¿Envía también a destinatarios en Francia? La norma francesa, la de la CNIL, tiene su propia página, traducida al español: Píxeles de seguimiento en los correos: la norma de la CNIL, explicada con sencillez
Píxeles de seguimiento en el correo electrónico: lo que exigen la LSSI y la AEPD
En España no hay una guía reciente dedicada a los píxeles en el correo electrónico. La regla existe desde hace años: el artículo 22.2 de la Ley de Servicios de la Sociedad de la Información, y un informe jurídico de la AEPD que exige el opt-in antes del primer envío con píxel.
Esta página lo explica sin jerga: qué hace un píxel, por qué el consentimiento para recibir correos no basta, qué ha dicho la AEPD y qué no ha dicho, y qué sanciones se conocen de verdad.
La respuesta corta
El píxel no está prohibido.
Es un dispositivo de almacenamiento y recuperación de datos: el artículo 22.2 de la LSSI exige consentimiento informado, con solo dos excepciones.
Opt-in, antes del primer envío.
Para la AEPD, informar con un enlace a la política de cookies no basta: el consentimiento se obtiene antes, por ejemplo con una casilla no premarcada.
Sin excepción reconocida para el correo.
La AEPD admite ciertas cookies de medición sin consentimiento en webs y aplicaciones. No ha extendido esa exención al píxel en un correo.
Qué es un píxel, en el código
Un píxel de seguimiento es una imagen, normalmente de un píxel y transparente, insertada en el cuerpo del correo. No va adjunta: se descarga de un servidor remoto en el momento en que se abre el mensaje.
Esa descarga le dice al remitente que el correo se ha abierto, cuándo y por quién, porque la dirección de la imagen suele contener un identificador propio de cada destinatario.
<!-- seguimiento de apertura -->
<img src="https://mail.exemple-esp.com/o.gif?c=8412&u=a3f9d2e1c7&t=1755400981"
width="1" height="1" alt="" style="display:block;border:0" />La Guía sobre el uso de las cookies de la AEPD incluye los «web beacons» entre las tecnologías similares a las cookies a las que se aplica el artículo 22 de la LSSI. El Comité Europeo de Protección de Datos cita expresamente el píxel en el correo como un caso del artículo 5.3 de la Directiva ePrivacy, que el 22.2 traspone.
La regla: el artículo 22.2 de la LSSI
Los prestadores de servicios pueden utilizar dispositivos de almacenamiento y recuperación de datos en los equipos de los destinatarios a condición de que estos hayan dado su consentimiento, después de recibir información clara y completa sobre su uso y, en particular, sobre los fines del tratamiento.
El texto vigente procede de la Ley 9/2014. Cuando el píxel lleva a tratar datos personales — y la dirección de correo identifica a la persona —, el RGPD y la LOPDGDD se aplican además de la LSSI.
Las dos únicas excepciones de la ley
- El almacenamiento o acceso tiene como solo fin efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas.
- Es estrictamente necesario para prestar un servicio de la sociedad de la información expresamente solicitado por el destinatario.
La ley no contiene ninguna excepción por estadísticas, medición de audiencia o seguridad. Esas categorías vienen de la doctrina de la AEPD, y se han escrito para sitios web y aplicaciones.
El Informe 0011/2014: opt-in, antes del primer envío
Es la única toma de posición de la AEPD específica sobre el píxel en el correo. Una empresa preguntaba si podía obtener el consentimiento enviando un correo que informara del sistema con un enlace a su política de cookies, o si necesitaba un formulario de aceptación expresa.
La respuesta del Gabinete Jurídico es clara: negativa para el sistema de opt-out, positiva para el de opt-in.
-
1
Informar no es obtener el consentimiento
Incluir la información en la política de privacidad no basta, y un correo con enlace que da por consentido a quien no se opone permite darse de baja, pero no obtiene un consentimiento previo.
-
2
Antes del primer correo con píxel
El consentimiento debe obtenerse antes del primer envío de correos que incluyan el píxel.
-
3
Una casilla no premarcada es válida
El informe considera plenamente válido que el usuario haga clic en una casilla no marcada por defecto en el formulario.
-
4
Libre, específico, revocable
Sin consecuencias negativas si se rechaza; un nuevo consentimiento si cambia la finalidad; un medio sencillo y gratuito para revocarlo.
