# Spårningspixlar i mejl enligt CNIL: vad kräver samtycke?

Kanonisk URL: https://brew.new/sv/blog/cnil-tracking-pixel-rules-email
Författare: Philip Sørensen
Publicerad: 2026-10-06
Uppdaterad: 2026-10-06

Rekommendationen om spårningspixlar i mejl från CNIL, den franska dataskyddsmyndigheten, är Frankrikes officiella tolkning av hur reglerna om samtycke gäller för den osynliga bild som talar om för avsändaren att du har öppnat ett meddelande. En öppningspixel läser information från mottagarens enhet och kräver därför samtycke i förväg, om den inte faller under något av två snäva undantag. CNIL antog rekommendationen som beslut nr 2026-042 den 12 mars 2026, publicerade den i Journal Officiel den 14 april 2026 och lade till en FAQ med 27 frågor den 22 juli 2026.

Om din ESP lägger in en pixel i varje mejl, som de flesta gör, och ditt registreringsformulär aldrig nämner det, är varje mottagare i Frankrike ett problem, oavsett var ditt företag finns. Alla citat i den här texten är våra egna översättningar till svenska. För rekommendationen har vi utgått från CNIL:s inofficiella [engelska översättning](https://www.cnil.fr/sites/default/files/2026-05/recommandation_tracking_pixels_emails.pdf) av [det franska originalet](https://www.cnil.fr/sites/default/files/2026-04/recommandation-pixels_de_suivi.pdf).

Det här är inte juridisk rådgivning. Rekommendationen beskriver sig själv som ”varken föreskrivande eller uttömmande”, så låt en jurist granska ditt upplägg.

## Det viktigaste i korthet

- Öppningar som används för att optimera kampanjer, bygga profiler eller upptäcka bedrägerier kräver samtycke i förväg.
- Två användningar är undantagna: säkerhet vid autentisering, och leveransbarhetspixlar i mejl som mottagaren har bett om, där bara datumet för den senaste öppningen sparas för att glesa ut eller stoppa utskick till inaktiva mottagare. Mejl som skickas med stöd av soft opt-in och mejl om övergivna varukorgar omfattas inte av undantaget.
- Kontakter som samlades in före den 14 april 2026 skulle ha fått information och en möjlighet att invända senast den 14 juli. Har de inte fått det krävs nu samtycke.
- Be om samtycke till pixlar som ett eget val i formuläret där adressen samlas in, och lägg en länk för att återkalla samtycket i varje sidfot.
- Spårade länkar prövas på samma sätt mot artikel 82, utifrån syftet.

## Var regeln kommer ifrån

Artikel 5.3 i ePrivacy-direktivet ([konsoliderad version](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:02002L0058-20091219)) tillåter att information läses från eller lagras på en användares enhet ”bara” om användaren ”har gett sitt samtycke”, utom när åtkomsten behövs för att överföra en kommunikation eller är ”strikt nödvändig” för en tjänst som användaren uttryckligen har begärt. Frankrike har införlivat bestämmelsen i [artikel 82 i loi Informatique et Libertés](https://www.cnil.fr/fr/le-cadre-national/la-loi-informatique-et-libertes#article82), som också ligger till grund för CNIL:s ärenden om cookies.

Europeiska dataskyddsstyrelsen (EDPB) slog redan i sina [riktlinjer 2/2023](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22023-technical-scope-art-53-eprivacy-directive_en) (version 2.0, antagna den 7 oktober 2024) fast att spårningsinformation i URL:er eller bilder ”utgör en instruktion till terminalutrustningen att skicka tillbaka den avsedda informationen”. Det som händer därefter styrs av GDPR, bland annat kravet på att kunna visa samtycke enligt artikel 7.1.

| Datum | Vad som hände |
|---|---|
| 12 juni–24 juli 2025 | [Offentligt samråd](https://www.cnil.fr/fr/consultation-publique-projet-recommandation-pixels-de-suivi) om utkastet |
| 12 mars 2026 | CNIL antar beslut nr 2026-042 |
| 14 apr. 2026 | [Publiceras](https://www.cnil.fr/fr/recommandation-pixel-suivi-courriels) i Journal Officiel. Gäller direkt för nya adresser |
| 28 maj och 4 juni 2026 | Webbinarier för avsändare och e-postleverantörer |
| 14 juli 2026 | Perioden för att informera befintliga kontakter löper ut |
| 22 juli 2026 | [FAQ:n publiceras](https://www.cnil.fr/fr/faq-recommandation-pixels-courriers-electroniques) |

