フランスのCNILがメールの開封ピクセルに求めていること。同意が必要な用途、限られた例外、7月14日までの移行措置、見直すべき点を解説します。
メールのトラッキングピクセルに関するCNIL（フランスのデータ保護機関）の勧告は、メールを開いたことを差出人に知らせる見えない画像に、同意のルールがどう適用されるかについての、フランスの公式な解釈です。開封ピクセルは受信者の端末から情報を読み取るため、2つの限られた例外のどちらかに当てはまらない限り、事前の同意が必要です。CNILは2026年3月12日に決議第2026-042号としてこの勧告を採択し、2026年4月14日にフランス官報（Journal Officiel）で公表したうえで、2026年7月22日に27問からなるFAQを追加しました。
多くのESPと同じように、あなたのESPがすべてのメールにピクセルを入れていて、登録フォームでそのことに一切触れていないなら、拠点がどこにあっても、フランスのすべての受信者が問題になります。CNILの文書はフランス語です。この記事の引用はすべて私たちが日本語に訳したもので、勧告については、CNILによる英語の参考訳とフランス語の原文をもとにしています。
この記事は法的助言ではありません。勧告自体が「規制的なものでも網羅的なものでもない」としているので、自社の設定は弁護士に確認してもらいましょう。
eプライバシー指令の第5条第3項（統合版）は、ユーザーの端末にある情報の読み取りや、端末への情報の保存を、ユーザーが「同意を与えた」場合に「のみ」認めています。例外は、通信の送信にそのアクセスが必要な場合と、ユーザーが明示的に求めたサービスのために「厳密に必要」な場合です。フランスはこれを情報処理と自由に関する法律（loi Informatique et Libertés）の第82条として国内法化しており、この条文は、CNILがクッキーをめぐって下してきた制裁の根拠でもあります。
欧州データ保護会議（EDPB）のガイドライン2/2023（バージョン2.0、2024年10月7日採択）は、URLや画像に含まれるトラッキング情報が「対象となる情報を送り返すよう端末機器に指示するもの」に当たると、すでに述べていました。その後の取り扱いはGDPRの対象で、GDPR第7条第1項に基づく同意の証明もそこに含まれます。
| 日付 | 出来事 |
|---|---|
| 2025年6月12日〜7月24日 | 草案に関する意見公募 |
| 2026年3月12日 | CNILが決議第2026-042号を採択 |
| 2026年4月14日 | 官報（Journal Officiel）で公表。新たに集めるアドレスには即時適用 |
| 2026年5月28日と6月4日 | 送信者とメールサービス事業者向けのウェビナー |
| 2026年7月14日 | 既存のコンタクトへの通知期間が終了 |
| 2026年7月22日 | FAQを公表 |
2025年6月の草案で例外とされていたのは全体の開封率だけで、すべての受信者に同一のピクセルを使うことが推奨されていました。最終版はそれより緩やかで、厳しい条件のもとで、個人単位の到達率の測定も例外としています。
勧告は、トラッキングピクセルを、URLが「通常、ユーザーや状況に関する個別の設定を持つ」リモート画像だと説明しています。それを読み込むと、ピクセルのID、IPアドレスなどのデータが、ピクセルを設置した者に送られます。これを規制するのが第82条です。
銀行が提供しているような安全なメッセージセンターは、別のプロトコルで動いているため対象外です。
3.1節は、次の4つを挙げています。
影響が大きいのは1つ目です。開封にもとづく送信時刻、「過去30日間に開封した」セグメント、開封をきっかけにしたオートメーションの分岐には、いずれも同意が必要です。
送信の許諾があるからといって、それで決着するわけではありません。4.2節は、ピクセルへの同意は「原則として受信者の同意を必要としないメールでも必要になる場合がある」とし、注文確認、ソフトオプトインによるマーケティング、慈善団体の寄付の呼びかけ、B2Bの営業メールを挙げています。
CNILの勧告と2026年7月のFAQにもとづく、メールの種類とピクセルの目的ごとの同意の要否。
認証を安全に行うためだけに使うピクセルは、例外になりえます。たとえば、ログインコードを記載したメールが、ユーザーのいつもの端末で開かれたかを確認する場合です。FAQの質問13では、パスワードリセットもこれに含めています。一般的な不正防止、ボットの検知、広告在庫の保護は対象外です。
ほとんどの送信者が頼りにするのは、こちらの例外でしょう。4つの条件をすべて満たす必要があります。
登録して受け取るニュースレターは本人が求めたメールに当たるので、その到達率のためのピクセルは例外になりえます。一方、フランスの郵便・電子通信法典L34-5条のソフトオプトインの例外に基づいて送るマーケティングメール（CNILのガイド）は当たらないため、そのピクセルには同意が必要です（FAQの質問15と17）。カゴ落ちメールも販促目的なので、同意が必要です。
FAQの質問18によると、集計データだけを収集する場合でも、同意の要件はなくなりません。第82条は「データが個人データであるかどうかにかかわらず」適用されるからです。質問6によると、例外に当たるピクセルや同意を得たピクセルから適法に収集したデータであれば、追加の同意なしに、匿名化してキャンペーンの開封率にまとめることができます。
つまり、例外に当たるピクセルでもキャンペーンの開封率は得られますが、開封の時刻、端末のデータ、セグメントは得られません。1つのピクセルで、例外に当たる目的と同意を得た目的を兼ねることはできますが（質問10）、同意を待つあいだ、何もしないピクセルとしてメールに入れておくことはできません。
メールアドレスを入力するフォームで同意を求める。目的を示す短いラベル、簡単な説明、詳細へのリンクを添えます。どのアドレスが対象になるのか、そしてトラッキングがすべての端末に及ぶことも示しましょう。
