En bref
En mars 2026, la CNIL (l'autorité française de protection des données) a publié une recommandation qui précise comment le RGPD et la réglementation ePrivacy s'appliquent aux pixels de suivi (tracking pixels) intégrés dans les emails.
Ce n'est pas une nouvelle loi, mais une clarification de ce qui est considéré comme une pratique conforme.
Ce que vous devez retenir
Les notifications post-achat envoyées via Shipup by ZigZag (suivi de commande, confirmations de livraison, gestion des incidents transporteur) sont des communications de service, pas des communications marketing. Elles relèvent des exemptions reconnues par la CNIL.
Vous restez responsable de traitement pour vos communications ; Shipup by ZigZag agit comme sous-traitant et met à votre disposition les outils nécessaires pour respecter vos obligations.
Si vous intégrez du contenu marketing dans vos notifications transactionnelles (recommandations produit, programme de fidélité, bannières promotionnelles), ce contenu peut nécessiter un consentement distinct, c'est le point de vigilance principal.
Que dit la CNIL ?
Le 12 mars 2026, la CNIL a publié une recommandation expliquant comment les règles existantes (RGPD, ePrivacy) s'appliquent aux pixels de suivi dans les emails.
Elle ne crée pas de nouvelle obligation légale : elle clarifie dans quels cas un pixel peut être utilisé sans consentement, et dans quels cas un consentement préalable est requis, selon la finalité du suivi.
Principe central : un pixel de suivi nécessite en général un consentement préalable, sauf si une exemption spécifique s'applique.
La CNIL distingue notamment :
Le suivi qui sert une finalité exemptée : sécurité/authentification, gestion de la délivrabilité (par exemple pour nettoyer les contacts inactifs, à condition de ne stocker que la date, et non l'heure, de la dernière ouverture, écrasée à chaque nouvelle ouverture), communications de service explicitement demandées par le client (confirmation de commande, suivi de livraison), ou statistiques agrégées et anonymisées (à condition que l'anonymisation soit effective dès le stockage, pas seulement à l'affichage).
Le suivi utilisé à des fins marketing : mesure de performance de campagne, personnalisation comportementale, profilage, ciblage cross-canal, qui nécessite un consentement préalable.
Nuance importante : ce qui compte, c'est la finalité du suivi, pas le type d'email. Le pixel d'un email de livraison peut tout à fait nécessiter un consentement s'il est utilisé à des fins marketing ou de profilage, et non uniquement pour la délivrabilité.
Qui est responsable de quoi ?
Vous (le e-commerçant) | Shipup by ZigZag | |
Rôle RGPD | Responsable de traitement (Data Controller) | Sous-traitant (Data Processor) |
Décide de | Les communications envoyées à vos clients, la finalité du suivi, le contenu affiché, la base légale appropriée | Comment implémenter vos instructions techniquement |
Responsable de | Recueillir et gérer le consentement de vos clients, déterminer la base légale de chaque traitement | Fournir les outils et la documentation nécessaires à votre conformité |
Ne fait pas | Ne valide pas le consentement individuel de vos clients, ne communique pas directement avec vos clients sur ce sujet |
Les communications transactionnelles et les communications marketing répondent à des finalités différentes, qui peuvent entraîner des exigences de conformité différentes. La conformité est un effort partagé : Shipup by ZigZag fournit les outils et la documentation, vous décidez comment les utiliser.
Comment Shipup by ZigZag vous permet de rester conforme
Les notifications post-achat opérationnelles sont couvertes par deux exemptions indépendantes
Toutes les notifications envoyées via Shipup by ZigZag (suivi de commande, confirmations de livraison, gestion des incidents transporteur) sont des communications transactionnelles/de service, ce qui constitue à lui seul une première exemption reconnue par la CNIL. Lorsque le pixel est en plus utilisé à des fins de délivrabilité (par exemple pour gérer les contacts inactifs), c'est une seconde exemption, distincte. L'usage cœur de Shipup by ZigZag est donc couvert deux fois, indépendamment.
Le point de vigilance reste les cas particuliers : si vous intégrez du contenu marketing dans vos notifications transactionnelles (recommandations produit, programme de fidélité, bannières promotionnelles), ou si vous utilisez des métriques agrégées à des fins marketing, ce contenu peut nécessiter un consentement distinct. C'est à vous d'évaluer si ces communications requièrent un consentement au regard de la recommandation CNIL.
Une même donnée de tracking peut servir plusieurs finalités
Par exemple, l'ouverture d'un email de livraison peut être utilisée à la fois pour la délivrabilité/le support client (couverte par l'exemption) et pour mesurer une performance marketing (qui nécessite un consentement). Shipup distingue ces finalités : si un client n'a pas consenti au traitement marketing, la donnée continue d'être traitée pour les finalités opérationnelles couvertes par l'exemption, mais ce client est exclu des analyses marketing, de l'optimisation de campagne et du reporting ROI.
Vous pouvez demander la désactivation du pixel de suivi
Sur demande auprès de votre Customer Success Manager ou de notre équipe Support, nous pouvons désactiver entièrement le pixel de tracking sur votre compte. Des options plus granulaires arrivent avec notre roadmap ci-dessous.
