Is e-mail tracking legaal? GDPR, CAN-SPAM en de regels in 2026

Is e-mail tracking legaal? In de meeste landen wel, zolang je je eigen uitgaande e-mails trackt met een legitieme zakelijke reden en je hier eerlijk over bent. De regels worden echter een stuk strenger bij marketingcampagnes gericht op ontvangers in de Europese Unie of het Verenigd Koninkrijk. Daar is namelijk vooraf toestemming nodig voor de tracking pixel zelf. Eén-op-één berichten, zoals een voorstel, factuur of follow-up, vallen vrijwel overal in de categorie met een laag risico. Dit is precies waarvoor een Gmail add-on zoals Mail Tracker is gebouwd.

Deze gids bespreekt wat de wetgeving daadwerkelijk zegt in de Verenigde Staten, de EU, Frankrijk, het VK en Canada. We bekijken waar de grens ligt tussen een zakelijke e-mail en een campagne, inclusief een handige checklist om e-mails in Gmail te tracken zonder de regels te overtreden. Let op: dit is algemene informatie en geen juridisch advies. Verstuur je grote campagnes, raadpleeg dan altijd een juridisch adviseur in het land van de ontvanger.

Belangrijkste punten

• Geen enkel land verbiedt e-mail tracking volledig. Wat per regio verschilt, is of de pixel toestemming vereist of alleen een vermelding.
• In de VS reguleert CAN-SPAM de e-mail, niet de pixel. Een federale uitspraak in Californië uit 2025 oordeelde dat een afzender zijn eigen marketing-e-mails niet kan afluisteren.
• In de EU en het VK wordt een tracking pixel in een marketing-e-mail behandeld als een cookie: voorafgaande toestemming is vereist, tenzij er een specifieke uitzondering geldt.
• De Franse privacywaakhond CNIL heeft in maart 2026 een specifieke aanbeveling aangenomen over e-mailpixels, met uitzonderingen voor afleverbaarheidscontroles en transactionele e-mails.
• De veiligste aanpak voor dagelijks gebruik van Gmail is één-op-één tracking met een zichtbare melding. Dit is hoe het gratis abonnement van Mail Tracker standaard werkt.

Het korte antwoord per regio

De wetgeving rondom e-mail tracking bestaat uit twee lagen. De eerste laag gaat over de e-mail zelf: naar wie mag je mailen, wat moet erin staan en hoe kunnen mensen zich afmelden. De tweede laag gaat over de tracking pixel in het bericht: een piepkleine afbeelding die een seintje geeft zodra deze wordt geladen. De meeste verwarring ontstaat door deze twee door elkaar te halen. De onderstaande tabel houdt ze daarom netjes gescheiden.

Als je maar één ding onthoudt, laat het dan dit zijn: een pixel in een één-op-één e-mail die je toch al mocht versturen, is een kwestie van informeren. Een pixel in een campagne gericht op Europese of Britse inboxen is een kwestie van toestemming vragen.

Wat een tracking pixel verzamelt en wat Gmail al verbergt

Een e-mail tracking pixel is een afbeelding van 1x1 pixel die wordt gehost op de server van de tracker. Wanneer het e-mailprogramma van de ontvanger de afbeelding laadt, registreert de server dit verzoek. Hierdoor weet de afzender dat het bericht is geopend, op welk moment en hoe vaak. Onze gids over e-mail tracking pixels legt de techniek hierachter in detail uit. De Britse toezichthouder omschrijft ditzelfde proces vanuit het perspectief van de ontvanger: veel marketing-e-mails bevatten pixels die “het tijdstip waarop een gebruiker een e-mail opende, de locatie en het besturingssysteem van het apparaat” vastleggen, aldus de richtlijnen voor direct marketing van de ICO.

