Pixels de rastreamento, reguladores da UE e você: um guia para pessoas tranquilas sobre o que acabou de acontecer 

20 de agosto de 2026

Esta publicação do blog é fornecida apenas para fins informativos gerais e não constitui aconselhamento jurídico. O cenário regulatório em torno do rastreamento de e-mail está evoluindo, e a aplicação das regras de ePrivacy e GDPR dependerá de suas circunstâncias específicas, incluindo as jurisdições nas quais você opera e a natureza de seus programas de e-mail. Recomendamos consultar um consultor jurídico qualificado antes de fazer alterações em suas práticas de rastreamento ou fluxos de consentimento. 
 

Que a força esteja com você; esta postagem é densa, mas prometo que as informações são sólidas. Eu verifiquei três vezes com nossos advogados.

Não esta semana. Mas deve estar em seu roteiro, e não apenas na sua lista de “algum dia”. 

Em março e abril de 2026, os reguladores na França (CNIL) e Itália (o Garante) publicaram diretrizes sobre o uso de pixels de rastreamento em e-mail. Estas não são leis novas. São esclarecimentos de regras existentes, principalmente a Diretiva de ePrivacy (a mesma estrutura por trás dos banners de consentimento de cookies), junto com o GDPR, que se aplicam a pixels de rastreamento em e-mail. 

A mensagem não é simplesmente “pare o rastreamento”. É: justifique o rastreamento, limite-o e, em muitos casos, obtenha consentimento para ele. 

Tanto a CNIL quanto o Garante partem da mesma premissa: os pixels de rastreamento acessam informações do dispositivo de um usuário e essa atividade se enquadra nas regras de ePrivacy. Isso significa que o consentimento é exigido, a menos que uma isenção específica se aplique. 

Se isso soa familiar, deveria. O e-mail está apenas alcançando o ponto em que o rastreamento da web tem estado por anos. A festa já acontece há algum tempo. O e-mail está chegando elegantemente, embora com relutância, atrasado. 

Ambos os reguladores reconhecem o que o setor tem chamado de ‘isenção de entregabilidade’. Embora este não seja um termo jurídico formal, ambos os reguladores reconhecem que certos usos limitados e com propósitos específicos do rastreamento de aberturas se enquadram nas isenções da ePrivacy. 

A CNIL permite o rastreamento de aberturas em nível individual sem consentimento, mas apenas para fins de entregabilidade estritamente definidos:  

• Identificar destinatários inativos 

• Gerenciar listas de supressão 

• Limpar bancos de dados 

As restrições são reais: armazene o mínimo de dados (data da última abertura, não o histórico completo de engajamento), não reaproveite isso para marketing ou análises e aplique-o apenas a e-mails que o destinatário solicitou ou consentiu em receber. 

O Garante assume uma posição significativamente diferente. A isenção livre de consentimento é geralmente limitada a estatísticas agregadas e anonimizadas; um pixel compartilhado por campanha, não um rastreamento por destinatário, com endereços IP e identificadores técnicos anonimizados. O rastreamento de aberturas em nível individual normalmente requer consentimento, fora de casos de uso específicos de segurança e autenticação. 

A maioria dos modelos padrão de rastreamento de ESP (incluindo os nossos) gera eventos de abertura por destinatário por padrão. Essa arquitetura atende à isenção de entregabilidade da CNIL, quando o remetente implementa controles apropriados de minimização de dados, limitação de finalidade e retenção. Se a isenção se aplica em um determinado caso, depende de como os dados são usados, bem como de como são coletados.  

No entanto, o rastreamento de eventos de abertura por destinatário não atende aos requisitos do Garante sem alterações mais significativas. 

Se suas análises dependem de sinais individuais de engajamento, você está no território de consentimento na Itália. 

1. Consentimento para enviar e-mail não é o mesmo que consentimento para rastreá-lo. 

Isso é o que pega as pessoas desprevenidas, então tem sua própria seção. 

Você pode ter uma base legal válida para enviar e-mails de marketing, e-mails transacionais e até mensagens de serviço de rotina, e ainda precisar de consentimento separado para usar pixels de rastreamento nelas. Sim, até e-mails transacionais. O requisito de consentimento se aplica ao pixel, não à mensagem na qual ele é inserido. 

A CNIL é explícita sobre isso: o consentimento para rastreamento pode ser exigido mesmo quando o próprio e-mail não requer consentimento. Em alguns casos, estes podem ser agrupados em uma única solicitação claramente descrita, mas a suposição padrão de que “eles se inscreveram, então podemos rastreá-los” não é segura. 

