Análisis de la FAQ de la CNIL sobre píxeles en correos electrónicos: enlaces no directamente incluidos

El mapa de clics en una plataforma de correo electrónico parece inofensivo hasta que un regulador pregunta qué reveló exactamente el clic sobre una persona. Abierto, clicado, navegado, puntuado, añadido a un segmento y luego reorientado: así es como un hábito de medición de un píxel se convierte en un perfil. La FAQ de la CNIL del 22 juillet 2026 cae en esa zona de cumplimiento conocida: los enlaces de seguimiento están Non, pas directement cubiertos por la recomendación sobre píxeles de correo electrónico, pero la respuesta es más estrecha de lo que preferirían los paneles de crecimiento. Eso importa porque la pregunta práctica no es si un enlace tiene forma de píxel. Es si la pila de analítica de correo electrónico lee o escribe información, identifica a un destinatario y luego usa el evento para entregabilidad, medición de audiencia, personalización o algo más ambicioso. A la ley rara vez le impresionan las etiquetas de la interfaz de usuario.

Qué cubre realmente la recomendación

La propia Recomendación de la CNIL sobre píxeles de seguimiento en correos electrónicos plantea el problema en torno a píxeles invisibles insertados en correos electrónicos, que, según dice, se usan para la entregabilidad, la medición de audiencia y la personalización. La CNIL también señala que el correo electrónico es un espacio personal para consultar contenido privado, accesible tras autenticación, que es una forma educada de decir que la bandeja de entrada no es una valla publicitaria pública.

La Recomendación remite a las Directrices 2/2023 del Comité Europeo de Protección de Datos sobre el alcance técnico del artículo 5(3) de la Directiva ePrivacy, transpuesto al artículo 82 de la Ley francesa de Protección de Datos. Para los equipos de producto, el artículo 82 no es un eslogan. Significa que el equipo debe saber cuándo su instrumentación de correo electrónico lee desde el terminal de un usuario o escribe en él, qué finalidad cumple esa operación y si el evento resultante se vincula de nuevo a una persona identificable.

Un píxel usado solo para probar la entregabilidad no es la misma función de producto que un píxel que alimenta una puntuación de interés individual. Si esos dos usos comparten la misma tabla de eventos, tu problema de documentación ya se ve desde el pasillo.

La respuesta sobre enlaces es estrecha, no permisiva

La respuesta de la FAQ de la CNIL sobre enlaces de seguimiento resulta contraintuitiva porque dice que la recomendación sobre píxeles no los cubre directamente. Esa es la parte de Non, pas directement, y tiene un peso real. Un enlace rastreado no es una imagen invisible cargada en un correo electrónico, así que el objeto de la Recomendación no es automáticamente el mismo objeto.

Pero la FAQ también remite a los equipos a los mismos principios para evaluar el cumplimiento, que es la parte que probablemente sobreviva a la primera reunión de ventas entusiasta. Si una redirección de enlace registra el destinatario, la campaña, la marca de tiempo, la información del dispositivo y el comportamiento posterior, el producto aun así ha creado una huella analítica alrededor de la interacción con el correo electrónico.

La implementación más limpia consiste en separar el enrutamiento de enlaces necesario para las operaciones básicas de correo electrónico del seguimiento de enlaces usado para medición, puntuación o personalización. Los contratos con proveedores deben exigir controles a nivel de finalidad, campos de evento claros, ajustes de conservación y una forma de respetar el estado del destinatario del que depende tu base jurídica.

Francia no es Italia, y ese

es el punto El análisis comparativo de Lewis Silkin sobre la CNIL y el Garante de Italia es útil porque distingue el carácter jurídico del riesgo práctico. Según Lewis Silkin, las Directrices del Garante tienen fuerza regulatoria e imponen un plazo de cumplimiento obligatorio, mientras que la Recomendación de la CNIL no es expresamente ni normativa ni exhaustiva. El mismo análisis dice que la CNIL ha señalado que habrá actividad de control, con un periodo transitorio previsto mientras la CNIL ofrece orientación a las partes interesadas profesionales, incluidos seminarios web.

Mailjet también describe que Francia e Italia han publicado nuevas recomendaciones para correos electrónicos enviados desde y hacia personas que viven en esos países, tras consultas públicas. Ese es el dolor de cabeza operativo. Un único producto de correo electrónico puede necesitar admitir múltiples posiciones nacionales sin fingir que una lista de contactos de toda la UE tiene una única regla uniforme de analítica. Si tu modelo de datos no puede desactivar la analítica individual de aperturas o clics por geografía y finalidad, el equipo de políticas terminará descubriendo que la arquitectura del producto ha estado votando sin contar con él.

Qué deberían cambiar ahora los equipos de analítica

de correo electrónico Inside Privacy informó de que la CNIL publicó su Recomendación el 14 de abril de 2026, lo que da a los equipos un documento concreto contra el que mapear sus propios sistemas. Empieza por el inventario de eventos, no por el texto del banner de consentimiento. Para cada evento de correo electrónico, identifica si procede de la carga de un píxel, de una redirección de enlace o de otro mecanismo, y luego registra la finalidad, los campos almacenados, el periodo de conservación y si el evento se usa a nivel individual o agregado.

La decisión de producto que sigue suele ser menos dramática que el memorando interno. Convierte las funciones de seguimiento en interruptores basados en finalidades, evita agrupar los diagnósticos de entregabilidad con la analítica de personalización y haz que los informes agregados sean realmente agregados, no una fina capa sobre registros a nivel de usuario.

Si la respuesta del proveedor es “agradecemos la claridad de los reguladores”, pide el diagrama de flujo de datos, la pantalla de configuración y el comportamiento de eliminación. Puede que sus abogados estén entrando en pánico, pero tu tren de lanzamientos aún necesita tickets.

Lo siguiente a observar no es un eslogan sobre analítica respetuosa con la privacidad. Es si la orientación prometida por la CNIL a las partes interesadas y su actividad posterior de control tratarán el seguimiento de enlaces como un primo cercano de los píxeles en la práctica. Los equipos de correo electrónico que diseñen ahora con separación por finalidad tendrán menos refactorización que hacer cuando el regulador deje de explicar y empiece a pedir registros.