[Utkastet från juni 2025](https://www.cnil.fr/sites/default/files/2025-06/projet_de_recommandation_pixels_de_suivi.pdf) undantog bara en övergripande öppningsfrekvens och rekommenderade identiska pixlar för alla mottagare. Den slutliga texten är mildare och undantar individuell mätning av leveransbarhet på strikta villkor.

## Vad som omfattas

Rekommendationen beskriver en spårningspixel som en extern bild vars URL ”oftast har individanpassade inställningar som rör användaren eller sammanhanget”. När bilden läses in skickas pixelns id, IP-adressen och liknande data till den som har placerat den. Det är det som artikel 82 reglerar.

- **Alla mejl**, även till kunder, potentiella kunder och dina egna anställda på deras jobbadresser (fråga 3 i FAQ:n).
- **Alla avsändare** vars pixlar spårar personer i Frankrike, oavsett om avsändaren finns i EU eller inte (fråga 2 i FAQ:n). Mekanismen med en enda kontaktpunkt (one-stop-shop) gäller inte vid kontroller enligt artikel 82.
- **Alla parter.** Avsändaren är personuppgiftsansvarig. ESP:n är normalt personuppgiftsbiträde, eller gemensamt personuppgiftsansvarig om den använder pixeldata för egna syften och avtalet säger det.

Säkra meddelandecenter av den typ som banker använder bygger på andra protokoll och omfattas inte.

## Vilka användningar av pixlar som kräver samtycke

Avsnitt 3.1 räknar upp fyra:

1. ”Analys av mejlens öppningsfrekvens för att mäta och optimera kampanjernas resultat genom att skräddarsy meddelandenas innehåll eller genom att anpassa utskicksfrekvensen eller kommunikationskanalen.” Det omfattar även att filtrera bort annonsbedrägerier från mätningen.
2. ”Att skapa profiler av mottagarna” för att rikta sig till dem på webbplatser, i appar eller i andra kanaler.
3. ”Upptäckt och analys av misstänkta bedrägerier, till exempel identifiering av ovanliga eller massiva öppningar av mejl.”
4. Individuell mätning av öppningar för leveransbarhet som inte faller under undantaget i avsnitt 3.2.

Punkt 1 är den stora. Utskickstider som bygger på öppningar, segment av typen ”har öppnat de senaste 30 dagarna” och förgreningar i automatiseringar som styrs av öppningar kräver alla samtycke.

Att du har rätt att skicka mejlet avgör inte saken. Enligt avsnitt 4.2 kan samtycke till pixlar ”vara nödvändigt för mejl som i princip inte kräver mottagarnas samtycke”, och som exempel nämns orderbekräftelser, marknadsföring med stöd av soft opt-in, insamlingsutskick från välgörenhetsorganisationer och B2B-prospektering.

## De två undantagen

![En beslutstabell som visar vilka användningar av spårningspixlar i mejl som kräver samtycke enligt CNIL:s rekommendation, efter typ av mejl och syfte.](/images/blog/cnil-tracking-pixel-rules-email-decision-table.png)

*Vad som kräver samtycke, efter typ av mejl och pixelns syfte, enligt CNIL:s rekommendation och FAQ:n från juli 2026.*

### Säkerhet vid autentisering

En pixel som bara används för att säkra en autentisering kan vara undantagen, till exempel för att kontrollera att ett mejl med en inloggningskod öppnades på användarens kända enhet. Enligt fråga 13 i FAQ:n ingår lösenordsåterställningar. Allmänt bedrägeriskydd, botdetektering och skydd av annonsutrymme omfattas inte.

### Leveransbarhet

Det är det här undantaget som de flesta avsändare kommer att luta sig mot. Alla fyra villkor måste vara uppfyllda.