Lo que el informe no dice
El caso consultado era un píxel para publicidad basada en el comportamiento, en correos que los destinatarios ya habían aceptado recibir. El informe no se pronuncia sobre un píxel de simple medición de apertura sin finalidad publicitaria, ni sobre una posible exención.
Es un informe del Gabinete Jurídico que responde a una consulta, anterior al RGPD. No es una norma, pero sigue siendo la referencia de la AEPD sobre este punto.
Enviar y medir: dos reglas distintas
Tener derecho a enviar un correo no da derecho a medir su apertura. En el caso del Informe 0011/2014, los destinatarios ya habían consentido recibir las comunicaciones, y aun así la AEPD exigió un consentimiento propio para el píxel.
| Norma | Qué regula | La regla |
|---|---|---|
| Art. 21.1 LSSI | El envío de comunicaciones comerciales por correo. | Solo si han sido solicitadas o expresamente autorizadas por el destinatario. |
| Art. 21.2 LSSI | Una excepción para el envío a clientes. | Relación contractual previa, datos obtenidos lícitamente, productos o servicios similares de la propia empresa, y oposición sencilla y gratuita en la recogida y en cada envío. |
| Art. 22.2 LSSI | El uso del píxel en el equipo del destinatario. | Consentimiento informado, salvo las dos excepciones de la ley. |
| RGPD y LOPDGDD | El tratamiento de los datos obtenidos. | Base jurídica, información y derechos, además de la LSSI. |
¿Y los clientes del artículo 21.2?
La excepción del artículo 21.2 permite enviar sin autorización previa. Su letra solo se refiere al envío.
Ninguna fuente de la AEPD dice si esa excepción cubre también el píxel, ni en un sentido ni en otro. El artículo 22.2 tiene sus propias dos excepciones, y la del 21.2 no está entre ellas.
Estadísticas y seguridad: lo que la AEPD ha dicho, y para qué
La AEPD ha descrito casos en los que ciertas cookies pueden usarse sin consentimiento. Todos están escritos para sitios web y aplicaciones; ninguno menciona el correo electrónico.
Medición de audiencia
Su guía de enero de 2024 admite que las cookies de estadísticas podrían estar exentas bajo condiciones estrictas: medición exclusiva de la audiencia del sitio o de la aplicación, por cuenta del editor, con datos anónimos y sin cesión a terceros.
Seguridad
La Guía sobre el uso de las cookies cita las cookies de seguridad del usuario, con un ejemplo web: detectar intentos erróneos y reiterados de conexión.
¿Y en el correo?
Ninguna fuente de la AEPD extiende estas exenciones al píxel de apertura. Un píxel de plataforma de envío lleva normalmente un identificador por destinatario, lo que casa mal con datos anónimos y agregados.
Una diferencia con Francia e Italia
Allí las autoridades han descrito casos concretos de píxel sin consentimiento en el correo. En España, no.
Pedir y retirar el consentimiento
Además del Informe 0011/2014, la Guía sobre el uso de las cookies fija criterios generales. Están escritos para la web, pero describen lo que la AEPD entiende por un consentimiento válido.
Criterios de la Guía, trasladables al formulario de alta
- La mera inactividad del usuario no implica en ningún caso consentimiento.
- Rechazar debe ofrecerse al mismo tiempo, al mismo nivel y con la misma visibilidad que aceptar.
- Aceptar las condiciones del servicio se separa de aceptar la política de privacidad o de cookies.
- Retirar el consentimiento debe ser tan fácil como darlo.
- Como buena práctica, el consentimiento no debería valer más de 24 meses.
- Si cambian la finalidad o los terceros, el usuario debe poder decidir de nuevo.
Quién responde, y qué sanciones se conocen
Responde el remitente
Aunque sea la plataforma de envío la que inserta el píxel. En el caso ATI, basta con no informar al destinatario del uso o de la finalidad de estos dispositivos para vulnerar el deber de informar.
Hasta 30 000 euros, o 150 000 si se repite
Usar el dispositivo sin informar o sin consentimiento es una infracción leve, con multa de hasta 30 000 euros. Reincidir en tres años la convierte en grave: de 30 001 a 150 000 euros.
Un precedente: 5 000 euros
PS/00371/2016: una asociación que enviaba boletines con Mailchimp, con seguimiento de aperturas y de clics, sin informar. Es la única sanción encontrada que aplica el 22.2 a píxeles en correos.
