ENFR

Tag : Consentement

Tous les articles du blog avec ce tag.

Pixels de suivi dans les emails : ce que les équipes marketing doivent corriger après la recommandation CNIL

Pixels de suivi dans les emails : ce que les équipes marketing doivent corriger après la recommandation CNIL

Un pixel de suivi dans un email paraît souvent anodin. Il est petit, invisible, intégré par défaut dans beaucoup d’outils d’emailing, et il alimente une métrique familière : le taux d’ouverture. Mais cette simplicité apparente cache une vraie décision de conformité. Un pixel peut permettre de savoir qu’une adresse a ouvert un message, à quel moment, parfois dans quel contexte technique, et d’associer ce signal à une fiche CRM, une campagne ou un scénario d’automatisation. Ce n’est pas seulement une statistique de campagne. C’est souvent une opération de traçage. La recommandation finale publiée par la CNIL en avril 2026 donne un cadre plus précis aux pixels de suivi dans les courriels. Pour les équipes marketing, growth, CRM et communication, la bonne question n’est donc plus : « faut-il garder le taux d’ouverture ? ». La bonne question est : à quelle finalité sert le pixel, avec quelles données, pour quels destinataires, et sur quelle base ? Cet article propose une méthode concrète pour revoir vos pratiques sans jeter tout votre reporting email. Pourquoi le sujet change maintenant La CNIL a publié le 14 avril 2026 sa recommandation finale sur les pixels de suivi dans les courriels, après consultation publique. Le texte vise les organismes privés et publics qui utilisent ces pixels, ainsi que les prestataires techniques de l’écosystème. La recommandation précise trois points importants :le rôle des acteurs, notamment entre expéditeur et prestataire ; les cas où le consentement est nécessaire ; les cas où un pixel peut être exempté, sous conditions strictes.La CNIL a aussi prévu une approche progressive pour les adresses collectées avant la publication de la recommandation. Les expéditeurs pouvaient continuer à insérer certains pixels si les destinataires recevaient une information claire dans un délai qui ne devait, en principe, pas dépasser trois mois à compter du 14 avril 2026, et en l’absence d’opposition après qu’un moyen simple de s’opposer leur a été proposé. Au moment d’écrire cet article, cette période est donc passée. Pour une équipe qui n’a pas encore audité ses emails, le sujet n’est plus théorique. Il faut vérifier les outils, les modèles d’emails et les finalités réelles. Ce qu’un pixel de suivi mesure vraiment Un pixel de suivi est généralement une image minuscule chargée depuis un serveur distant lorsque le message est ouvert. L’URL de cette image peut contenir un identifiant rattaché à un destinataire, une campagne, un message ou une variation. Quand le client mail charge l’image, une requête est envoyée. Selon la configuration de l’outil, cette requête peut permettre de déduire ou d’enregistrer :qu’un message a été ouvert ou chargé ; la date ou l’heure d’ouverture ; l’identifiant du destinataire ou du message ; la campagne ou le segment concerné ; des informations techniques transmises avec la requête ; parfois une localisation approximative ou des informations liées au client mail, selon les traitements réalisés.Le point important est que le pixel n’est pas une simple donnée de performance abstraite. Dans beaucoup de configurations, il produit d’abord un signal individuel, puis ce signal est agrégé dans un rapport. Il faut aussi rester prudent sur la lecture métier. Un « ouvert » ne signifie pas nécessairement qu’une personne a lu le contenu. Les images peuvent être bloquées, préchargées, relayées ou chargées dans des conditions propres au client mail. Le taux d’ouverture reste utile pour certaines tendances, mais il ne doit pas être traité comme une mesure fiable de l’attention individuelle. La règle de base : partir de la finalité Le réflexe le plus risqué consiste à classer les pixels par outil : « notre plateforme d’emailing le fait donc c’est standard ». La CNIL invite plutôt à raisonner par finalité. Un même mécanisme technique peut servir à plusieurs objectifs :mesurer l’audience d’une campagne ; personnaliser les prochains messages ; scorer un prospect ; déclencher une alerte commerciale ; nettoyer une base d’inactifs ; améliorer la délivrabilité ; authentifier l’utilisateur pour un service demandé.Ces objectifs n’appellent pas tous la même analyse. L’article 82 de la loi Informatique et Libertés encadre les opérations consistant à accéder à des informations stockées dans le terminal ou à y inscrire des informations. Il prévoit une logique de consentement, sauf exceptions, notamment lorsque l’opération a pour finalité exclusive de permettre ou faciliter la communication électronique, ou lorsqu’elle est strictement nécessaire à un service demandé par l’utilisateur. En pratique, il faut donc distinguer deux questions :Le pixel est-il soumis au consentement au titre des règles sur les traceurs ? Le traitement de données personnelles associé respecte-t-il aussi le RGPD, avec une base légale, une information, une durée de conservation et des droits effectifs ?Le consentement traceur et la base légale RGPD ne se remplacent pas mécaniquement. Une équipe peut avoir le droit d’envoyer