La CNIL emite una guía formal sobre píxeles de seguimiento en correos electrónicos: requisitos de cumplimiento para el email marketing

El 14 de abril de 2026, la CNIL francesa publicó su primera recomendación formal sobre los píxeles de seguimiento en correos electrónicos. Durante años, esta tecnología se situó en una zona gris regulatoria: las normas de consentimiento de cookies se aplicaban en los sitios web, mientras que los mismos rastreadores invisibles dentro de los correos de marketing quedaban, en gran medida, sin abordar. Esa brecha ahora está cerrada. Si su organización envía correos electrónicos con seguimiento por píxeles a cualquier persona en Francia o la UE, esta recomendación establece el estándar legal contra el cual se juzgarán sus prácticas.

CNIL Issues Formal Guidance on Email Tracking Pixels: Compliance Requirements Explained

¿Qué son los píxeles de seguimiento en correos electrónicos?

Un píxel de seguimiento es una imagen de un solo píxel incrustada de forma invisible en el HTML de un correo electrónico. Cuando se abre el mensaje, el cliente de correo del destinatario obtiene esa imagen desde un servidor externo. Esa única solicitud le indica al remitente que el correo se abrió, cuándo y, aproximadamente, desde dónde. La mayoría de las personas no tiene idea de que esto ocurre.

La tecnología está integrada en casi todas las plataformas de email marketing. La etiqueta de imagen lleva una URL única vinculada al registro del suscriptor. Cuando el píxel se activa, la plataforma registra una marca de tiempo, la dirección IP y la cadena de agente de usuario. A partir de ahí, puede inferir la ubicación aproximada del destinatario, el tipo de dispositivo y el cliente de correo. Algunas plataformas alimentan esos datos a perfiles de comportamiento o los transfieren a socios de publicidad y análisis. Una sola apertura de correo puede notificar silenciosamente a varias empresas que el destinatario nunca ha oído mencionar.

También existen implementaciones del lado del servidor que recopilan datos a través de cadenas de redirección antes incluso de que se renderice el cuerpo del correo, y algunas campañas incrustan varios píxeles de distintos proveedores a la vez. Los destinatarios no tienen ninguna visibilidad sobre nada de esto.

Por qué tardó tanto

Los requisitos de consentimiento de cookies están vigentes desde 2012 y se reforzaron considerablemente con el GDPR en 2018. Los operadores de sitios saben que necesitan una plataforma de gestión de consentimiento antes de que se active cualquier cookie de análisis o publicidad.

El seguimiento por correo electrónico nunca recibió esa misma atención regulatoria. Los principios legales subyacentes, el GDPR y la Directiva de ePrivacy, se aplicaban en teoría, pero ninguna autoridad supervisora había publicado una guía específica. Así que las organizaciones asumieron silenciosamente que el consentimiento para recibir un correo de marketing también cubría cualquier seguimiento que lo acompañara. Esa suposición ya no es defendible.

El problema de la base legal

El GDPR exige una base legal para cualquier tratamiento de datos personales. Para el seguimiento por correo electrónico, muchas organizaciones se han apoyado en el interés legítimo: la afirmación de que medir si los destinatarios abren los correos es una necesidad comercial razonable que no perjudica seriamente a nadie.

La recomendación de la CNIL rechaza contundentemente ese argumento. Abrir un correo electrónico no es una acción que señale ningún consentimiento al seguimiento. Los destinatarios esperan razonablemente que abrir un mensaje lo entregue, nada más. Recopilar datos de comportamiento, construir perfiles o enrutar datos de apertura a plataformas de terceros va mucho más allá de lo necesario para entregar un correo electrónico, y no puede conciliarse con una prueba de ponderación de interés legítimo cuando existen alternativas menos intrusivas.

La Directiva de ePrivacy añade otra capa. Prohíbe acceder a información en el dispositivo terminal de un usuario sin consentimiento previo, con una excepción estrecha para los servicios que el usuario solicitó explícitamente. Un píxel de seguimiento accede al dispositivo en el sentido de que la solicitud de apertura expone la dirección IP y la configuración del dispositivo. Medir el rendimiento de marketing no es un servicio que el destinatario haya solicitado explícitamente, por lo que la excepción no se aplica.

