Qué dice la recomendación de la CNIL de 2026

En mayo de 2026, la autoridad francesa de protección de datos, la CNIL, publicó una recomendación sobre el uso de píxeles de seguimiento en el correo electrónico. No crea legislación nueva; explica cómo se aplica la legislación vigente a una práctica que llevaba años operando en una zona gris.

Esta página es un resumen divulgativo, no asesoramiento jurídico. Cuando la precisión importe, lee la recomendación y los textos que la sustentan directamente.

La cadena jurídica en la que se apoya

• El artículo 5, apartado 3, de la directiva ePrivacy (2002/58/CE) exige consentimiento antes de almacenar información en el equipo terminal de un usuario, o de acceder a información ya almacenada en él, salvo que sea aplicable una exención estricta.
• El artículo 82 de la Loi Informatique et Libertés francesa transpone esa norma al Derecho francés y es lo que la CNIL hace cumplir.
• Las Directrices 2/2023 del CEPD (EDPB) aclararon que el artículo 5, apartado 3, es tecnológicamente neutro: se aplica no solo a las cookies, sino a cualquier técnica que lea de un dispositivo o escriba en él, incluidos explícitamente los píxeles de seguimiento en el correo y el almacenamiento en caché de recursos remotos.

Leer un píxel implica que tu dispositivo descargue y almacene en caché un recurso remoto, de modo que entra de lleno en el ámbito del artículo 5, apartado 3.

Qué pide la recomendación a los remitentes

1. Consentimiento antes de la inserción. Por regla general, un píxel de seguimiento solo puede insertarse en un correo si el destinatario ha dado un consentimiento previo, específico, informado y libre para esa finalidad, salvo cuando sea aplicable una exención reconocida (véase píxeles exentos frente a píxeles basados en consentimiento).
2. Granularidad de la finalidad. El consentimiento para una finalidad (por ejemplo, medir la entregabilidad) no autoriza otra (por ejemplo, elaborar un perfil de marketing). Cada finalidad debe presentarse con claridad.
3. Retirada tan fácil como el consentimiento. Los destinatarios deben poder retirar el consentimiento en cualquier momento, y hacerlo debe ser tan sencillo como fue otorgarlo: sin fricciones, sin obstáculos de reautenticación.
4. Retirada efectiva. Una vez retirado el consentimiento, el seguimiento debe detenerse de verdad, incluso en los correos ya enviados. Un píxel alojado en un mensaje antiguo ya no debe registrar aperturas.
5. El enlace por destinatario. Un enlace único de baja/preferencias en el pie del correo, vinculado a un único destinatario, se considera una medida de seguridad (limita la acción al titular de la dirección). Ese enlace, en sí mismo, está exento del consentimiento previo.

Qué significa para ti como destinatario

• Tienes derecho a que te pregunten antes de que una marca haga seguimiento de tus aperturas, y derecho a decir que no.
• Si diste tu consentimiento, puedes cambiar de opinión, y el cambio debería surtir efecto de inmediato, incluso en los mensajes que ya tienes en la bandeja de entrada.
• Nunca deberías tener que escribir tu dirección de correo en un formulario para darte de baja; el enlace personal ya te identifica de forma segura. Véase tus derechos.

Dónde encaja TrackingCompliant

TrackingCompliant es la superficie de gestión de preferencias que un remitente opera para cumplir en la práctica los puntos 3 a 5: una retirada con un solo clic desde el enlace del pie, efectiva sobre el correo ya enviado. La opera el remitente, no un auditor independiente: lo decimos con claridad porque la honestidad sobre quién opera la herramienta forma parte de hacer esto correctamente.