Wat is beslist, en wanneer het verloopt
De Italiaanse toezichthouder heeft de richtsnoeren over trackingpixels in e-mail vastgesteld bij besluit nr. 284 van 17 april 2026, gepubliceerd in het Staatsblad nr. 98 van 29 april 2026, met zes maanden om zich aan te passen: de deadline is 29 oktober 2026. Wie e-mails verstuurt, moet verklaringen, toestemmingsverzameling en intrekkingsmiddelen bijwerken. De controle op naleving valt onder het inspectieplan voor de tweede helft van 2026. Op de website van de toezichthouder staat een informatieblad voor aanbieders en platforms voor massaverzending.
Het loont de moeite uit te leggen waarover het gaat, want de technische naam verbergt iets heel eenvoudigs. De trackingpixel is een onzichtbaar beeldje, zo groot als een punt, dat uw e-mail van een server laadt zodra de ontvanger hem opent. Dat laden vertelt de afzender dat de e-mail is geopend, wanneer, vanaf welk IP-adres en vaak met welk apparaat. Niemand ziet het en niemand vraagt erom: het staat er al twintig jaar, in bijna elke nieuwsbrief ter wereld, en twintig jaar lang gold het als een onschuldige statistiek.
Het juridische punt is dat onschuldig het niet is. Informatie lezen en schrijven op iemands apparaat is precies de handeling die de ePrivacyrichtlijn aan toestemming onderwerpt: dezelfde norm als bij cookies, en zij zegt niet «cookies», zij zegt opslag en toegang. De pixel zet niets neer, maar verkrijgt informatie van de terminal van de ontvanger op het moment dat die hem opent, en het resultaat voor de betrokkene is identiek. Dat is, in twee regels, waarom een twintig jaar oude gewoonte van status verandert.
- Er is geen verbod: het besluit verbiedt pixels niet, het eist dat ze op een grondslag rusten en worden vermeld.
- Het individueel meten van openingen voor marketingdoeleinden vereist de toestemming van de ontvanger, behoudens specifieke uitzonderingen.
- Toestemming voor tracking mag soms samen met die voor de e-mails worden verzameld, maar alleen als de gebruiker duidelijk is geïnformeerd en daarna ALLEEN de tracking kan uitzetten terwijl hij de berichten blijft ontvangen.
- Voor bestaande lijsten is geen campagne van hernieuwde toestemming nodig: men werkt de verklaring bij en meldt de abonnees het gebruik van pixels en het recht van intrekking.
- De verklaring moet zeggen dat de pixel bestaat, wat hij verzamelt en hoe lang die gegevens worden bewaard: «navigatiegegevens» volstaat niet, want het is geen navigatie.
De vraag aan de aanbieder, vóór elke andere
Bijna niemand verstuurt zijn eigen nieuwsbrieven: er zit een platform tussen, en dat plaatst de pixel. De vraag is niet «bent u AVG-conform», waarop men ja zal antwoorden: het is «kan de openingsmeting worden uitgezet voor één enkele ontvanger terwijl die de e-mails blijft krijgen?». Luidt het antwoord nee, of «het kan voor de hele lijst worden uitgeschakeld», dan is de selectieve intrekking die het besluit eist technisch niet mogelijk, en is het probleem er een van configuratie vóór het er een is van formulering. Het loont de moeite dit schriftelijk te vragen: het antwoord is bewijs, en de verwerkingsverantwoordelijke heeft het net zo hard nodig als u.
Er is verder een onderscheid dat men vast moet houden, want het scheidt twee verwerkingen die platforms op hetzelfde scherm tonen. Weten hoeveel van de duizend e-mails zijn geopend is één ding; weten dat Maria Rossi uw e-mail dinsdag om 9.14 uur opende en daarna opnieuw op donderdag is iets anders. Het eerste is een geaggregeerd gegeven, het tweede een persoonsgegeven dat na verloop van tijd een profiel opbouwt van wanneer iemand leest, waarvandaan en hoe vaak. Het besluit kijkt naar het tweede, en de meeste dashboards voor e-mailmarketing doen het tweede standaard.
Voor de FG van een cliënt die nieuwsbrieven verstuurt zijn er vóór de 29e vier dingen te controleren en geen daarvan vraagt een project: of het platform pixels gebruikt en met welke granulariteit; of de verklaring ze noemt; of de verzamelde toestemming ook de tracking dekt of alleen het verzenden; en of er een manier is om de tracking uit te zetten voor wie daarom vraagt, zonder die persoon van de lijst te halen. De vierde ontbreekt doorgaans, en is ook de enige die niet wordt opgelost door een tekst te herschrijven.
Een laatste noot over het bereik, want het besluit is Italiaans maar het probleem niet. De materiële norm is artikel 5, lid 3, van de ePrivacyrichtlijn, omgezet in alle lidstaten: toezichthouders van andere landen kunnen op details tot andere conclusies komen, maar de grondredenering — een pixel die van het apparaat leest is opslag en toegang — is geen Italiaanse bijzonderheid. Wie abonneelijsten in meerdere landen beheert, doet er goed aan dit niet als een plaatselijke formaliteit te behandelen.
Officiële bron:Garante per la protezione dei dati personali — besluitenOfficiële bron:Federprivacy — E-mailmarketing: deadline 29 oktober om te voldoen aan de richtsnoeren over trackingpixelsOfficiële bron:Agenda Digitale — Trackingpixels in e-mail: zes maanden om in orde te komenZoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
