Den osynliga pixeln i nyhetsbrevet: den 29 oktober är tiden ute

Det är värt att förklara vad saken gäller, för det tekniska namnet döljer något mycket enkelt. Spårpixeln är en osynlig bild, stor som en punkt, som ditt e-postmeddelande laddar från en server när mottagaren öppnar det. Den laddningen talar om för avsändaren att meddelandet öppnats, när, från vilken IP-adress och ofta med vilken enhet. Ingen ser den och ingen ber om den: den har funnits i tjugo år, i nästan varje nyhetsbrev i världen, och i tjugo år behandlades den som en ofarlig statistik.

Den rättsliga poängen är att ofarlig är den inte. Att läsa och skriva information i någons utrustning är just den åtgärd som e-dataskyddsdirektivet underställer samtycke: samma regel som för kakor, och den säger inte «kakor», den säger lagring och åtkomst. Pixeln lägger inte ned något, men hämtar en uppgift från mottagarens terminal i samma stund som denne öppnar meddelandet, och resultatet för den registrerade är detsamma. Det är, på två rader, skälet till att en tjugo år gammal vana byter status.

• Det finns inget förbud: beslutet förbjuder inte pixlar, det kräver att de vilar på en grund och att de redovisas.
• Individuell spårning av öppningar för marknadsföringsändamål kräver mottagarens samtycke, med förbehåll för särskilda undantag.
• Samtycke till spårning får i vissa fall inhämtas tillsammans med samtycket till e-posten, men bara om användaren är tydligt informerad och sedan kan stänga av ENBART spårningen och fortsätta få meddelandena.
• För befintliga listor behövs ingen kampanj för förnyat samtycke: man uppdaterar informationen och meddelar prenumeranterna om användningen av pixlar och om rätten att återkalla.
• Informationen måste säga att pixeln finns, vad den samlar in och hur länge uppgifterna sparas: «navigeringsdata» duger inte, eftersom det inte är navigering.

Sedan finns en åtskillnad som bör hållas fast, för den skiljer två behandlingar som plattformarna visar på samma skärm. Att veta hur många av tusen e-postmeddelanden som öppnats är en sak; att veta att Maria Rossi öppnade ditt meddelande på tisdagen klockan 9.14 och igen på torsdagen är en annan. Det första är en aggregerad uppgift, det andra en personuppgift som med tiden bygger en profil över när en person läser, varifrån och hur ofta. Beslutet ser till det andra, och de flesta instrumentpaneler för e-postmarknadsföring gör det andra som standard.

För dataskyddsombudet hos en klient som skickar nyhetsbrev finns fyra saker att kontrollera före den 29:e, och ingen av dem kräver ett projekt: om plattformen använder pixlar och med vilken detaljnivå; om informationen nämner dem; om det inhämtade samtycket även täcker spårningen eller bara utskicket; och om det finns ett sätt att stänga av spårningen för den som ber om det, utan att ta bort personen ur listan. Den fjärde är den som brukar saknas, och den enda som inte löses genom att skriva om en text.

En sista anmärkning om räckvidden, för beslutet är italienskt men problemet är det inte. Den materiella regeln är artikel 5.3 i e-dataskyddsdirektivet, genomfört i alla medlemsstater: myndigheter i andra länder kan komma till andra slutsatser i detaljerna, men grundresonemanget — en pixel som läser från utrustningen är lagring och åtkomst — är ingen italiensk specialitet. Den som sköter prenumerantlistor i flera länder gör klokt i att inte behandla detta som en lokal formalitet.