un email commercial dans certains cas, mais cela ne signifie pas automatiquement qu’elle peut y insérer un pixel de suivi sans consentement. Les usages qui nécessitent le plus souvent un consentement Les usages marketing individualisés sont les plus sensibles. C’est le cas lorsque le pixel permet de savoir qu’une personne a ouvert un message afin de modifier son profil, son score, son segment ou la suite de son parcours. Exemples typiques :afficher dans le CRM qu’un contact a ouvert un email ; déclencher une relance automatique après ouverture ; prioriser un lead parce qu’il a ouvert plusieurs messages ; personnaliser une newsletter selon les ouvertures précédentes ; mesurer l’intérêt d’un destinataire pour une catégorie d’offres ; alimenter un reporting nominatif par contact ou par compte.Ces usages dépassent la simple délivrabilité. Ils visent à comprendre, influencer ou personnaliser la relation avec une personne. Ils doivent donc être traités comme des finalités de suivi à part entière. Le cas des pixels « mixtes » mérite une attention particulière. Un même pixel peut poursuivre une finalité exemptée et une finalité soumise à consentement. Mais la finalité soumise à consentement ne peut être poursuivie qu’après recueil d’un consentement valide. Il n’est pas sain de déposer un pixel « en attente » d’un consentement futur, puis de décider plus tard comment l’utiliser. La délivrabilité peut être exemptée, mais seulement dans un cadre strict La recommandation reconnaît une exemption possible pour certaines mesures individuelles de délivrabilité. L’idée est opérationnelle : identifier des destinataires qui n’ouvrent plus les emails afin de réduire la fréquence, arrêter les envois ou nettoyer la base. Cela peut préserver la réputation d’envoi et éviter de continuer à solliciter des personnes manifestement inactives. Mais cette exemption est strictement encadrée. Elle ne transforme pas le taux d’ouverture en métrique libre. Pour rester dans ce cadre, le pixel doit notamment être limité à la finalité de délivrabilité et être rattaché à un service demandé par le destinataire. La CNIL précise aussi que la collecte doit être limitée à ce qui est nécessaire. En principe, la donnée centrale pour cet objectif est la date de dernière ouverture. Collecter l’adresse IP, le user-agent ou d’autres données supplémentaires, puis les supprimer ou les anonymiser rapidement, ne suffit pas à faire entrer l’usage dans l’exemption si ces données n’étaient pas nécessaires dès le départ. La logique est importante pour les équipes marketing : une donnée excessive ne devient pas nécessaire parce qu’elle est supprimée vite. Les newsletters ne sont pas toutes dans le même cas Le mot « newsletter » recouvre des situations très différentes. Une lettre d’information demandée explicitement par l’utilisateur peut, dans certains cas, se rattacher à un service demandé. Un pixel utilisé uniquement pour la délivrabilité peut alors bénéficier de l’exemption, si toutes les autres conditions sont réunies. À l’inverse, une communication envoyée sur le fondement de l’exception applicable aux produits ou services analogues ne devient pas automatiquement un service demandé par l’utilisateur. Dans ce cas, le pixel de délivrabilité ne peut pas être considéré comme exempté de façon automatique. Il faut donc regarder la source de la liste, le mode d’inscription, la promesse faite au moment de l’abonnement et les finalités réelles du pixel. Une newsletter personnalisée ajoute une autre question. Si le pixel sert directement à personnaliser le contenu ou la fréquence, le consentement peut être lié à l’abonnement à condition que l’information soit claire et que les finalités soient suffisamment connexes. Cela ne doit pas devenir une formule vague du type « nous améliorons votre expérience ». Le destinataire doit comprendre ce qu’il accepte. Emails transactionnels, relances panier et messages réglementaires Les emails transactionnels ont souvent un statut plus favorable, mais pas sans limite. Un email de confirmation d’achat, de souscription, de facture, de réinitialisation de mot de passe ou d’information légale peut se rattacher à un service demandé par l’utilisateur. Un pixel limité à une finalité compatible, par exemple la délivrabilité ou l’authentification de l’utilisateur, peut donc être analysé dans le cadre de l’exemption. Mais le contenu du message compte. Si un email prétend être transactionnel tout en intégrant une forte dimension promotionnelle, l’analyse change. La CNIL donne notamment l’exemple de la relance panier : elle vise essentiellement à inciter à finaliser un achat et ne peut pas bénéficier de l’exemption au titre des emails transactionnels. La bonne méthode consiste à classer les modèles d’emails un par un : confirmation, facture, onboarding, newsletter, prospection, relance, support, sécurité, notification produit. Une règle globale sur « tous les emails » sera presque toujours trop approximative. Les liens traçants ne doivent pas être oubliés La recommandation vise les pixels dans les courriels. Les liens traçants ne sont pas directement couverts par cette recommandation, mais la CNIL rappelle que des principes similaires doivent être pris en compte. Un lien traçant peut contenir un identifiant de destinataire, de