Consentement au suivi des e-mails : retour terrain sur la bêta HubSpot

Depuis le 15 octobre 2026, HubSpot propose en bêta publique de suivre les ouvertures et les clics de vos e-mails selon l’accord de chaque destinataire. La fonctionnalité répond à la recommandation de la CNIL sur les pixels de suivi, qui fait du consentement la règle pour mesurer qui ouvre quoi. Je l’ai déployée dans la semaine de sa sortie chez un industriel pharmaceutique de la santé animale, dont le siège est en France. Son portail, en Marketing Hub Pro et Service Hub Entreprise, sert de pilote avant l’internationalisation. Il gère plusieurs marques et s’adresse à la fois à une clientèle B2C et à des comptes B2B.

Ce qui suit vient du terrain plus que de la documentation. J’y décris ce que la bêta fait aujourd’hui, ce qu’elle ne fait pas encore et les pièges rencontrés pendant le déploiement, puis je termine par une check-list. Comme il s’agit d’une bêta, les comportements décrits ici sont ceux du 22 octobre 2026 et peuvent évoluer. Je ne suis pas juriste, votre DPO ou votre juriste a le dernier mot sur l’interprétation du texte de la CNIL.

• Ce que demande la CNIL
• Ce que fait la bêta HubSpot de consentement
• Ce que la bêta ne fait pas encore
• Activer d’abord ou définir les statuts d’abord ?
• Recueillir l’accord de votre base
• Formulaires : le montage en attendant une évolution
• Ce qui change dans vos chiffres et vos automatisations
• La check-list de déploiement
• Questions fréquentes

Ce que demande la CNIL

La CNIL a adopté le 12 mars 2026 une recommandation sur les pixels de suivi dans les courriers électroniques, publiée le 14 avril 2026. Ce n’est pas une loi nouvelle. Le texte explicite l’article 82 de la loi Informatique et Libertés, qui transpose la directive européenne ePrivacy. Selon cet article, lire une information sur le terminal d’une personne suppose son accord, sauf exception. Un pixel de suivi, ou pixel de tracking, le fait à chaque ouverture, puisque l’image invisible se charge depuis un serveur avec des paramètres propres au destinataire.

Voici ce qu’il faut en retenir pour un portail HubSpot.

• Mesurer les ouvertures pour suivre la performance de vos campagnes demande le consentement préalable du destinataire. Ce consentement se distingue de l’abonnement, car recevoir vos e-mails et être suivi sont deux accords différents. La CNIL le dit en toutes lettres, le régime du pixel est indépendant de celui de l’envoi.
• Aucune catégorie d’e-mail n’est exclue. B2C comme B2B, adresses professionnelles comprises, e-mails marketing comme e-mails individuels envoyés par vos commerciaux. Le texte cite même la prospection entre professionnels parmi les envois qui se passent d’accord pour l’e-mail mais peuvent en demander un pour le pixel.
• Les liens suivis relèvent du même article 82. La recommandation ne les vise pas directement et la CNIL renvoie à l’analyse de leur finalité. HubSpot a tranché en traitant ouvertures et clics ensemble.
• Deux cas seulement se passent d’accord. Le premier concerne un pixel qui sert à sécuriser une connexion, par exemple pour vérifier qu’un e-mail contenant un code de connexion s’ouvre sur un appareil connu. Le second concerne un pixel qui sert seulement à repérer les adresses inactives, pour leur écrire moins souvent ou plus du tout. Il ne doit alors enregistrer que la date de la dernière ouverture, sans l’heure. Cette exemption ne vaut que pour des e-mails que la personne a demandés, comme une confirmation de commande ou une newsletter à laquelle elle s’est abonnée. Le suivi d’un outil d’e-mailing comme HubSpot enregistre bien plus, puisqu’il note l’heure de chaque ouverture, l’appareil utilisé et les clics. Il n’entre dans aucun des deux cas, d’où le besoin de consentement.
• Le silence vaut refus. Quand l’accord est demandé après coup, par un e-mail sans pixel, l’absence de réponse s’analyse comme un refus.