Mailtrack, 100 000 euros: otro caso
Sanción por el RGPD al editor de una herramienta de seguimiento de correos, considerado responsable del tratamiento. No se aplicó la LSSI, y no se trataba de un anunciante.
La LSSI protege al destinatario que actúa también por motivos profesionales: la regla vale en B2B.
De la LSSI a hoy
-
2002
La ley
Ley 34/2002, de servicios de la sociedad de la información
En vigor desde el 12 de octubre de 2002.
-
2012 — 2014
El consentimiento
Real Decreto-ley 13/2012 y Ley 9/2014
El artículo 22.2 pasa a exigir el consentimiento, y la Ley 9/2014 le da su redacción actual.
-
2014
La doctrina
Informe 0011/2014 del Gabinete Jurídico de la AEPD
Opt-in antes del primer envío con píxel.
-
2017
La sanción
PS/00371/2016
5 000 euros por el artículo 22.2 a una asociación por web beacons en sus boletines.
-
2023 — 2024
Las guías
Guía sobre el uso de las cookies y guía de medición de audiencia
Actualización de julio de 2023 para los patrones engañosos, guía de medición de audiencia en enero de 2024, versión actual de la guía de cookies en mayo de 2024.
-
2026
Hoy
Sin publicación específica sobre el correo
A 15 de septiembre de 2026 no hemos encontrado ninguna guía, nota ni informe de la AEPD de 2025 o 2026 sobre el píxel en el correo.
¿Qué contienen realmente sus correos?
La auditoría gratuita lee uno de sus envíos tal como lo recibe un destinatario y muestra los píxeles y los enlaces con seguimiento que contiene, con el fragmento de código que lo acredita. No valora nada jurídicamente: muestra lo que hay.
Preguntas frecuentes
Las preguntas más frecuentes, con la respuesta tal como resulta de los textos. Cuando los textos no responden, lo decimos.
¿Están prohibidos los píxeles de seguimiento en España?
¿El consentimiento para recibir la newsletter cubre el píxel?
¿Basta con un enlace a la política de cookies en el correo?
¿Un píxel solo estadístico está exento?
¿Y los clientes a los que puedo escribir sin autorización previa?
Si la plataforma de envío pone el píxel, ¿quién responde?
¿Afecta al seguimiento de clics?
¿Cuánto puede costar?
¿Se aplica en B2B?
Mi empresa no está establecida en España, ¿me afecta?
La misma pregunta, en otros países
El píxel es el mismo en todas partes; los textos que lo regulan, no. Cada página está escrita en el idioma de su país, a partir de los textos de su propia autoridad.
-
France · CNIL
Pixels de suivi dans les emails : la règle CNIL, expliquée simplement -
United Kingdom · ICO
Tracking pixels in emails: what PECR and the ICO require, explained -
Deutschland · § 25 TDDDG
Zählpixel in E-Mails: Was § 25 TDDDG verlangt, verständlich erklärt -
Italia · Garante privacy
Pixel di tracciamento nelle email: le linee guida del Garante, spiegate
Fuentes
Todo lo anterior se basa en los textos siguientes. Los enlaces llevan a las publicaciones originales, para que pueda leerlas usted mismo en lugar de creernos.
-
Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico
BOE, texto consolidado: artículos 2 a 4, 21, 22, 38 y 39.
-
Informe jurídico 0011/2014
Agencia Española de Protección de Datos, Gabinete Jurídico.
-
Guía sobre el uso de las cookies
Agencia Española de Protección de Datos, versión de mayo de 2024.
-
Uso de cookies para herramientas de medición de audiencia
Agencia Española de Protección de Datos, versión de enero de 2024.
-
Procedimiento sancionador PS/00371/2016
AEPD, resolución R/00596/2017: artículo 22.2 LSSI, web beacons en boletines.
-
Recurso de reposición RR/00541/2023 (PS/00328/2022)
AEPD: The Mail Track Company, sanción por el RGPD.
-
Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive
Comité Europeo de Protección de Datos, versión 2.0 de 7 de octubre de 2024.
Esta página es una presentación divulgativa elaborada a partir de los textos citados. No constituye asesoramiento jurídico ni una posición de la AEPD. Para su caso concreto, consulte a su delegado de protección de datos o a su asesor.