1. **Personen har bett om mejlet eller den underliggande tjänsten.** Rekommendationen räknar upp välkomstmejl, kontoaviseringar, fraktaviseringar, orderbekräftelser, fakturor, lösenordsåterställningar, svar från supporten, påminnelser om bokade tider, betalningsaviseringar och meddelanden om personuppgiftsincidenter. En orderbekräftelse med erbjudanden räknas inte längre (fråga 16 i FAQ:n).
2. **Datan används bara för att rensa listan,** begränsat till det som behövs ”för att anpassa frekvensen eller stoppa utskicket av mejl till så kallade ’inaktiva’ mottagare”. Att byta kanal och att kunna visa att ett lagstadgat meddelande har levererats är också tillåtet.
3. **Du sparar bara datumet för den senaste öppningen.** I princip ”endast datumet (på dagen och utan att tidpunkten registreras) för den senast kända öppningen”, som skrivs över vid varje öppning. Enligt fråga 7 i FAQ:n faller undantaget om du samlar in IP-adress eller användaragent, även om uppgifterna anonymiseras kort därefter.
4. **Du agerar på datan.** Enligt fråga 8 i FAQ:n förväntas avsändare stoppa, glesa ut eller byta kanal för mottagare som inte öppnar, och dokumentera det, till exempel andelen kontakter som har tagits bort på grund av inaktivitet.

Ett nyhetsbrev som någon har anmält sig till räknas som begärt, så dess leveransbarhetspixel kan vara undantagen. Marknadsföring som skickas med stöd av undantaget för soft opt-in i artikel L34-5 i den franska lagen om post och elektronisk kommunikation ([CNIL:s guide](https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-electronique)) räknas inte som begärd, så dess pixel kräver samtycke (frågorna 15 och 17 i FAQ:n). Mejl om övergivna varukorgar är säljande och kräver också samtycke.

### Aggregerade öppningsfrekvenser

Enligt fråga 18 i FAQ:n försvinner inte kravet på samtycke bara för att du enbart samlar in aggregerad data, eftersom artikel 82 gäller ”oavsett om uppgifterna är personuppgifter eller inte”. Enligt fråga 6 kan data som har samlats in lagligt, från en undantagen pixel eller en pixel med samtycke, anonymiseras till en öppningsfrekvens för kampanjen utan ytterligare samtycke.

En undantagen pixel ger dig alltså fortfarande en öppningsfrekvens för kampanjen, men inte öppningstider, enhetsdata eller segment. En och samma pixel får användas både för undantagna syften och för syften med samtycke (fråga 10), men den får inte ligga och vänta på ett samtycke.

## Så måste samtycket samlas in

**Fråga i formuläret där adressen samlas in,** med en kort etikett för syftet, en kort beskrivning och en länk till mer information. Visa vilken adress det gäller och att spårningen omfattar alla enheter.

**Utgå från CNIL:s formulering.** Exemplet för kampanjmätning (vår översättning): ”[Avsändare] och [tredje parter] använder spårare (spårningspixlar) för att veta om du öppnar mejl, när du gör det och uppgifter om den enhet du använder, för att personanpassa meddelandenas innehåll och anpassa utskicksfrekvensen eller den kanal som används.”

**Fråga per syfte.** ”Godkänn alla” går bra om en andra vy erbjuder varje syfte för sig. Syften som hänger nära ihop, till exempel ett nyhetsbrev som marknadsförs som personligt anpassat, kan dela ett samtycke.

**Fråga i efterhand bara i ett mejl utan pixel som kräver samtycke,** med en länk till en sida som kräver en aktiv handling, så att e-postklienter som hämtar innehåll i förväg inte kan ge samtycke. Tystnad betyder nej, det ska vara lika enkelt att tacka nej som att tacka ja, och att vänta 6 månader innan du frågar igen är, med CNIL:s ord, god praxis.

**Lägg möjligheten att återkalla samtycket i varje sidfot,** som en länk per mottagare där ingen adress behöver skrivas in. En gemensam sida för pixlar och avregistrering går bra om den inte lägger till några steg. Ignorera därefter träffar från gamla pixlar och radera data vars enda rättsliga grund var samtycket.

**Spara bevis per person.** Registrera varje samtycke och hur du fick det. En avtalsklausul som säger att en partner har samlat in samtycket är inget bevis.