Pour les adresses collectées avant le 14 avril 2026, la CNIL a laissé trois mois. Une information claire assortie d’un droit d’opposition, envoyée avant le 14 juillet 2026, permettait de continuer à suivre. Cette non-opposition reste valable tant que les conditions d’envoi ne changent pas. Sans cette information, il faut désormais recueillir le consentement ou arrêter les pixels. C’était le cas chez mon client.

L’Italie a suivi. Le Garante a adopté le 17 avril 2026 des lignes directrices comparables, avec une mise en conformité attendue fin octobre 2026. HubSpot cite les deux pays dans sa documentation. La directive dont découlent ces deux textes vaut dans toute l’Union, si bien que d’autres autorités pourraient suivre.

Ce que fait la bêta HubSpot de consentement

La bêta s’appelle Consent Email Tracking Capabilities. Elle est publique depuis le 15 octobre 2026 et ouverte à toutes les éditions. Un super administrateur y inscrit le portail depuis Paramètres, Mises à jour de produits, en la cherchant par son nom. Le réglage apparaît ensuite dans Paramètres, Confidentialité et consentement, onglet Configuration, sous le libellé « Demander le consentement pour le suivi des e-mails ». Activer ce réglage et modifier les statuts demandent les droits de super administrateur. Vos commerciaux verront donc le statut sur la fiche sans pouvoir le changer.

Le principe est simple. HubSpot attache un statut de consentement au suivi à chaque adresse e-mail et ne suit que les adresses qui l’autorisent. Le statut suit l’adresse, non le contact. Un contact qui a deux adresses a donc deux statuts. Cela rejoint la CNIL, qui veut que le destinataire sache quelle adresse son accord concerne.

Si les paramètres de confidentialité des données (RGPD) sont activés sur le portail, « Consentement non applicable » ne déclenche le suivi que si le contact a une base légale de traitement connue. « Consentement donné » l’emporte toujours. « Consentement refusé » et « Non spécifié » bloquent toujours, base légale ou non.

Le périmètre couvre tout ce que HubSpot envoie, qu’il s’agisse des e-mails marketing et automatisés, des e-mails individuels envoyés depuis le CRM ou l’extension de messagerie, des séquences, de la boîte de réception et du centre d’assistance ou des e-mails transactionnels.

Un statut se modifie de cinq façons :

• sur la fiche du contact, par la carte « Consentement au suivi des e-mails » à ajouter dans les paramètres de l’objet Contact, puis « Afficher et gérer les statuts » ;
• par une action groupée depuis la liste des contacts ;
• par une action groupée depuis un segment ;
• par une action de workflow, en Pro et en Entreprise seulement ;
• par le destinataire lui-même, sur sa page de préférences d’abonnement, où une mention cliquable placée en bas, sous la liste des types d’abonnement, lui permet de donner ou de retirer son accord.

Chaque modification s’inscrit dans un historique qui garde l’auteur, la date et la source. Personne ne peut retoucher cet historique, qui sert de preuve du consentement. Pour les actions groupées comme pour le workflow, HubSpot demande d’appliquer le statut à l’adresse principale seule ou à toutes les adresses du contact. Ce choix compte pour les formulaires, j’y reviens plus bas.

Cette mention, une case à cocher, HubSpot l’ajoute de lui-même au module de préférences d’abonnement par défaut dès l’activation du réglage. Le destinataire y accède par le lien de pied de page de vos e-mails, quand il le souhaite. Son choix met le statut à jour, historique compris. La case n’apparaît pas pour les adresses en « Consentement non applicable ». Une page de préférences personnalisée doit contenir le module standard pour l’afficher. Les liens de désinscription par défaut des e-mails individuels ne la proposent pas.

Le statut est vérifié au moment de chaque ouverture ou de chaque clic. L’interface parle d’un contrôle « au moment de l’envoi » quand la documentation précise que c’est le statut en vigueur lors de l’événement qui compte. Un retrait d’accord vaut donc aussi pour les e-mails déjà reçus, ce que la CNIL demande justement.

