Den usynlige pikselen i nyhetsbrevet: 29. oktober går tiden ut

Det er verdt å forklare hva dette dreier seg om, for det tekniske navnet skjuler noe veldig enkelt. Sporingspikselen er et usynlig bilde, stort som et punkt, som e-posten din laster fra en tjener når mottakeren åpner den. Den lastingen forteller avsenderen at e-posten ble åpnet, når, fra hvilken IP-adresse og ofte med hvilken enhet. Ingen ser den og ingen ber om den: den har vært der i tjue år, i nesten hvert nyhetsbrev i verden, og i tjue år ble den behandlet som en harmløs statistikk.

Det rettslige poenget er at harmløs er den ikke. Å lese og skrive informasjon på noens enhet er nettopp den operasjonen kommunikasjonsverndirektivet underlegger samtykke: samme regel som for informasjonskapsler, og den sier ikke «informasjonskapsler», den sier lagring og tilgang. Pikselen legger ikke igjen noe, men henter en opplysning fra mottakerens terminal i det øyeblikket vedkommende åpner den, og resultatet for den registrerte er identisk. Det er, på to linjer, grunnen til at en tjue år gammel vane skifter status.

• Det er ikke noe forbud: vedtaket forbyr ikke piksler, det krever at de hviler på et grunnlag og at de oppgis.
• Individuell sporing av åpninger for markedsføringsformål krever mottakerens samtykke, med forbehold om særskilte unntak.
• Samtykke til sporing kan i noen tilfeller innhentes sammen med samtykket til e-postene, men bare dersom brukeren er klart informert og senere kan slå av BARE sporingen og fortsatt motta meldingene.
• For eksisterende lister trengs ingen ny samtykkekampanje: man oppdaterer erklæringen og varsler abonnentene om bruken av piksler og om retten til å trekke tilbake.
• Erklæringen må si at pikselen finnes, hva den samler inn og hvor lenge dataene lagres: «navigasjonsdata» holder ikke, for det er ikke navigasjon.

Så er det et skille som bør holdes fast, for det skiller to behandlinger som plattformene viser på samme skjerm. Å vite hvor mange av tusen e-poster som ble åpnet er én ting; å vite at Maria Rossi åpnet e-posten din tirsdag klokken 9.14 og så igjen torsdag er noe annet. Det første er en aggregert opplysning, det andre en personopplysning som over tid bygger en profil av når en person leser, hvorfra og hvor ofte. Vedtaket ser på det andre, og de fleste e-postmarkedsføringspaneler gjør det andre som standard.

For personvernombudet til en klient som sender nyhetsbrev er det fire ting å sjekke før den 29., og ingen av dem krever et prosjekt: om plattformen bruker piksler og med hvilken oppløsning; om erklæringen nevner dem; om samtykket som er innhentet også dekker sporingen eller bare utsendingen; og om det finnes en måte å slå av sporingen for den som ber om det, uten å fjerne vedkommende fra listen. Den fjerde er den som vanligvis mangler, og den eneste som ikke løses ved å skrive om en tekst.

En siste merknad om rekkevidden, for vedtaket er italiensk, men problemet er det ikke. Den materielle regelen er artikkel 5 nr. 3 i kommunikasjonsverndirektivet, gjennomført i alle medlemsstater: tilsyn i andre land kan komme til andre konklusjoner i detaljene, men grunnresonnementet — en piksel som leser fra enheten er lagring og tilgang — er ingen italiensk spesialitet. Den som driver abonnentlister i flere land, gjør klokt i ikke å behandle dette som en lokal formalitet.