De Franse privacytoezichthouder CNIL wil dat bedrijven en organisaties die gebruikmaken van trackingpixels in e-mail eerst verplicht toestemming hiervoor van geadresseerden krijgen. Alleen in een aantal randgevallen is deze verplichte toestemming niet nodig. CNIL heeft een conceptvoorstel hiervoor gepubliceerd waarop partijen tot 24 juli dit jaar kunnen reageren.

Volgens de Franse privacytoezichthouder worden trackingpixels in e-mail steeds vaker toegepast. De pixels maken het mogelijk om te zien wanneer iemand een bericht opent, op wat voor apparaat en nog veel meer. Dit maakt het onder andere mogelijk om profielen aan te leggen, communicatie te personaliseren en prestaties te meten. CNIL stelt dat het een groeiend aantal klachten van burgers over deze trackingpraktijk ontvangt.

Na overleg met professionals en maatschappelijke organisaties heeft CNIL nu een conceptvoorstel opgesteld. Daarin staat dat er geen trackingpixels mogen worden gebruikt als de gebruiker niet eerst vrije, geïnformeerde toestemming heeft gegeven. Het gaat dan om het gebruik van pixels voor het individueel meten van geopende e-mails, het personaliseren van berichten, het aanpassen van het aantal verstuurde berichten, het aanleggen van profielen en fraudedetectie.

In een aantal gevallen is het vragen van toestemming niet verplicht. Het gaat dan om beveiligingsmaatregelen met betrekking tot het authenticeren van gebruikers, bijvoorbeeld om te kijken of een e-mail met een wachtwoordresetlink op een bekend apparaat van de gebruiker is geopend. Daarnaast mogen pixels worden gebruikt om de algehele statistieken te verzamelen over het openen van de mailing. Het moet hier gaan om geanonimiseerde data die niet naar individuele metingen is te herleiden. Daarnaast geldt deze uitzondering alleen voor e-mails die gebruikers zelf hebben aangevraagd.

Om de toestemming te regelen adviseert de Franse privacytoezichthouder dat organisaties dit duidelijk vermelden als gebruikers zich bijvoorbeeld ergens aanmelden en dan toestemming te vragen. In het geval dit niet mogelijk is moet de dataverwerker eerst een e-mail zonder trackingpixel sturen waarin de betreffende gebruiker om toestemming wordt gevraagd.