La regla de la CNIL sobre píxeles de rastreo en email: qué cambia el 14 de julio de 2026

La autoridad francesa de protección de datos, la CNIL, reclasificó al modesto píxel de rastreo de correos. Según una recomendación publicada el 14 de abril de 2026, un píxel de rastreo de aperturas ya no se trata como un subproducto inofensivo del envío de correos. Se trata como una cookie. Eso lo coloca bajo el régimen de consentimiento de la ePrivacy y les da a los remitentes un plazo firme: 14 de julio de 2026.

Si envían correos a destinatarios en Francia y dependen de tasas de apertura, rastreo de tiempo de lectura o datos de interacción basados en píxeles, esto cambia su forma de operar. Este artículo explica lo que la CNIL dijo realmente, qué requiere ahora consentimiento, las exenciones limitadas y los pasos prácticos antes del plazo.

Lo que la CNIL dijo realmente

El 14 de abril de 2026, la CNIL publicó la versión final de su recomendación sobre píxeles de rastreo en correos, tras una consulta pública. La recomendación había sido adoptada el 12 de marzo de 2026.

El razonamiento central es breve y vale la pena entenderlo, porque determina todo lo demás:

• Un píxel de rastreo es una imagen pequeña incrustada en un correo que hace que el dispositivo del destinatario haga una solicitud a un servidor cuando el mensaje se abre.
• Esa solicitud lee información del terminal del destinatario: dispositivo, horarios, a veces ubicación o detalles del cliente de correo.
• Leer información almacenada en el terminal de un usuario o accesible desde él sin consentimiento está prohibido por el artículo 5(3) de la Directiva ePrivacy, transpuesta en Francia como el artículo 82 del Código de Comunicaciones Postales y Electrónicas.
• Por lo tanto, concluye la CNIL, colocar un píxel de rastreo requiere consentimiento previo, libre, específico, informado e inequívoco, el mismo estándar que se aplica a las cookies no esenciales de un sitio web.

Esta no es una aclaración marginal. La CNIL rechaza explícitamente el interés legítimo como base legal para el rastreo con píxeles, y aplica la regla al píxel en sí mismo y no al tipo de correo. Un boletín de marketing y un recibo transaccional se tratan de la misma manera una vez que hay un píxel de rastreo involucrado.

Lo que ahora requiere consentimiento

La regla cubre cualquier píxel cuyo propósito va más allá de lo estrictamente necesario para entregar un servicio solicitado. En la práctica, eso significa que se requiere consentimiento para:

• Rastreo de aperturas: el clásico píxel invisible que registra cuándo se abrió un mensaje y si se abrió.
• Rastreo de interacción y tiempo de lectura: píxeles y técnicas que miden cuánto tiempo pasó un destinatario leyendo o si se desplazó por el mensaje.
• Rastreo de clics para analítica o perfilado: enlaces de redirección que registran los clics para puntuar la interacción, construir perfiles de interés o segmentar audiencias.
• Compartir datos con terceros: cualquier píxel o enlace que reenvía datos de interacción a una plataforma publicitaria, un CDP u otro servicio externo para usarlos en contextos distintos.

El hilo común es la medición y el perfilado. Si los datos alimentan un tablero que les dice cómo funcionó una campaña, o moldean un perfil de lo que le interesa a un destinatario, necesitan consentimiento.

Las dos exenciones

No todos los píxeles requieren consentimiento. La CNIL reconoce un conjunto limitado de exenciones, y vale la pena leerlas con atención porque el límite es donde ocurren la mayoría de los errores de cumplimiento.

Finalidades técnicas estrictamente necesarias. Los píxeles usados para mantener la entregabilidad o gestionar una base de datos (por ejemplo, identificar suscriptores inactivos para eliminarlos, o ajustar la frecuencia de envío para proteger la reputación del remitente) pueden usarse sin consentimiento. Lo crucial es que esta exención cubre solo los correos solicitados por la persona: un restablecimiento de contraseña, una verificación de cuenta, una confirmación que el destinatario inició. Los correos de marketing no califican, sin importar cuán “orientado a la entregabilidad” esté el píxel.

