El 12 de marzo de 2026, la Commission Nationale de l’Informatique et des Libertés adoptó la Délibération n.º 2026-042, publicada en el Journal officiel francés el 14 de abril. Dos días después, el 17 de abril, el Garante per la protezione dei dati personali italiano adoptaba el Provvedimento n.º 284, que el 29 de abril aparecía en la Gazzetta Ufficiale, Serie Generale n.º 98. Dos autoridades de control, en la misma semana y con la misma base jurídica, han publicado los primeros textos monográficos europeos sobre el uso de píxeles de seguimiento en el correo electrónico.

La coincidencia no es casual. Responde a un proceso regulatorio que lleva años gestándose en silencio. Los píxeles de seguimiento —imágenes de un píxel por un píxel, alojadas en servidores remotos e invisibles para el destinatario— son una técnica de rastreo que existe desde los años noventa del siglo pasado y que, sin embargo, había permanecido en una zona de relativa indeterminación práctica pese a que el fundamento jurídico aplicable lleva vigente desde la transposición de la Directiva ePrivacy de 2002. Lo que ha cambiado en los últimos años es la escala. Las plataformas de email marketing, los sistemas CRM y las herramientas de automatización han convertido el seguimiento mediante píxeles en una funcionalidad estándar, activada por defecto en la práctica totalidad de las campañas, newsletters y comunicaciones transaccionales. La CNIL lo reconoce expresamente: actúa, en parte, ante el aumento del número de denuncias recibidas. El Garante italiano, más explícito aún, precedió su texto por inspecciones concretas realizadas en octubre de 2025 y en febrero de 2026 a un proveedor de servicios de correo electrónico y a una plataforma de marketing automation, cuyos resultados confirmaron que los píxeles están presentes en la práctica totalidad de las comunicaciones, sin distinción de finalidad ni de tipo de destinatario.

La base normativa común: el artículo 5(3) de la Directiva ePrivacy y las Directrices 2/2023 del CEPD

El punto de partida es europeo y, por tanto, común a los tres países. El artículo 5(3) de la Directiva 2002/58/CE —la llamada Directiva ePrivacy— establece que el almacenamiento de información o la obtención de acceso a información ya almacenada en el equipo terminal de un abonado o usuario solo está permitido a condición de que se le haya facilitado información clara y completa y de que haya dado su consentimiento. El precepto es tecnológicamente neutro: habla de «almacenamiento» y «acceso», no de cookies. Que los píxeles de seguimiento en el correo electrónico quedan dentro de su ámbito de aplicación es una posición consolidada, aunque no exenta de debate técnico.

El Comité Europeo de Protección de Datos (CEPD) zanjó formalmente esa cuestión el 7 de octubre de 2024, al adoptar la versión definitiva de las Directrices 2/2023 sobre el ámbito técnico de aplicación del artículo 5(3) de la Directiva ePrivacy. Esas directrices incluyen, entre los casos de uso cubiertos, el pixel tracking y el URL tracking, y aclaran que la norma aplica cuando el dispositivo terminal envía información a un servidor externo como consecuencia de instrucciones incorporadas al contenido —en este caso, al cuerpo del correo electrónico—. La lógica es esta: al abrirse el mensaje, el cliente de correo envía una petición HTTP al servidor donde está alojado el píxel; esa petición lleva consigo metadatos del terminal —dirección IP, agente de usuario, hora, en algunos casos, geolocalización aproximada— que son recibidos por el emisor o por sus socios tecnológicos. Hay una instrucción que parte del contenido enviado y provoca la transmisión de información desde el dispositivo del destinatario. Eso basta para activar el artículo 5(3).

La calificación técnica presenta alguna arista doctrinal que merece señalarse. En sentido estricto, el píxel no «almacena» nada en el terminal: su funcionamiento se apoya en la caché del cliente de correo, que retiene temporalmente la imagen descargada. El CEPD ha resuelto esa tensión adoptando una lectura amplia: la presencia de información en la memoria RAM durante la ejecución es suficiente para activar la norma, independientemente de que el almacenamiento sea permanente o transitorio. Tanto la CNIL como el Garante asumen esta lectura, aunque el primero la enuncia con mayor cautela («técnicamente, el servidor recibe metadatos, no información almacenada en sentido clásico», reconoce el análisis de Nomos París sobre la deliberación), y el segundo la presenta como axioma sin problematizarla.