En resumen: para los píxeles de marketing, se requiere consentimiento. El interés legítimo no lo cubre.

Qué requiere consentimiento y qué no

La CNIL enumera los propósitos que necesitan consentimiento previo:

• Medir tasas de apertura y rendimiento de campañas
• Construir perfiles de comportamiento para publicidad dirigida
• Detección de fraude basada en patrones de apertura
• Cualquier seguimiento que alimente datos a plataformas de terceros

Las excepciones estrechas son para píxeles utilizados estrictamente con fines de autenticación o higiene básica de listas, como identificar a suscriptores que no han interactuado durante un período prolongado para reducir la frecuencia de envío. La palabra estrictamente importa. Si el píxel hace algo más allá de esa función específica, se necesita consentimiento. Si los datos se conservan más tiempo del necesario, se necesita consentimiento. Si toca a cualquier tercero, se necesita consentimiento.

La mayoría de los píxeles de marketing no califican para estas exenciones. La realidad práctica es que las organizaciones que rastrean aperturas para cualquier fin comercial necesitan obtener consentimiento antes de que esos píxeles se activen.

Cómo se ve un consentimiento válido

La recomendación es detallada en este punto, porque la CNIL sabe que las divulgaciones vagas enterradas en políticas de privacidad no pasarán la prueba.

Divulgación por capas. Los destinatarios deben ver una descripción clara y breve de qué implica cada propósito de seguimiento antes de suscribirse. Debe estar disponible una segunda capa de detalle para quienes deseen entender más: qué datos se recopilan, cuánto tiempo se conservan y quién los recibe. El enfoque refleja lo que los reguladores ya exigen para los banners de consentimiento de cookies.

Propósito por propósito. Cada uso de seguimiento distinto requiere un consentimiento independiente. Un suscriptor debe poder aceptar el seguimiento de tasa de apertura sin aceptar la elaboración de perfiles de comportamiento para publicidad. Agrupar todo bajo una única casilla no cumple con el estándar.

Consentimiento antes de que se active el píxel. Este es el punto que sorprende a muchas organizaciones. El consentimiento debe obtenerse en el momento en que se recopila la dirección de correo electrónico, normalmente en el formulario de suscripción o la página de registro. Solicitar el consentimiento de seguimiento dentro de un correo de bienvenida falla, porque el evento de apertura registra datos antes de que el destinatario haya tenido la oportunidad de responder. El consentimiento debe llegar primero.

Retirada sencilla. Cada correo de marketing debe incluir un enlace de exclusión de seguimiento independiente del enlace de cancelación de suscripción. Al hacer clic en él, deben dejar de activarse los futuros píxeles para ese contacto. Las organizaciones también deben conservar registros que muestren qué se le dijo a cada suscriptor, qué aceptó y cuándo, porque esa evidencia es la que resiste una investigación regulatoria.

El plazo para las listas existentes

Los contactos recopilados antes del 14 de abril de 2026 cuentan con un período de gracia. Las organizaciones tienen hasta el 14 de julio de 2026 para notificar a esos suscriptores sobre el seguimiento por píxeles y darles una oportunidad real de oponerse. Enviar un único correo masivo y tratar el silencio como aceptación no satisface esto. El mecanismo para oponerse debe ser claro y la preferencia debe aplicarse de inmediato.

Los contactos añadidos a partir del 14 de abril de 2026 deben estar cubiertos por un flujo de consentimiento conforme desde el primer día. No hay período de transición para los nuevos suscriptores.

Tres meses no es mucho margen si sus flujos de suscripción, la configuración de su plataforma de correo y todos sus registros de consentimiento necesitan cambiar. Empezar ahora es la decisión correcta.

Esto no es solo un problema francés

Las recomendaciones de la CNIL tienen peso mucho más allá de Francia. Las autoridades de protección de datos de la UE operan como una red y hacen referencia rutinariamente a las decisiones de las demás. Los principios legales de esta recomendación se aplican de forma idéntica bajo la implementación alemana, neerlandesa, española y de cualquier otro estado miembro de la UE del GDPR y de ePrivacy. Las organizaciones que traten esto como una casilla de cumplimiento específica de Francia están interpretando mal la situación.

