Chaque mois, la secrétaire de mairie prépare la lettre d'information municipale. Elle y annonce le marché de Noël, les travaux de voirie de la rue de l'Église, les horaires d'hiver de la déchetterie, puis elle clique sur « envoyer » depuis l'outil d'envoi de courriels auquel la commune s'est abonnée. Quelques heures plus tard, un tableau de bord s'affiche : 62 % d'ouverture, la liste des habitants qui ont lu le message, l'heure à laquelle ils l'ont fait, parfois même l'appareil utilisé. Cette magie statistique repose sur un mécanisme que presque personne en mairie ne soupçonne : le pixel de suivi, une image minuscule et invisible insérée dans chaque courriel. Or, depuis le 14 avril 2026, la Commission Nationale de l'Informatique et des Libertés (CNIL) encadre expressément ces traceurs par une recommandation dédiée, et la période de tolérance accordée pour les fichiers existants a pris fin à la mi-juillet. Les collectivités ne bénéficient d'aucun régime d'exception : la recommandation vise expressément les administrations et les collectivités. La lettre d'information de votre commune contient-elle des pixels de suivi sans que vous le sachiez ? Les courriels de confirmation envoyés par le portail famille sont-ils concernés ? Votre prestataire d'envoi utilise-t-il les données de vos administrés pour ses propres besoins ? Cet article propose une plongée rigoureuse dans les nouvelles règles applicables aux pixels de suivi, afin de permettre au Maire et à ses services de communiquer efficacement avec les habitants sans les surveiller à leur insu.
Le pixel invisible : de quoi parle-t-on ?
Le pixel de suivi est une image d'un pixel sur un pixel, intégrée à un courriel ou à une page internet et invisible pour celui qui la reçoit. Lorsque le destinataire ouvre le message, sa messagerie télécharge cette image depuis un serveur distant. Comme chaque image est associée à un identifiant propre au destinataire, ce téléchargement permet à l'expéditeur de savoir que tel habitant, identifié par son adresse électronique, a ouvert tel message, à tel moment. La CNIL le décrit comme une alternative aux cookies, et le soumet à la même logique.
Les finalités de ces pixels sont multiples. La CNIL en distingue trois principales : la personnalisation de la communication, la mesure d'audience et la mesure de la délivrabilité, c'est-à-dire la vérification que les messages parviennent bien à leurs destinataires. Dans une commune, ces finalités se traduisent très concrètement : savoir qui lit la lettre municipale, mesurer l'intérêt suscité par une consultation sur le réaménagement de la place du village, ou retirer de la liste de diffusion les adresses qui ne réagissent plus. Aucune de ces finalités n'est illicite en soi, mais chacune obéit désormais à des règles précises.
Une recommandation récente et un sursis désormais expiré
La recommandation de la CNIL a été adoptée par la délibération n° 2026-042 du 12 mars 2026, au terme d'une consultation publique lancée en juin 2025, et rendue publique le 14 avril 2026. Elle s'appuie sur l'article 82 de la loi Informatique et Libertés du 6 janvier 1978, qui transpose la directive européenne dite « ePrivacy » et soumet à consentement toute lecture ou écriture d'informations sur l'équipement d'un utilisateur, sauf si elle est strictement nécessaire au service qu'il a demandé. La CNIL a complété ce texte, le 22 juillet 2026, par une série de questions-réponses détaillant son application.
Pour les adresses collectées avant la publication, les organismes disposaient d'environ trois mois pour informer clairement les destinataires de l'usage des pixels et leur permettre de s'y opposer facilement. Cette période a expiré le 14 juillet 2026, sauf prolongation objectivement justifiée et documentée. La conséquence est nette : une commune qui n'a pas adressé ce courriel d'information à ses abonnés doit, pour les pixels soumis à consentement, soit recueillir ce consentement, soit cesser de les insérer. Et même lorsqu'elle l'a fait, l'absence d'opposition ne vaut que tant que les conditions d'envoi restent inchangées ; l'arrivée d'un nouveau partenaire ou d'une nouvelle finalité impose de recueillir un nouveau consentement.
Les collectivités pleinement concernées
Il serait tentant de penser que ces règles visent surtout les commerçants en ligne et leurs campagnes promotionnelles. Ce serait une erreur. La CNIL indique expressément que sa recommandation s'applique à tous les organismes publics ou privés qui utilisent des pixels dans leurs courriels, en citant nommément les administrations et les collectivités, ainsi qu'aux prestataires techniques auxquels ils recourent. Elle couvre tous les courriels, y compris ceux adressés aux agents sur leur adresse professionnelle : la note de service envoyée par la direction générale des services à l'ensemble du personnel, si elle embarque un pixel, entre dans le champ du texte.