campagne ou de segment. Lorsqu’il est cliqué, il peut associer l’action à une personne. Selon la technique utilisée, il peut aussi impliquer des opérations couvertes par l’article 82. Pour les équipes acquisition, cela crée une distinction utile :les paramètres UTM décrivent une campagne ou un canal ; les identifiants de personne dans les liens suivent un destinataire.Le guide Pomelo sur les UTM, referrers et trafic direct explique comment marquer proprement les campagnes sans confondre attribution et suivi individuel. Le guide sur le filtrage des paramètres d’URL complète ce point : une adresse email, un identifiant client ou un jeton ne doit pas circuler dans les URLs mesurées par l’analytics web. Comment auditer votre outil d’emailing L’audit doit partir des emails réels, pas seulement des paramètres globaux de la plateforme. Commencez par inventorier vos catégories de messages : newsletter, nurturing, prospection, transactional, support, sécurité, produit, événementiel. Pour chaque catégorie, notez si un pixel d’ouverture est activé, si les clics sont suivis, si les données sont synchronisées vers le CRM et si des automatisations utilisent ces signaux. Ensuite, posez cinq questions simples. 1. Quelle finalité est poursuivie ? Écrivez une phrase compréhensible : « réduire la fréquence d’envoi aux destinataires inactifs », « mesurer la performance globale de la newsletter », « déclencher une relance commerciale », « personnaliser le contenu ». Si la finalité est floue, le paramétrage l’est probablement aussi. 2. Quelles données sont collectées ? Ne vous contentez pas de « ouvert ou non ouvert ». Vérifiez l’identifiant, l’horodatage, l’adresse IP, le user-agent, les informations de campagne, les tags CRM, les exports et les données conservées dans les logs du prestataire. 3. La donnée est-elle nécessaire ? Pour la délivrabilité, la CNIL indique qu’en principe la date de dernière ouverture est la donnée centrale. Si l’outil collecte davantage, il faut justifier ce besoin ou désactiver la collecte excessive. 4. Le choix est-il compréhensible et retirable ? Lorsque le consentement est requis, le destinataire doit comprendre la portée de son choix. Il doit aussi pouvoir retirer ce consentement aussi simplement qu’il l’a donné. Un centre de préférences peut regrouper plusieurs choix, mais il ne doit pas rendre l’exercice des droits plus complexe. 5. Que se passe-t-il après retrait ? Comme un email déjà envoyé ne peut pas être supprimé de la boîte du destinataire, l’expéditeur doit prévoir un mécanisme pour ignorer les requêtes de pixels associées à un consentement retiré. Les données déjà collectées doivent aussi être supprimées si aucune autre base légale ne justifie leur conservation. Une matrice de décision simpleUsage Lecture prudente Action recommandéeTaux d’ouverture global d’une newsletter Possible seulement si la collecte initiale est licite et les données effectivement anonymisées ou agrégées Vérifier la collecte source, puis publier un indicateur agrégéNettoyage des inactifs pour une newsletter expressément demandée Exemption envisageable pour la délivrabilité Limiter la donnée, documenter la finalité, prévoir opposition et informationScoring CRM basé sur les ouvertures Suivi individualisé Recueillir un consentement valide et documenter le traitementAlerte commerciale après ouverture Suivi individualisé sensible Éviter par défaut ou recueillir un consentement explicite et clairEmail de confirmation d’achat sans promotion Service demandé Évaluer une exemption pour délivrabilité ou authentification de l’utilisateur, sans finalité marketingRelance panier Communication promotionnelle Ne pas traiter comme email transactionnel exemptéLien de désinscription sécurisé Peut être strictement nécessaire Limiter le lien à cette finalitéCette matrice ne remplace pas une analyse juridique, mais elle aide à faire tomber les zones grises les plus fréquentes. Que faire si vous n’avez rien envoyé avant le 14 juillet 2026 ? Pour les adresses collectées avant le 14 avril 2026, la CNIL a prévu une période transitoire. En principe, l’information claire permettant l’opposition devait être envoyée dans les trois mois, soit avant le 14 juillet 2026. La FAQ de la CNIL prévoit qu’un délai plus long peut être justifié dans certaines situations, par exemple en cas de volume de base ou de problèmes de délivrabilité, mais ces difficultés doivent être objectivement documentées. Si cette information n’a pas été envoyée et qu’aucune justification solide ne l’explique, l’expéditeur doit appliquer les règles de la recommandation. Cela signifie notamment recueillir le consentement lorsque le pixel le nécessite, ou cesser l’usage des pixels qui exigent ce consentement. L’action la plus sûre est souvent progressive : désactiver les pixels non nécessaires, conserver les mesures strictement justifiées, puis reconstruire les préférences proprement lors des prochains points de collecte ou d’abonnement. Garder un reporting utile sans suivre chaque ouverture Supprimer ou limiter les pixels ne signifie pas renoncer à mesurer l’email marketing. La mesure post-clic reste souvent plus utile que l’ouverture. Un clic vers une page d’acquisition, une visite qualifiée, une demande de démo, une inscription ou un téléchargement