Tracking pixels in e-mail: CNIL eist toestemming, Lettermint regelt het per e-mail.

Open-tracking in marketinge-mail mag straks niet meer zomaar. De Franse CNIL eist sinds 14 april 2026 expliciete toestemming voor tracking pixels en de richting is EU-breed. Wij lossen het op met Lettermint uit Zwolle, dat sinds 28 april 2026 per-e-mail tracking-controle biedt via API en SMTP-headers — Nederlandse infrastructuur, geen Cloud Act-blootstelling.

Wat de CNIL op 14 april 2026 publiceerde over tracking pixels

Een tracking pixel is een onzichtbaar afbeeldingsbestand van 1 bij 1 pixel dat in de HTML van een e-mail wordt opgenomen. Zodra de ontvanger de e-mail opent en afbeeldingen laadt, vraagt zijn mailclient die pixel op bij de server van de afzender. De bestandsnaam bevat een unieke identifier voor de ontvanger, waardoor de afzender kan registreren wíé wanneer welke e-mail heeft geopend, vanaf welk IP-adres en met welke client. Op die manier ontstaan open rates, klikrapportages en gedragsprofielen — en juist die laatste hebben de aandacht van de toezichthouders.

Op 14 april 2026 publiceerde de Franse privacytoezichthouder CNIL een formele aanbeveling over deze techniek (bron). De CNIL stelt dat het laden van een tracking pixel met een persoonlijke identifier juridisch gelijkstaat aan het lezen of schrijven van informatie op het apparaat van de gebruiker. Daarmee valt de techniek onder artikel 82 van de Loi Informatique et Libertés — de Franse implementatie van de Europese ePrivacy-richtlijn — en daarmee onder dezelfde regels die ook voor cookies gelden.

De aanbeveling heeft drie kerndoelen: de rollen en verplichtingen per betrokken partij verduidelijken, een helder onderscheid maken tussen pixels die wel en die geen toestemming vereisen, en praktische richtlijnen geven voor het verzamelen en intrekken van toestemming. De CNIL sluit hiermee aan bij de bredere EDPB-richtlijnen over trackers in e-mail die eerder in 2023 zijn gepubliceerd.

Wanneer is toestemming wel of niet vereist

De aanbeveling maakt een scherp onderscheid op basis van het doel van de e-mail. Voor sommige verwerkingen geldt een vrijstelling, voor andere is expliciete opt-in nodig. Het type e-mail bepaalt het regime — niet de aanwezigheid van de pixel zelf.

Voor bestaande verzendlijsten geldt een overgangsperiode van drie maanden om ontvangers actief te informeren en hen de gelegenheid te geven hun voorkeur aan te passen. Wie na die periode nog steeds zonder toestemming tracking pixels gebruikt in marketinge-mail, loopt het risico op handhaving.

Wat dit betekent voor Nederlandse afzenders

De aanbeveling komt uit Frankrijk, maar de praktische impact is grensoverschrijdend. Drie redenen waarom Nederlandse afzenders niet kunnen achterleunen:

• Direct toepasselijk bij Franse ontvangers. Stuur je nieuwsbrieven of productupdates naar adressen in Frankrijk, dan val je onder de bevoegdheid van de CNIL. De Franse toezichthouder is een van de meest actieve in Europa en heeft een geschiedenis van aanzienlijke boetes voor tracker-overtredingen.
• Richtinggevend voor de hele EU. De aanbeveling bouwt voort op de EDPB-richtlijnen die voor alle lidstaten gelden. De Autoriteit Persoonsgegevens hanteert dezelfde juridische lijn rond ePrivacy en cookies; het is een kwestie van tijd voordat ook Nederlandse handhaving deze interpretatie expliciet maakt.
• One-size-fits-all tracking is niet meer houdbaar. Veel Nederlandse mailplatforms zetten open-tracking standaard aan voor alle uitgaande mail. Zonder een mechanisme om dit per ontvanger uit te schakelen op basis van toestemming, ben je technisch niet in staat compliant te verzenden.