Une autre précision mérite l'attention des élus. L'article 82 s'applique, que les données collectées soient personnelles ou non. Le fait que la commune ne s'intéresse qu'à un taux d'ouverture global, sans regarder les résultats individuels, ne dispense donc pas la collecte elle-même des règles sur le consentement. Ce qui est encadré, c'est le geste technique de lire une information sur la messagerie de l'habitant, avant même tout usage des résultats.
La lettre d'information municipale : demandée ou non ?
Pour la lettre d'information, la CNIL fait dépendre la réponse d'une question simple : le destinataire l'a-t-il expressément demandée ? Lorsque l'habitant s'est inscrit volontairement à la lettre municipale, par exemple au moyen du formulaire du site de la mairie, l'envoi correspond à un service qu'il a sollicité. Le pixel destiné à mesurer la délivrabilité peut alors bénéficier d'une exemption de consentement, sous les conditions strictes examinées plus loin. En revanche, la mesure d'audience détaillée ou la personnalisation des contenus restent soumises à consentement.
La situation est très différente lorsque la lettre est adressée à des personnes qui ne l'ont jamais demandée. C'est le cas, fréquent, de la commune qui exporte les adresses des familles inscrites au portail périscolaire ou des usagers de la médiathèque pour leur envoyer l'actualité municipale. Une telle pratique soulève d'abord une difficulté au regard du principe de limitation des finalités posé par l'article 5 du RGPD, les adresses ayant été collectées pour un autre objet. Elle prive en outre la commune du bénéfice de l'exemption : le pixel inséré dans un courriel non sollicité nécessite en principe un consentement préalable.
L'exemption de délivrabilité : une porte étroite
L'exemption de délivrabilité est le principal espace de liberté laissé aux expéditeurs, mais la CNIL l'encadre avec une grande rigueur. Elle ne vaut que si toutes les conditions sont réunies, et la moindre collecte excessive la fait tomber. En principe, la seule donnée nécessaire est la date de la dernière ouverture, qui sert à gérer les destinataires inactifs. Conserver l'heure d'ouverture, l'adresse IP ou les caractéristiques du terminal fait perdre le bénéfice de l'exemption, même si ces données sont anonymisées peu après. Or les réglages par défaut de nombreux outils d'envoi collectent précisément ces informations.
La CNIL admet en revanche que des statistiques globales, comme le taux d'ouverture d'une campagne, soient établies à partir des données collectées sans nouveau consentement, à condition qu'elles aient été effectivement anonymisées, par exemple par agrégation. Elle recommande même, au nom du principe de minimisation, de privilégier ces mesures agrégées chaque fois qu'elles suffisent. Les liens de redirection qui permettent de savoir sur quel article un habitant a cliqué ne relèvent pas directement de la recommandation, mais ils restent soumis à l'article 82 : leur exemption dépend, là encore, de leur stricte nécessité pour le service demandé. Enfin, la CNIL invite à tirer les conséquences d'un message que personne n'ouvre : réduire la fréquence, cesser l'envoi ou utiliser d'autres canaux, plutôt que renforcer la surveillance.
Portail famille et téléservices : le cas des courriels transactionnels
Une grande partie des courriels envoyés par une commune ne relève pas de la communication institutionnelle mais de la gestion des services : confirmation d'inscription à la cantine, avis de facture du centre de loisirs, accusé de réception d'une demande d'acte d'état civil, réinitialisation du mot de passe du compte citoyen. La CNIL qualifie ces messages de courriels « transactionnels », rattachés à un service demandé par le destinataire. Les pixels qui y sont insérés peuvent bénéficier de l'exemption de délivrabilité si ses autres conditions sont respectées. La CNIL précise d'ailleurs que la catégorie des administrations recouvre les organismes de droit public ou privé qui envoient de tels courriels dans le cadre d'une mission de service public.
Une vigilance s'impose toutefois. Selon la CNIL, un courriel de confirmation ne doit pas comporter de contenu promotionnel, faute de quoi il perd son caractère transactionnel. La tentation est grande, pour une commune, de profiter de l'avis de facture de la cantine pour annoncer la fête de l'école ou promouvoir la nouvelle saison culturelle. Par prudence, il est préférable de séparer clairement les messages de gestion des messages d'information, afin de ne pas faire basculer l'ensemble de l'envoi dans le régime du consentement.
Le prestataire d'envoi : sous-traitant ou responsable conjoint ?
Rares sont les mairies qui envoient leurs courriels groupés depuis leurs propres serveurs. Elles recourent presque toujours à une plateforme spécialisée, ou à la fonction d'envoi intégrée à leur logiciel de portail famille ou à leur application citoyenne. La CNIL analyse le rôle de ces prestataires au cas par cas. Lorsqu'ils insèrent les pixels exclusivement pour le compte de la commune, ils sont sous-traitants au sens de l'article 28 du RGPD : ils agissent sur instruction et doivent garantir la sécurité des données. Lorsqu'ils utilisent également les pixels pour leurs propres besoins, ils peuvent devenir responsables conjoints avec la commune au sens de l'article 26, et un accord doit alors répartir clairement les obligations de chacun.