CNILの文例をもとにする。キャンペーンの測定についての文例は、次のとおりです（私たちによる翻訳）。「［送信者］および［第三者］は、メッセージの内容をパーソナライズし、送信頻度や使用するチャネルを調整するために、トラッカー（トラッキングピクセル）を使用して、お客様がメールを開封したかどうか、開封した時刻、使用している端末に関する情報を把握します。」
目的ごとに同意を求める。2つ目の画面で目的ごとに選べるなら、「すべて同意する」を置いてもかまいません。パーソナライズを売りにしたニュースレターのように、密接に結び付いた目的は、1つの同意にまとめられます。
後から同意を求めるなら、同意が必要なピクセルを含まないメールで行う。リンク先は能動的な操作を必要とするページにして、事前取得を行うメールソフトが同意したことにならないようにします。何も反応がなければ「同意しない」という意味で、拒否は同意と同じくらい簡単でなければなりません。また、再び同意を求めるまで6か月待つことは、CNILの言葉を借りれば「望ましい慣行」です。
すべてのフッターに撤回の手段を入れる。アドレスを入力しなくても使える、受信者ごとに固有のリンクにします。ピクセルの同意の撤回と配信停止を1つのページにまとめるのは、手順が増えなければ問題ありません。撤回後は、古いピクセルからのアクセスを無視し、同意だけを法的根拠としていたデータを削除します。
一人ひとりについて証拠を残す。それぞれの同意と、その取得方法を記録します。パートナーが取得したと記した契約条項は、証拠になりません。
2026年4月14日以降に集めたアドレスには、ルールがすべて適用されます。それより前のアドレスについては、送信者が受信者に通知し、3か月以内、つまり2026年7月14日までに異議を申し立てる機会を与えていれば、ピクセルを使い続けることができました。FAQの質問25は、大量の送信を時期を分けて行う必要があり、それを記録している場合に限って、「合理的な」延長を認めています。ウェビナーのスライドでは、送信の証拠を残した専用のメールか、通常のメールの中のはっきり見える通知でよいとしています。
勧告によると、CNILはピクセルについて「ますます多くの通報や苦情を受けて」おり、今後の調査で確認する予定です。ピクセルは2026年の重点調査テーマに入っていませんが、それで安心できるわけではありません。CNILは年に数百件の調査を行っており、そのきっかけは苦情、通報、過去の是正措置、報道などで、重点テーマに由来するものは約20%にすぎないからです。
情報処理と自由に関する法律の第20条は、制裁金の上限を、1,000万ユーロまたは全世界の年間売上高の2%のいずれか高いほう、GDPRの一部の違反については2,000万ユーロまたは4%と定めています。CNILは2025年9月1日、Gmail のメッセージの間に表示される広告と、アカウント作成時のクッキーの同意をめぐって、Google に3億2,500万ユーロの制裁金を科しました。2025年11月には、American Express に150万ユーロの制裁金を科しています。理由の一部は、「同意の撤回後も、以前に設置したクッキーを読み取り続けた」ことでした。同意の撤回後も開封を記録し続ける古いピクセルは、これと同じ違反です。より単純な案件は簡易手続で扱われ、制裁金の上限は20,000ユーロ、売上高が5,000万ユーロを超える場合は100,000ユーロです。
フランスの人にメールを送っているなら、私たちは次の順番で進めます。
トラッキング付きのリンクは、勧告の「直接の」対象ではありませんが、FAQの質問1によると、やはり第82条の要件を満たす必要があります。いずれにせよ、クリックのほうが良いデータです。Apple のメールプライバシー保護が、すでに「送信者が、メールメッセージをあなたが開いたかどうかを確認できないように」しているからです。EDPBはトラッキングリンクにも第5条第3項を適用しており、CNILのスライドは、同意が必要かどうかは「技術ではなく目的によって決まる」としています。CNILではなく私たちの解釈ですが、キャンペーンの最適化に使う受信者ごとのトラッキングリンクは、ピクセルと同じように扱われると考えています。全員に共通のUTMタグは誰も特定しませんし、サイト上のコンバージョンは、ウェブサイトのクッキーの同意の対象になります。
Brew は、開封を1×1のピクセルで、クリックを受信者ごとのタグ付きリンクで計測しています（指標のドキュメント）。
pixelConsent プロパティを追加し、それでオーディエンスを絞り込みましょう。FAQのより短い要約は、9月の State of Email にあります。
ほとんどのマーケティング用途では、必要です。例外は、認証のセキュリティのためのピクセルと、本人が求めたメールに入れる、用途を厳しく限定した到達率のためのピクセルだけです。
はい。フランスにいる人を追跡するなら、拠点がほかのEU加盟国でもEU域外でも適用されます。第82条に関する調査には、ワンストップショップは適用されません。
不要なのは、到達率のためだけに使う場合、つまり、非アクティブな受信者へのメールを止めたり減らしたりするために、ピクセルが最後に開封した日付だけを保存する場合に限られます。分析やパーソナライズには同意が必要で、販促の内容を加えると例外の対象から外れます。
はい。データが例外に当たるピクセルか同意を得たピクセルから得たもので、効果的に匿名化していればできます。第82条は個人データ以外のデータも対象にしているため、集計データだけを収集しても、同意の要件はなくなりません。
直接の対象ではありません。ただしCNILは、トラッキング付きのリンクも第82条の対象であり、目的によって判断されるとしています。勧告は、フッターに入れる受信者ごとに固有の撤回用リンクを、例外に当たるセキュリティ対策として扱っています。