donnent une meilleure lecture de l’intention qu’un chargement d’image. Pour cela, il faut marquer les liens avec des paramètres de campagne non identifiants et lire les résultats dans l’analytics web. Les UTM doivent décrire la campagne, le canal et éventuellement la variante, pas la personne. Une URL comme utm_source=newsletter&utm_medium=email&utm_campaign=product_update est exploitable. Une URL contenant une adresse email ou un identifiant client crée une dette de confidentialité. C’est aussi là que la séparation entre outils est saine. L’outil d’emailing gère l’envoi, les préférences et les obligations propres au canal. L’analytics web mesure ce qui se passe après le clic, avec une collecte limitée et documentée. Le résumé de collecte de données analytics peut aider à expliquer clairement ce que l’outil web reçoit ou ne reçoit pas. Pomelo s’inscrit dans cette logique : mesurer les signaux web utiles sans transformer chaque interaction marketing en suivi individuel. Mais aucun outil analytics ne rend conforme, à lui seul, la configuration d’un outil d’emailing. Les deux périmètres doivent être audités séparément. Checklist de correction pour une équipe marketing Avant la prochaine campagne, passez en revue les points suivants :identifier tous les modèles d’emails qui contiennent un pixel ; distinguer ouverture, clic, personnalisation, scoring, délivrabilité et sécurité ; désactiver les pixels qui n’ont pas de finalité claire ; vérifier si les emails sont réellement demandés par le destinataire ; limiter les données collectées pour la délivrabilité ; éviter l’adresse IP, le user-agent ou les données supplémentaires quand elles ne sont pas nécessaires ; séparer les statistiques agrégées des signaux individuels ; prévoir un mécanisme de retrait ou d’opposition simple ; s’assurer que les pixels déjà envoyés ne sont plus exploités après retrait ; mettre à jour la politique de confidentialité et, si nécessaire, le centre de préférences ; documenter la configuration de l’outil et les choix retenus ; vérifier les contrats et rôles avec les prestataires.La politique de confidentialité analytics donne une méthode utile pour éviter les formulations trop larges. Le même principe vaut ici : ne promettez pas une mesure « anonyme » ou « purement statistique » si l’outil traite d’abord des signaux rattachés à une personne. Conclusion La recommandation CNIL ne dit pas que toute mesure email est interdite. Elle impose une discipline plus nette : nommer les finalités, limiter les données, distinguer la délivrabilité du marketing individualisé, et donner un vrai contrôle aux personnes lorsque le consentement est requis. Le taux d’ouverture peut encore exister dans certains reportings. Mais il doit être replacé à sa juste place : une métrique fragile, parfois utile en agrégé, rarement suffisante pour piloter seule une campagne, et juridiquement sensible lorsqu’elle repose sur un suivi individuel. Pour les équipes marketing, la bonne correction n’est pas seulement de changer une case dans Mailchimp, Brevo, HubSpot ou un autre outil. C’est de reconstruire une mesure email plus sobre, plus explicite et plus cohérente avec le reste de la stack analytics. FAQ Les pixels de suivi dans les emails sont-ils toujours soumis au consentement ? Non. Certains pixels peuvent bénéficier d’une exemption, notamment pour une finalité strictement encadrée de délivrabilité ou d’authentification de l’utilisateur. Mais les usages marketing individualisés, le scoring, la personnalisation ou les alertes commerciales nécessitent généralement une analyse de consentement. Un taux d’ouverture global peut-il être calculé à partir de données agrégées ? Il peut être calculé à partir de données collectées licitement, puis effectivement anonymisées ou agrégées. Cela ne dispense pas d’analyser la collecte initiale du pixel. L’agrégation en aval ne corrige pas une collecte excessive ou non autorisée. Une newsletter expressément demandée peut-elle utiliser un pixel de délivrabilité ? Oui, cela peut être envisageable si la newsletter correspond à un service demandé par l’utilisateur et si le pixel est limité à la délivrabilité. Il faut notamment limiter les données et ne pas réutiliser ce signal pour du scoring ou de la personnalisation non couverte. Les liens traçants sont-ils concernés ? La recommandation porte directement sur les pixels dans les courriels. Les liens traçants ne sont pas couverts directement par ce texte, mais ils doivent être analysés au regard des mêmes principes de finalité, de transparence, de consentement éventuel et de minimisation. Que faut-il faire en priorité si les pixels sont activés partout ? Commencez par désactiver les usages sans finalité claire, puis séparez délivrabilité, mesure agrégée et suivi individualisé. Ensuite, mettez à jour l’information, les préférences, la preuve du consentement et la configuration de vos outils. SourcesCNIL, Pixels de suivi dans les courriers électroniques : la CNIL publie ses recommandations pour mieux protéger la vie privée, 14 avril 2026 CNIL, Questions-réponses - recommandation relative aux pixels dans les courriers électroniques, 22 juillet 2026 Légifrance, article 82 de la loi Informatique et Libertés EDPB, Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, final version, 16 October 2024 CNIL, Site web, cookies et autres traceurs