La Recommandation n.º 2026-042 de la CNIL: el consentimiento como regla, la délivrabilité como excepción principal

La CNIL articuló su texto tras dos fases distintas: una concertación previa con asociaciones profesionales y organizaciones de la sociedad civil, seguida de una consulta pública que estuvo abierta entre el 12 de junio y el 24 de julio de 2025. El resultado fue una recomendación —no vinculante como tal, pero con efecto orientador sobre la actuación inspectora— que se enmarca en el artículo 82 de la Loi Informatique et Libertés, precepto que transpone el artículo 5(3) ePrivacy al Derecho francés.

La regla general establecida por la CNIL es clara: la inserción de un píxel de seguimiento en un correo electrónico exige el consentimiento previo del destinatario. Ese consentimiento debe ser libre, específico, informado e inequívoco. La recomendación identifica dos excepciones taxativas. La primera cubre la medición individual de la entregabilidad (délivrabilité) de mensajes vinculados a un servicio solicitado por el destinatario: se puede utilizar un píxel para detectar direcciones inactivas y suprimirlas de las listas de envío, sin consentimiento, siempre que los datos recopilados no se reutilicen para ninguna otra finalidad —personalización, medición de audiencia, perfilado— y que solo se conserve la fecha de la última apertura, sin hora. La segunda excepción abarca los correos electrónicos transaccionales o de autenticación estrictamente necesarios: confirmaciones de pedido, alertas de cuenta, restablecimiento de contraseña.

Uno de los efectos más inmediatos del texto —y el que más tensión ha generado en el sector— es su impacto en el régimen de opt-out B2B. En Francia, como en España, el correo electrónico comercial dirigido a personas jurídicas o a contactos profesionales puede enviarse sin consentimiento previo bajo determinadas condiciones. Pero la CNIL precisa que ese régimen no se extiende al píxel incrustado en el correo. Un email comercial B2B que contenga un píxel de seguimiento puede enviarse sin consentimiento para el envío en sí; no puede hacerlo respecto del pixel, que requiere consentimiento separado. La división entre la comunicación y el mecanismo de rastreo incrustado en ella es conceptualmente coherente, pero operativamente exigente.

Respecto al momento y al mecanismo de recogida del consentimiento, la CNIL recomienda hacerlo simultáneamente a la recogida de la dirección de correo electrónico, incluyendo información clara sobre los píxeles en el propio formulario de suscripción. Cuando esa simultaneidad no sea posible —por ejemplo, si la dirección fue obtenida por un tercero sin prueba de consentimiento para el seguimiento— el emisor debe obtener el consentimiento antes del primer envío que contenga un píxel. El texto advierte, además, que el uso de plataformas de gestión del consentimiento (CMP) para capturar ese consentimiento requiere «atención particular»: el usuario presta su consentimiento en un entorno —web o aplicación— cuyos efectos se proyectan en otro —su bandeja de entrada— y el diseño del mecanismo debe hacerlo comprensible sin generar confusión entre traceurs web y píxeles en email.

Para la retirada del consentimiento, la CNIL recomienda incluir un enlace dedicado en el pie de cada correo, que permita al destinatario retirar su consentimiento sin fricción adicional y sin necesidad de introducir de nuevo su dirección. Las operaciones de seguimiento deben cesar para los envíos futuros, y el emisor debe contemplar medidas para neutralizar los píxeles ya insertados en mensajes anteriores que el destinatario no haya abierto aún. El período de transición es de tres meses desde la publicación de la recomendación, es decir, hasta el 14 de julio de 2026, para informar a los contactos existentes sobre el uso de píxeles y permitirles oponerse. La CNIL ha anunciado inspecciones a partir de esa fecha.