Wat e-mailprogramma’s al blokkeren

E-mailprogramma’s beperken steeds vaker wat een pixel kan zien. Gmail laadt afbeeldingen via de eigen servers van Google nadat ze zijn gescand. Op de helppagina over afbeeldingen staat dat “afzenders het laden van afbeeldingen niet kunnen gebruiken om informatie over je computer of locatie te verkrijgen”. Wel geven ze toe dat “afzenders soms kunnen weten of je een e-mail met een afbeelding hebt geopend”. Apple gaat nog een stapje verder. Volgens de iPhone-gebruikershandleiding verbergt ‘Bescherm activiteit in Mail’ je IP-adres, “zodat afzenders dit niet kunnen koppelen aan je andere online activiteiten of je exacte locatie kunnen bepalen” en “voorkomt het dat afzenders kunnen zien of je de e-mail hebt geopend die ze je hebben gestuurd”.

De realistische dataset achter een open-melding is dus vrij klein: een open-gebeurtenis, een tijdstempel, het aantal keren geopend en bij sommige e-mailprogramma’s een ruwe inschatting van het apparaat of de locatie. Dit is echter nog steeds persoonsgegevens wanneer het gekoppeld is aan een specifiek persoon. Daarom zijn de onderstaande regionale regels van toepassing.

Verenigde Staten: CAN-SPAM dekt de e-mail, niet de pixel

Er is geen federale Amerikaanse wetgeving die specifiek is geschreven voor e-mail tracking pixels. De wet waar mensen vaak naar verwijzen, CAN-SPAM, gaat over het commerciële bericht zelf. De compliance gids van de FTC noemt zeven vereisten:

• Eerlijke headers: de velden Van, Aan en Antwoord-naar moeten duidelijk maken wie het bericht heeft verzonden.
• Eerlijke onderwerpregels: het onderwerp moet de inhoud weerspiegelen.
• Advertentievermelding: het bericht moet vermelden dat het om een advertentie gaat.
• Postadres: voeg een geldig fysiek postadres toe.
• Afmeldmethode: leg uit hoe men toekomstige marketing-e-mails kan stopzetten.
• Tijdige afmeldingen: verwerk een verzoek binnen 10 werkdagen.
• Verantwoordelijkheid van leveranciers: je kunt de naleving niet afschuiven op het bureau dat namens jou verzendt.

De gids stelt de boete op maximaal $53.088 per afzonderlijke e-mail die in overtreding is, en noemt tracking pixels helemaal niet. Als je aan koude acquisitie doet vanuit Gmail, gaat onze gids over B2B e-maillijsten dieper in op de CAN-SPAM regels hiervoor.

De wettigheid van pixels in de VS is in plaats daarvan getoetst onder afluisterwetten van staten, voornamelijk de California Invasion of Privacy Act. De meest geciteerde zaak viel in het voordeel van de afzender uit. In Ramos v. Gap, Inc. wees de federale rechtbank voor het noordelijke district van Californië op 29 juli 2025 claims over afluisteren via pixels in de marketing-e-mails van The Gap af, zonder mogelijkheid tot wijziging, aldus Inside Class Actions. Zoals Klein Moynihan Turco de uitspraak samenvatte: “The Gap kan per definitie zijn eigen communicatie niet afluisteren”, en open rates vormen niet de inhoud van een communicatie. Aanklagers blijven variaties op deze rechtszaken tegen retailers aanspannen. De praktische vuistregel voor de VS is dan ook: het tracken van je eigen e-mail is legaal, vermeld het in je privacybeleid, verzamel niet meer gegevens dan nodig is en zorg voor een goed werkende afmeldoptie.

Europese Unie: GDPR plus ePrivacy betekent toestemming voor marketingpixels

Er zijn hier twee Europese regels die elkaar overlappen. De GDPR is van toepassing omdat “deze specifieke persoon opende deze e-mail om 14:02 uur” informatie is over een identificeerbaar individu. Je hebt dus een wettelijke grondslag nodig, een privacyverklaring en een manier waarop mensen bezwaar kunnen maken. De ePrivacyrichtlijn is van toepassing omdat een pixel informatie opslaat of uitleest op het apparaat van de ontvanger. Artikel 5 lid 3 van die richtlijn vereist toestemming voor het opslaan of openen van informatie op het apparaat van een gebruiker, tenzij dit strikt noodzakelijk is voor een dienst waar de gebruiker om heeft gevraagd. De Richtlijnen 2/2023 over de technische reikwijdte van Artikel 5(3) van de European Data Protection Board, uitgebracht als definitieve versie 2.0 op 16 oktober 2024, laten zien hoe breed toezichthouders deze bepaling interpreteren.

