# CNIL y píxeles de seguimiento en emails: qué necesita consentimiento

URL canónica: https://brew.new/es/blog/cnil-tracking-pixel-rules-email
Autoría: Philip Sørensen
Publicado: 2026-10-06
Actualizado: 2026-10-06

La recomendación de la CNIL sobre los píxeles de seguimiento en los emails es la interpretación oficial, en Francia, de cómo se aplican las normas de consentimiento a esa imagen invisible que le indica al remitente que has abierto un mensaje. Un píxel de apertura lee información del dispositivo del destinatario, así que necesita consentimiento previo, salvo que encaje en una de dos exenciones muy acotadas. La CNIL la adoptó el 12 de marzo de 2026 como deliberación n.º 2026-042, la publicó en el Journal Officiel el 14 de abril de 2026 y el 22 de julio de 2026 añadió unas preguntas frecuentes (FAQ) con 27 preguntas.

Si tu ESP pone un píxel en cada email, como hace la mayoría, y tu formulario de suscripción no lo menciona en ningún momento, cada destinatario en Francia es un problema, estés donde estés. Para las citas de la recomendación partimos de la [traducción de cortesía al inglés](https://www.cnil.fr/sites/default/files/2026-05/recommandation_tracking_pixels_emails.pdf) que la CNIL publicó de su [original en francés](https://www.cnil.fr/sites/default/files/2026-04/recommandation-pixels_de_suivi.pdf). Todas las citas en español, también las de las FAQ y los webinars, son traducciones nuestras.

Esto no es asesoramiento jurídico. La propia recomendación se define como “ni reglamentaria ni exhaustiva”, así que pide a tus asesores legales que revisen tu configuración.

## Puntos clave

- Las aperturas que se usan para optimizar campañas, crear perfiles o detectar fraudes necesitan consentimiento previo.
- Hay dos usos exentos: la seguridad de la autenticación y los píxeles de entregabilidad en emails solicitados que solo guardan la fecha de la última apertura para enviar menos emails, o dejar de enviarlos, a los destinatarios inactivos. Los emails enviados al amparo del soft opt-in y los de carrito abandonado no cumplen los requisitos.
- Los contactos recogidos antes del 14 de abril de 2026 debían recibir un aviso y la posibilidad de oponerse como muy tarde el 14 de julio. Si no fue así, ahora necesitas su consentimiento.
- Pide el consentimiento para los píxeles como una opción independiente en el formulario donde recoges la dirección, y pon un enlace para retirarlo en cada pie de página.
- Los enlaces con seguimiento pasan el mismo examen del artículo 82, que los evalúa según su finalidad.

## De dónde viene la norma

El artículo 5.3 de la Directiva sobre la privacidad y las comunicaciones electrónicas (ePrivacy) ([texto consolidado](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:02002L0058-20091219)) solo permite almacenar información en el dispositivo de un usuario, o acceder a ella, “a condición de que dicho abonado o usuario haya dado su consentimiento”, salvo que el acceso sea necesario para transmitir una comunicación o “estrictamente necesario” para prestar un servicio que el usuario haya solicitado expresamente. Francia lo transpuso en el [artículo 82 de la ley Informatique et Libertés](https://www.cnil.fr/fr/le-cadre-national/la-loi-informatique-et-libertes#article82), que también es la base de las sanciones de la CNIL por cookies.

Las [Directrices 2/2023](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22023-technical-scope-art-53-eprivacy-directive_en) del Comité Europeo de Protección de Datos (CEPD), en su versión 2.0, adoptada el 7 de octubre de 2024, ya decían que la información de seguimiento incluida en URL o imágenes “constituye una instrucción al equipo terminal para que devuelva la información buscada”. Lo que pasa después se rige por el RGPD, incluida la prueba del consentimiento que exige su artículo 7.1.

