O rastreamento de e-mail é legal? Regras do GDPR, CAN-SPAM e Reino Unido em 2026

O rastreamento de e-mail é legal? Na maioria dos países, sim, desde que você rastreie os seus próprios e-mails enviados por um motivo comercial real e seja honesto sobre isso. As regras ficam mais rígidas rapidamente quando a mensagem é uma campanha de marketing e o destinatário mora na União Europeia ou no Reino Unido, pois lá o próprio pixel de rastreamento exige consentimento prévio. Mensagens individuais, como uma proposta, uma fatura ou um acompanhamento, apresentam baixo risco em quase todos os lugares, que é exatamente a finalidade para a qual um complemento do Gmail como o Mail Tracker foi criado.

Este guia aborda o que a lei realmente diz nos Estados Unidos, na União Europeia, na França, no Reino Unido e no Canadá, onde fica a linha divisória entre um e-mail comercial e uma campanha, além de um breve checklist para rastrear e-mails no Gmail sem ultrapassar esses limites. Trata-se de informação geral, não de aconselhamento jurídico. Se você envia grandes campanhas, consulte um advogado no país do destinatário.

Principais conclusões

• Nenhum país proíbe totalmente o rastreamento de e-mails. O que muda de acordo com a região é se o pixel exige consentimento ou apenas transparência.
• Nos EUA, o CAN-SPAM regulamenta o e-mail, não o pixel, e uma decisão federal da Califórnia de 2025 determinou que um remetente não pode interceptar os seus próprios e-mails de marketing.
• Na União Europeia e no Reino Unido, um pixel de rastreamento em um e-mail de marketing é tratado como um cookie: exige consentimento prévio, a menos que se aplique uma exceção muito específica.
• A CNIL da França adotou uma recomendação dedicada sobre pixels de e-mail em março de 2026, com isenções para verificações de capacidade de entrega e e-mails transacionais.
• A configuração mais segura para o uso diário do Gmail é o rastreamento individual com um aviso visível, que é como o plano gratuito do Mail Tracker funciona por padrão.

A resposta curta, região por região

A legislação sobre rastreamento de e-mail possui duas camadas. A primeira camada rege o e-mail: para quem você pode enviar, o que ele deve conter e como as pessoas podem cancelar a inscrição. A segunda camada rege o pixel de rastreamento dentro dele: uma imagem minúscula que envia um relatório quando é carregada. A maior parte da confusão vem da mistura das duas coisas, por isso a tabela abaixo as mantém separadas.

Se você for se lembrar de apenas uma coisa, lembre-se disto: um pixel em um e-mail individual que você já tinha o direito de enviar é uma questão de transparência. Um pixel em uma campanha para caixas de entrada europeias ou britânicas é uma questão de consentimento.

O que um pixel de rastreamento coleta e o que o Gmail já oculta

Um pixel de rastreamento de e-mail é uma imagem 1x1 hospedada no servidor do rastreador. Quando o cliente de e-mail do destinatário a carrega, o servidor registra a solicitação, o que informa ao remetente que a mensagem foi aberta, quando e quantas vezes. O nosso guia sobre pixels de rastreamento de e-mail explica a mecânica em detalhes. O órgão regulador do Reino Unido descreve a mesma coisa do ponto de vista do destinatário: muitos e-mails de marketing incluem pixels que registram “o momento em que um usuário abriu um e-mail, sua localização e o sistema operacional do seu dispositivo”, de acordo com as diretrizes de marketing direto da ICO.

O que os clientes de e-mail já bloqueiam

Os clientes de e-mail vêm restringindo o que um pixel pode ver. O Gmail carrega as imagens através dos próprios servidores do Google após escaneá-las, e a sua página de ajuda sobre imagens afirma que “os remetentes não podem usar o carregamento de imagens para obter informações sobre seu computador ou local”, embora admita que “às vezes, os remetentes podem saber se você abriu um e-mail que tem uma imagem”. A Apple vai além. De acordo com o Guia do Usuário do iPhone, a Proteção de Privacidade do Mail “oculta seu endereço IP para que os remetentes não possam vinculá-lo à sua outra atividade online ou determinar sua localização exata” e “impede que os remetentes vejam se você abriu a mensagem de e-mail que eles enviaram”.

Portanto, o conjunto de dados realista por trás de uma notificação de abertura é pequeno: um evento de abertura, um registro de data e hora, uma contagem de aberturas e, em alguns clientes, um dispositivo ou localização aproximada. Isso ainda é considerado dado pessoal quando está vinculado a uma pessoa identificada, e é por isso que as regras regionais abaixo se aplicam.

