Píxeles de seguimiento, los reguladores de la UE y tú: guía para personas tranquilas sobre lo que acaba de pasar 

Publicado por primera vez por Mailgun.

¿Tienes que replantearte el seguimiento de emails en la UE? 

Esta semana no. Pero debería estar en tu hoja de ruta, y no solo en tu lista de «algún día». 

En marzo y abril de 2026, los reguladores de Francia (CNIL) e Italia (el Garante) publicaron directrices sobre el uso de píxeles de seguimiento en los emails. Estas no son nuevas leyes. Son aclaraciones de las normas existentes, principalmente de la Directiva sobre la privacidad (el mismo marco en el que se basan los banners de consentimiento de cookies), junto al RGPD, que se aplican a los píxeles de seguimiento en el email. 

El mensaje no es simplemente «deja de hacer seguimiento». Es: justifica el seguimiento, limítalo y, en muchos casos, obtén el consentimiento para ello. 

Tanto la CNIL como el Garante parten de la misma premisa: los píxeles de seguimiento acceden a información desde el dispositivo de un usuario y esa actividad está sujeta a las normas sobre la privacidad. Esto significa que el consentimiento es obligatorio a menos que se aplique una exención específica. 

Si te suena familiar, debería. El email no hace más que ponerse al día de la situación en la que lleva años el seguimiento web. La fiesta lleva tiempo en marcha. El email llega elegantemente, aunque a regañadientes, tarde. 

Ambos reguladores reconocen lo que el sector ha denominado una «exención de entregabilidad». Aunque este no es un término legal formal, ambos reguladores reconocen que ciertos usos limitados y con un propósito específico del seguimiento de aperturas entran en las exenciones sobre la privacidad. 

La CNIL permite el seguimiento de aperturas a nivel individual sin consentimiento, pero solo para fines de entregabilidad estrictamente definidos:  

• Identificar a los destinatarios inactivos 

• Gestionar listas de supresión 

• Limpiar las bases de datos 

Las restricciones son reales: almacena datos mínimos (fecha de la última apertura, no el historial completo de interacciones), no los reutilices para marketing o analíticas, y aplícalo solo a los emails que el destinatario solicitó o para los que dio su consentimiento para recibir. 

El Garante adopta una postura significativamente diferente. La exención sin consentimiento se limita en general a las estadísticas agregadas y anonimizadas; un píxel compartido por campaña, no un seguimiento por destinatario, con las direcciones IP y los identificadores técnicos anonimizados. El seguimiento de aperturas a nivel individual suele requerir el consentimiento, excepto en casos de uso específicos de seguridad y autenticación. 

La mayoría de los modelos de seguimiento de ESP estándar (incluido el nuestro) generan eventos de apertura por destinatario de forma predeterminada. Esa arquitectura cumple con la exención de entregabilidad de la CNIL, cuando el remitente implementa una minimización de datos adecuada, una limitación de propósitos y controles de retención. Que la exención se aplique en un caso determinado depende de cómo se utilicen los datos, así como de cómo se recopilen.  

Sin embargo, el seguimiento de eventos de apertura por destinatario no cumple con los requisitos del Garante sin cambios más significativos. 

Si tus analíticas dependen de las señales de interacción individuales, estás en el territorio del consentimiento en Italia. 

1. El consentimiento para enviar un email no es lo mismo que el consentimiento para hacerle un seguimiento. 

Esto es lo que pilla a la gente desprevenida, así que tiene su propia sección. 

Puedes tener una base legal válida para enviar emails de marketing, emails transaccionales, e incluso mensajes de servicio de rutina, y aun así necesitar un consentimiento por separado para usar píxeles de seguimiento en ellos. Sí, incluso para los emails transaccionales. El requisito de consentimiento se aplica al píxel, no al mensaje en el que va integrado. 

La CNIL es clara al respecto: se puede exigir el consentimiento de seguimiento incluso cuando el email en sí no lo requiere. En algunos casos, estos pueden agruparse en una sola solicitud claramente descrita, pero la suposición predeterminada de que «se registraron, así que podemos hacerles seguimiento» no es segura. 

2. Un contrato por sí solo no demuestra el consentimiento. 

Si tu lista incluye contactos alquilados, direcciones obtenidas de socios, clientes potenciales afiliados o datos importados de cualquier lugar fuera de tus propios flujos de registro, esto es para ti. 

La CNIL exige que el consentimiento sea demostrable para cada destinatario individual; quién dio su consentimiento, cuándo y en qué condiciones. Una cláusula de contrato que establezca que un socio recopiló el consentimiento en tu nombre es una parte importante de tu marco de responsabilidad, pero no es suficiente por sí sola. Si no puedes presentar pruebas de que cada destinatario individual específico dio realmente su consentimiento informado, no lo tienes. Vale la pena tener una conversación con tu equipo jurídico sobre este tema, especialmente si tu lista tiene orígenes mixtos. Tampoco estaría de más asegurarte de que cumples también con la política de uso aceptable de tu ESP, ya que en primer lugar, estos clientes potenciales pueden ir en contra de sus normas. 