Daar komt bij dat zakelijke opdrachtgevers — vooral in de zorg, overheid, financiële sector en het onderwijs — al langer eisen dat je hun gegevens niet zonder grondslag verwerkt. Voor hen is "we trekken het overal op" nooit een acceptabel antwoord geweest. De CNIL-aanbeveling formaliseert nu wat in de praktijk al beleid was bij volwassen privacyteams.

De technische oplossing: tracking per e-mail aan/uit met Lettermint

Op 28 april 2026 — twee weken na de CNIL-aanbeveling — voegde Lettermint een feature toe waarmee je open- en click-tracking per individuele e-mail kunt overschrijven, ongeacht de standaardinstelling van je verzendroute (bron). De timing is geen toeval: Lettermint is een Nederlands platform en ziet de bewegingen op privacygebied scherper aankomen dan veel Amerikaanse aanbieders.

Via de API geef je de tracking-instellingen mee in een settings-object in de JSON-payload:

{
  "from": "noreply@jouwbedrijf.nl",
  "to": ["ontvanger@example.com"],
  "subject": "Je weekoverzicht",
  "html": "<p>Hier is wat er deze week gebeurde.</p>",
  "settings": {
    "track_opens": false,
    "track_clicks": false
  }
}

Verstuur je via SMTP — bijvoorbeeld vanuit Laravel met de standaard mail-driver — dan zet je twee custom headers op het bericht:

X-LM-Override-Track-Opens: false
X-LM-Override-Track-Clicks: false

Beide methoden hebben voorrang boven de globale route-instelling. Je kunt je verzendroute dus standaard op "tracking aan" laten staan voor de marketinglijn waar je opt-in hebt, en per individuele e-mail uitschakelen voor ontvangers die geen toestemming hebben gegeven. Of — wat wij meestal adviseren — je draait het om: zet route-tracking standaard uit en schakel het per e-mail aan voor ontvangers met expliciete toestemming. Dat is een opt-in model en past bij de letterlijke interpretatie van de CNIL.

Pro-tip: Lettermint detecteert ook of een open afkomstig is van Apple Mail Privacy Protection (die alle pixels prefetcht namens de gebruiker). Die opens worden niet als echte opens geteld, wat zowel je rapportages eerlijk houdt als voorkomt dat je per ongeluk tracking-data baseert op door Apple geforceerde requests.

Waarom wij voor Lettermint uit Zwolle kiezen

Sinds 2026 is Lettermint onze standaard voor alle transactionele en niet-transactionele e-mail uit de maatwerk applicaties die wij bouwen. Daarvoor gebruikten wij — net als veel collega's in de Laravel-wereld — Postmark of Mailgun. De overstap was bewust en heeft drie redenen.

• EU-soevereiniteit. Lettermint is een Nederlands bedrijf met Europese infrastructuur. Data wordt niet doorgesluisd naar de Verenigde Staten en is niet onderworpen aan de Cloud Act, die Amerikaanse autoriteiten toegang geeft tot data van Amerikaanse bedrijven, ongeacht waar die data fysiek staat. Voor opdrachtgevers in de publieke sector, zorg en finance is dat steeds vaker een aanbestedingseis — en wij willen niet dat onze leverancierskeuze die deals blokkeert.
• Privacyfeatures gaan voor groei-features. De per-e-mail tracking-toggle is exemplarisch. Waar Amerikaanse aanbieders eerst inzetten op meer features voor groei (warmup-pools, klikheatmaps, AI-rewrites), prioriteert Lettermint compliance-functionaliteit die je in een AVG-omgeving daadwerkelijk nodig hebt.
• Korte lijnen, Nederlandse support. Wij krijgen technische vragen beantwoord in het Nederlands, vaak binnen een werkdag. Voor klanten met juridische vragen over verwerkersovereenkomsten en sub-processors maakt dat een groot verschil ten opzichte van Amerikaanse helpdesks.

Hoe wij de bredere EU-soevereine mail-stack opbouwen — inclusief eigen domein, Proton Mail voor inbox en backup-routes — staat in ons artikel over e-mailhosting met Proton Mail.

Een mailprovider is geen utility maar een verwerker. Wie data verwerkt voor jouw klanten, moet onder dezelfde wetgeving en hetzelfde toezicht vallen als jij. Anders schuif je je risico door naar je opdrachtgevers — en dat merkt het juridisch team van een grote klant altijd.