La CNIL attend en outre des prestataires qu'ils proposent des fonctionnalités facilitant la conformité de leurs clients : désactivation simple des traceurs, gestion différenciée des listes selon le consentement, protection des données par défaut. Elle souligne enfin qu'une simple clause contractuelle ne suffit pas à prouver qu'un consentement délégué a été valablement recueilli. Pour la commune, la démarche est donc double : vérifier les paramètres effectivement activés dans l'outil, et s'assurer que le contrat conclu avec l'éditeur précise son rôle et lui interdit toute réutilisation des données des habitants.
Consentement, retrait et preuve : les règles du jeu
Lorsque le consentement est requis, il doit être recueilli dans des conditions qui le rendent libre et éclairé. La CNIL demande que les finalités soient présentées clairement avant le choix, chacune sous un intitulé court accompagné d'une brève description, et qu'un second niveau d'information permette de choisir finalité par finalité lorsqu'un bouton d'acceptation globale est proposé. Le formulaire d'inscription à la lettre municipale doit donc distinguer l'abonnement lui-même et l'accord, facultatif, à la mesure individuelle de lecture.
Le retrait doit être aussi simple que le consentement. Après un retrait, la commune doit cesser d'exploiter le pixel et supprimer les données collectées sur ce fondement. Un centre de préférences unique, réunissant désabonnement et réglage des traceurs, est admis s'il ne complique pas l'exercice des droits. La CNIL considère comme une bonne pratique de ne pas solliciter à nouveau, pendant six mois, l'habitant qui a refusé. Enfin, la commune doit pouvoir justifier, en cas de contrôle, la date de collecte des adresses, la preuve de l'information ou du consentement, le périmètre des données remontées par le pixel et la traçabilité des choix exprimés.
La valeur ajoutée d'Etatys : une communication numérique maîtrisée
Pour une secrétaire de mairie, identifier les traceurs embarqués dans un outil d'envoi relève de l'expertise technique. Le réglage déterminant se cache souvent dans un menu de paramètres avancés, activé par défaut lors de la création du compte. L'accompagnement d'Etatys consiste à rendre ce sujet lisible et maîtrisable. Grâce à l'automatisation de la création de tous les dossiers clients lors d'une nouvelle mise en conformité, les traitements liés à la communication électronique de la commune sont recensés dès l'origine : lettre d'information, courriels du portail famille, alertes aux habitants, communications internes aux agents, chacun avec sa fiche de registre, ses mentions d'information et son modèle de formulaire de consentement.
La recommandation sur les pixels, publiée en avril 2026 puis précisée en juillet, illustre la rapidité avec laquelle les exigences évoluent. Notre outil de veille juridique exclusif repère ces publications dès leur parution, et nous mettons à jour la documentation de nos clients en conséquence : mentions d'information, politique relative aux traceurs, clauses à intégrer dans les contrats des prestataires d'envoi. En qualité de DPO externalisé, Etatys aide aussi les services à vérifier les paramètres de leurs outils et à rédiger, si nécessaire, le message d'information à adresser aux abonnés.
Conclusion : informer les habitants sans les observer
Le pixel de suivi est l'exemple parfait d'un traitement de données devenu invisible à force d'être banal. Les communes l'utilisent souvent sans le savoir, par le simple effet des réglages par défaut de leurs outils. La recommandation de la CNIL met fin à cette zone grise : la mesure d'audience individuelle et la personnalisation exigent un consentement, l'exemption de délivrabilité est étroite, et la période de tolérance est désormais derrière nous.
Le Maire qui s'empare du sujet ne renonce pas à connaître l'efficacité de sa communication. Il choisit simplement des outils et des réglages proportionnés : des statistiques agrégées plutôt qu'un suivi individuel, des messages de gestion distincts des messages d'information, un consentement recueilli loyalement lorsque c'est nécessaire. Ce faisant, il renforce la confiance des habitants dans la parole municipale.
Etatys est le cabinet de mise en conformité qui accompagne les communes et les intercommunalités dans tous les usages numériques de leur communication, du site internet jusqu'à la lettre d'information. Notre solution de DPO externalisé, appuyée sur l'automatisation de vos dossiers de conformité et sur une veille juridique permanente, vous permet de communiquer avec vos administrés en toute sécurité juridique. Contactez Etatys dès aujourd'hui pour vérifier les paramètres de vos outils d'envoi et mettre votre communication électronique en conformité avec les nouvelles exigences de la CNIL.