Ambos reguladores dicen que la retirada del consentimiento debe ser fácil incluso para los emails que ya están en la bandeja de entrada de alguien. 

Esto es lo que significa en realidad. Un usuario retira su consentimiento hoy. Mañana, abre un email que le enviaste hace tres meses. El píxel se carga. La expectativa es que no deberías registrar eso como un evento de apertura identificable. Queda por ver con qué rigor se aplicará esto en la práctica, pero la retirada del consentimiento debería surtir efecto cuando el usuario la solicite, incluso para los emails enviados anteriormente. 

Esto requiere que el punto de conexión de tu píxel verifique el estado del consentimiento de forma dinámica en el momento de cada apertura, y ajuste su comportamiento en consecuencia; registrando el evento para los destinatarios que dieron su consentimiento, sin registrarlo para aquellos que lo han retirado. La imagen se sigue cargando de cualquier manera, pero tu comportamiento de seguimiento tiene que cambiar. 

No puedes cambiar esto con un interruptor en tu plataforma de envío. Es una infraestructura de píxeles que tiene en cuenta el consentimiento, y la mayoría de los sistemas de email (incluido el nuestro y casi cualquier ESP del mercado) no se crearon inicialmente así. La brecha entre la arquitectura actual y lo que implican estas directrices es real, y cerrarla no es tarea fácil. 

La exención de entregabilidad, incluso en la forma más permisiva de Francia, asume que los datos de apertura son una señal útil para identificar a los destinatarios inactivos. Pero el seguimiento de aperturas lleva años contaminado. 

La protección de la privacidad de Apple Mail (entre otros) precarga imágenes, lo que genera aperturas que pueden no tener nada que ver con un ser humano que lee un email. Las puertas de enlace de seguridad analizan los mensajes y desencadenan cargas de píxeles de forma automática. Los filtros de spam y los bots generan actividad antes de que un destinatario vea el mensaje en su bandeja de entrada. 

Esto crea una auténtica tensión en las directrices. Los reguladores afirman que puedes usar las aperturas para suprimir usuarios inactivos sin consentimiento, pero las aperturas cada vez son menos señales humanas. Y las técnicas necesarias para filtrar la actividad no humana pueden requerir por sí mismas el tipo de procesamiento a nivel individual que necesita consentimiento. 

Es un círculo vicioso, necesitas datos más limpios para cumplir, pero limpiarlos puede requerir el consentimiento. Los reguladores aún no han abordado del todo este tema, y esa brecha importa. Lo estamos siguiendo de cerca. 

Inútiles no, pero menos fiables, y probablemente menos fiables de lo que te gustaría. 

Si el seguimiento de aperturas pasa a depender del consentimiento, solo verás datos de los destinatarios que hayan aceptado que se les haga un seguimiento. Es probable que esa población sea pequeña y se autoseleccione, sesgada hacia tus suscriptores más comprometidos, lo que hace que no sea estadísticamente fiable para sacar conclusiones sobre tu audiencia general. Si a esto le añades aperturas generadas por máquinas, obtienes unas métricas que, al mismo tiempo, están sesgadas e infladas. 

En la práctica, esto afecta a las automatizaciones basadas en aperturas, a los flujos de reactivación, a las pruebas de línea de asunto, a la segmentación, a la lógica de personalización y a la puntuación de la interacción. Nada de eso se romperá de la noche a la mañana. Pero si tu programa depende en gran medida de los datos de apertura, vale la pena auditar qué decisiones empeorarían si esa señal se volviera más estrecha y ruidosa de lo que ya es. 

Puede parecer que nos están quitando algo nuevo. En realidad, se trata de la aceleración de algo que ya está en marcha. Las aperturas ya se estaban volviendo ruidosas. Ahora se están volviendo selectivas y ruidosas. Los programas que menos lo notarán son los que de todos modos se han orientado hacia los clics, las conversiones, las respuestas y las acciones explícitas de los usuarios. 

¡Posiblemente! Y tal vez para el resto de la UE con el tiempo. 

Los marcos de Francia e Italia no son iguales, y un enfoque alineado con la CNIL puede no satisfacer los requisitos italianos. Para los remitentes con una concentración de audiencia importante en ambos mercados, tratarlos de forma idéntica crea una exposición al riesgo. 

Para muchos remitentes, la vía más limpia es alinearse con la norma más estricta en todos los envíos a la UE. Esto reduce la fragmentación, disminuye el riesgo de quedar atrapado entre dos blancos móviles y te posiciona razonablemente bien si otros reguladores de la UE publican directrices similares, lo cual, dado que tanto la CNIL como el Garante se basan en el mismo marco del CEPD, es una predicción razonablemente segura. 

