableur suffit-il pour un DPO externe avec plusieurs clients ?
Pour un client unique avec peu de traitements, souvent oui. Dès que s'ajoutent plusieurs clients, des échéances récurrentes et des liens entre registre, AIPD et violations, le tableur devient le point de défaillance : versions qui divergent, délais oubliés, aucune traçabilité opposable en cas de contrôle de la CNIL.
Quelle est l'autorité de contrôle compétente en France ?
La CNIL (Commission Nationale de l'Informatique et des Libertés), autorité administrative indépendante instituée par la loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978, modifiée), chargée de veiller au respect du RGPD sur le territoire français et de sanctionner les manquements.
Que change la délibération CNIL n° 2026-042 sur les pixels de suivi email ?
Depuis cette délibération du 12 mars 2026, la CNIL qualifie le pixel de suivi inséré dans un email de traceur au sens de l'article 82 de la loi Informatique et Libertés : il faut donc en principe le consentement préalable du destinataire, comme pour un cookie, avec une exception limitée à la mesure individuelle de délivrabilité pour purger les adresses inactives. Pour les adresses collectées avant le 14 avril 2026, la CNIL a laissé trois mois pour informer les destinataires et leur permettre de s'y opposer — un délai qui a expiré le 14 juillet 2026.
Registre, AIPD et violations de données — au même endroit
Pour chaque client, avec les bonnes échéances et sans tableurs éparpillés.
Essai gratuit