El Provvedimento n.º 284 del Garante: granularidad, privacy by design e inspecciones previas

El enfoque del Garante italiano comparte la misma premisa —consentimiento como regla general—, pero presenta varias particularidades que lo distinguen del modelo francés. La más reseñable, en términos procedimentales, es que el texto no surge de una consulta pública ad hoc, sino de una actividad inspectora concreta. El Garante realizó inspecciones conoscitivas en octubre de 2025 y febrero de 2026 ante dos operadores específicos, cuyos resultados revelaron un uso prácticamente universal de píxeles de seguimiento en comunicaciones de toda naturaleza —newsletters, campañas promocionales, correos transaccionales, mensajes institucionales— sin distinción alguna por tipo de destinatario ni de cliente de correo. Esa constatación empírica previa otorga al texto italiano un carácter más reactivo a la práctica real del mercado.

La base jurídica aplicada por el Garante es el artículo 122 del Codice Privacy (decreto legislativo 196/2003), que transpone el artículo 5(3) de la Directiva ePrivacy al Derecho italiano, en combinación con los principios generales del RGPD —en particular los de lealtad, transparencia y minimización del artículo 5, párrafo 1, y los requisitos de privacy by design y by default del artículo 25. El Garante conecta la ausencia de transparencia sobre el uso de píxeles directamente con la vulneración del principio de correttezza del artículo 5, apartado 1, letra a) del RGPD: el seguimiento oculto es, antes que un problema de consentimiento, un problema de lealtad en el tratamiento.

Las excepciones al consentimiento definidas por el Garante son tres. La primera cubre la medición estadística agregada con anonimización: si el píxel sirve para calcular porcentajes globales de apertura sin posibilitar mediciones referidas a individuos concretos, y se adoptan medidas técnicas idóneas de anonimización, el consentimiento no es necesario. La segunda abarca los mensajes relacionados con procesos de autenticación o seguridad —confirmación de activación de cuenta, modificación de contraseña—, en los que el píxel permite verificar que el mensaje ha sido abierto en un terminal asociado al interesado. La tercera cubre las comunicaciones de obligado envío cuyo conocimiento efectivo por parte del destinatario resulta necesario: notificaciones de incidentes de seguridad, informativas sobre el tratamiento de datos, recordatorios de vencimientos y de obligaciones contractuales o contributivas.

La aportación más original del Provvedimento es la revocación granular del consentimiento. El Garante construye ese mecanismo como un derecho autónomo del interesado, distinto del derecho de baja en las comunicaciones. El usuario debe poder elegir entre tres opciones: continuar recibiendo comunicaciones con seguimiento mediante píxeles, continuar recibiéndolas sin seguimiento, o dejar de recibir las comunicaciones en su totalidad. Cada correo electrónico debe incluir —típicamente en el pie— un enlace que dirija a un área específica donde el interesado pueda ejercer esas opciones. El rechazo al seguimiento no puede comportar limitación alguna del servicio. Francia también exige el enlace en el pie y la efectividad del retiro, pero no desarrolla con el mismo grado de detalle la granularidad como derecho autónomo: en la recommandation francesa se habla de retrait du consentement; en las linee guida italianas se habla de revoca granulare como categoría propia.

En materia de privacy by design, el Garante hace una recomendación técnica de interés: para reducir el riesgo de identificabilidad, el emisor debería generar un identificador ininteligible y no secuencial para cada destinatario, y mantener la correspondencia entre ese identificador y la dirección de correo en una capa interna y separada de la plataforma utilizada. De ese modo, el conteo de los eventos de apertura se realiza mediante el identificador, sin que la dirección de correo electrónico quede expuesta en la petición técnica generada por la carga del píxel. Es un enfoque de pseudonimización estructural que no elimina el píxel, sino que reduce su impacto en cuanto a la exposición de datos personales en tránsito.

El período de adaptación concedido por el Garante es de seis meses desde la publicación en Gazzetta Ufficiale, es decir, hasta el 29 de octubre de 2026. Ese plazo es significativamente más amplio que el de tres meses concedido por la CNIL, lo que refleja tanto la mayor complejidad técnica de algunos de los requisitos italianos —especialmente la revocación granular— como el reconocimiento expreso del Garante de que los operadores necesitan tiempo para revisar sus infraestructuras.