Más allá de Europa, la dirección en otras jurisdicciones apunta en el mismo sentido. La CASL de Canadá exige consentimiento expreso antes de enviar mensajes electrónicos comerciales. La LGPD de Brasil refleja los estándares de consentimiento del GDPR. La ICO del Reino Unido ha señalado que abordará las tecnologías de seguimiento más allá de las cookies en una guía próxima. Para cualquiera que gestione listas de suscriptores globales, la expectativa debe ser que los requisitos de consentimiento de píxeles se ampliarán geográficamente, no que se estabilizarán donde están hoy.

Dónde se equivocan las organizaciones

La mayoría de los problemas de cumplimiento en esta área provienen de suposiciones heredadas más que de incumplimientos deliberados. Estos son los patrones que generan riesgo.

Confundir la cancelación de suscripción con la exclusión de seguimiento. Cancelar la suscripción detiene los futuros correos. No retira el consentimiento para rastrear datos de correos ya enviados, y ciertamente no cubre el consentimiento específico por propósito que ahora exige la CNIL. Deben ser dos mecanismos separados.

Suponer que el consentimiento de marketing cubre el seguimiento. Aceptar recibir un boletín no es aceptar ser rastreado. Son propósitos distintos bajo la ley y necesitan señales de consentimiento separadas.

Confiar en las configuraciones predeterminadas de la plataforma. La mayoría de las herramientas de correo activan el seguimiento automáticamente. Si no ha desactivado deliberadamente los píxeles para los contactos que no han dado consentimiento de seguimiento, su plataforma casi con certeza está registrando aperturas sin base legal.

Ausencia de registros de consentimiento. Saber que un suscriptor aceptó algo no es suficiente. Necesita demostrar qué se le dijo, qué aceptó y cuándo. Sin ese rastro de auditoría, no puede defender sus prácticas si se presenta una queja. Consent Audit Trail puede ayudar a verificar que sus registros estén estructurados correctamente antes de que un inspector pregunte.

Terceros no identificados. Si su plataforma transfiere datos de apertura a proveedores de publicidad o análisis, los destinatarios deben saberlo en el momento de la suscripción, con suficiente especificidad para entender quién recibe sus datos. Una referencia genérica a "socios de confianza" en letra pequeña no será suficiente.

Qué necesita cambiar realmente

Esta no es una situación en la que actualizar una política de privacidad cierre la brecha. Los cambios son operativos.

Los formularios de suscripción deben presentar los propósitos de seguimiento con claridad y recopilar un consentimiento específico por propósito antes de enviar cualquier correo rastreado. Las plantillas de correo necesitan un enlace de exclusión de seguimiento que funcione de manera independiente a la cancelación de suscripción. La configuración de la plataforma de correo debe revisarse para que los píxeles se supriman para los contactos que no han dado su consentimiento. Los registros de consentimiento deben almacenarse, vincularse a los perfiles de los suscriptores y ser recuperables para auditoría.

Los cambios de infraestructura son trabajo real, pero es un trabajo conocido. El riesgo de no hacerlos, una acción de cumplimiento o una queja que desencadene una auditoría completa, es considerablemente más disruptivo.

Cómo ayuda UniConsent CMP

UniConsent gestiona el consentimiento que exige la recomendación de la CNIL. La interfaz de UniConsent puede mostrar los propósitos de seguimiento en el formato por capas que describe la autoridad, recopilar un consentimiento independiente para cada propósito y escribir registros con marca de tiempo en un almacén central que se conecta con su plataforma de correo y su CRM.

Acerca de UniConsent

UniConsent forma parte de la Plataforma de Experiencia de Usuario centrada en la privacidad de Transfon, que atiende a decenas de millones de usuarios al día para ofrecer una experiencia de privacidad fluida tanto a usuarios como a editores en la era posterior al GDPR. Contáctenos para saber más: hello@uniconsent.com