Frankrijk: de aanbeveling van de CNIL uit 2026 over e-mailpixels

Frankrijk heeft dit principe omgezet in een concreet regelboek. Op 14 april 2026 publiceerde de CNIL de definitieve versie van haar aanbeveling over tracking pixels in e-mails, aangenomen bij beraadslaging nr. 2026-042 van 12 maart 2026 onder Artikel 82 van de Franse Wet bescherming persoonsgegevens. De belangrijkste punten voor afzenders zijn:

1. Toestemming is de regel voor pixels die worden gebruikt om content te personaliseren, doelgroepen te meten of profielen op te bouwen. De aanbeveling specificeert de gevallen waarin toestemming vereist is.
2. Afleverbaarheidscontroles zijn vrijgesteld, maar alleen voor e-mails die gekoppeld zijn aan een dienst waarom de ontvanger heeft gevraagd, uitsluitend om adressen op te sporen die niets meer openen, en met gegevens die “beperkt zijn tot wat strikt noodzakelijk is”.
3. Transactionele e-mails gelden als aangevraagde diensten: orderbevestigingen, facturen, verzendmeldingen, wachtwoordresets en beveiligingswaarschuwingen.
4. Bestaande lijsten krijgen drie maanden de tijd: afzenders die adressen gebruiken die voor de publicatie zijn verzameld, moeten ontvangers duidelijk informeren over het gebruik van pixels en bezwaar maken eenvoudig houden.
5. Inspecties zullen volgen: de CNIL geeft aan de naleving te zullen controleren in toekomstige audits.

Voor een individuele afzender gaat de les minder over campagnes en meer over gewoontes. De wet op papier maakt geen uitzondering voor één-op-één e-mails. Wat je risico bij een individueel bericht verlaagt, is de ontvanger informeren. Daarom is een zichtbare trackingmelding in Europa belangrijker dan waar dan ook.

Verenigd Koninkrijk: PECR behandelt een pixel als een cookie

Het VK heeft na de Brexit de Europese structuur behouden. Het standpunt van de ICO in haar richtlijnen voor direct marketing is ongewoon duidelijk: “De regels voor e-mailmarketing in de PECR zijn van toepassing op de e-mail zelf, niet op de tracking pixels. Tracking pixels vallen onder de afzonderlijke PECR-regels voor opslag- en toegangstechnologieën. Als de e-mail dus tracking pixels bevat, moet je aan die specifieke regels voldoen.”

Simpel gezegd: het feit dat je de marketing-e-mail mag versturen, of dat nu via toestemming is of via een zachte opt-in voor bestaande klanten, dekt niet de pixel in het bericht. De pixel wordt beoordeeld onder regel 6, dezelfde regel die geldt voor cookies. In de meeste marketingscenario’s betekent dit voorafgaande toestemming, tenzij er een specifieke uitzondering geldt. Een marketeer in Manchester heeft dus twee dingen nodig: toestemming om te mailen en toestemming om te tracken.

Canada: CASL draait om het bericht en toestemming staat voorop

Canadese zoekopdrachten naar “is e-mail tracking legaal in Canada” komen meestal uit bij CASL, de anti-spamwet. Net als CAN-SPAM reguleert deze wet het commerciële bericht in plaats van de pixel, maar is wel veel strenger als het gaat om toestemming. Volgens Innovation, Science and Economic Development Canada zijn bedrijven “verplicht om toestemming van klanten te verkrijgen voordat ze commerciële elektronische berichten verzenden”. Uitdrukkelijke toestemming betekent dat iemand mondeling of schriftelijk akkoord is gegaan. Stilzwijgende toestemming wordt alleen in bepaalde omstandigheden erkend, zoals bij een bestaande zakelijke relatie, en is over het algemeen tijdsgebonden.