Consentement analytics : ce qu’il faut vérifier avant de promettre « sans bannière »

Consentement analytics : ce qu’il faut vérifier avant de promettre « sans bannière »

« Analytics sans cookies » devient souvent, en une phrase, une promesse d’absence de consentement, puis de site sans bannière. Ces trois affirmations ne sont pas équivalentes. Un outil peut ne pas déposer de cookie tout en lisant ou écrivant une information sur le terminal par un autre mécanisme. Une solution peut proposer une configuration de mesure d’audience limitée, tandis que d’autres modules du même produit exigent une analyse différente. Et même si l’analytics respecte un cadre strict, un site peut charger des vidéos, formulaires, pixels publicitaires ou outils de support qui rendent une interface de consentement nécessaire. La bonne question n’est donc pas : « l’outil est-il cookieless ? » Elle est :Quels traitements et traceurs sont effectivement déployés sur ce site, dans cette configuration, pour quelles finalités et sous quelles conditions ?Cet article présente une grille de vérification. Il ne constitue pas un avis juridique et doit être adapté aux pays, aux usages et à la configuration du site. Trois couches à ne pas confondre 1. La technologie de stockage ou d’accès Le mot « cookie » décrit une technique parmi d’autres. Le cadre ePrivacy vise plus largement le stockage d’informations dans le terminal d’un utilisateur ou l’accès à des informations déjà stockées, selon les règles transposées dans chaque État. Des identifiants en local storage, certains pixels, SDK, mécanismes de fingerprinting ou autres accès au terminal peuvent donc poser la même question de consentement, même sans cookie HTTP traditionnel. Cookieless décrit une caractéristique technique. Ce n’est pas une qualification juridique complète. 2. Le régime ePrivacy des traceurs En France, l’article 82 de la loi Informatique et Libertés transpose le cadre relatif aux traceurs. Le principe est l’information et le consentement préalable pour les opérations concernées, avec des exceptions notamment lorsque le traceur est strictement nécessaire à la fourniture d’un service expressément demandé. La CNIL décrit aussi des conditions sous lesquelles certains traceurs de mesure d’audience peuvent entrer dans un périmètre d’exemption. Il s’agit d’un cadre étroit, pas d’une exemption générale pour toute analytics. 3. Le traitement de données personnelles au titre du RGPD Même lorsqu’une opération sur le terminal ne requiert pas de consentement ePrivacy dans une configuration donnée, le traitement peut rester soumis au RGPD s’il porte sur des données personnelles. Il faut alors documenter notamment les finalités, la base légale pertinente, l’information, la minimisation, la durée, les destinataires, les transferts, la sécurité et les droits. L’absence de bannière ne signifie donc ni absence de traitement, ni absence d’information. Les conditions françaises d’une mesure d’audience limitée La CNIL indique que, pour être limités à ce qui est strictement nécessaire à la fourniture du service et pouvoir être exemptés de consentement dans le cadre décrit, les traceurs doivent notamment :avoir une finalité strictement limitée à la mesure de l’audience du site ou de l’application ; être utilisés pour le compte exclusif de l’éditeur ; produire uniquement des données statistiques anonymes ; ne pas conduire à un recoupement avec d’autres traitements ; ne pas transmettre de données non anonymes à des tiers ; ne pas permettre un suivi global entre plusieurs sites ou applications.La CNIL recommande également l’information des utilisateurs, une durée de vie des traceurs limitée, par exemple treize mois sans prorogation automatique, une conservation des informations collectées limitée à vingt-cinq mois et un réexamen périodique de ces durées. Chaque terme compte. « Finalité strictement limitée » Mesurer les performances techniques, les contenus consultés ou les problèmes de navigation peut entrer dans la logique décrite. Constituer des audiences publicitaires, enrichir un profil CRM, personnaliser des annonces ou suivre une personne entre services relève d’autres finalités. Une même interface produit peut proposer les deux. C’est la fonctionnalité activée qui doit être auditée. « Pour le compte exclusif de l’éditeur » Le fournisseur ne doit pas transformer la collecte en ressource pour son propre ciblage, son profilage ou une mesure transversale non compatible avec le cadre considéré. Lisez le contrat, la documentation du produit et la liste des sous-traitants. Une affirmation commerciale ne suffit pas. « Statistiques anonymes » Le mot anonyme est exigeant. Supprimer un nom, tronquer une IP ou hacher un identifiant ne garantit pas automatiquement l’anonymat. Si un signal permet encore de distinguer ou relier une personne, l’analyse doit rester prudente. Demandez au fournisseur de décrire les transformations et les risques de réidentification. « Pas de suivi global entre sites » Un identifiant commun utilisé pour dédupliquer une personne entre plusieurs propriétés change le périmètre. Cette règle est particulièrement importante pour les groupes et agences qui souhaitent consolider leur audience. Le tableau de bord multi-sites peut agréger des indicateurs sans imposer un identifiant transversal. La checklist avant toute promesse « sans bannière » 1. Inventorier tous les composants du site Ne commencez pas par l’outil analytics. Commencez par le site complet :analytics ; gestionnaire de tags ; vidéos intégrées ; cartes ; chat et support ; formulaires ; anti-fraude ; A/B testing ; session replay ; publicité ; réseaux sociaux ; CDN et sécurité ; scripts des partenaires ; SDK mobiles éventuels.Réalisez un audit des traceurs avant et après chaque choix de consentement. Testez plusieurs pages et parcours. Une analytics stricte ne neutralise pas un pixel publicitaire chargé ailleurs. 