Le pixel invisible de la newsletter : le 29 octobre, le temps est écoulé

Il vaut la peine d'expliquer de quoi il s'agit, car le nom technique cache une chose très simple. Le pixel de suivi est une image invisible, grande comme un point, que votre courriel charge depuis un serveur lorsque le destinataire l'ouvre. Ce chargement indique à l'expéditeur que le courriel a été ouvert, quand, depuis quelle adresse IP et souvent avec quel appareil. Personne ne le voit et personne ne le demande : il est là depuis vingt ans, dans presque toutes les newsletters du monde, et pendant vingt ans il a été traité comme une statistique inoffensive.

Le point juridique est qu'inoffensif, il ne l'est pas. Lire et écrire des informations dans l'appareil de quelqu'un est l'opération que la directive ePrivacy soumet au consentement : c'est la même règle que pour les cookies, et elle ne dit pas « cookies », elle dit stockage et accès. Le pixel ne dépose rien, mais il obtient une information du terminal du destinataire au moment où celui-ci l'ouvre, et le résultat pour la personne est identique. Voilà, en deux lignes, pourquoi une habitude vieille de vingt ans change de statut.

• Il n'y a aucune interdiction : la décision n'interdit pas les pixels, elle exige qu'ils reposent sur une base et soient déclarés.
• Le suivi individuel des ouvertures à des fins de marketing exige le consentement du destinataire, sauf exceptions spécifiques.
• Le consentement au suivi peut dans certains cas être recueilli avec celui des courriels, mais seulement si l'utilisateur est clairement informé et peut ensuite désactiver le SEUL suivi tout en continuant à recevoir les messages.
• Pour les listes existantes, pas besoin d'une campagne de nouveau consentement : on met à jour l'information et on avertit les abonnés de l'usage des pixels et du droit de retrait.
• L'information doit dire que le pixel existe, ce qu'il collecte et combien de temps ces données sont conservées : « données de navigation » ne suffit pas, car ce n'est pas de la navigation.

Il y a en outre une distinction à tenir fermement, car elle sépare deux traitements que les plateformes affichent sur le même écran. Savoir combien de courriels sur mille ont été ouverts est une chose ; savoir que Maria Rossi a ouvert votre courriel mardi à 9 h 14 puis de nouveau jeudi en est une autre. Le premier est une donnée agrégée, le second une donnée personnelle qui construit dans le temps un profil de quand une personne lit, d'où et à quelle fréquence. La décision vise le second, et la plupart des tableaux de bord d'emailing font le second par défaut.

Pour le DPO d'un client qui envoie des newsletters, les choses à vérifier avant le 29 sont au nombre de quatre et aucune ne demande un projet : si la plateforme utilise des pixels et avec quelle granularité ; si l'information les nomme ; si le consentement recueilli couvre aussi le suivi ou seulement l'envoi ; et s'il existe un moyen de désactiver le suivi pour qui le demande sans le supprimer de la liste. La quatrième est celle qui manque d'ordinaire, et c'est aussi la seule qui ne se règle pas en réécrivant un texte.

Une dernière note sur le périmètre, car la décision est italienne mais le problème ne l'est pas. La règle de fond est l'article 5, paragraphe 3, de la directive ePrivacy, transposée dans tous les États membres : les autorités d'autres pays peuvent aboutir à des conclusions différentes sur les détails, mais le raisonnement de base — un pixel qui lit depuis l'appareil, c'est du stockage et de l'accès — n'est pas une spécialité italienne. Qui gère des listes d'abonnés dans plusieurs pays ferait bien de ne pas traiter cela comme une formalité locale.