L’historique d’ouvertures et de clics déjà collecté reste dans le portail. Les taux d’ouverture et de clic des e-mails marketing ne se calculent plus que sur les e-mails livrés et suivis. Les changements du réglage apparaissent dans le journal d’audit.

Ce que la bêta ne fait pas encore

Au 22 octobre 2026, la bêta ne recueille pas le consentement dans les formulaires, n’importe pas les statuts et ne distingue ni les pays ni les marques. Sa case s’affiche aussi en anglais sur une page en français. Voici ces manques un par un, avec ce que HubSpot en dit.

• Aucun recueil natif dans les formulaires. Ni le bloc de confidentialité ni la propriété native ne permettent de recueillir ce consentement. HubSpot recommande une propriété personnalisée relayée par un workflow. Son équipe produit dit explorer une solution native, sans date.
• Aucun import direct du statut. Les consentements recueillis ailleurs, sur une boutique en ligne ou dans un autre outil, s’importent dans une propriété personnalisée. Ils se convertissent ensuite en statut par une action groupée ou par un workflow ponctuel.
• Un réglage global. Il ne se limite ni à un pays ni à une marque. Pour continuer à suivre les contacts hors de France et d’Italie, HubSpot recommande de les passer en « Consentement non applicable », ce qui suppose une donnée de pays fiable.
• Un seul consentement pour toutes les marques. L’accord donné vaut pour toutes les marques du portail, y compris avec l’option multi-marques et ses pages de préférences par marque. HubSpot dit travailler à une gestion par marque, sans calendrier.
• Une case en anglais sur une page en français. Chez mon client, sur une page de préférences en français, la question « Can [Entreprise] track opens and clicks on future emails sent to this email address? » s’affichait en anglais, avec la seule réponse « Yes ». Pour une cible B2C française, c’est bloquant, car un accord donné sur une question en anglais se défend mal comme éclairé. Le 21 octobre, l’équipe produit indiquait y travailler. En attendant, cherchez le libellé dans les champs du module en clonant le modèle de page. À défaut, signalez-le par la mise à jour de produit, qui sert de canal de retour pour la bêta.
• Ouvertures et clics liés. Le même statut gouverne les deux. HubSpot explique que les régulateurs visent aussi les liens suivis et classe leur séparation parmi les points à examiner plus tard.
• Pas de suivi anonyme dans cette bêta. Aucune indication non plus, avant l’envoi, du nombre de destinataires qui seront suivis.
• L’historique reste. Un retrait d’accord arrête le suivi sans effacer les données déjà collectées. La CNIL demande de les supprimer quand aucune autre base légale ne justifie leur conservation. Ce point se tranche avec votre DPO.

Activer d’abord ou définir les statuts d’abord ?

HubSpot recommande de définir les statuts avant d’activer le réglage. L’interface le rappelle par un bandeau « Définir d’abord vos statuts ». C’est le bon ordre si vous avez déjà des consentements recueillis ailleurs, ou des contacts hors de France et d’Italie que vous voulez continuer à suivre. Posez d’abord les « Consentement donné » et les « Consentement non applicable », puis activez. Personne ne perd alors le suivi à tort.

Chez mon client, la situation était inverse. Personne n’avait donné son accord et les e-mails B2B partaient avec le suivi activé par défaut. Attendre d’avoir défini des statuts revenait à prolonger un suivi sans accord. J’ai donc activé tout de suite. Toutes les adresses sont passées en « Non spécifié » et le suivi s’est arrêté d’un coup. Il y avait une autre raison de ne pas attendre, puisque la case de la page de préférences n’apparaît qu’une fois le réglage activé. Sans elle, aucun recueil possible.

Évitez enfin de désactiver le réglage pour voir ce qui se passe. Désactivé, il ne fait plus vérifier aucun statut et HubSpot suit de nouveau tous les destinataires.

Recueillir l’accord de votre base

Pour la base existante, la CNIL prévoit un e-mail dédié, sans pixel soumis au consentement, avec un lien vers une page où la personne fait un geste positif. HubSpot fournit tout ce qu’il faut. Le bouton de l’e-mail mène à la page de préférences d’abonnement, par le jeton {{ unsubscribe_link }} ou par le lien d’abonnement aux e-mails, option préférences d’abonnement. Ce lien est personnel. Il identifie le destinataire sans pixel, comme la CNIL le recommande pour que seul le titulaire de l’adresse puisse répondre. Il n’y a rien à construire derrière, puisque HubSpot enregistre le statut et son historique, qui servent de preuve.

