A CNIL francesa adotou uma recomendação final em 18 de dezembro de 2025 e publicou-a no Diário da República em 18 de janeiro de 2026, consolidando novas regras que reformularão a forma como as empresas rastreiam o envolvimento por email. A CNIL lançou uma consulta pública em junho de 2025 sobre pixels de rastreamento em emails, potencialmente exigindo consentimento explícito até mesmo para o rastreamento básico de aberturas de email. Para qualquer profissional de marketing ou equipa de crescimento que dependa de taxas de abertura como métrica essencial, isto representa uma mudança crítica na forma como recolhe e utiliza dados de envolvimento.
O Duplo Consentimento Muda Tudo
A CNIL propõe que os utilizadores forneçam dois consentimentos independentes: um para receber emails de marketing e um segundo consentimento, distinto, especificamente para o uso de pixels de rastreamento. Isto não é uma nuance regulatória menor. Significa que agrupar o consentimento numa única caixa de seleção com o texto "Concordo em receber emails de marketing" já não cobre o uso de pixels de rastreamento.
O duplo consentimento exige que as organizações obtenham duas permissões separadas: Consentimento para receber emails sob o Artigo 13 da Diretiva ePrivacy e consentimento separado para rastreamento sob o Artigo 5.3, a mesma disposição que governa cookies. Esta distinção invalida a prática comum de agrupar o consentimento de rastreamento em inscrições em newsletters. Uma caixa de seleção que diz "Concordo em receber emails de marketing" não cobre a implementação de pixels de rastreamento. Cada operação requer o seu próprio consentimento explícito.
Isto afecta segmentação de campanhas de email, personalização e pontuação de leads. Se rastreia aberturas para determinar envolvimento, marca contactos como ativos ou ajusta a frequência de envio com base no comportamento de abertura, agora precisa de prova documentada de consentimento separado para esse rastreamento específico.
E Quanto ao Direito de Revogação Retroativa?
Um dos aspetos mais tecnicamente desafiadores envolve direitos de revogação. Links de desinscrição ou revogação de consentimento devem ter efeito retroativo imediato, mesmo para mensagens enviadas anteriormente. Este requisito apresenta desafios de implementação particulares, pois exige que as organizações desenvolvam infraestrutura técnica capaz de impedir a ativação de pixels mesmo quando os utilizadores reabrem mensagens anteriormente recebidas após revogar o consentimento.
Isto significa que o seu sistema de rastreamento de email não pode simplesmente armazenar dados de abertura e arquivá-los. Em vez disso, se um utilizador revogar o seu consentimento de rastreamento, as organizações devem parar a ativação de pixels mesmo em emails que foram enviados antes da revogação. Os pixels de rastreamento tradicionais são estáticos: uma vez incorporados num email, funcionam da mesma forma para sempre. As novas regras efetivamente exigem sistemas de rastreamento dinâmicos que possam verificar o estado do consentimento no momento do carregamento do pixel, não apenas no momento do envio.
As Exceções São Mais Limitadas do que Poderia Parecer
A CNIL permite algum rastreamento sem consentimento explícito, mas apenas sob condições específicas. Exceções podem aplicar-se a pixels utilizados exclusivamente para fins técnicos (segurança, autenticação) ou para medições agregadas e não identificáveis de taxas de abertura. No entanto, identificar quem individualmente abre emails, direcionar contactos de acordo com comportamento de abertura ou personalizar conteúdo com base em interações individuais de abertura requer consentimento explícito. Porém, medir taxas de abertura gerais anonimizadas ao nível da campanha ou por domínio do destinatário não requer consentimento adicional.
Esta distinção importa para equipas de entregabilidade. Não pode utilizar dados de abertura individual para identificar endereços com falha ou segmentos inativos sem consentimento, mesmo para fins operacionais.
B2B É a Maior Incógnita
O setor B2B será provavelmente o mais afetado, uma vez que agora cairá sob o requisito de consentimento, enquanto emails comerciais B2B continuam geralmente a operar sob um regime de opt-out. Muitos profissionais de marketing B2B construíram fluxos de trabalho em torno do rastreamento de aberturas sem consentimento explícito, contando com regras de soft opt-in para email empresarial. Esta proteção já não se aplica a pixels de rastreamento sob o quadro da CNIL.
Cronograma de Conformidade e Passos Práticos
A CNIL provavelmente mostrará indulgência durante o período inicial de execução, emitindo avisos antes de multas. Mas as organizações efetivamente têm até janeiro de 2026 para alcançar conformidade. Depois disso, ações de execução tornam-se significativamente mais prováveis. Uma vez que essa data já passou, a conformidade já não é opcional.
A CNIL enfatizou na sua conferência EMDay 2025 que as organizações não devem aguardar recomendações finais para cumprir estes requisitos. A obrigação legal de obter consentimento para rastreamento de email existe desde a implementação do RGPD em 2018.
O Que Profissionais de Marketing e Equipas de Crescimento Devem Fazer Agora
Comece auditando quais dados está efetivamente a rastrear e quais decisões de marketing dependem deles. As organizações devem demonstrar consentimento do utilizador em qualquer momento durante auditorias regulatórias, mantendo registos detalhados de quando o consentimento foi obtido, qual rastreamento específico foi consentido e como o mecanismo de consentimento foi apresentado.
Atualize os seus fluxos de inscrição para recolher consentimento separado para rastreamento. Reformule fluxos de automação que dependem de dados de abertura individual para trabalhar apenas com segmentos com consentimento ou mudar para métricas agregadas anonimizadas. Para bases de dados de contactos existentes sem consentimento de rastreamento documentado, tem duas opções: parar de rastrear estes contactos ou descontinuar a prática inteiramente a menos que possa provar que o consentimento foi recolhido.
O panorama regulatório está a mudar em toda a UE, e a CNIL francesa está a estabelecer o ritmo. O que era prática comum durante os últimos cinco anos é agora responsabilidade de conformidade. As organizações que agirem cedo para separar mecanismos de consentimento e sistemas de rastreamento conscientes de consentimento terão tempo para ajustar fluxos de trabalho e mensagens antes de a execução se intensificar.
