Pixel de suivi : définition, différence avec un cookie et règles de la CNIL

Qu'est-ce qu'un pixel de suivi ?

Un pixel de suivi est un élément chargé depuis un autre serveur dans le seul but de signaler un événement. Sa forme historique est une image GIF transparente de 1 pixel sur 1. Vous ne la voyez pas, mais son simple chargement suffit : la requête transmet votre adresse IP, votre navigateur ou votre logiciel de messagerie, l'heure, la page ou l'e-mail d'origine et un identifiant unique glissé dans l'adresse de l'image.

On parle aussi de pixel espion, de balise web (web beacon) ou de pixel de tracking. Sur les sites, la plupart des « pixels » sont aujourd'hui des scripts JavaScript : le Pixel Meta, le Pixel TikTok ou le LinkedIn Insight Tag collectent des événements (page vue, ajout au panier, achat) et les envoient à la plateforme, avec une image de secours pour les navigateurs sans JavaScript.

Le pixel fait partie de la famille des traceurs, au même titre que les cookies, le stockage local ou l'empreinte du navigateur. Notre guide cookies : définition, types et fonctionnement présente cette famille et explique pourquoi le droit les traite de la même façon.

Comment fonctionne un pixel de suivi ?

Dans un e-mail

C'est l'usage le plus connu en France depuis 2026, et le plus simple :

1. L'expéditeur insère dans son message une image invisible dont l'adresse contient un identifiant propre à chaque destinataire.
2. Quand votre messagerie affiche les images, elle télécharge cette image.
3. Le serveur de l'expéditeur enregistre l'ouverture : date, heure, type d'appareil, localisation approximative déduite de l'adresse IP.
4. L'outil d'e-mailing en tire des taux d'ouverture, des segments (« ouvreurs », « inactifs ») et parfois des relances automatiques.

Aucun cookie n'est nécessaire : l'adresse unique de l'image suffit à vous identifier. Deux évolutions ont rendu cette mesure moins fiable. Gmail charge les images via son propre proxy depuis 2013, ce qui masque votre adresse IP. La protection de la confidentialité dans Mail d'Apple, arrivée avec iOS 15 en 2021, précharge les images pour les utilisateurs qui l'activent : beaucoup d'« ouvertures » sont comptées sans lecture réelle.

Sur un site web

Sur un site, le pixel publicitaire est un script qui se charge avec la page, envoie l'événement à la plateforme et lit ou écrit un cookie pour vous reconnaître. Le Pixel Meta dépose par exemple les cookies _fbp et _fbc, détaillés dans notre article sur les cookies _fbp et _fbc. La plateforme relie ensuite votre visite à un clic publicitaire pour mesurer les conversions, faire du reciblage ou construire des audiences.

Pixel de suivi ou cookie : quelle différence ?

Les deux sont souvent confondus parce qu'ils travaillent ensemble. Pour faire court : le pixel est un messager, le cookie une mémoire.

• Nature : le pixel est une requête vers un serveur distant (image ou script). Le cookie est un petit fichier texte stocké dans le navigateur.
• Rôle : le pixel envoie une information au moment où quelque chose se passe. Le cookie conserve un identifiant ou un réglage pour qu'on puisse le relire plus tard.
• Emplacement : le pixel est dans le code de la page ou de l'e-mail. Le cookie est dans votre navigateur, rattaché à un domaine.
• Terrain : le pixel fonctionne sur le web et dans les e-mails. Le cookie fonctionne dans le navigateur, et la plupart des messageries ne les conservent pas.
• Blocage : bloquer les cookies tiers n'empêche pas un pixel de se déclencher. Cela l'empêche seulement de vous reconnaître d'un site à l'autre grâce à ces cookies.

Sur le web, la frontière est donc théorique : un pixel publicitaire moderne dépose presque toujours un cookie interne ou un cookie tiers. Notre article sur les cookies de suivi détaille ce versant.

Exemples de pixels de suivi

• Pixel Meta : conversions, reciblage et audiences similaires pour Facebook et Instagram. Notre guide Pixel Meta et RGPD explique comment le conditionner au consentement.
• Pixel TikTok, LinkedIn Insight Tag, balise Pinterest, pixel X : le même modèle pour chaque régie.
• Balises de conversion Google Ads et Microsoft Ads : elles enregistrent une conversion après un clic publicitaire.
• Pixels d'ouverture des e-mails : intégrés par les outils d'e-mailing (Brevo, Mailchimp, Klaviyo et les autres).
• Pixels d'affiliation : ils attribuent une vente au partenaire qui a envoyé le visiteur.

Beaucoup d'annonceurs ajoutent un canal côté serveur, comme l'API Conversions de Meta. Cela change le trajet de la donnée, pas les règles : envoyer depuis le serveur l'événement d'un visiteur qui a refusé ne contourne pas son refus. Notre article sur le server-side tagging et le consentement l'explique.

Les pixels de suivi sont-ils légaux ? Ce que disent la CNIL et le RGPD

Les pixels de suivi ne sont pas interdits, mais la plupart exigent un consentement préalable.