2. Décrire les finalités réelles Pour chaque composant, écrivez ce qu’il permet réellement :statistiques agrégées de fréquentation ; analyse de campagne ; personnalisation ; publicité ; sécurité ; enregistrement d’interactions ; assistance ; expérimentation produit.Évitez la catégorie unique « amélioration du service ». Elle est trop large pour gouverner la configuration. 3. Vérifier les opérations sur le terminal Documentez :cookies déposés ou lus ; local storage ; session storage ; identifiants de cache ; SDK ; pixels ; accès à des caractéristiques du terminal ; mécanismes de consentement et de retrait.Le fait qu’aucun cookie n’apparaisse dans un outil de scan ne clôt pas l’analyse. 4. Vérifier les données collectées et les transformations Le data collection summary doit répondre à des questions concrètes :l’adresse IP est-elle reçue, utilisée et stockée ? l’URL complète est-elle transmise ? le user-agent est-il conservé brut ou réduit ? un identifiant visiteur est-il créé ? peut-il être stable entre des jours ou des sites ? les paramètres UTM sont-ils conservés ? des événements libres peuvent-ils contenir du texte ? quelles données sont agrégées ? à quel moment une donnée devient-elle non individualisable ?Un mode « anonyme » dont personne ne peut expliquer le fonctionnement n’est pas une preuve. 5. Vérifier l’usage par le fournisseur Demandez :le fournisseur agit-il uniquement comme sous-traitant pour cette collecte ? réutilise-t-il certaines données pour ses propres finalités ? combine-t-il les données entre clients ? fournit-il un benchmark à partir de données individualisées ? entraîne-t-il un modèle ou enrichit-il un autre produit ? quels sous-traitants reçoivent les données ? quels transferts internationaux s’appliquent ?Une fonctionnalité de benchmark peut parfois être conçue sur des données agrégées et séparées. Elle doit néanmoins être comprise, pas supposée. 6. Vérifier la configuration exacte La documentation peut indiquer « configurable pour respecter les critères ». Cela ne signifie pas que la configuration par défaut de votre compte les respecte. Conservez une preuve des réglages :capture ou export de configuration ; version du script ; paramètres de collecte ; modules désactivés ; domaines autorisés ; rétention ; options de partage ; date de vérification ; responsable.La CNIL invite les éditeurs à demander aux fournisseurs les documents permettant de justifier le cadre et ses modalités opérationnelles. 7. Examiner la rétention Distinguez :durée de vie d’un traceur ou identifiant ; rétention des événements bruts ; rétention des statistiques ; logs techniques ; sauvegardes ; exports.La suppression automatique doit être vérifiée. Une durée affichée dans le tableau de bord ne couvre pas nécessairement les exports créés par l’équipe. 8. Vérifier l’information des visiteurs Même lorsqu’un consentement n’est pas requis pour une mesure strictement encadrée, la CNIL recommande d’informer les utilisateurs de sa mise en œuvre, par exemple dans la politique de confidentialité. L’information doit expliquer, selon le contexte :la finalité ; les données ou catégories pertinentes ; le fonctionnement général ; la durée ; le fournisseur ; les destinataires ; les droits et moyens de contact ; les transferts pertinents.« Nous utilisons une analytics respectueuse de la vie privée » est trop vague. 9. Tester le refus et le retrait Lorsqu’une partie de la stack repose sur le consentement :aucun traceur concerné ne doit partir avant le choix ; le refus doit être aussi simple que l’acceptation selon les règles applicables ; le retrait doit produire un effet ; le signal doit atteindre tous les tags concernés ; les nouvelles pages et composants doivent respecter le choix.Testez le comportement, pas seulement l’apparence de la CMP. 10. Faire valider le périmètre La décision finale appartient au responsable de traitement, accompagné si nécessaire par son DPO ou son conseil. Conservez l’analyse :pays concernés ; finalités ; inventaire ; critères examinés ; documentation fournisseur ; configuration ; tests ; risques résiduels ; date et responsables ; déclencheurs de révision.Une conclusion peut être différente entre un site corporate français, une application authentifiée et un ensemble de propriétés internationales. Cookieless, Consent Mode et mesure sans bannière Cookieless Le terme peut signifier :aucun cookie persistant ; aucun cookie dans un mode précis ; stockage alternatif ; événement sans identifiant ; identifiant dérivé côté serveur ; simple absence de cookies publicitaires.Demandez une définition