2. Um contrato sozinho não prova consentimento. 

Se a sua lista incluir contatos alugados, endereços obtidos de parceiros, leads de afiliados ou dados importados de qualquer lugar fora dos seus próprios fluxos de inscrição, esta é para você. 

A CNIL exige que o consentimento seja demonstrável para cada destinatário individual; quem consentiu, quando e sob quais condições. Uma cláusula de contrato afirmando que um parceiro coletou o consentimento em seu nome é uma parte importante da sua estrutura de responsabilidade, mas não é suficiente por si só. Se você não pode apresentar evidências de que cada destinatário individual específico realmente deu consentimento informado, você não o possui. Vale a pena ter uma conversa com sua equipe jurídica sobre isso, especialmente se sua lista tiver origens mistas. Também não custaria garantir que você esteja em conformidade com a política de uso aceitável do seu ESP, uma vez que esses leads podem estar contra as regras deles desde o início. 

Ambos os reguladores afirmam que a retirada do consentimento deve ser fácil, incluindo para e-mails que já estão na caixa de entrada de alguém. 

Eis o que isso realmente significa. Um usuário retira o consentimento hoje. Amanhã, ele abre um e-mail que você enviou há três meses. O pixel carrega. A expectativa é que você não registre isso como um evento de abertura identificável. Resta saber quão estritamente isso será aplicado na prática, mas a retirada do consentimento deve entrar em vigor quando o usuário solicitar, inclusive para e-mails enviados anteriormente. 

Isso exige que o endpoint do seu pixel verifique o status do consentimento dinamicamente no momento de cada abertura, e ajuste seu comportamento de acordo; registrando o evento para destinatários que consentiram e não o registrando para aqueles que o retiraram. A imagem ainda carrega de qualquer forma, mas o seu comportamento de rastreamento precisa mudar. 

Você não pode mudar isso com um botão em sua plataforma de envio. Trata-se de uma infraestrutura de pixels com reconhecimento de consentimento e a maioria dos sistemas de e-mail (incluindo o nosso e quase todos os ESP no mercado) não foi inicialmente construída dessa forma. A lacuna entre a arquitetura atual e o que essa orientação implica é real e preenchê-la não é uma tarefa fácil. 

A isenção de entregabilidade, mesmo na forma mais permissiva da França, pressupõe que os dados de abertura sejam um sinal útil para identificar destinatários inativos. Mas o rastreamento de aberturas tem sido poluído por anos. 

A proteção de privacidade do Apple Mail (entre outras) faz o pré-carregamento de imagens, gerando aberturas que podem não ter nada a ver com um humano lendo um e-mail. Os gateways de segurança examinam as mensagens e ativam o gatilho de carregamento de pixels automaticamente. Os filtros de spam e bots geram atividade antes que um destinatário veja a mensagem em sua caixa de entrada. 

Isso cria uma tensão genuína nas diretrizes. Os reguladores dizem que você pode usar aberturas para suprimir usuários inativos sem consentimento, mas as aberturas cada vez mais não são sinais humanos. E as técnicas necessárias para filtrar a atividade não humana podem exigir, elas mesmas, o tipo de processamento em nível individual que necessita de consentimento. 

É um ciclo vicioso, você precisa de dados mais limpos para estar em compliance, mas a limpeza dos dados pode exigir consentimento. Os reguladores ainda não abordaram totalmente isso, e essa lacuna é importante. Estamos observando de perto. 

Não inúteis, mas menos confiáveis, e provavelmente menos confiáveis do que você gostaria. 

Se o rastreamento de aberturas for bloqueado por consentimento, você verá apenas dados de destinatários que optaram por ser rastreados. Essa população provavelmente será pequena e autosselecionada, inclinada para os seus assinantes mais engajados, o que a torna estatisticamente não confiável para tirar conclusões sobre o seu público mais amplo. Sobreponha a isso as aberturas geradas por máquinas, e você obterá métricas que são simultaneamente tendenciosas e inflacionadas. 

Na prática, isso afeta as automações baseadas em abertura, fluxos de reengajamento, testes de linha de assunto, segmentação, lógica de personalização e pontuação de engajamento. Nenhum deles vai quebrar da noite para o dia. Mas se o seu programa depende muito de dados de aberturas, vale a pena auditar quais decisões seriam prejudicadas se esse sinal se tornasse mais estreito e ruidoso do que já é. 