Praktisch implementatieplan voor jouw e-mailflow

De CNIL-aanbeveling vraagt méér dan een technische schakelaar. Je moet aantoonbaar maken dat je tracking alleen toepast op basis van vastgelegde toestemming, dat je intrekkingen direct verwerkt en dat je een audit trail kunt overleggen. Dit is een werkbaar stappenplan om je flow te brengen naar het niveau dat de aanbeveling vraagt.

1. Capture toestemming op het juiste moment. Voeg in elk inschrijfformulier (nieuwsbrief, account-aanmaak, lead magnet) een aparte, onbevinkte checkbox toe voor open- en klikmeting. De wettekst en CNIL-richtlijnen verbieden gebundelde toestemming met algemene voorwaarden. Houd de tekst kort en specifiek, bijvoorbeeld: "Ik geef toestemming voor het meten van opens en kliks zodat jullie mij relevantere e-mails kunnen sturen."
2. Sla toestemming versioned op in je database. Bewaar per gebruiker: de exacte tekst van de toestemming, het moment, het IP-adres en de versie van het formulier. Dit is je bewijs richting toezichthouder. Een eenvoudige email_tracking_consents-tabel met deze velden volstaat.
3. Vertaal toestemming naar verzendinstellingen. Bij elke uitgaande mail haal je de meest recente toestemming op en zet je de tracking-flags daarop. In Laravel ziet dat er ongeveer zo uit:

Mail::to($user)
    ->send((new WeeklyDigestMail($user))
        ->withSymfonyMessage(function ($message) use ($user) {
            $consent = $user->latestEmailTrackingConsent;
            $tracksOpens = $consent && $consent->allows_opens;
            $tracksClicks = $consent && $consent->allows_clicks;

            $message->getHeaders()->addTextHeader(
                'X-LM-Override-Track-Opens',
                $tracksOpens ? 'true' : 'false'
            );
            $message->getHeaders()->addTextHeader(
                'X-LM-Override-Track-Clicks',
                $tracksClicks ? 'true' : 'false'
            );
        }));

4. Verwerk intrekkingen direct. Een ontvanger die zijn toestemming intrekt — via een voorkeurscentrum, via een unsubscribe-link of via een e-mail aan je AVG-postbus — moet direct effect zien. Schrijf een database-trigger of een eenvoudige observer die toekomstige verzendingen automatisch zonder tracking laat lopen.
5. Houd transactionele en marketingstromen gescheiden. Gebruik aparte Lettermint-routes voor transactioneel en marketing, zodat je nooit per ongeluk een marketing-pixel in een wachtwoord-resetmail krijgt. Laat de transactionele route standaard zonder tracking lopen — je hoeft het immers niet te meten.
6. Documenteer en review jaarlijks. Leg in je verwerkingsregister vast hoe de tracking-flow werkt, welke gegevens je opslaat en hoelang. Loop dit minstens één keer per jaar door en bij elke wijziging in AVG/GDPR voor webapplicaties.

Met deze flow voldoe je niet alleen aan de letter van de CNIL-aanbeveling, maar bouw je ook een kwalitatief betere lijst op: ontvangers die actief toestemming geven voor meting zijn doorgaans engageder dan ontvangers die het is opgedrongen. Open rates dalen op papier, maar de waarde per gemeten open stijgt.

E-mailflow laten bouwen of bestaande migreren?

Wij ontwerpen en bouwen e-mailflows voor maatwerk applicaties met privacy en compliance als ontwerpprincipe — niet als sluitpost. Of het nu gaat om een B2B SaaS-product met onboarding-sequenties of een gemeentelijk klantportaal met formele kennisgevingen: tracking, consent en audit zijn vanaf dag één onderdeel van het ontwerp.

Heb je een bestaande mailflow waar tracking standaard aan staat en wil je naar een opt-in model? Wij migreren je bestaande verzending naar Lettermint, bouwen het toestemmingsregister, integreren het in je CRM of Laravel-app en zorgen dat de overgangsperiode van drie maanden goed wordt benut. Neem contact op voor een vrijblijvend gesprek of bekijk onze maatwerk software expertisepagina.