Notre roadmap
Shipup by ZigZag s'engage à vous accompagner dans la durée, avec trois priorités :
1. Clarifier la distinction entre tracking opérationnel et tracking marketing (Juillet 2026)
Nous revoyons toutes les fonctionnalités liées au tracking pour distinguer clairement ce qui sert à opérer/soutenir l'expérience de livraison, et ce qui sert à des fins marketing ou de mesure de performance. Cette distinction devient le socle du traitement et du reporting des données de tracking dans Shipup by ZigZag.
2. Renforcer la transparence et l'accompagnement à la conformité
Mise à jour de notre documentation et de nos guides pour vous aider à comprendre la recommandation CNIL, identifier les cas nécessitant un consentement, configurer Shipup by ZigZag en conséquence, et documenter votre approche de conformité. Nos équipes Customer Success et Support sont formées pour vous accompagner sur cette transition.
3. Vous donner plus de contrôle sur le consentement (Objectif Q3 2026, en cours)
Nous développons de nouvelles fonctionnalités pour que vous puissiez :
Importer vos préférences de consentement vers Shipup by ZigZag : un module d'import (CSV, puis API/FTP/intégrations selon les cas) pour transmettre les signaux d'opt-out de vos clients.
Récupérer les opt-out constatés côté Shipup by ZigZag : un module d'export pour savoir quels clients ont demandé à ne plus être suivis à des fins marketing, afin de garder vos propres systèmes synchronisés.
Exclure automatiquement les clients opt-out des analyses marketing, tout en les gardant dans les analyses de délivrabilité (finalité différente, non soumise à consentement).
Un nouveau dashboard analytics dédié à la délivrabilité, distinct des analytics marketing.
Ce que nous vous recommandons de faire maintenant
La CNIL a fixé une échéance au 14 juillet 2026 : pour les bases de contacts existantes, les e-commerçant doivent informer leurs destinataires et leur donner la possibilité de s'opposer au traitement (opt-out). Si ce n'est pas encore fait, nous vous recommandons de :
Identifier si vos notifications transactionnelles contiennent du contenu marketing (recommandations produit, promotions, bannières), c'est le segment le plus exposé au regard de la recommandation CNIL.
Vérifier vos mécanismes de consentement et de transparence pour tout traitement marketing lié au tracking, en lien avec votre conseil juridique.
FAQ
La recommandation interdit-elle les pixels de suivi ?
Non. La recommandation reconnaît que certaines utilisations du tracking peuvent bénéficier d'exemptions existantes, notamment lorsqu'elles sont étroitement liées à la fourniture d'un service demandé par le client.
Les notifications de livraison restent-elles autorisées ?
Oui. Ce sont précisément le type d'exemples cités par la CNIL comme pouvant relever du cadre d'exemption.
Shipup by ZigZag devient-il responsable de traitement ?
Non. Vous restez responsable de traitement. Shipup by ZigZag agit en tant que sous-traitant.
Shipup by ZigZag vérifie-t-il le consentement de vos clients ?
Non. C'est à vous de déterminer la base légale appropriée pour chaque traitement.
Puis-je désactiver le tracking ?
Oui, sur demande. Contactez votre Customer Success Manager ou notre équipe Support. Ce n'est pas encore une action que vous pouvez effectuer vous-même depuis votre interface, mais nous travaillons à des contrôles plus granulaires et plus autonomes
Que faire si mes notifications contiennent du contenu marketing ?
Vous devez évaluer si ces communications nécessitent un consentement au regard de la recommandation CNIL. Contactez votre conseil juridique en cas de doute.
Puis-je personnaliser mes communications post-achat ?
Oui, dès lors que la personnalisation sert l'expérience de livraison plutôt qu'une finalité marketing. Adapter une notification selon le parcours de livraison, ou rassurer davantage sur un colis de valeur, relève généralement du cadre opérationnel. En revanche, personnaliser pour promouvoir des produits, segmenter selon le comportement, ou optimiser une performance marketing nécessite un consentement.
Cette recommandation ne concerne-t-elle que la France ?
Non. Elle a été publiée par la CNIL et reflète donc directement son interprétation du droit français. Mais elle s'appuie sur des principes RGPD et ePrivacy communs à toute l'Union européenne. Nous nous attendons à ce qu'elle influence l'interprétation européenne plus largement. Si vous opérez dans plusieurs pays européens, nous vous recommandons d'appliquer une approche cohérente partout où c'est possible, et de vous faire conseiller localement en cas de doute.
Quelles fonctionnalités Shipup by ZigZag sont concernées ?
Principalement celles qui reposent sur le suivi d'ouverture et de clic des emails : notifications post-achat opérationnelles, contenu marketing intégré aux notifications, dashboards de performance email (taux d'ouverture, de clic, CTOR, conversion), et fonctionnalités d'attribution marketing (tracking UTM). Les autres fonctionnalités ne sont pas directement concernées par cette recommandation, mais restent soumises aux règles de protection des données applicables.
Une même donnée de tracking peut-elle servir plusieurs finalités ?
Oui. L'ouverture d'un email de livraison peut par exemple servir à la fois le support client/la délivrabilité (couverts par l'exemption) et la mesure de performance marketing (qui nécessite un consentement). Shipup by ZigZag distingue ces finalités : la donnée continue d'être traitée pour les finalités opérationnelles couvertes par l'exemption, mais n'est pas utilisée en analytics marketing, optimisation de campagne ou reporting ROI si le client n'a pas consenti.