## Övergångsperioden fram till den 14 juli

Adresser som har samlats in sedan den 14 april 2026 omfattas fullt ut av reglerna. För äldre adresser fick pixlarna vara kvar om avsändarna informerade mottagarna och lät dem invända inom 3 månader, senast den 14 juli 2026. Fråga 25 i FAQ:n tillåter en ”rimlig” förlängning bara för avsändare med stora volymer som har dokumenterat att utskicken behövde spridas ut över tid. Enligt presentationsbilderna från webbinarierna räcker ett separat mejl med bevis på att det har skickats, eller ett tydligt synligt meddelande i ett vanligt mejl.

- **Informationen skickad, ingen invändning.** Du kan förlita dig på det tills förutsättningarna ändras. Om du ändå behöver ett nytt samtycke, till exempel för nya partner, samla då in samtycke till pixlar samtidigt (fråga 27 i FAQ:n).
- **Informationen skickad, personen invände.** Sluta lägga in pixlar i mejlen till personen. Enligt presentationsbilderna får data som samlades in före publiceringen ligga kvar.
- **Ingen information skickad.** Enligt fråga 26 i FAQ:n krävs nu samtycke. Utan samtycke ska du sluta använda de pixlarna.

## Risken för tillsyn och sanktioner

Rekommendationen säger att CNIL ”tar emot ett ökande antal anmälningar och klagomål” om pixlar, och myndigheten planerar att kontrollera det vid kommande inspektioner. Pixlar finns inte med bland [de prioriterade områdena för 2026](https://www.cnil.fr/fr/controles-prioritaires-2026), men det är en klen tröst. Av de flera hundra inspektioner som CNIL gör varje år, efter klagomål, anmälningar, tidigare korrigerande åtgärder eller aktuella händelser i medierna, gäller bara omkring 20 % de prioriterade områdena.

Artikel 20 i den franska lagen begränsar böterna till 10 miljoner euro eller 2 % av den globala årsomsättningen, beroende på vilket belopp som är högst, eller till 20 miljoner euro eller 4 % för vissa överträdelser av GDPR. Den 1 september 2025 [bötfällde CNIL Google med 325 miljoner euro](https://www.cnil.fr/fr/publicites-inserees-entre-les-courriels-et-cookies-la-cnil-sanctionne-google-dune-amende-de-325) för annonser mellan meddelandena i Gmail och för samtycket till cookies när konton skapades. I november 2025 [bötfälldes American Express med 1,5 miljoner euro](https://www.cnil.fr/en/cookies-american-express-fined-eu15-million-cnil), delvis för att företaget ”fortsatte att läsa tidigare placerade cookies trots att samtycket hade återkallats”. En gammal pixel som fortsätter att registrera öppningar efter att samtycket har återkallats är samma överträdelse. Enklare ärenden går via ett [förenklat förfarande](https://www.cnil.fr/fr/la-procedure-de-sanction-simplifiee) med ett tak på 20 000 euro, eller 100 000 euro för företag med en omsättning över 50 miljoner euro.

## Det här bör du ändra

Om du mejlar personer i Frankrike skulle vi göra så här, i den här ordningen:

1. **Lista pixlarna per typ av mejl** (transaktionsmejl, nyhetsbrev som mottagaren har anmält sig till, soft opt-in, B2B-prospektering, påminnelser om övergivna varukorgar, återvinning), även annons-, enkät- och analyspixlar.
2. **Placera varje användning i beslutstabellen.** Öppningar som matar segment, modeller för utskickstid eller rapporter kräver samtycke.
3. **Lägg till en tom kryssruta för samtycke till pixlar i varje formulär där adresser samlas in,** och spara svaret, tidsstämpeln, formulärets version och den exakta formuleringen.
4. **Spara samtycket till pixlar i ett eget kontaktfält,** separat från prenumerationsstatusen.
5. **Ta bort pixeln för kontakter utan samtycke.** Om det inte går, använd en leveransbarhetsspårning som uppfyller villkoren för undantaget, eller stäng av spårningen av öppningar för den målgruppen.
6. **Mät med data som du får använda.** Datum för senaste öppning som samlas in enligt undantaget kan styra regler för utfasning. Bedöm resultaten utifrån konverteringar, intäkter, svar och avregistreringar ([mått som håller](/sv/blog/email-metrics-that-matter)).
7. **Lägg till länken för att återkalla samtycket i sidfoten,** och se till att gamla pixlar slutar registrera när samtycket har återkallats.

