Open tracking met toestemming: Wat je moet weten over de regels van CNIL & Garante

In april 2026 publiceerden twee Europese privacytoezichthouders binnen enkele weken van elkaar richtlijnen over hetzelfde onderwerp. Zowel de Franse CNIL als de Italiaanse Garante kwam met regels over tracking pixels in e-mail: de kleine, onzichtbare afbeeldingen die op het moment dat een ontvanger een bericht opent, een signaal terugsturen naar de server van de verzender.

Verstuur je e-mail naar ontvangers in een van deze landen, dan hebben deze regels nu invloed op hoe je open tracking kunt inzetten. Verstuur je e-mail elders in Europa, dan is dat momenteel nog niet het geval. Maar de richting waarin dit zich ontwikkelt, is het waard om te volgen.

Wat Frankrijk en Italië hebben gezegd

De CNIL nam de aanbeveling op 12 maart 2026 aan en publiceerde deze op 14 april. De Garante volgde op 17 april met Bepaling nr. 284, een bindende maatregel (die van de CNIL is een aanbeveling met best practices). Beide gaan uit van hetzelfde uitgangspunt: een tracking pixel is functioneel gelijk aan een cookie.

Zowel Frankrijk als Italië maken uitzonderingen:

1) Open tracking die uitsluitend wordt gebruikt voor lijsthygiëne (het onderdrukken van inactieve ontvangers, het aanpassen van de verzendfrequentie) vereist mogelijk geen toestemming, mits de verzamelde gegevens beperkt blijven tot wat strikt noodzakelijk is.

2) Signalen die te maken hebben met authenticatie, fraudedetectie en verplichte institutionele meldingen vallen onder bepaalde voorwaarden ook buiten de toestemmingsvereiste. Maar open tracking die wordt gebruikt om campagneprestaties te meten, ontvangerprofielen op te bouwen of enige vorm van gedragsanalyse te voeden: daarvoor is onder beide kaders expliciete, granulaire, doelgebonden toestemming vereist.

De twee maatregelen zijn niet identiek. De bepaling van de Garante is bindende wetgeving met een overgangstermijn van zes maanden vanaf publicatie in het Staatsblad. De aanbeveling van de CNIL is richtinggevend, met een deadline van 14 juli 2026 waarop organisaties bestaande contacten moeten informeren en hen een manier moeten bieden om bezwaar te maken. Beide beschouwen toestemming als iets dat moet worden verkregen op het moment van gegevensverzameling, op elk moment moet kunnen worden ingetrokken, en niet mag worden gebundeld met algemene toestemming voor marketing.

Geldt dit voor iedereen in Europa?

Nog niet, en het is de moeite waard om hierover precies te zijn. Dit zijn maatregelen op nationaal niveau, gebaseerd op de manier waarop Frankrijk en Italië de richtlijn in hun eigen wetgeving hebben geïmplementeerd. Ze zijn van toepassing wanneer je e-mails verstuurt naar ontvangers in die landen. Andere EU-lidstaten hebben geen vergelijkbare richtlijnen gepubliceerd. Op het moment van schrijven is er geen pan-Europese regel die specifiek van kracht is voor trackingpixels.

Het feit dat twee toezichthouders vrijwel gelijktijdig in actie kwamen en daarbij op dezelfde logica terugvallen, wijst er echter wel op dat andere regelgevers de ontwikkelingen volgen. Verzenders met een aanzienlijk publiek in Frankrijk of Italië zullen hierop moeten inspelen. Verzenders elders in Europa doen er goed aan om na te denken over hoe ze zouden reageren als vergelijkbare richtlijnen in hun markten zouden verschijnen.

Het praktische probleem voor verzenders van transactionele e‑mail

Transactionele e-mail bevindt zich onder beide kaders in een gunstigere positie dan een marketing e-mail. Als je open tracking een echt operationeel doel dient (bijvoorbeeld het bevestigen van aflevering om verzendgedrag aan te passen, of het identificeren van inactieve adressen om te onderdrukken), geven zowel de CNIL als de Garante aan dat toestemming mogelijk niet vereist is. Voorwaarde is dat de tracking beperkt blijft, dat de gegevens niet voor enig ander doel dan die operationele behoefte worden gebruikt, en dat de verwerking proportioneel is.

Het probleem is dat de meeste e-mailplatforms opens op een uniforme manier registreren. In elk bericht wordt dezelfde trackingpixel opgenomen; de gegevens stromen naar dezelfde dashboards, en de verzender heeft weinig of geen mogelijkheid om onderscheid te maken naar ontvanger, toestemmingsstatus of doel. Die architectuur sluit niet goed aan bij wat Frankrijk en Italië nu vragen: gerichte, voorwaardelijke, doelgebonden tracking die de specifieke rechtsgrondslag (of het ontbreken daarvan) van elke ontvanger respecteert.

Wat te doen als je naar Frankrijk of Italië verstuurt

De eerste stappen zijn afhankelijk van je huidige inrichting en doelgroep, maar de algemene richting is duidelijk.

• Breng in kaart welke flows open tracking bevatten en of ontvangers van die flows in Frankrijk of Italië gevestigd zijn.
• Bepaal of je tracking een doel dient dat binnen de operationele uitzonderingen valt (lijsthygiëne, onderdrukken van inactieven), of dat deze voornamelijk analytisch of gericht op campagnemeting is.
• Is dat laatste het geval en heb je geen geldige toestemming van Franse en Italiaanse ontvangers, configureer dan je e-mail flows zodanig dat open tracking voor die segmenten wordt uitgesloten totdat het verzamelen van toestemming is geregeld.
• Evalueer je proces voor het verzamelen van toestemming op het moment dat een e-mailadres wordt vastgelegd, en voeg waar nodig duidelijke, doelgebonden informatie over pixeltracking toe.

De deadline van de CNIL en de overgangsperiode van zes maanden van de Garante bieden enige ademruimte voor bestaande lijsten. Voor nieuwe adressen die zijn verzameld nadat deze regels van kracht werden, wordt onmiddellijke naleving verwacht.

Enkele vragen beantwoord

Wil je begrijpen hoe de Flowstep-voorwaarden van SendPro in de praktijk werken, of hoe je je flows kunt inrichten om toestemmingsafhankelijke tracking te verwerken, bekijk dan het SendPro-platform of neem contact op met het team.