technique. Le mot seul ne suffit pas. Consent Mode Un mode de consentement transmet l’état du choix aux tags et peut modifier leur comportement. Selon le produit et la configuration, des signaux peuvent encore être envoyés sans cookie publicitaire. Ce mécanisme aide à appliquer une décision. Il ne décide pas à la place de l’éditeur si la collecte sans consentement est permise. Il ne transforme pas non plus une finalité publicitaire en mesure strictement nécessaire. « Pas de bannière » Cette phrase ne peut être évaluée qu’au niveau du site complet. Elle peut être raisonnable lorsqu’aucun composant non nécessaire n’est déployé avant consentement et que la mesure d’audience utilisée respecte effectivement le cadre applicable. Elle devient trompeuse si elle repose seulement sur l’absence de cookie analytics. Les formulations à utiliser ou éviter À éviterpromesse de conformité RGPD totale ; exemption valable dans tous les cas ; équivalence automatique entre absence de cookies et absence de bannière ; certification officielle par la CNIL ; validation officielle par l’autorité ; « aucune donnée personnelle » « aucune analyse juridique nécessaire »La CNIL précise qu’une solution ne peut pas se présenter comme certifiée ou validée par elle sur la seule base de l’auto-évaluation relative à la mesure d’audience. Formulations plus précises« cookieless par défaut » « conçu pour une collecte minimale » « peut être configuré pour une mesure d’audience limitée » « l’applicabilité d’une exemption dépend des finalités, de la configuration et du contexte » « les utilisateurs restent informés de la mesure mise en œuvre » « la stack complète du site doit être auditée »La précision protège la crédibilité autant que la conformité. Quand conserver une bannière Une bannière ou autre mécanisme de consentement reste généralement nécessaire lorsque le site active, selon le cadre applicable :publicité personnalisée ; retargeting ; partage avec des régies ; suivi inter-sites ; enrichissement de profils ; certains outils de session replay ; personnalisation non nécessaire ; intégrations tierces déposant des traceurs non essentiels ; analytics dépassant le périmètre d’une mesure limitée.L’article sur le session replay et la consultation CNIL montre pourquoi une fonctionnalité détaillée d’observation ne doit pas être assimilée à une statistique d’audience agrégée. Un processus de décision simple Cas A : mesure strictement limitée L’équipe utilise une collecte minimale, sans suivi transversal, sans réutilisation fournisseur, avec statistiques anonymes, rétention cadrée, information et documentation. Action : analyser et documenter l’applicabilité du cadre local, puis vérifier le reste du site. Cas B : analytics enrichie après consentement L’équipe veut des événements détaillés, de l’attribution avancée ou des identifiants plus persistants. Action : bloquer les fonctionnalités concernées avant consentement, transmettre le choix correctement et documenter le traitement. Cas C : stack mixte Une mesure minimale fonctionne par défaut, puis des modules étendus sont activés après consentement. Action : séparer techniquement les modes, éviter qu’un changement de rapport active silencieusement une collecte, et tester chaque transition. Cette séparation stricte est plus crédible qu’un réglage unique supposé convenir à tous les usages. Conclusion Une promesse « sans bannière » ne se déduit pas du mot cookieless. Elle résulte d’une analyse du site complet, de ses finalités, de ses opérations techniques et de sa configuration. Avant de communiquer, vérifiez :tous les composants ; les finalités ; les accès au terminal ; les données et identifiants ; les usages du fournisseur ; la configuration ; la rétention ; l’information ; le fonctionnement du consentement lorsqu’il s’applique ; la documentation de la décision.Le résultat peut être une stack sans bannière pour un périmètre strict, une stack avec consentement pour des usages étendus, ou une combinaison clairement séparée. La qualité vient de cette distinction, pas d’un slogan. FAQ Une analytics sans cookies est-elle automatiquement exemptée de consentement ? Non. Il faut examiner les autres opérations sur le terminal, les finalités, les données, les identifiants et le droit national applicable. Cookieless est une caractéristique technique, pas une conclusion juridique. La CNIL certifie-t-elle les outils analytics exemptés ? Non. La CNIL fournit un cadre et un outil d’auto-évaluation, mais précise qu’une solution ne peut pas se présenter comme « certifiée » ou « validée par la CNIL » sur cette base. Peut-on informer les visiteurs sans afficher une bannière ? Oui, lorsque le consentement n’est pas requis pour la collecte considérée, une information peut être fournie dans la politique de confidentialité ou un espace approprié. Son contenu doit rester clair et exact. Les UTM empêchent-ils une exemption ? Pas automatiquement, mais leur usage et leur combinaison doivent rester compatibles avec la finalité limitée, la minimisation et l’absence de suivi transversal. Ils ne doivent jamais contenir de donnée personnelle. Qui décide si le site peut fonctionner sans bannière ? Le responsable de traitement prend la décision et doit pouvoir la documenter, avec l’appui de son DPO ou conseil lorsque nécessaire. Le fournisseur seul ne peut pas garantir la conclusion pour tous les sites. SourcesCNIL, Cookies : solutions pour les outils de mesure d’audience CNIL, Cookies et traceurs : que dit la loi ? CNIL, Cadre de mesure d’audience à comprendre avant de choisir un outil Directive 2002/58/CE relative à la vie privée et aux communications électroniques CEPD, Lignes directrices 05/2020 sur le consentement CEPD, Lignes directrices 2/2023 sur le champ technique de l’article 5(3) ePrivacy