Dezelfde pagina vereist dat elk bericht het bedrijf identificeert, evenals iedereen namens wie het wordt verzonden. Daarnaast stelt het dat “elk afmeldverzoek binnen 10 werkdagen of minder moet worden verwerkt, zonder kosten voor de ontvanger”. Open-gegevens die gekoppeld zijn aan een specifieke contactpersoon, vallen onder de algemene Canadese privacywet, PIPEDA. De gebruikelijke principes van transparantie en beperkte gegevensverzameling zijn dus van toepassing op wat je tracker opslaat.

Waar de grens ligt: één-op-één e-mail versus campagnes

Elke bovengenoemde wetgeving wordt strenger naarmate het volume toeneemt en de relatie met de ontvanger oppervlakkiger wordt. Een getrackt voorstel naar een klant die je gisteren hebt gesproken, is juridisch gezien iets heel anders dan een getrackte nieuwsbrief naar 40.000 abonnees, zelfs als beide dezelfde pixel gebruiken. De Amerikaanse zaken die tot nu toe voor de rechter zijn gekomen, draaien allemaal om bulkmarketing van retailers. De uitzonderingen van de CNIL zijn geschreven rond aangevraagde e-mails en de bewoordingen van de ICO zijn gericht op marketingcampagnes.

Gebruik de drie rijen als een snelle test voordat je een tracker toevoegt:

• Eén-op-één zakelijke e-mail: een bericht dat je sowieso zou hebben verzonden, naar een persoon die verwacht iets van je te horen. Track het, wees er transparant over en beperk de gegevens tot opens en tijdstempels.
• Marketing e-mail naar Amerikaanse ontvangers: volg CAN-SPAM voor het bericht en beschrijf open tracking in je privacybeleid. Verwacht geen federale toestemmingseis, maar vermijd het opbouwen van profielen op basis van de gegevens.
• Marketing e-mail naar EU of VK ontvangers: verkrijg voorafgaande toestemming voor de pixel, los van de toestemming om te mailen. Dit geldt tenzij je duidelijk binnen een uitzondering valt, zoals de afleverbaarheidscontrole van de CNIL.

Bestaat je werk voornamelijk uit de eerste rij, dan is de inspanning voor naleving klein en is een Gmail-tracker de juiste tool. Val je vooral in de derde rij, dan heb je een registratie van toestemming nodig vóór de eerste verzending, plus een bulkplatform dat dit opslaat.

Hoe je e-mails legaal trackt in Gmail: een checklist in zes stappen

De onderstaande stappen gaan uit van Gmail en een tracker die daarbinnen werkt. Ze zijn ontworpen om je in de laag-risicocategorie te houden in elke regio die we hierboven hebben behandeld.