En droit français, l'article 82 de la loi Informatique et Libertés, qui transpose l'article 5(3) de la directive ePrivacy, impose le consentement pour toute lecture ou écriture d'informations sur l'appareil de l'utilisateur, sauf si elle est strictement nécessaire à un service qu'il a demandé. Le Comité européen de la protection des données a confirmé dans ses lignes directrices 2/2023, adoptées dans leur version finale en octobre 2024, que les pixels et les liens de suivi entrent dans ce champ, qu'un cookie soit déposé ou non. Le RGPD s'applique ensuite aux données collectées (adresse IP, identifiants).

La recommandation CNIL sur les pixels dans les e-mails

Le 14 avril 2026, la CNIL a publié sa recommandation sur les pixels de suivi dans les courriers électroniques (délibération n° 2026-042 du 12 mars 2026), complétée par une FAQ. Ce qu'il faut retenir :

• Consentement spécifique : un pixel qui sert à mesurer l'ouverture pour optimiser les campagnes, personnaliser le contenu ou ajuster la fréquence d'envoi demande un consentement distinct de l'accord pour recevoir l'e-mail.
• Deux exemptions étroites : la mesure individuelle de la délivrabilité, pour nettoyer la liste d'envoi, dans un e-mail que le destinataire a demandé (e-mail transactionnel, newsletter à laquelle il a consenti), et certains usages de sécurité, comme les e-mails de réinitialisation de mot de passe.
• Minimisation : un pixel exempté ne doit conserver que la date de la dernière ouverture, sans l'heure. Collecter l'heure, l'adresse IP ou le type d'appareil fait sortir de l'exemption.
• Prospection sans consentement préalable : les e-mails envoyés à des clients sur le fondement de l'exception « produits analogues » ne sont pas un service demandé, leurs pixels relèvent donc en général du consentement.
• Retrait : il doit être aussi simple que l'acceptation, et l'expéditeur doit ignorer les ouvertures venant d'un destinataire qui a retiré son accord.
• Fichiers existants : pour les adresses collectées avant le 14 avril 2026, les expéditeurs avaient environ trois mois, jusqu'au 14 juillet 2026, pour informer les destinataires et leur permettre de s'opposer.

C'est la raison des messages « Gestion du pixel de suivi » reçus en 2026, y compris de la lettre de Service-Public.fr. La CNIL recommande de ne pas redemander le consentement à quelqu'un qui a refusé avant six mois.

Les pixels sur un site web

Pour les sites, rien de nouveau : les pixels publicitaires et de reciblage ne doivent se charger qu'après l'acceptation de la catégorie marketing dans le bandeau, et rester bloqués en cas de refus. Charger le Pixel Meta à l'arrivée sur la page puis le « désactiver » ne suffit pas, puisque la première requête est déjà partie. Un bandeau comme FlowConsent, par exemple, empêche le script du Pixel Meta de se charger tant que le visiteur n'a pas accepté la catégorie marketing.

Vous ne savez pas quels pixels votre site déclenche avant le consentement ? Vérifiez en 30 secondes quels cookies et quelles requêtes tierces votre site produit avec le scanner gratuit.

Comment repérer et bloquer les pixels de suivi ?

Pour repérer les pixels d'un site :

• Ouvrez les outils de développement (F12), onglet Réseau, rechargez la page et filtrez sur « facebook », « tiktok », « collect » ou « pixel ».
• Cherchez dans le code source fbq(, ttq. ou des balises <img de 1 pixel sur 1.
• Faites le test sans toucher au bandeau, puis après un refus : aucune requête marketing ne doit partir.

Pour vous en protéger en tant qu'internaute :

• Refusez les cookies marketing dans le bandeau : un site conforme ne charge alors pas ses pixels.
• Utilisez un navigateur avec protection contre le pistage (Firefox, Safari, Brave) ou un bloqueur de contenu.
• Dans votre messagerie, désactivez le chargement automatique des images distantes, ou activez la protection de la confidentialité dans Mail sur Apple.
• Utilisez le lien de gestion du pixel que les newsletters doivent désormais proposer.

Comment FlowConsent gère les pixels de suivi

FlowConsent est un bandeau de consentement pour les sites web : il gère les pixels de vos pages, pas ceux de vos e-mails, qui relèvent de votre outil d'e-mailing. Chaque pixel est un service du catalogue (Pixel Meta, Pixel TikTok, LinkedIn Insight Tag, Google Ads et d'autres) rattaché à la catégorie marketing. Le bandeau bloque ces scripts tant que le visiteur n'a pas accepté cette catégorie et les laisse bloqués après un refus. Le scan automatique repère les pixels oubliés, Google Consent Mode v2 est intégré pour les balises Google et chaque choix est conservé comme preuve de consentement exportable. Le paramétrage des services, catégories et bases légales est décrit dans la documentation services et bases légales. FlowConsent est gratuit jusqu'à 25 000 sessions par mois et hébergé en Europe.