| Fecha | Qué pasó |
|---|---|
| Del 12 jun. al 24 jul. de 2025 | [Consulta pública](https://www.cnil.fr/fr/consultation-publique-projet-recommandation-pixels-de-suivi) sobre el borrador |
| 12 mar. de 2026 | La CNIL adopta la deliberación n.º 2026-042 |
| 14 abr. de 2026 | Se [publica](https://www.cnil.fr/fr/recommandation-pixel-suivi-courriels) en el Journal Officiel. Se aplica de inmediato a las direcciones nuevas |
| 28 may. y 4 jun. de 2026 | Webinars para remitentes y proveedores de email |
| 14 jul. de 2026 | Termina el plazo para avisar a los contactos existentes |
| 22 jul. de 2026 | Se [publican las FAQ](https://www.cnil.fr/fr/faq-recommandation-pixels-courriers-electroniques) |

El [borrador de junio de 2025](https://www.cnil.fr/sites/default/files/2025-06/projet_de_recommandation_pixels_de_suivi.pdf) solo eximía una tasa de apertura global y recomendaba usar píxeles idénticos para todos los destinatarios. El texto final es más flexible: exime la medición individual de la entregabilidad en condiciones estrictas.

## Qué entra en el ámbito de aplicación

La recomendación describe un píxel de seguimiento como una imagen remota cuya URL “suele incluir parámetros individualizados relativos al usuario o al contexto”. Al cargarla, se envían el identificador del píxel, la dirección IP y otros datos similares a quien lo colocó. Eso es lo que regula el artículo 82.

- **Todos los emails**, también los que envías a clientes, a clientes potenciales y a tu propia plantilla en sus direcciones de trabajo (pregunta 3 de las FAQ).
- **Todos los remitentes** cuyos píxeles hagan seguimiento de personas en Francia, estén o no en la UE (pregunta 2 de las FAQ). La ventanilla única no se aplica a los controles del artículo 82.
- **Todas las partes.** El remitente es el responsable del tratamiento. El ESP suele ser el encargado del tratamiento, o corresponsable si usa los datos del píxel para sus propios fines y así lo dice el contrato.

Los buzones de mensajería segura como los de los bancos funcionan con otros protocolos y quedan excluidos.

## Qué usos de los píxeles necesitan consentimiento

El apartado 3.1 enumera cuatro:

1. “El análisis de la tasa de apertura de los correos electrónicos para medir y optimizar el rendimiento de las campañas personalizando el contenido de los mensajes o adaptando la frecuencia de envío o el canal de comunicación”. Incluye filtrar el fraude publicitario de esa medición.
2. “La creación de perfiles de los destinatarios” para dirigirse a ellos en sitios web, apps u otros canales.
3. “La detección y el análisis de sospechas de fraude, como la identificación de aperturas inusuales o masivas de correos electrónicos”.
4. La medición individual de las aperturas con fines de entregabilidad fuera de la exención del apartado 3.2.

El punto 1 es el que más pesa. Las horas de envío calculadas a partir de las aperturas, los segmentos de “abrió en los últimos 30 días” y las ramas de automatización que dependen de una apertura necesitan consentimiento.

Tener permiso para enviar no zanja la cuestión. El apartado 4.2 dice que el consentimiento para los píxeles “puede ser necesario para correos electrónicos que, en principio, no requieren el consentimiento de los destinatarios”, y cita las confirmaciones de pedido, el marketing con soft opt-in, las peticiones de donativos con fines benéficos y la prospección B2B.

## Las dos exenciones

![Tabla de decisión que muestra qué usos de los píxeles de seguimiento en los emails necesitan consentimiento según la recomendación de la CNIL, por tipo de email y finalidad.](/images/blog/cnil-tracking-pixel-rules-email-decision-table.png)

*Qué necesita consentimiento, por tipo de email y finalidad del píxel, según la recomendación de la CNIL y las FAQ de julio de 2026.*

### Seguridad de la autenticación

Un píxel que solo sirve para proteger una autenticación puede quedar exento; por ejemplo, para comprobar que un email con un código de inicio de sesión se abrió en un dispositivo conocido del usuario. La pregunta 13 de las FAQ incluye los restablecimientos de contraseña. La prevención del fraude en general, la detección de bots y la protección del inventario publicitario no están cubiertas.

### Entregabilidad

Es la exención en la que se apoyará la mayoría de los remitentes. Deben cumplirse las cuatro condiciones.