1. Track één-op-één berichten, geen lijsten. Voeg een tracker toe aan voorstellen, facturen, sollicitaties en follow-ups. Houd nieuwsbrieven en koude e-mailreeksen op een platform dat toestemmingen beheert.
2. Informeer de ontvanger. De prijzenpagina van Mail Tracker stelt expliciet dat het gratis abonnement “een kleine zichtbare handtekening toevoegt die je ontvangers laat weten dat de e-mail wordt getrackt”. Premium ontgrendelt een onzichtbare tracker, en je kunt op elk moment wisselen in de instellingen. Voor Europese en Britse ontvangers is het verstandig de zichtbare melding aan te laten staan.
3. Zet een zin in je privacybeleid. Geef aan dat je open tracking gebruikt voor zakelijke e-mails, wat het registreert en hoe lang je de gegevens bewaart. Dit is de belangrijkste stap om de meeste Amerikaanse vragen af te handelen.
4. Verzamel alleen wat je nodig hebt. Opens, aantallen en tijdstempels zijn voldoende om een follow-up te plannen. Exporteer geen open-gegevens naar profielen en deel ze niet met derden.
5. Respecteer bezwaren onmiddellijk. Als iemand je vraagt om hen niet te tracken, stop dan met het toevoegen van trackers voor dat contact en verwijder de gegevens die je hebt als ze daarom vragen.
6. Gebruik op toestemming gebaseerde leesbewijzen waar mogelijk. Op een Google Workspace-domein kan een beheerder Gmail leesbewijzen inschakelen. Ze kunnen vereisen dat ontvangers elk leesbewijs goedkeuren voordat het wordt teruggestuurd. Google merkt op dat ze niet werken met persoonlijke gmail.com-accounts, niet naar groepen worden gestuurd en niet betrouwbaar genoeg zijn om de aflevering te verifiëren. Daarom combineren de meeste afzenders ze met een tracker. Onze gids over Gmail leesbewijzen vergelijkt de twee benaderingen.

Probeer Mail Tracker

Leesbewijzen, open-aantallen en realtime meldingen binnen Gmail, gratis en onbeperkt. Het gratis abonnement vertelt ontvangers dat de e-mail wordt getrackt, zodat je één-op-één follow-ups standaard transparant blijven.

Aan de slag →

Mail Tracker installeer je via de Google Workspace Marketplace in plaats van als browserextensie. Dit betekent dat het direct in Gmail op het web draait, evenals in de Gmail-app op iOS en Android. Je voegt de tracker toe vanuit het opstelvenster, en opens verschijnen als groene dubbele vinkjes in je verzonden items.

Waarom je open-gegevens nooit compleet zullen zijn, en waarom dat prima is

Ontvangers hebben daadwerkelijk controle, en een legale tracker respecteert dit in plaats van het te omzeilen. In Gmail zorgt de instelling “Vragen voor externe afbeeldingen worden weergegeven” ervoor dat elke afbeelding, inclusief een pixel, verborgen blijft totdat de lezer klikt om ze te tonen. Op een iPhone is ‘Bescherm activiteit in Mail’ een simpele schakelaar onder Instellingen, Apps, Mail, Privacybescherming. Zodra deze is ingeschakeld, kunnen afzenders volgens Apple niet meer zien of het bericht is geopend. Zakelijke beveiligingsgateways laden afbeeldingen vaak vooraf, wat een open kan registreren nog voordat een mens het bericht heeft gelezen.

Beschouw een open als een hint over timing, niet als sluitend bewijs. Onze gids over hoe je weet of iemand je e-mail heeft gelezen bespreekt hoe je opens kunt combineren met antwoorden en andere signalen, zodat een ontbrekende pixel-lading nooit je oordeel beïnvloedt.

Veelgestelde vragen

Track e-mails met een gerust hart

Dus, is e-mail tracking legaal? Voor de alledaagse situatie (een getrackte follow-up vanuit Gmail naar iemand die je e-mail verwacht) is het antwoord in de VS, Canada, de EU en het VK: ja. Dit geldt zolang je transparant bent, de gegevens minimaal houdt en iedereen respecteert die bezwaar maakt. Het antwoord verandert pas in “met voorafgaande toestemming” wanneer de e-mail een marketingcampagne is gericht op Europese of Britse inboxen. Dat is typisch een taak voor een bulkplatform met toestemmingsregistratie, niet voor een Gmail add-on.

Zorg dat je aan de veilige kant van die grens blijft: gebruik de tracker voor één-op-één berichten, laat de zichtbare melding aanstaan voor internationale contacten en voeg één zin over open tracking toe aan je privacybeleid. Mail Tracker geeft je gratis onbeperkte leesbewijzen en open-meldingen binnen Gmail, waarbij de melding voor de ontvanger vanaf het eerste bericht is ingeschakeld. Voor een vergelijking van de tools die dit goed doen, bekijk je ons overzicht van de beste e-mail tracker voor Gmail.