Seguridad y autenticación. Un píxel usado para verificar que un correo de inicio de sesión o de verificación de cuenta fue abierto por el destinatario previsto (por ejemplo, para detectar una cuenta secuestrada o un cambio de contraseña no autorizado) entra en la exención.

La trampa está en la palabra solo. Los datos recopilados bajo una exención deben usarse exclusivamente para ese propósito exento. Si recopilan datos de apertura en un correo transaccional “para la entregabilidad” y luego los incorporan a un informe de interacción de campaña o los comparten con una plataforma de marketing, han salido de la exención y entrado en territorio que requiere consentimiento. La CNIL es explícita: reutilizar datos exentos para analítica o perfilado rompe la exención.

El plazo del 14 de julio de 2026

La recomendación incluye un período transitorio de 90 días que corre desde la fecha de publicación del 14 de abril de 2026. Ese período termina el 14 de julio de 2026, y gobierna cómo tratan a los suscriptores existentes: las personas que ya estaban en su lista antes de que la regla entrara en vigor.

Durante la ventana transitoria, los remitentes pueden seguir usando píxeles en contactos existentes siempre que:

1. Notifiquen a esos suscriptores sobre el uso de píxeles de rastreo, de forma clara y accesible.
2. Denles una oportunidad genuina de oponerse: no un enlace enterrado, no una casilla premarcada, sino una elección real tan fácil de ejercer como aceptar.

Si pierden el plazo, pierden el régimen transitorio por completo. El único camino de regreso al rastreo de esos contactos es volver a recopilar el consentimiento previo explícito de cada uno, el mismo estándar que para un suscriptor totalmente nuevo. Para una lista existente grande, eso es operativamente doloroso y probablemente significa perder la porción medible de esa audiencia.

Los suscriptores nuevos adquiridos después del 14 de abril de 2026 no quedan cubiertos por el régimen transitorio. Para ellos, el requisito de consentimiento aplica desde el inicio.

Pasos prácticos de cumplimiento

Los pasos siguientes son hacia donde apuntan la regla y las guías relacionadas. Trátenlos como una lista de verificación para el trabajo entre ahora y el 14 de julio.

• Auditen dónde se disparan los píxeles. Mapeen cada correo que su plataforma envía (marketing, automatizado, transaccional) y confirmen cuáles llevan píxeles y a qué alimentan los datos de cada píxel. No pueden cumplir con lo que no han inventariado.
• Separen el consentimiento de rastreo del consentimiento de marketing. El consentimiento para recibir correos de marketing y el consentimiento para ser rastreados son dos cosas distintas. Preséntenlos como opciones separadas en el registro. Pueden agrupar las opciones de consentimiento de marketing, pero el consentimiento de rastreo debe sostenerse por sí solo.
• Hagan que rechazar sea tan fácil como aceptar. La CNIL es explícita en que oponerse al rastreo no debe ser más difícil que aceptar. Agreguen un enlace claro y siempre disponible de “revocar el consentimiento de rastreo” (normalmente en el pie del correo) y hagan que funcione para la dirección de correo específica, no solo para una página de preferencias genérica.
• Notifiquen a su base existente antes del 14 de julio. Envíen una notificación clara e independiente a los contactos adquiridos antes del 14 de abril que explique que usan píxeles de rastreo, qué recopilan y cómo oponerse. Un solo mensaje honesto antes del plazo preserva el régimen transitorio.
• Restrinjan los píxeles en correos transaccionales. Si colocan píxeles en mensajes transaccionales, limítenlos a finalidades técnicas o de seguridad estrictamente necesarias y no dirijan esos datos hacia la analítica de marketing. Si los quieren para analítica, obtengan consentimiento o quiten el píxel.
• Desactiven el uso compartido de datos con terceros. Dejen de alimentar con datos de interacción a redes publicitarias, CDP u otras plataformas externas, salvo que el destinatario haya consentido ese uso compartido específico. Aquí es donde la CNIL se muestra menos indulgente.
• Documenten los registros de consentimiento. Para cada dirección de correo que rastreen, registren a qué se dio consentimiento, cuándo y cómo. Si la CNIL pregunta, la carga de demostrar que existe un consentimiento válido recae en ustedes.

