La CNIL francesa adoptó una recomendación final el 18 de diciembre de 2025 y la publicó en el Boletín Oficial el 18 de enero de 2026, consolidando nuevas normas que transformarán cómo rastrean las empresas la interacción con emails. La CNIL lanzó una consulta pública en junio de 2025 sobre píxeles de seguimiento en emails, que potencialmente requerirá consentimiento explícito incluso para el seguimiento básico de aperturas. Para cualquier especialista en marketing o equipo de crecimiento que dependa de las tasas de apertura como métrica fundamental, esto representa un cambio crítico en cómo recopilas y utilizas datos de engagement.
El doble consentimiento lo cambia todo
La CNIL propone que los usuarios proporcionen dos consentimientos independientes: uno para recibir emails de marketing y otro consentimiento separado y distinto específicamente para el despliegue de píxeles de seguimiento. No se trata de un matiz regulatorio menor. Significa que agrupar el consentimiento en una única casilla etiquetada "Acepto recibir emails de marketing" ya no cubre el uso de píxeles de seguimiento.
El doble consentimiento requiere que las organizaciones obtengan dos permisos separados: consentimiento para recibir emails conforme al Artículo 13 de la Directiva ePrivacy y consentimiento separado para el seguimiento conforme al Artículo 5.3, la misma disposición que rige las cookies. Esta distinción invalida la práctica común de agrupar el consentimiento de seguimiento en registros de newsletter. Una casilla que diga "Acepto recibir emails de marketing" no cubre el despliegue de píxeles de seguimiento. Cada operación requiere su propio consentimiento explícito.
Esto impacta la segmentación de campañas de email, personalización y puntuación de leads. Si rastreas aperturas para determinar engagement, marcas contactos como activos o ajustas la frecuencia de envío según el comportamiento de apertura, ahora necesitas prueba documentada de consentimiento separado para ese seguimiento específico.
¿Qué ocurre con la revocación retroactiva de consentimiento?
Uno de los aspectos más técnicamente desafiantes implica los derechos de revocación. Los enlaces para desuscribirse o revocar consentimiento deben tener efecto retroactivo inmediato incluso para mensajes enviados previamente. Este requisito presenta desafíos particulares de implementación, ya que requiere que las organizaciones desarrollen infraestructura técnica capaz de evitar la activación de píxeles incluso cuando los usuarios reabren mensajes recibidos anteriormente después de revocar el consentimiento.
Esto significa que tu sistema de seguimiento de emails no puede simplemente almacenar datos de apertura y archivarlos. En cambio, si un usuario revoca su consentimiento de seguimiento, las organizaciones deben detener la activación de píxeles incluso en emails que se enviaron antes de la revocación. Los píxeles de seguimiento tradicionales son estáticos: una vez incrustados en un email, funcionan de la misma manera siempre. Las nuevas normas efectivamente requieren sistemas de seguimiento dinámicos que puedan verificar el estado del consentimiento en el momento de carga del píxel, no solo en el momento del envío.
Las excepciones son más estrictas de lo que podrías esperar
La CNIL permite algo de seguimiento sin consentimiento explícito, pero solo bajo condiciones específicas. Las excepciones pueden aplicarse para píxeles utilizados únicamente con fines técnicos (seguridad, autenticación) o para mediciones agregadas y no identificables de tasas de apertura. Sin embargo, identificar quién abre individualmente emails, dirigirse a contactos según el comportamiento de apertura o personalizar contenido basándote en interacciones de apertura individuales requieren consentimiento explícito. Sin embargo, medir tasas de apertura generales anonimizadas a nivel de campaña o por dominio de destinatario no requiere consentimiento adicional.
Esta distinción importa para los equipos de deliverabilidad. No puedes utilizar datos de apertura individual para identificar direcciones que rebotan o segmentos inactivos sin consentimiento, ni siquiera para propósitos operativos.
B2B es el mayor factor de incertidumbre
El sector B2B probablemente será el más afectado, ya que ahora caerá bajo el requisito de consentimiento, mientras que los emails comerciales B2B aún generalmente operan bajo un régimen de exclusión voluntaria. Muchos especialistas en marketing B2B han construido flujos de trabajo alrededor del seguimiento de aperturas sin consentimiento explícito, basándose en reglas de consentimiento suave para correo empresarial. Esa protección ya no se aplica a píxeles de seguimiento conforme al marco de la CNIL.
Cronograma de cumplimiento y pasos prácticos
La CNIL probablemente mostrará clemencia durante el período inicial de aplicación, emitiendo recordatorios antes de multas. Pero las organizaciones efectivamente tienen hasta enero de 2026 para lograr cumplimiento. Después de esa fecha, las acciones de cumplimiento se vuelven significativamente más probables. Como esa fecha ya ha pasado, el cumplimiento ya no es opcional.
La CNIL enfatizó en su conferencia EMDay 2025 que las organizaciones no deben esperar recomendaciones finales para cumplir con estos requisitos. La obligación legal de obtener consentimiento para el seguimiento de emails ha existido desde la implementación del GDPR en 2018.
Lo que deben hacer ahora los especialistas en marketing y equipos de crecimiento
Comienza auditando qué datos estás rastreando realmente y cuáles decisiones de marketing dependen de ello. Las organizaciones deben demostrar consentimiento del usuario en cualquier momento durante auditorías regulatorias, manteniendo registros detallados de cuándo se obtuvo el consentimiento, qué seguimiento específico fue consentido y cómo se presentó el mecanismo de consentimiento.
Actualiza tus flujos de registro para recopilar consentimiento separado para seguimiento. Rediseña flujos de automatización que dependan de datos de apertura individual para trabajar solo con segmentos que han dado consentimiento o cambiar a métricas agregadas anonimizadas. Para bases de datos de contactos existentes sin consentimiento de seguimiento documentado, tienes dos opciones: dejar de rastrear estos contactos o discontinuar la práctica completamente a menos que puedas probar que se recopiló consentimiento.
El panorama regulatorio está cambiando en toda la UE, y la CNIL francesa está marcando el ritmo. Lo que fue práctica común durante los últimos cinco años ahora es responsabilidad de cumplimiento. Las organizaciones que se adelanten a la separación de mecanismos de consentimiento y sistemas de seguimiento conscientes del consentimiento tendrán tiempo para ajustar flujos de trabajo y mensajería antes de que se intensifique la aplicación.