Convergencias y divergencias entre los modelos francés e italiano

Los dos textos comparten el sustrato dogmático: consentimiento previo como regla, excepciones taxativas, obligación de información y un mecanismo de retiro accesible desde el pie del correo. En ambos casos, el periodo transitorio habilita a los emisores a continuar usando píxeles en bases existentes siempre que, dentro del plazo, informen a los destinatarios y les ofrezcan la posibilidad de oponerse. Las diferencias son de intensidad y granularidad, no de principio.

La divergencia más relevante es la revocación granular del modelo italiano. La CNIL exige un mecanismo de retiro del consentimiento efectivo y sin fricción; el Garante exige que dicho mecanismo articule tres opciones diferenciadas. Para los operadores que envíen comunicaciones a destinatarios en ambos países, eso se traduce en que el estándar de cumplimiento aplicable es el italiano. Las plataformas de email marketing que sirven mercados europeos habrán de construir un módulo de preferencias en el pie del correo que satisfaga la versión más exigente de ambos regímenes, y ese estándar, en este caso, lo fija Roma, no París.

El modelo francés, sin embargo, resulta más explícito en el tratamiento del régimen B2B y en las implicaciones para el uso de CMPs. La CNIL ha producido un texto más orientado a la práctica del email marketing —con ejemplos de cláusulas de información, modelos de recogida de consentimiento, consideraciones sobre los ESP (Email Service Providers) como encargados del tratamiento— mientras que el Garante ha optado por un enfoque más principialista que operativo, más próximo al de una guía regulatoria que al de un manual de cumplimiento.

Los plazos de transición también difieren: tres meses en Francia, seis en Italia. La consecuencia práctica es que las empresas que operen en ambos países están obligadas a informar a sus bases de contactos antes del 14 de julio de 2026, so pena de quedar en incumplimiento frente a la CNIL aunque el Garante no lo exija hasta octubre. La coordinación entre los equipos de compliance de organizaciones con presencia multinacional en Europa no es, en este contexto, opcional.

El caso español: el artículo 22.2 de la LSSI y la longevidad del Informe 0011/2014

El Derecho español ofrece una respuesta al problema de los píxeles de seguimiento en el correo electrónico. Lo que no tiene es un texto que la formule con la precisión y el detalle con que lo hacen ahora Francia e Italia. El artículo 22.2 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), transpone el artículo 5(3) de la Directiva ePrivacy al ordenamiento español en términos sustancialmente similares a los de sus homólogos francés e italiano. Los prestadores de servicios pueden utilizar «dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios», a condición de que estos hayan prestado su consentimiento tras haber sido informados con claridad sobre la utilización y los fines del tratamiento.

La AEPD se pronunció sobre la aplicación de ese precepto a los píxeles de seguimiento en el correo electrónico mediante el Informe 0011/2014 del Gabinete Jurídico. Ese informe parte de la premisa —no discutida por el consultante— de que el píxel constituye un dispositivo de almacenamiento y recuperación de datos a efectos del artículo 22.2 LSSI, y concluye que su uso en comunicaciones publicitarias o de prospección comercial requiere un consentimiento expreso, previo e informado mediante un sistema de opt-in activo. La Agencia rechaza expresamente que el consentimiento pueda obtenerse de forma tácita o implícita, y señala que debe obtenerse antes del primer envío que contenga el píxel. El informe remite, además, a la Guía sobre el uso de las cookies para los criterios de cumplimiento complementarios.

Ese es, en lo fundamental, el estado del arte regulatorio español en 2026. El Informe 0011/2014 sigue siendo el único pronunciamiento específico de la AEPD sobre píxeles en el correo electrónico. La Guía de Cookies, cuya versión más reciente es de julio de 2023, no contiene una sección dedicada al seguimiento en entornos de mensajería, aunque sus criterios generales —especialmente sobre el alcance del consentimiento, la información en capas y la prohibición de cookie walls— son extrapolables con matices.