¿Qué pasa con el rastreo de clics?

El rastreo de clics está en una zona más gris que los píxeles de apertura, pero la lógica de la CNIL lleva al mismo destino. Un enlace de redirección rastreado lee información del terminal cuando se hace clic, así que cae bajo el mismo marco de la ePrivacy.

La pregunta decisiva es el propósito. Los clics estrictamente necesarios para entregar un servicio que el destinatario solicitó (un enlace de confirmación que completa un registro, un enlace de “descargue su factura”) pueden calificar para la exención. Los clics medidos para evaluar el rendimiento de una campaña, construir un perfil de interés o alimentar a una plataforma de terceros requieren consentimiento.

Un número creciente de herramientas implementa un patrón de consentimiento interceptado: cuando un destinatario hace clic en un enlace, un intersticial breve pregunta si acepta el rastreo antes de reenviarlo al destino. Es un punto medio viable para remitentes que quieren conservar la analítica de clics sin rastreo generalizado, aunque agrega fricción al clic mismo.

Si envían a través de fronteras, tengan en cuenta que el Garante de Italia emitió una guía paralela con conclusiones ampliamente similares pero exenciones un poco más amplias: tolera estadísticas agregadas anonimizadas que usan un píxel no individualizado. Para remitentes que operan en toda la UE, el enfoque seguro es cumplir el estándar más estricto de la CNIL en todos los envíos en lugar de mantener dos configuraciones de rastreo.

Qué cambia para las métricas de entregabilidad

Hay una realidad honesta debajo de todo esto: las tasas de apertura ya estaban rotas. La Mail Privacy Protection de Apple carga píxeles por defecto para los usuarios de Apple Mail, y muchos clientes de webmail y corporativos cargan las imágenes a través de un proxy o las bloquean. La “tasa de apertura” en la mayoría de los tableros ha sido una aproximación ruidosa e inflada durante años.

La regla de la CNIL acelera un cambio que ya estaba en marcha. A medida que el consentimiento se convierte en el requisito para el rastreo con píxeles, la audiencia medible se reduce aún más, y las aperturas que sí ven provienen de un subconjunto autoseleccionado y no representativo de su lista.

El camino más sano es dejar de depender de la tasa de apertura como señal principal y dar más peso en su medición a las señales que sobreviven al modelo de consentimiento:

• Tasa de clics en enlaces, donde el clic mismo puede llevar la decisión de consentimiento.
• Respuestas y conversaciones, que son evidencia inequívoca de interacción.
• Reputación de dominio e IP, monitoreada con datos de postmaster y herramientas de entregabilidad. Si quieren un punto de partida, pasen su dominio por la verificación gratuita de salud del correo; lee las señales que no dependen de las aperturas.
• Pruebas de ubicación en bandeja de entrada, que les dicen si su correo llega a la bandeja de entrada sin importar si alguien lo abre.

La tasa de apertura no va a llegar a cero de la noche a la mañana, y todavía tiene valor de diagnóstico en casos puntuales. Pero dejó de ser una métrica sobre la cual construir un programa de entregabilidad, y la regla de la CNIL es una razón más para empezar a planificar su medición en torno a su ausencia.

Lista de verificación rápida para el 14 de julio de 2026

Los pasos de cumplimiento de arriba también están disponibles como una lista de verificación imprimible que pueden tener a mano y completar sin conexión. La encuentran justo debajo de este artículo: ingresen su correo y el PDF llega a su bandeja de entrada.

Lo esencial

La CNIL no prohibió el rastreo en correos. Lo puso bajo el mismo régimen de consentimiento que ya gobierna las cookies en la web, y les dio a los remitentes 90 días para poner sus listas existentes en regla. Los remitentes que salgan bien parados de esto son los que traten el rastreo como una elección deliberada, divulgada y revocable en lugar de un valor predeterminado, y los que dejen de fingir que la tasa de apertura alguna vez les dijo toda la verdad.

Para el texto oficial, lean directamente la recomendación de la CNIL sobre píxeles de rastreo en correos. Este artículo es un material explicativo, no asesoría legal; para una configuración de envío específica, confirmen contra la fuente oficial y, cuando el riesgo lo justifique, con asesoría profesional.