En el seguimiento de correos basado en el consentimiento, el píxel de seguimiento y los enlaces rastreados solo se añaden a los destinatarios que lo aceptaron de antemano; el resto recibe un correo normal, sin seguimiento. El destinatario puede retirar su consentimiento en cualquier momento y, desde entonces, no se mide nada. Que haga falta consentimiento depende del país y de la finalidad, pero en España el RGPD y el artículo 22.2 de la LSSI marcan el punto de partida, y la AEPD ya se pronunció sobre los píxeles en correos publicitarios.
Este artículo explica cómo funciona un sistema así en la práctica, qué cuenta como consentimiento y qué no, y qué han dicho las autoridades. Es información general, no asesoramiento jurídico para un caso concreto.
Dos preguntas, dos conjuntos de normas
Antes de medir nada, conviene separar dos preguntas:
- ¿Se puede enviar este correo? Aquí entran las normas sobre comunicaciones comerciales. En España, el artículo 21 de la LSSI prohíbe enviar por correo electrónico comunicaciones publicitarias o promocionales que no se hayan solicitado o autorizado expresamente, con una excepción cuando existe una relación contractual previa y se ofrecen productos o servicios propios similares a los contratados.
- ¿Se pueden medir sus aperturas y clics? Un píxel de seguimiento almacena o lee información a través del dispositivo del destinatario. Eso activa las normas europeas sobre el acceso al dispositivo (artículo 5.3 de la Directiva ePrivacy; en España, el artículo 22.2 de la LSSI) y, como trata datos personales, también el RGPD.
Un sí a la primera pregunta no responde a la segunda. Poder enviar una newsletter no significa automáticamente poder saber quién la abrió.
Qué dicen la LSSI y la AEPD sobre el píxel de seguimiento
El artículo 22.2 de la LSSI permite usar dispositivos de almacenamiento y recuperación de datos en los equipos de los destinatarios siempre que estos hayan dado su consentimiento después de recibir información clara y completa sobre su uso, en particular sobre sus fines. Quedan fuera el almacenamiento o acceso de índole técnica con el único fin de transmitir una comunicación y lo estrictamente necesario para prestar un servicio que el destinatario haya solicitado expresamente.
En su informe 0011/2014, el Gabinete Jurídico de la AEPD analizó una consulta sobre píxeles en correos con fines publicitarios. Sus conclusiones principales:
- Remitir al destinatario a una política de cookies y entender que quien no se opone consiente no basta.
- Un formulario de aceptación expresa (un sistema de opt-in) sí cumpliría el requisito.
- El consentimiento debe obtenerse antes del primer envío de correos que incluyan el píxel, ser libre, específico e informado, y debe poder retirarse en cualquier momento por un medio sencillo y gratuito.
El informe es anterior al RGPD y se apoya en la normativa entonces vigente (entre otras, la Ley Orgánica 15/1999), así que conviene leerlo junto con las normas actuales.
Qué han dicho otras autoridades europeas
Las posiciones siguientes resumen documentos oficiales. No es una lista completa, y una excepción reconocida en un país no debe trasladarse automáticamente a otro.
| Ámbito | Referencia | En resumen |
|---|---|---|
| UE (todos los Estados miembros) | Directrices 2/2023 del CEPD | Describen a un remitente que incluye un píxel para saber cuándo se lee un correo: entregar el píxel supone almacenamiento en el dispositivo y recoger el identificador que devuelve supone obtener acceso. |
| España | LSSI, art. 22.2, e informe AEPD 0011/2014 | Consentimiento informado para acceder al dispositivo, salvo excepciones técnicas; para píxeles en correos publicitarios, consentimiento activo antes del primer envío (informe de 2014, anterior al RGPD). |
| Francia | Recomendación de la CNIL, publicada el 14 de abril de 2026 | Trata los píxeles de los correos como rastreadores que, por regla general, requieren consentimiento, con excepciones limitadas como la seguridad de la autenticación; medir el interés por una oferta no es una de ellas. |
| Italia | Directrices del Garante, 17 de abril de 2026 | Consentimiento previo como regla general, con excepciones descritas para situaciones concretas; esas excepciones pertenecen al marco italiano. |
El hilo común en Europa: cuando se exige consentimiento, debe llegar antes del primer correo con seguimiento y debe ser una elección activa e informada. Si escribes a destinatarios de fuera de la UE, por ejemplo en Latinoamérica, se aplican además las leyes de cada país, que conviene revisar por separado.
Qué no cuenta como consentimiento
- El silencio o la falta de oposición. Es exactamente lo que la AEPD descartó en su informe de 2014 para los píxeles en correos publicitarios.
- Un aviso en el propio correo. Informa y puede ofrecer una forma de darse de baja del seguimiento, pero actúa después.
- Casillas premarcadas o condiciones agrupadas. El RGPD exige que el consentimiento sea un acto afirmativo claro, libre y específico.
