Los tracking pixels llevan años siendo una herramienta habitual del email marketing, pero ¿sabías que ese pequeño rectángulo invisible que se carga cada vez que alguien abre tu newsletter también está sujeto a la normativa de protección de datos? Por eso mismo, la autoridad francesa de protección de datos (CNIL) publicó hace unas semanas unas recomendaciones que aclarna, con mucho detalle, cuándo su uso requiere consentimiento y cuándo no. Y aunque se trata de un organismo francés, sus criterios se basan en las Directrices 2/2023 del Comité Europeo de Protección de Datos (EDPB), por lo que son perfectamente extrapolables al marco español y, por tanto, a empresas y entidades que operan en España.
Si tu empresa envía newsletters, comunicaciones comerciales o emails transaccionales, quédate a leer, porque este artículo te interesa.
¿Qué es exactamente un tracking pixel?
Un tracking pixel es una imagen diminuta, normalmente invisible, alojada en un servidor remoto y no en el propio correo. Cuando el destinatario abre el email, su cliente de correo hace una petición a ese servidor para cargar la imagen, y en ese momento se transmite información como la dirección IP, el dispositivo utilizado o la hora exacta de apertura. Esa petición constituye, técnicamente, una operación de lectura en el terminal del usuario, lo que activa la aplicación del artículo 5.3 de la Directiva ePrivacy (en España, el artículo 22 de la LSSI y las normativa de protección de datos).
Cuándo los tracking pixels necesitan consentimiento
La CNIL distingue con claridad los usos que requieren el consentimiento previo, libre, específico e informado del destinatario:
- Medir la tasa de apertura para optimizar campañas o personalizar contenidos.
- Crear perfiles de destinatarios según sus intereses, para usarlos fuera del propio email (webs, apps, otros canales).
- Detectar fraude mediante patrones de apertura sospechosos.
- Medir individualmente la apertura para fines de “deliverability” (entregabilidad), cuando no encaja en las excepciones que veremos a continuación.
Cuándo se puede prescindir del consentimiento
No todo tracking pixel necesita luz verde previa. La CNIL admite dos excepciones, siempre que el uso sea estrictamente necesario:
- Medidas de seguridad, como confirmar que un email con un código de autenticación se ha abierto en el dispositivo del usuario legítimo.
- Gestión de la entregabilidad de listas de correo, limitada a lo estrictamente necesario para depurar direcciones inactivas, y solo respecto de emails solicitados por el destinatario (por ejemplo, los emails transaccionales: confirmaciones de pedido, facturas, recordatorios de citas, avisos de envío, etc.).
En ambos casos, el principio de minimización obliga a conservar únicamente la fecha del último acceso, sin hora, y sobrescribiéndola en cada nueva apertura.
Buenas prácticas para recoger el consentimiento
La recomendación de la CNIL insiste en varios puntos prácticos que conviene revisar cuanto antes, si haces uso de tracking pixels:
- Informar del uso de tracking pixels en el momento en que se recoge la dirección de email, con un título breve por finalidad y una descripción accesible.
- Si eso no es posible, solicitar el consentimiento después mediante un enlace propio (no cargado automáticamente por el cliente de correo) que redirija a una página donde el usuario deba realizar una acción positiva.
- Ofrecer el rechazo con la misma facilidad que la aceptación, y no volver a preguntar antes de 6 meses tras una negativa.
- Evitar el “acoplamiento de finalidades”: pedir consentimientos separados para cada finalidad distinta, salvo excepciones concretas como la prospección comercial vinculada a personalización.
- Permitir la retirada del consentimiento mediante un enlace de baja en el pie de cada email, sin pasos adicionales.
Qué deben hacer las empresas ahora
La CNIL concede un plazo, en principio no superior a tres meses desde la publicación de la recomendación, para informar a los destinatarios cuyas direcciones ya estaban en base de datos y ofrecerles la posibilidad de oponerse. A partir de ahí, cualquier nuevo tratamiento de datos derivado del pixel deberá ajustarse a estos criterios desde el diseño.
En definitiva, los tracking pixels no desaparecen, pero sí exigen una revisión de los formularios de captación, las políticas de cookies y trackers, y los contratos con proveedores de emailing, para repartir con claridad las responsabilidades entre responsable y encargado del tratamiento. Y, como te decíamos al inicio del artículo, que sea una publicación de la autoridad de control francesa y no de la española, no le quita peso ni quiere decir que no debamos tenerla en cuenta: en Europa, en el marco de la privacidad, todos remamos en el mismo sentido y las posturas de diferentes Estados suelen ir a la par.
Si al leernos te has dado cuenta de que quizás necesitas revisar cómo están configurados los pixels en tus campañas de email marketing o adaptar tus procedimientos, políticas y demás a estos criterios, en Dataseg podemos ayudarte.
Te dejamos por aquí el enlace a la recomendación completa de la CNIL, por si quieres echarle un ojo al texto íntegro.