1. **La persona pidió el email o el servicio del que depende.** La recomendación enumera los emails de bienvenida, las alertas de la cuenta, las notificaciones de entrega de pedidos, las confirmaciones de pedido, las facturas, los restablecimientos de contraseña, las respuestas de soporte, los recordatorios de citas, los avisos de pago y las notificaciones de violaciones de datos. Una confirmación de pedido con promociones deja de contar (pregunta 16 de las FAQ).
2. **Los datos solo sirven para limpiar la lista,** y se limitan a lo necesario “para ajustar la frecuencia o dejar de enviar correos electrónicos a los destinatarios llamados ‘inactivos’”. También se permite cambiar de canal y demostrar la entrega de una notificación exigida por ley.
3. **Solo guardas la fecha de la última apertura.** En principio, “solo la fecha (del día, sin registrar la hora) de la última apertura conocida”, que se sobrescribe con cada apertura. Según la pregunta 7 de las FAQ, recoger la dirección IP o el user agent, aunque se anonimicen poco después, hace perder la exención.
4. **Actúas en consecuencia.** La pregunta 8 de las FAQ espera que los remitentes dejen de enviar, reduzcan la frecuencia o cambien de canal con quienes no abren, y que lo documenten; por ejemplo, con el porcentaje de contactos eliminados por inactividad.

Una newsletter a la que la persona se suscribió cuenta como solicitada, así que su píxel de entregabilidad puede quedar exento. El marketing enviado al amparo de la excepción de soft opt-in del artículo L34-5 del Código de Correos y Comunicaciones Electrónicas francés ([guía de la CNIL](https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-electronique)) no cuenta, así que su píxel necesita consentimiento (preguntas 15 y 17 de las FAQ). Los emails de carrito abandonado son promocionales y también necesitan consentimiento.

### Tasas de apertura agregadas

Según la pregunta 18 de las FAQ, recoger solo datos agregados no elimina la obligación de pedir consentimiento, porque el artículo 82 se aplica “tanto si los datos son personales como si no”. La pregunta 6 dice que los datos recogidos de forma lícita, con un píxel exento o consentido, pueden anonimizarse para obtener la tasa de apertura de una campaña sin un nuevo consentimiento.

Así que un píxel exento te sigue dando la tasa de apertura de la campaña, pero no las horas de apertura, los datos del dispositivo ni segmentos. Un mismo píxel puede servir a la vez para finalidades exentas y consentidas (pregunta 10), pero no puede quedarse ahí a la espera de un consentimiento.

## Cómo hay que recoger el consentimiento

**Pídelo en el formulario donde recoges la dirección,** con una etiqueta breve para la finalidad, una descripción corta y un enlace a más información. Indica a qué dirección afecta y que el seguimiento abarca todos los dispositivos.

**Parte de la redacción de la CNIL.** Su ejemplo para medir las campañas (traducción nuestra): “[Remitente] y [terceros] utilizan rastreadores (píxeles de seguimiento) para saber si abres los correos electrónicos, a qué hora lo haces e información sobre el dispositivo que utilizas, con el fin de personalizar el contenido de los mensajes y adaptar la frecuencia de envío o el canal utilizado”.

**Pide el consentimiento finalidad por finalidad.** Un botón “Aceptar todo” es válido si una segunda pantalla ofrece cada finalidad por separado. Las finalidades estrechamente relacionadas, como una newsletter que se presenta como personalizada, pueden compartir un mismo consentimiento.

**Si lo pides más tarde, hazlo solo en un email sin píxeles que requieran consentimiento,** con un enlace a una página que exija una acción positiva, para que los clientes de correo que precargan el contenido no puedan dar el consentimiento por la persona. El silencio equivale a un no, rechazar debe ser tan fácil como aceptar y esperar 6 meses antes de volver a preguntar es, en palabras de la CNIL, una buena práctica.

**Incluye la retirada del consentimiento en cada pie de página,** como un enlace propio de cada destinatario que no obligue a escribir la dirección. Una página conjunta para los píxeles y la baja es válida si no añade pasos. Después, ignora las cargas de los píxeles antiguos y elimina los datos cuya única base jurídica era el consentimiento.

**Guarda una prueba por persona.** Registra cada consentimiento y cómo lo obtuviste. Una cláusula contractual que diga que un socio lo recogió no es una prueba.