Este blog se centra en las recientes directrices de la CNIL y del Garante, pero se aplican principios similares en otras jurisdicciones. En el Reino Unido, el PECR y las directrices de la ICO imponen requisitos comparables a las tecnologías similares a las cookies, incluidos los píxeles de seguimiento. Los remitentes con audiencias en Canadá, los EE. UU. u otros mercados también deberían considerar sus obligaciones en virtud de la ley CASL, la ley CAN-SPAM y las emergentes leyes de privacidad estatales. La tendencia hacia una mayor transparencia y consentimiento en el seguimiento digital no se limita a la UE. 

Como plataforma de envío, Sinch Mailgun y Mailjet operan como encargados del tratamiento. En el marco de la CNIL, somos el «proveedor de servicios de envío de emails». Tú, el remitente, eres el responsable del tratamiento. 

Esto significa que la obligación de recopilar, almacenar y demostrar el consentimiento del destinatario recae en ti, no porque estemos pasando la pelota, sino porque eres tú quien tiene la relación con el destinatario. Tú sabes lo que decía tu formulario de registro. Tú sabes de dónde provienen esas direcciones. Nosotros no. 

Lo que podemos hacer: proporcionar controles flexibles a nivel de cuenta, subcuenta y clave de API, documentar cómo funcionan nuestros sistemas y hacer que nuestra plataforma evolucione a medida que se desarrolle este sector. Nuestros equipos jurídicos, de producto y de entregabilidad supervisan de forma activa las directrices emitidas sobre este tema y nos comunicaremos con claridad antes de realizar cualquier cambio en el comportamiento de la plataforma. 

Lo que no podemos hacer: saber si tus destinatarios dieron su consentimiento para el seguimiento a menos que nos lo digas. Cualquier comportamiento futuro que tenga en cuenta el consentimiento a nivel de plataforma depende de que esa señal provenga de ti. No se trata de una limitación de la plataforma que podamos sortear, sino de una realidad estructural sobre cómo el RGPD y las normas sobre la privacidad asignan la responsabilidad. Del mismo modo, la decisión de habilitar o deshabilitar el seguimiento para el tráfico de emails que envías es tuya.  

Es el momento de organizarse, no de ser reactivo. 

Audita tu uso de los datos de apertura. Haz un mapa de dónde se incorporan las aperturas en tus sistemas, incluidos los disparadores de automatización, los paneles de control de analíticas, la segmentación, la personalización y las decisiones de entregabilidad. Entiende qué empeoraría si esa señal pasara a depender del consentimiento o se volviera incluso más estrecha. 

Revisa tus flujos de consentimiento y tu documentación de privacidad. ¿Los formularios de registro mencionan el seguimiento? ¿Lo describe claramente tu política de privacidad? La CNIL recomienda que, cuando sea posible, se obtenga el consentimiento para el seguimiento de píxeles en el momento en que se captura la dirección de email. 

Comprueba de dónde procede tu lista. Para cualquier dirección que no provenga de tus propios formularios y flujos, como las que hayas alquilado, corregistrado o te haya proporcionado un socio, pregúntate si puedes demostrar el consentimiento individual. Un contrato no es suficiente por sí solo. (Y, como siempre, tienes que cumplir con las políticas de tu ESP políticas, también) 

Identifica tu exposición en la UE. Francia e Italia tienen los planes de aplicación más inmediatos. Si tienes envíos importantes a cualquiera de estos mercados, son tu prioridad. 

Decide si habilitar o deshabilitar el seguimiento. Deshabilitar todo el seguimiento de aperturas puede crear problemas operativos sin mejorar tu posición de cumplimiento – la única manera de saberlo es examinar cómo utilizas la información. Primero asegúrate de comprender bien el panorama completo de lo que significan para ti estas recientes directrices, y luego actúa. 

Este no es el fin del seguimiento de emails por completo, pero es una señal de que el email se está moviendo hacia el mismo modelo en el que el seguimiento web ha operado durante años: un propósito más claro, más transparencia y un mayor control del usuario. 

La diferencia es el momento. El seguimiento web tuvo que reaccionar a la normativa a posteriori. El email tiene la oportunidad de prepararse, y esa es una posición mucho mejor en la que estar. 

Este cambio ya se estaba produciendo. Entre la MPP de Apple, el escaneo de seguridad y la evolución del comportamiento en la bandeja de entrada, las tasas de apertura ya estaban perdiendo fiabilidad mucho antes de que ningún regulador interviniera. Estas directrices lo hacen oficial: el futuro de la interacción por email pasa por las señales intencionadas, no por las pasivas. Clics. Conversiones. Respuestas. Acciones que significan algo cuando ocurren. 

Actualmente no hay campañas de aplicación, pero la dirección es clara: la brecha entre cómo funciona actualmente el seguimiento de emails y cómo esperan los reguladores que funcione es real, y cerrarla llevará tiempo, coordinación y un cierto replanteamiento arquitectónico. 

La buena noticia es que puedes verlo venir. 

Ese es un lugar mucho mejor en el que estar que enterarse a posteriori. 

Autor: Alison Gootee Deliverability Specialist at Sinch Mailgun