- Un clic en un enlace cualquiera. Los escáneres de seguridad hacen clic en los enlaces de forma automática, y quien pulsa un enlace para leer una página no ha aceptado ser rastreado.
- Una baja posterior. Darse de baja de una lista no dice nada sobre un consentimiento anterior a la medición.
Cómo funciona el seguimiento con consentimiento, paso a paso
1. Definir la finalidad y los papeles
Conviene dejar por escrito para qué se miden aperturas y clics (por ejemplo, para elegir el momento del seguimiento a clientes) y quién lo decide. La empresa que decide para qué y a quién rastrea es normalmente la responsable del tratamiento. Un proveedor que gestiona el seguimiento solo por cuenta de esa empresa puede actuar como encargado; uno que usa los datos para sus propios fines se valora de otra manera.
2. Recoger el consentimiento donde encaja de forma natural
Buenos momentos son un formulario de alta, un área de clientes o un paso de incorporación, con una explicación breve de qué se mide, quién lo mide y cómo retirarlo. Hay que tener cuidado con las solicitudes de consentimiento enviadas por correo: la propia solicitud no puede llevar seguimiento y, si tiene carácter comercial, también le afecta el artículo 21 de la LSSI.
3. Registrarlo bien
De cada consentimiento se guarda su origen, la fecha, la finalidad y la versión de la información mostrada. Si se piden por separado aperturas y enlaces, se registran por separado.
4. Decidir por destinatario, en cada envío
Antes de construir el correo se comprueba cada destinatario. Consentimiento registrado: copia con seguimiento. Sin consentimiento, con estado dudoso o con negativa: correo normal, sin píxel ni enlaces rastreados.
5. Informar y facilitar la retirada
Cada correo con seguimiento debe decir que lo contiene y ofrecer una forma sencilla de pararlo. El enlace debe llevar a una página en la que una acción explícita, no la simple apertura de la página, registre la elección.
6. Que la retirada sea real
Tras una retirada, se bloquea la medición futura en el lado del remitente, incluida la de correos enviados antes, y se guarda constancia de la negativa para que el seguimiento no se reactive por error.
7. Separar los registros técnicos de la analítica
Algunos registros de peticiones son necesarios para operar y proteger un servicio. Su alcance y su plazo de conservación se describen aparte de la medición del comportamiento.
Cómo aplica HawkOpen este modelo
HawkOpen, la aplicación de seguimiento de correos, documentos y propuestas de TriStiX S.L., está construida en torno al consentimiento por destinatario:
- El seguimiento está desactivado hasta que el propietario de la empresa o un administrador lo activa. Después solo se rastrea a los destinatarios con un consentimiento registrado, decidiendo por separado aperturas y enlaces, y el resto recibe un correo normal.
- El consentimiento se registra en la página de consentimiento de HawkOpen solo cuando el destinatario lo confirma allí, junto con su origen, fecha, finalidad y la versión de la información mostrada.
- Cada correo con seguimiento termina con un aviso: «Este mensaje contiene elementos de seguimiento de HawkOpen.», seguido del enlace «No rastrear mi actividad». Ningún ajuste ni plan lo elimina. Todo correo enviado a través de HawkOpen, con seguimiento o sin él, termina además con la línea «No me envíen mensajes».
- La negativa es inmediata y duradera. Abrir la página del enlace no cambia nada; su botón rechaza para siempre el seguimiento por parte de esa empresa, borra lo medido antes sobre la dirección y avisa al remitente. La medición se detiene también en los correos enviados antes.
- Los documentos siguen la misma idea. El tiempo en las páginas de un documento solo se mide después de que el lector lo acepte en la propia página.
HawkOpen proporciona estas herramientas; la empresa que lo usa decide la finalidad y los destinatarios y sigue siendo responsable de contar con una base válida cuando sea necesaria. HawkOpen no promete que un uso concreto del seguimiento sea lícito, y las excepciones que reconoce una autoridad nacional no deben entenderse como aplicables al seguimiento personalizado que ofrece HawkOpen. Cuando se aplican normas que exigen consentimiento, el seguimiento solo puede activarse después de obtenerlo, y el enlace del mensaje permite retirarlo más adelante.
HawkOpen está en una fase de lanzamiento controlado. Para dudas más concretas, consulta las preguntas frecuentes sobre el píxel de seguimiento y el RGPD y sobre si el aviso sustituye al consentimiento. Y si quieres saber qué pueden mostrar y qué no los datos de seguimiento una vez obtenido el consentimiento, empieza por cómo saber si alguien ha leído tu correo.
Importante: Esta información es de carácter general y se refiere a las funciones de HawkOpen. No constituye asesoramiento jurídico individual ni una valoración de si una campaña o un documento determinados cumplen la normativa. Cada usuario decide sobre sus propias actividades y, si es necesario, recurre al asesoramiento de un profesional cualificado. Esto no limita los derechos reconocidos por las normas imperativas.