## La transición del 14 de julio

A las direcciones recogidas desde el 14 de abril de 2026 se les aplican todas las reglas. Las anteriores podían conservar los píxeles si los remitentes avisaban a los destinatarios y les permitían oponerse en un plazo de 3 meses, es decir, hasta el 14 de julio de 2026. La pregunta 25 de las FAQ admite una prórroga “razonable” solo cuando un volumen alto obliga a escalonar los envíos y se documenta. Las diapositivas de los webinars aceptan un email específico con prueba de envío o un aviso bien visible en un email habitual.

- **Aviso enviado, sin oposición.** Puedes apoyarte en él mientras no cambien las condiciones. Si de todos modos necesitas un consentimiento nuevo, por ejemplo, para socios nuevos, aprovecha para recoger también el consentimiento para los píxeles (pregunta 27 de las FAQ).
- **Aviso enviado, la persona se opuso.** Deja de añadir píxeles a sus emails. Según las diapositivas, los datos recogidos antes de la publicación pueden conservarse.
- **No se envió ningún aviso.** Según la pregunta 26 de las FAQ, ahora se necesita el consentimiento. Sin él, deja de usar esos píxeles.

## Riesgo de sanciones

La recomendación indica que la CNIL “recibe un número creciente de avisos y reclamaciones” sobre los píxeles y que tiene previsto revisarlos en sus próximas inspecciones. Los píxeles no están entre sus [temas prioritarios de 2026](https://www.cnil.fr/fr/controles-prioritaires-2026), lo que es un consuelo escaso. De los varios cientos de inspecciones que hace al año, motivadas por reclamaciones, avisos, medidas correctoras anteriores o la actualidad, solo en torno al 20 % corresponde a los temas prioritarios.

El artículo 20 de la ley francesa limita las multas a 10 millones de euros o al 2 % del volumen de negocio anual mundial, la cifra que sea mayor, o a 20 millones de euros o al 4 % en ciertas infracciones del RGPD. El 1 de septiembre de 2025, la CNIL [multó a Google con 325 millones de euros](https://www.cnil.fr/fr/publicites-inserees-entre-les-courriels-et-cookies-la-cnil-sanctionne-google-dune-amende-de-325) por los anuncios insertados entre los mensajes de Gmail y por el consentimiento de cookies al crear una cuenta. En noviembre de 2025, [multó a American Express con 1,5 millones de euros](https://www.cnil.fr/en/cookies-american-express-fined-eu15-million-cnil), en parte por “seguir leyendo cookies instaladas previamente a pesar de la retirada de su consentimiento”. Un píxel antiguo que sigue registrando aperturas después de la retirada es la misma infracción. Los casos más sencillos siguen un [procedimiento simplificado](https://www.cnil.fr/fr/la-procedure-de-sanction-simplifiee) con un límite de 20.000 euros, o de 100.000 euros por encima de 50 millones de euros de volumen de negocio.

## Qué cambiar

Si envías emails a personas en Francia, este es el orden que seguiríamos:

1. **Haz un inventario de los píxeles por tipo de envío** (transaccional, newsletter por suscripción, soft opt-in, prospección B2B, carritos abandonados, recuperación de clientes), incluidos los píxeles publicitarios, de encuestas y de analítica.
2. **Sitúa cada uso en la tabla de decisión.** Las aperturas que alimentan segmentos, modelos de hora de envío o informes necesitan consentimiento.
3. **Añade a cada formulario donde recoges direcciones una casilla de consentimiento para los píxeles, sin marcar,** y guarda la respuesta, la fecha y hora, la versión del formulario y la redacción exacta.
4. **Guarda el consentimiento para los píxeles en su propio campo del contacto,** separado del estado de suscripción.
5. **Quita el píxel a los contactos sin consentimiento.** Si no puedes, usa un seguimiento de entregabilidad que cumpla la exención o desactiva el seguimiento de aperturas para esa audiencia.
6. **Mide con datos que puedas usar.** Las fechas de última apertura exentas pueden alimentar tus reglas para depurar los inactivos. Evalúa el rendimiento por las conversiones, los ingresos, las respuestas y las bajas ([métricas que se sostienen](/es/blog/email-metrics-that-matter)).
7. **Añade el enlace de retirada en el pie de página** y asegúrate de que los píxeles antiguos dejen de registrar datos después de la retirada.