El problema no es, por tanto, que en España el uso de píxeles de seguimiento sin consentimiento sea jurídicamente lícito. No lo es: el artículo 22.2 LSSI lo prohíbe y el Informe 0011/2014 lo confirma con suficiente claridad. El problema es que la regulación española carece de respuesta a las preguntas que la práctica plantea hoy y a las que los textos francés e italiano sí responden. ¿Qué finalidades quedan exentas del consentimiento? ¿Cómo debe articularse técnicamente el mecanismo de retiro en el entorno del correo electrónico? ¿Puede el consentimiento al pixel subsumirse en el consentimiento general al envío de comunicaciones comerciales? ¿Qué obligaciones tienen los Email Service Providers como encargados del tratamiento? ¿Qué medidas de privacy by design deben adoptar los emisores para minimizar la exposición de datos en las peticiones HTTP que genera el píxel? A ninguna de esas preguntas ofrece el marco español actual una respuesta explícita.

Lo que falta en el marco español y por qué importa

La ausencia de un texto específico tiene consecuencias prácticas que van más allá de la mera inseguridad jurídica. En primer lugar, crea una asimetría de facto entre los operadores establecidos en España y los establecidos en Francia e Italia. Las empresas francesas e italianas tienen ahora una hoja de ruta regulatoria clara —con excepciones tipificadas, plazos definidos y recomendaciones técnicas concretas— mientras que sus homólogas españolas operan con un marco que, aunque técnicamente vigente en lo esencial, resulta más opaco en sus condiciones de aplicación. Esa opacidad tiene un coste: el de la complejidad de asesoramiento para determinar si un uso concreto está o no amparado por una excepción que el Derecho español no ha formulado explícitamente.

En segundo lugar, la ausencia de un pronunciamiento actualizado sobre las excepciones al consentimiento resulta especialmente problemática. El Informe 0011/2014 se emitió antes de la adopción del RGPD, antes de las Directrices 2/2023 del CEPD y antes de que las plataformas de email marketing alcanzaran su configuración técnica actual. La pregunta de si la medición de la entregabilidad —supresión de inactivos— podría operar como excepción al amparo del artículo 22.2 LSSI no tiene en España una respuesta tan articulada como la que proporciona ahora la CNIL o la que esboza el Garante con su criterio de «medición estadística agregada con anonimización». La duda no es teórica: es la misma que resuelve expresamente el texto francés al reconocer «l’existence d’une exemption au consentement pour la mesure individuelle de la délivrabilité».

La tercera consecuencia afecta a la cadena de responsabilidad entre los emisores, el ESP y los proveedores de tecnología de seguimiento. Tanto la CNIL como el Garante dedican atención específica a identificar quién es responsable del tratamiento, quién es encargado y en qué circunstancias puede existir corresponsabilidad. El marco español general del RGPD es aplicable, pero sin el análisis específico del contexto de los píxeles en email que aportan los dos textos europeos, la tarea de trazar esa cadena de responsabilidad queda enteramente en manos de criterios generales cuya adecuación al caso concreto requiere un ejercicio de interpretación más elaborado.

Conviene precisar, por otra parte, que los textos francés e italiano no son aplicables directamente a operadores establecidos exclusivamente en España. La Recommandation de la CNIL aplica el artículo 82 de la Loi Informatique et Libertés; el Provvedimento del Garante aplica el artículo 122 del Codice Privacy. Ninguno de los dos tiene efecto vinculante sobre un operador establecido en territorio español y sin vínculos con esos países. Pero tres consideraciones matizan esa conclusión. Primero, un operador español que envíe correos a destinatarios en Francia o Italia queda directamente sujeto a esas normas, por aplicación del criterio de orientación hacia esos mercados que el artículo 3(2) del RGPD proyecta también sobre el artículo 5(3) ePrivacy. Segundo, los textos francés e italiano tienen valor interpretativo indirecto para la AEPD en la medida en que aplican el mismo fundamento normativo europeo al mismo problema técnico; si la Agencia española inicia un procedimiento sancionador por uso de píxeles, difícilmente podrá ignorar la forma en que sus homólogas han construido el régimen de excepciones. Tercero, la convergencia regulatoria que estos textos inauguran puede anticipar una posición del CEPD —o incluso del futuro Reglamento ePrivacy, cuya tramitación sigue abierta— que termine siendo directamente aplicable en todos los Estados miembros.