Session replay et CNIL : ce que les équipes doivent vérifier après la consultation 2026

Session replay et CNIL : ce que les équipes doivent vérifier après la consultation 2026

Le 25 février 2026, la CNIL a ouvert une consultation publique sur un projet de recommandation consacré aux outils de session replay. La consultation s'est clôturée le 22 avril 2026. À la date de publication de cet article, les équipes doivent donc traiter ce projet comme un signal de cadrage fort, tout en suivant la publication de la recommandation finale. Les outils de session replay ne sont pas de simples solutions de mesure d'audience. Ils peuvent enregistrer des interactions détaillées : défilement, clics, comportement de formulaire, hésitations dans l'interface et parfois du contenu saisi si le masquage est incomplet. Ce niveau de détail crée un profil de risque différent de celui de statistiques de trafic agrégées. La conséquence pratique est simple : les équipes produit, marketing et support ne devraient pas activer le session replay comme une option de tableau de bord anodine. Il faut un objectif documenté, des réglages de minimisation, du masquage, un contrôle d'accès, une durée de conservation courte et une décision claire sur les conditions dans lesquelles l'enregistrement est autorisé. Pourquoi le session replay est sensible Le session replay peut aider à diagnostiquer des bugs, des formulaires bloquants ou des parcours difficiles à comprendre. Mais un enregistrement peut aussi révéler des données personnelles, des champs sensibles, un contexte de compte ou des comportements que l'équipe n'avait pas prévu de collecter. Une configuration trop large peut donc capter davantage d'informations que nécessaire. C'est pour cette raison que le projet de recommandation de la CNIL insiste sur la proportionnalité et les garanties. La bonne question n'est pas de savoir si un outil est populaire. Elle est de vérifier si votre configuration limite réellement ce qui est capté, qui peut le consulter et combien de temps l'information reste disponible. Checklist de lancement Avant d'activer un outil de session replay, passez en revue ces points :définissez l'objectif exact : diagnostic UX, investigation support, contrôle qualité ou autre besoin documenté ; désactivez l'enregistrement par défaut sur les pages sensibles et les espaces authentifiés, sauf justification validée ; masquez les champs de formulaire, les zones de texte libre, les données de compte et tout champ susceptible de contenir une donnée personnelle ou sensible ; limitez l'échantillon de sessions enregistrées plutôt que d'enregistrer toutes les visites ; réservez l'accès à des rôles nommés et auditez les consultations ; fixez une durée de conservation courte et supprimez les enregistrements quand le besoin opérationnel disparaît ; documentez l'outil, le fournisseur, les transferts et la conservation dans vos supports privacy ; vérifiez que l'état d'enregistrement respecte votre dispositif de consentement ou de gestion des préférences ; conservez une procédure de rollback pour couper rapidement l'enregistrement en cas de fuite ou de pic anormal.Différence avec l'analytics Pomelo Le positionnement de Pomelo est volontairement différent. Le modèle par défaut est cookieless, minimal et orienté reporting. Il sert à répondre à des questions opérationnelles avec des données agrégées, pas à rejouer des parcours individuels. Cette distinction compte. Le session replay peut être utile dans un workflow de diagnostic limité, mais il ne doit pas être confondu avec une mesure d'audience privacy-first. Pour la plupart des PME, SaaS B2B et équipes multi-sites, la base analytics doit rester plus légère qu'un outil d'enregistrement. Que faire maintenant Si vous utilisez déjà Hotjar, Microsoft Clarity, FullStory ou un outil similaire, lancez un audit court avant le prochain cycle de mise en production :listez les pages où l'enregistrement est actif ; inspectez les vingt derniers enregistrements pour détecter une capture accidentelle de données personnelles ; revoyez les règles de masquage avec un interlocuteur non technique ; confirmez la conservation et les contrôles d'accès ; décidez si l'outil est nécessaire en continu ou seulement pendant des fenêtres de recherche limitées.Si l'équipe ne peut pas expliquer pourquoi les enregistrements sont nécessaires, il est préférable de les désactiver jusqu'à ce que l'objectif et les garanties soient documentés. Sources Sources vérifiées le 9 mai 2026.CNIL, "Rejeu de session : la CNIL lance une consultation publique sur son projet de recommandation", 25 février 2026 CNIL, "Cookies et autres traceurs : la CNIL publie des recommandations pour les outils de mesure d'audience" Hotjar, "Privacy and security" Microsoft Clarity, "Privacy overview"