Trois détails pèsent sur le taux d’accord comme sur la qualité du consentement.

• Un parcours en deux clics. Sur la page, il faut cocher la case puis cliquer sur le bouton de mise à jour. C’est précisément le geste positif que la CNIL attend, pour qu’un logiciel de messagerie qui précharge les liens ne donne pas l’accord à la place du destinataire. Encore faut-il l’annoncer, par une consigne sous le bouton de l’e-mail et par un libellé honnête. « Donner mon accord » vaut mieux que « J’accepte », qui laisse croire qu’un clic suffit.
• Le risque de désabonnement accidentel. La page affiche aussi tous les types d’abonnement avec leurs cases. Précisez dans l’e-mail que seule la case du bas concerne le suivi.
• Un texte qui dit tout ce que couvre l’accord. Ce que mesure le pixel, à quoi servent ces mesures, comment retirer son accord. Sur un portail multi-marques, il nomme aussi toutes les marques, puisque l’accord vaut pour chacune. Sans cette liste, l’accord n’est pas éclairé.

L’e-mail de demande part lui-même sans pixel, puisque tous les destinataires sont en « Non spécifié ». Inutile d’attendre un taux d’ouverture. Son résultat se mesure au nombre de « Consentement donné », dans un segment filtré sur le statut. Pour la suite, la CNIL tient pour une bonne pratique de ne pas solliciter de nouveau pendant six mois une personne qui a exprimé son choix. Excluez au minimum les « Consentement refusé » de toute relance.

Sur une base multi-marques, une contrainte d’envoi s’ajoute. Quand l’option « Limiter les e-mails aux contacts abonnés » est activée, un e-mail ne part qu’aux abonnés de son propre type d’abonnement. Il faut alors un clone de l’e-mail par type, avec des segments en cascade pour qu’un contact abonné à plusieurs types ne le reçoive qu’une fois.

Reste un prérequis, la politique de confidentialité, qui ne couvre bien souvent que les cookies du site. Elle doit décrire le pixel, ses finalités et la façon de retirer son accord. L’e-mail de demande y renvoie. Tant qu’elle n’est pas à jour, il ne part pas.

Formulaires : le montage en attendant une évolution

La CNIL préfère un recueil au moment où l’adresse est collectée. Tant que les formulaires HubSpot ne le gèrent pas, voici le montage que je préconise. Il repose sur un workflow, donc sur une édition Pro ou Entreprise.

• Une propriété personnalisée de type case à cocher, facultative et jamais pré-cochée. Son libellé dit ce qui est mesuré, pour quelles marques et comment retirer son accord.
• Un workflow déclenché par cette case, qui passe le statut à « Consentement donné » puis vide la propriété.

Vider la propriété compte. Sinon, les formulaires la pré-remplissent pour un visiteur reconnu, ce qui revient à lui présenter une case pré-cochée. Pire, un contact qui a retiré son accord sur la page de préférences peut se retrouver consentant sans le savoir en remplissant un autre formulaire. La propriété sert de transport, pas de référence. La référence reste le statut natif.

Il faut aussi connaître un cas limite. L’action de workflow applique le statut à l’adresse principale seule, ou à toutes les adresses du contact. Si la personne a rempli le formulaire avec une adresse secondaire, le premier choix pose l’accord sur une adresse qui ne l’a pas donné. Le second l’étend à des adresses qu’elle n’a pas mentionnées. Les contacts à plusieurs adresses se traitent à la main, depuis la carte de la fiche.

Il existe une variante sans construction, qui consiste à ne rien ajouter aux formulaires et à demander l’accord dans le premier e-mail que reçoit le contact, l’e-mail de bienvenue par exemple. C’est plus simple, au prix d’un taux d’accord plus faible. En Starter, faute de workflows, c’est la voie la plus directe.

