El píxel invisible de la newsletter: el 29 de octubre se acaba el plazo

Conviene explicar de qué se habla, porque el nombre técnico esconde algo sencillísimo. El píxel de seguimiento es una imagen invisible, del tamaño de un punto, que tu correo carga desde un servidor cuando el destinatario lo abre. Esa carga le dice al remitente que el correo se ha abierto, cuándo, desde qué dirección IP y a menudo con qué dispositivo. Nadie lo ve y nadie lo pide: lleva veinte años ahí, en casi todas las newsletters del mundo, y durante veinte años se ha tratado como una estadística inocua.

La cuestión jurídica es que inocuo no es. Leer y escribir información en el dispositivo de alguien es la operación que la directiva ePrivacy somete a consentimiento: es la misma norma de las cookies, y no dice «cookies», dice almacenamiento y acceso. El píxel no deposita nada, pero obtiene una información del terminal del destinatario en el momento en que lo abre, y el resultado para el interesado es idéntico. Esa es, en dos líneas, la razón por la que una costumbre de veinte años cambia de estado.

• No hay ninguna prohibición: la resolución no prohíbe los píxeles, exige que se apoyen en una base y se declaren.
• El seguimiento individual de las aperturas con fines de marketing exige el consentimiento del destinatario, salvo excepciones específicas.
• El consentimiento al seguimiento puede recogerse en algunos casos junto con el de los correos, pero solo si el usuario está claramente informado y puede después desactivar SOLO el seguimiento y seguir recibiendo los mensajes.
• Para las listas ya existentes no hace falta una campaña de reconsentimiento: se actualiza la información y se avisa a los suscriptores del uso de píxeles y del derecho de revocación.
• La información debe decir que el píxel existe, qué recoge y cuánto se conservan esos datos: «datos de navegación» no sirve, porque no es navegación.

Hay además una distinción que conviene mantener firme, porque separa dos tratamientos que las plataformas muestran en la misma pantalla. Saber cuántos correos de mil se han abierto es una cosa; saber que María Rossi abrió tu correo el martes a las 9:14 y otra vez el jueves es otra. El primero es un dato agregado, el segundo es un dato personal que construye con el tiempo un perfil de cuándo lee una persona, desde dónde y con qué frecuencia. La resolución mira al segundo, y la mayoría de los paneles de email marketing hace el segundo por defecto.

Para el DPD de un cliente que envía newsletters, las cosas que hay que comprobar antes del 29 son cuatro y ninguna requiere un proyecto: si la plataforma usa píxeles y con qué granularidad; si la información los nombra; si el consentimiento recogido cubre también el seguimiento o solo el envío; y si existe un modo de desactivar el seguimiento a quien lo pide sin borrarlo de la lista. La cuarta es la que suele faltar, y es también la única que no se resuelve reescribiendo un texto.

Una última nota sobre el alcance, porque la resolución es italiana pero el problema no lo es. La norma sustantiva es el art. 5, apdo. 3, de la directiva ePrivacy, traspuesta en todos los Estados miembros: las autoridades de otros países pueden llegar a conclusiones distintas en los detalles, pero el razonamiento de fondo —un píxel que lee del dispositivo es almacenamiento y acceso— no es una especialidad italiana. Quien gestiona listas de suscriptores en varios países haría bien en no tratarlo como un trámite local.