Isso pode parecer que algo novo está sendo tirado. Na verdade, é uma aceleração de algo que já estava em andamento. As aberturas já estavam ficando barulhentas. Agora, estão se tornando seletivas e barulhentas. Os programas que menos sentirão isso são aqueles que já vêm construindo com base em cliques, conversões, respostas e ações explícitas do usuário de qualquer forma. 

Possivelmente! E talvez para a UE em geral com o tempo. 

As estruturas francesa e italiana não são as mesmas, e uma abordagem alinhada com a CNIL pode não satisfazer os requisitos italianos. Para remetentes com uma concentração de público significativa em ambos os mercados, tratá-los de forma idêntica cria uma exposição ao risco. 

Para muitos remetentes, o caminho mais limpo é alinhar-se ao padrão mais rigoroso em todos os envios da UE. Isso reduz a fragmentação, reduz o risco de ficar preso entre dois alvos móveis e posiciona você razoavelmente bem se outros reguladores da UE publicarem diretrizes semelhantes, o que, dado que tanto a CNIL quanto o Garante estão se baseando na mesma estrutura do EDPB, é uma previsão razoavelmente segura. 

Este blog foca nas orientações recentes da CNIL e do Garante, mas princípios semelhantes se aplicam a outras jurisdições. No Reino Unido, o PECR e as diretrizes da ICO impõem requisitos comparáveis para tecnologias do tipo cookie, incluindo pixels de rastreamento. Remetentes com públicos no Canadá, nos EUA ou em outros mercados também devem considerar suas obrigações sob a CASL, o CAN-SPAM e as emergentes leis de privacidade estaduais. A tendência para uma maior transparência e consentimento no rastreamento digital não se limita à UE. 

Se o seu programa se apoia no rastreamento de aberturas — e a maioria o faz, para pontuação de engajamento, fluxos de reconquista ou simplesmente para a apresentação de relatórios das taxas de abertura aos stakeholders — aqui está o que mudou e como isso afeta seus envios:

• O consentimento de marketing e o consentimento de rastreamento são agora duas caixas diferentes a serem marcadas, e não uma só. Na França, eles devem ser coletados separadamente. A Itália permite que eles sejam agrupados quando o propósito for idêntico, mas o mecanismo de revogação ainda deve oferecer o opt-out apenas de rastreamento como uma opção distinta e igualmente fácil em relação ao cancelamento de inscrição completo. 

• O e-mail transacional não está automaticamente isento. O consentimento implícito para receber um recibo ou redefinição de senha não se estende ao consentimento para ser rastreado ao abri-lo. 

• O silêncio não é consentimento. Se um destinatário não responder à sua solicitação de consentimento, a CNIL e o Garante tratam isso como um “não”, não um talvez. 

• As poucas isenções que existem — coisas como o monitoramento básico da entregabilidade ou a identificação de contatos genuinamente inativos para a higienização de lista — só se sustentam se os dados coletados forem estritamente limitados a esse fim. 

Nada disso significa que você tem que desistir de medir o engajamento. Isso significa que a medição agora precisa ser baseada em um público que deu seu consentimento, e a sua lógica de envio precisa de uma forma de diferenciar entre um destinatário que optou por participar e um que não optou. 

Como sua plataforma de envio, o Sinch Mailgun e o Mailjet operam como operadores de dados. Na estrutura da CNIL, nós somos o “provedor de serviços de e-mail”. Você, o remetente, é o controlador de dados. 

Isso significa que a obrigação de coletar, armazenar e demonstrar o consentimento do destinatário recai sobre você, não porque estamos fugindo da responsabilidade, mas porque é você quem tem o relacionamento com o destinatário. Você sabe o que o seu formulário de inscrição dizia. Você sabe de onde se originaram esses endereços. Nós não. 

O que podemos fazer: fornecer controles flexíveis de rastreamento no nível do domínio e da mensagem, documentar como nossos sistemas funcionam e evoluir nossa plataforma à medida que esse espaço se desenvolve. Nossas equipes jurídica, de produto e de entregabilidade estão monitorando ativamente as diretrizes emitidas sobre este tópico, e nos comunicaremos claramente antes de fazer quaisquer alterações no comportamento da plataforma. 