Implicaciones prácticas para operadores establecidos en España

Para un responsable del tratamiento establecido en España que utiliza píxeles de seguimiento en sus comunicaciones de correo electrónico, el escenario actual es el siguiente. El artículo 22.2 LSSI exige consentimiento previo, expreso e informado para cualquier uso de píxeles que no quede cubierto por una excepción. El Informe 0011/2014 confirma esa interpretación en los contextos publicitarios y de prospección comercial. La Guía de Cookies de la AEPD (versión 2023) aporta criterios complementarios sobre la calidad del consentimiento, la información en capas y el derecho de retirada que son extrapolables al entorno del email.

Lo que no existe en el marco español actual es una definición explícita de qué finalidades quedan exentas del consentimiento en el contexto específico del correo electrónico. La estrategia de cumplimiento más robusta, en ausencia de esa definición, es la que se aproxima al estándar más exigente de los textos europeos disponibles: exigir consentimiento previo para todo uso de píxeles que no sea estrictamente necesario para la transmisión de la comunicación o para la prestación de un servicio explícitamente solicitado, articular un mecanismo de retiro accesible desde el pie de cada correo, y —si se invoca la excepción de entregabilidad o de métricas agregadas— asegurarse de que el tratamiento se limita estrictamente a esa finalidad sin reutilización para perfilado u otras finalidades comerciales. Esa aproximación es defensible ante la AEPD y, además, cumple con los requisitos que la CNIL y el Garante exigen a los emisores que alcanzan destinatarios en sus respectivos territorios.

Para los Email Service Providers y las plataformas de marketing automation que operan en el mercado español, el análisis de responsabilidad en la cadena de tratamiento es la tarea pendiente más urgente. La distinción entre responsable y encargado no es neutra en este contexto: el ESP que habilita y configura el pixel tracking por defecto asume una posición en la cadena de tratamiento que los textos italiano y francés identifican con precisión —y que, por analogía con esos criterios, la AEPD razonablemente adoptaría en un escenario de inspección.

La expectativa de un pronunciamiento español

La pregunta que estos dos textos europeos plantean inevitablemente es si la AEPD seguirá el mismo camino. No hay, a la fecha de publicación de este artículo, ningún anuncio público de que la Agencia esté elaborando una guía monográfica sobre píxeles de seguimiento en correo electrónico. La Guía de Cookies vigente no contempla ese escenario con detalle, y el Informe 0011/2014 —aunque jurídicamente correcto en su conclusión principal— es anterior al RGPD, anterior a las Directrices 2/2023 del CEPD y anterior a la configuración técnica actual del ecosistema de email marketing. Su longevidad, como única referencia específica, resulta cada vez más difícil de sostener.

El precedente de la CNIL y del Garante es relevante en este sentido. Ambas autoridades han optado por textos monográficos en lugar de actualizar sus guías generales de cookies, reconociendo así que el entorno del correo electrónico presenta especificidades técnicas y operativas que justifican un tratamiento diferenciado. La CNIL lo formula explícitamente: su recomendación «tiene en cuenta las especificidades tecnológicas y operativas relacionadas con el entorno del correo electrónico». Esa especificidad —la imposibilidad de desplegar un banner de consentimiento antes de que el píxel se active, el problema de la sincronización entre la recogida del consentimiento y el primer envío, la multiplicidad de actores en la cadena técnica— es igualmente aplicable al contexto español.

Hasta que la AEPD se pronuncie de forma específica, el sector opera con una regulación que existe, pero que no habla con la misma claridad que sus equivalentes europeos. En ese espacio de indeterminación, los dos textos adoptados en Francia e Italia no son solo referencias comparadas de interés académico. Son el estándar más cercano disponible para construir una posición de cumplimiento en ausencia de orientación específica de la autoridad propia. Y, dado que la ePrivacy es Derecho europeo con base común, la distancia entre esa orientación y la que en algún momento producirá la AEPD es probablemente menor de lo que puede parecer.