Ce qui change dans vos chiffres et vos automatisations

L’activation touche tout ce qui s’appuie sur les ouvertures et les clics. Mieux vaut l’annoncer avant qu’on vous signale un bug.

• Le scoring. Les critères d’engagement ne s’alimentent plus que pour les adresses qui ont donné leur accord. Les scores baissent mécaniquement sans que l’intérêt des contacts ait changé. Revoyez les seuils.
• Les workflows de cycle de vie et les segments actifs fondés sur l’engagement. Un contact qui ouvre tout sans avoir donné son accord n’y entre plus.
• Les rapports. Les taux d’ouverture et de clic portent désormais sur les seuls e-mails suivis et ne se comparent plus à l’historique. HubSpot précise que le calcul des statistiques de séquences ne change pas. Lisez donc leurs taux avec prudence.
• Les fonctions qui apprennent de l’engagement. HubSpot cite notamment l’optimisation de l’heure d’envoi, les tests A/B, l’exclusion des contacts peu engagés, l’attribution et les scores de transaction parmi les fonctions qui perdent en précision sans suivi.
• Les e-mails individuels des commerciaux. Ils perdent aussi le suivi, depuis le CRM comme depuis l’extension Gmail ou Outlook. Prévenez les équipes commerciales avant l’activation.
• Le B2B. Le réglage étant global, vos comptes professionnels sont concernés dès l’activation. C’est d’ailleurs la lecture de la CNIL.
• Les règles de conservation. Sans suivi, un contact qui n’a pas donné son accord ne montre plus d’activité que par une action visible, comme un formulaire rempli, un passage sur la page de préférences ou une réponse. Si vos règles de suppression après trois ans sans contact s’appuient sur les ouvertures ou les clics, revoyez-les. La CNIL rappelle au passage qu’une simple ouverture ne vaut pas contact émanant du prospect.

La check-list de déploiement

Je la déroule dans cet ordre.

1. La politique de confidentialité décrit le pixel, ses finalités et le retrait de l’accord. Votre DPO l’a validée.
2. Le scoring, les workflows, les segments et les rapports fondés sur l’engagement sont revus. Les équipes commerciales et marketing savent ce qui va changer.
3. Un super administrateur inscrit le portail à la bêta, pose les statuts déjà connus, dont les « Consentement non applicable » sur une donnée de pays fiable, puis active le réglage. Ou l’active tout de suite si aucun accord n’existe.
4. La carte « Consentement au suivi des e-mails » est ajoutée à la fiche contact, pour que chacun voie le statut.
5. La page de préférences contient le module standard. La case de suivi s’y lit en français.
6. L’e-mail de recueil mène à la page de préférences, annonce les deux clics, nomme toutes les marques et se décline par type d’abonnement si besoin.
7. La recette passe par un segment interne avant tout envoi à la base, avec un e-mail de test, un accord donné puis retiré et l’historique vérifié sur la fiche.
8. Les formulaires recueillent l’accord par une case personnalisée et un workflow qui pose le statut puis vide la propriété. Sinon, l’e-mail de bienvenue pose la question.

Vous hésitez sur l’ordre d’activation, ou votre portail mélange B2B, B2C et plusieurs marques ? Le diagnostic passe en revue vos statuts, vos formulaires et vos automatisations. Il vous dit par écrit ce qu’il faut régler avant d’activer.

Je réserve un diagnostic

Questions fréquentes

Pour aller plus loin

• Comprendre le modèle de données HubSpot
• Comment réussir son import de données sur HubSpot
• 7 étapes pour réussir son déploiement CRM sous HubSpot

Sources

• Recommandation de la CNIL relative aux pixels de suivi dans les courriers électroniques, adoptée le 12 mars 2026.
• Questions-réponses de la CNIL sur cette recommandation, 22 juillet 2026.
• HubSpot, gestion du consentement au suivi des ouvertures et des clics (bêta) et consignes sur le consentement au suivi des e-mails, mises à jour le 15 octobre 2026.
• Annonce de la bêta et réponses de l’équipe produit sur la communauté HubSpot.