O que não podemos fazer: saber se os seus destinatários deram consentimento para o rastreamento, a menos que você nos informe. Qualquer comportamento futuro com reconhecimento de consentimento em nível de plataforma depende desse sinal vindo de você. Isso não é uma limitação da plataforma que podemos contornar, mas sim uma realidade estrutural de como o GDPR e a ePrivacy atribuem responsabilidades. Da mesma forma, a decisão de ativar ou desativar o rastreamento para o tráfego de e-mail que você envia é sua.  

O Mailgun não está em posição de lhe dizer quem deu ou não consentimento para ser rastreado — esse status reside em seu próprio CRM ou fluxo de inscrição, e descobrir quem está no escopo é uma decisão que cabe a você e à sua equipe de privacidade. O que podemos oferecer é a alavanca para agir sobre essa decisão, por mensagem, no horário de envio. 

A Send API do Mailgun oferece suporte a substituições de rastreamento no nível da mensagem individual — o:tracking, o:tracking-opens, e o:tracking-clicks — que ficam junto com as configurações de rastreamento padrão do seu domínio. Na prática, isso significa que você pode manter um padrão consistente em todo o seu domínio enquanto desativa o rastreamento exatamente para os destinatários que precisam disso: 

• Mantenha um atributo de consentimento de rastreamento em cada contato, logo ao lado do seu campo de consentimento de marketing existente. 

• Quando você enviar, passe o:tracking-opens=no (e o:tracking-clicks=no, se a sua política se estender aos cliques) para qualquer destinatário que não deu consentimento ou que retirou o consentimento. 

• Deixe o rastreamento ativado normalmente para todos que optaram por participar. 

É uma pequena mudança na sua lógica de envio que se mapeia diretamente para o modelo “separado, revogável, por destinatário” que ambos os reguladores estão pedindo — sem exigir que você reconstrua seu pipeline de envio ou mantenha uma segunda versão sem rastreamento de cada campanha. 

Este é o momento para se organizar, não ser reativo. 

Audite o seu uso de dados de abertura. Mapeie onde as aberturas alimentam os seus sistemas, incluindo gatilhos de automação, painéis de análises, segmentação, personalização e decisões de entregabilidade. Entenda o que se degradaria se esse sinal se tornasse restrito por consentimento ou até mais limitado. 

Revise os seus fluxos de consentimento e a documentação de privacidade. Os formulários de inscrição mencionam o rastreamento? A sua política de privacidade o descreve claramente? A CNIL recomenda que o consentimento para o rastreamento por pixel seja coletado no momento da captura do endereço de e-mail, quando possível. 

Observe de onde a sua lista veio. Para qualquer endereço que não veio por meio de seus próprios formulários e fluxos, como alugado, co-registrado ou fornecido por parceiro, pergunte se você pode provar o consentimento individual. Um contrato não é suficiente por si só. (E, como sempre, você também precisa estar em conformidade com as  políticas do seu ESP também) 

Identifique a sua exposição na UE. A França e a Itália têm os planos de fiscalização mais imediatos. Se você tem envios significativos para qualquer um dos mercados, eles são a sua prioridade. 

Decida se deseja habilitar ou desabilitar o rastreamento. Desabilitar todo o rastreamento de aberturas pode criar problemas operacionais sem melhorar o seu posicionamento de compliance – a única maneira de saber é examinar o seu uso da informação. Entenda o quadro completo do que as diretrizes recentes significam para você primeiro, depois aja. 

Isso não é o fim do rastreamento de e-mail completamente, mas é um sinal de que o e-mail está mudando para o mesmo modelo sob o qual o rastreamento da web tem operado há anos: propósito mais claro, mais transparência, mais controle do usuário. 

A diferença é o momento. O rastreamento da web teve que reagir ao regulamento após o fato. O e-mail consegue se preparar, e essa é uma posição genuinamente melhor para se estar. 

Essa mudança já estava acontecendo. Entre a proteção de privacidade do Apple Mail, a varredura de segurança e o comportamento em evolução da caixa de entrada, as taxas de abertura já estavam perdendo a confiabilidade muito antes de qualquer regulador intervir. Esta diretriz torna isso oficial: o futuro do engajamento por e-mail são os sinais intencionais, não os passivos. Cliques. Conversões. Respostas. Ações que significam algo quando acontecem. 

Não há campanhas de fiscalização hoje, mas a direção é clara, a lacuna entre o modo como o rastreamento de e-mail funciona atualmente e como os reguladores esperam que funcione é real, e fechar essa lacuna exigirá tempo, coordenação e uma reformulação arquitetônica. 

A boa notícia é que você pode prever isso. 

Esse é um lugar muito melhor para se estar do que descobrir depois do fato.