### Klick

Spårade länkar omfattas ”inte direkt”, men enligt fråga 1 i FAQ:n måste de också uppfylla artikel 82. Klick är ändå bättre data, eftersom Apples [Mail Privacy Protection](https://support.apple.com/guide/iphone/use-mail-privacy-protection-iphf084865c7/ios) redan ”hindrar avsändare från att se om du har öppnat e-postmeddelandet”. EDPB tillämpar artikel 5.3 på spårningslänkar, och enligt CNIL:s presentationsbilder beror samtycket ”på syftet och inte på tekniken”. Vår tolkning, inte CNIL:s, är att en spårad länk per mottagare som används för att optimera kampanjer behandlas som en pixel. Gemensamma UTM-taggar identifierar ingen, och konverteringar på webbplatsen omfattas av webbplatsens samtycke till cookies.

## Så fungerar det i Brew i dag

Brew mäter öppningar med en pixel på 1 × 1 och klick med länkar som är märkta per mottagare ([dokumentationen om mått](https://docs.brew.new/analytics/key-metrics-and-terms)).

- **Samtycket sparas på kontakten.** Varje kontakt kan ha en post om samtycke till marknadsföring med källa, tidpunkt för insamlingen, policyversion och bevis. Lägg till ett kontaktfält `pixelConsent` vid registreringen och [filtrera målgrupper på det](https://docs.brew.new/audience/create-audiences).
- **Gamla pixlar tas bort vid import.** Brew oskadliggör den tidigare plattformens öppningspixlar i importerad HTML.
- **Det räcker med ett klick för att återkalla samtycket.** Varje marknadsföringsmejl har en signerad avregistreringslänk som är unik för varje mottagare.
- **Intelligent Send väljer vilken timme varje person får mejlet** utifrån de senaste öppningarna och klicken ([så fungerar det](https://docs.brew.new/create-emails/send-options#intelligent-send)). Det är optimering enligt avsnitt 3.1, så använd det bara för kontakter som har gett sitt samtycke.
- **Spårningen är på för varje utskick.** Det finns ännu inget reglage för pixeln per utskick, per kontakt eller per domän, så filtrera tills vidare bort mottagare i Frankrike som inte har gett samtycke till pixlar från de utskicken, och hör av dig till oss om du behöver reglaget.

Vår [State of Email för september](/sv/blog/state-of-email-september-2026) har en kortare sammanfattning av FAQ:n.

## Vanliga frågor

### Behöver jag samtycke för att spåra öppningar av mejl i Frankrike?

För de flesta användningar inom marknadsföring, ja. Bara pixlar för säkerhet vid autentisering och strikt begränsade leveransbarhetspixlar i mejl som mottagaren har bett om är undantagna.

### Gäller CNIL:s regel om pixlar företag utanför Frankrike?

Ja, om du spårar personer i Frankrike, oavsett om ditt företag finns någon annanstans i EU eller utanför EU. Mekanismen med en enda kontaktpunkt gäller inte vid kontroller enligt artikel 82.

### Är transaktionsmejl undantagna från kravet på samtycke till pixlar?

Bara för leveransbarhet, där pixeln enbart sparar datumet för den senaste öppningen för att stoppa eller glesa ut utskick till inaktiva mottagare. Analys eller personalisering kräver samtycke, och om du lägger till erbjudanden förlorar du undantaget.

### Kan jag rapportera en aggregerad öppningsfrekvens utan samtycke?

Ja, om datan kommer från en undantagen pixel eller en pixel med samtycke och du anonymiserar den effektivt. Att bara samla in aggregerade värden tar inte bort kravet på samtycke, eftersom artikel 82 även omfattar data som inte är personuppgifter.

### Omfattas klickspårning av CNIL:s rekommendation?

Inte direkt. Enligt CNIL omfattas spårade länkar ändå av artikel 82 och bedöms utifrån syftet. Rekommendationen behandlar en unik länk i sidfoten för att återkalla samtycket som en undantagen säkerhetsåtgärd.