### Clics

Los enlaces con seguimiento “no están directamente” cubiertos, pero según la pregunta 1 de las FAQ también deben cumplir el artículo 82. De todos modos, los clics son mejores datos, porque la función [Mail Privacy Protection](https://support.apple.com/guide/iphone/use-mail-privacy-protection-iphf084865c7/ios) de Apple ya “impide que los remitentes vean si has abierto el mensaje de correo electrónico”. El CEPD aplica el artículo 5.3 a los enlaces de seguimiento, y las diapositivas de la CNIL dicen que el consentimiento “depende de la finalidad y no de la tecnología”. Según nuestra interpretación, no la de la CNIL, un enlace con seguimiento propio de cada destinatario que se usa para optimizar campañas se trata como un píxel. Las etiquetas UTM compartidas no identifican a nadie, y las conversiones en tu sitio web dependen del consentimiento de cookies de ese sitio.

## Cómo funciona hoy en Brew

Brew mide las aperturas con un píxel de 1x1 y los clics con enlaces etiquetados por destinatario ([documentación de métricas](https://docs.brew.new/analytics/key-metrics-and-terms)).

- **El consentimiento se guarda en el contacto.** Cada contacto puede llevar un registro de consentimiento de marketing con el origen, la hora de captura, la versión de la política y las pruebas. Añade una propiedad `pixelConsent` cuando la persona se suscriba y [filtra las audiencias por ella](https://docs.brew.new/audience/create-audiences).
- **Los píxeles antiguos se eliminan al importar.** Brew desactiva los píxeles de apertura de la plataforma anterior en el HTML importado.
- **Retirar el consentimiento cuesta un clic.** Cada email de marketing lleva un enlace de baja firmado y único para cada destinatario.
- **Intelligent Send elige la hora de envío de cada persona** a partir de sus aperturas y clics recientes ([cómo funciona](https://docs.brew.new/create-emails/send-options#intelligent-send)). Eso es optimización en el sentido del apartado 3.1, así que resérvalo para los contactos que hayan dado su consentimiento.
- **El seguimiento está activado en todos los envíos.** Todavía no hay un interruptor del píxel por envío, por contacto ni por dominio, así que, de momento, excluye de esos envíos a los residentes en Francia que no hayan dado su consentimiento para los píxeles, y dinos si necesitas ese interruptor.

Nuestro [State of Email de septiembre](/es/blog/state-of-email-september-2026) incluye un resumen más breve de las FAQ.

## Preguntas frecuentes

### ¿Necesito consentimiento para el seguimiento de aperturas de emails en Francia?

Para la mayoría de los usos de marketing, sí. Solo están exentos los píxeles de seguridad de la autenticación y los píxeles de entregabilidad, muy acotados, en emails solicitados.

### ¿La norma de la CNIL sobre los píxeles se aplica a empresas de fuera de Francia?

Sí, si haces seguimiento de personas que están en Francia, tanto si tu empresa está en otro país de la UE como fuera de ella. La ventanilla única no se aplica a los controles del artículo 82.

### ¿Los emails transaccionales están exentos del consentimiento para los píxeles?

Solo para la entregabilidad, cuando el píxel guarda únicamente la fecha de la última apertura para dejar de enviar emails, o enviar menos, a los destinatarios inactivos. La analítica o la personalización necesitan consentimiento, y añadir promociones hace perder la exención.

### ¿Puedo informar de una tasa de apertura agregada sin consentimiento?

Sí, si los datos proceden de un píxel exento o consentido y los anonimizas de forma efectiva. Recoger solo datos agregados no elimina la obligación de pedir consentimiento, porque el artículo 82 también cubre los datos no personales.

### ¿La recomendación de la CNIL cubre el seguimiento de clics?

No directamente. La CNIL dice que los enlaces con seguimiento siguen sujetos al artículo 82 y se evalúan según su finalidad. La recomendación trata un enlace único de retirada en el pie de página como una medida de seguridad exenta.