Estados Unidos: o CAN-SPAM cobre o e-mail, não o pixel

Não existe uma lei federal nos EUA escrita especificamente sobre pixels de rastreamento de e-mail. A lei a que as pessoas recorrem, o CAN-SPAM, trata da mensagem comercial em si. O guia de conformidade da FTC lista sete requisitos:

• Cabeçalhos honestos: os campos De, Para e Responder a devem identificar quem enviou a mensagem.
• Linhas de assunto honestas: o assunto deve refletir o conteúdo.
• Aviso de anúncio: a mensagem deve informar que se trata de uma propaganda.
• Endereço postal: inclua um endereço postal físico válido.
• Método de cancelamento: explique como interromper o recebimento de futuros e-mails de marketing.
• Cancelamentos no prazo: atenda a uma solicitação em até 10 dias úteis.
• Responsabilidade do fornecedor: você não pode transferir a responsabilidade de conformidade para a agência que faz os envios por você.

O guia estabelece a penalidade em até US$ 53.088 por cada e-mail individual em violação, e não menciona pixels de rastreamento em momento algum. Se você faz prospecção fria no Gmail, o nosso guia sobre listas de e-mail B2B aborda o lado do CAN-SPAM com mais profundidade.

A legalidade dos pixels nos EUA tem sido testada sob os estatutos estaduais de interceptação telefônica, principalmente a Lei de Invasão de Privacidade da Califórnia (CIPA). O caso mais citado foi favorável ao remetente. Em Ramos v. Gap, Inc., o tribunal federal do Distrito Norte da Califórnia rejeitou as alegações de interceptação telefônica sobre pixels nos e-mails de marketing da The Gap em 29 de julho de 2025, sem permissão para emendas, de acordo com o Inside Class Actions. Como a Klein Moynihan Turco resumiu a decisão, “A Gap não pode, por definição, interceptar as suas próprias comunicações”, e as taxas de abertura não são o conteúdo de uma comunicação. Os autores continuam a entrar com variações dessas ações contra varejistas, portanto, a posição prática nos EUA é a seguinte: rastrear o seu próprio e-mail é legal, declare isso na sua política de privacidade, não colete mais do que o necessário e mantenha uma opção de cancelamento que funcione.

União Europeia: GDPR e ePrivacy exigem consentimento para pixels de marketing

Duas regras europeias se sobrepõem. O GDPR se aplica porque a afirmação “esta pessoa identificada abriu este e-mail às 14h02” é uma informação sobre um indivíduo identificável, então você precisa de uma base legal, um aviso de privacidade e uma maneira de as pessoas se oporem. A Diretiva ePrivacy se aplica porque um pixel armazena ou lê informações no dispositivo do destinatário. O Artigo 5(3) dessa diretiva exige consentimento para armazenar ou acessar informações no dispositivo de um usuário, a menos que seja estritamente necessário para um serviço solicitado pelo próprio usuário. As Diretrizes 2/2023 sobre o escopo técnico do Artigo 5(3) do Comitê Europeu para a Proteção de Dados, emitidas como versão final 2.0 em 16 de outubro de 2024, estabelecem a amplitude com que os reguladores interpretam essa disposição.

França: a recomendação da CNIL de 2026 sobre pixels de e-mail

A França transformou o princípio em um conjunto de regras concretas. Em 14 de abril de 2026, a CNIL publicou a versão final da sua recomendação sobre pixels de rastreamento em e-mails, adotada pela deliberação nº 2026-042 de 12 de março de 2026 sob o Artigo 82 da Lei Francesa de Proteção de Dados. Os pontos principais para os remetentes são:

1. O consentimento é a regra para pixels usados para personalizar conteúdo, medir audiências ou criar perfis. A recomendação especifica os casos em que o consentimento é exigido.
2. Verificações de capacidade de entrega são isentas, mas apenas para e-mails vinculados a um serviço que o destinatário solicitou, apenas para identificar endereços que não abrem mais nada e com dados “limitados ao estritamente necessário”.
3. E-mails transacionais se qualificam como serviços solicitados: confirmações de pedidos, faturas, avisos de envio, redefinições de senha e alertas de segurança.
4. Listas existentes ganham três meses: os remetentes que usam endereços coletados antes da publicação devem informar claramente aos destinatários que os pixels são usados e facilitar a oposição.
5. Inspeções ocorrerão: a CNIL afirma que verificará a conformidade em auditorias futuras.

Para um remetente individual, a lição tem menos a ver com campanhas e mais com hábitos. A lei no papel não abre exceção para e-mails individuais. O que reduz o seu risco em uma mensagem individual é avisar o destinatário, e é por isso que um aviso de rastreamento visível importa mais na Europa do que em qualquer outro lugar.

Reino Unido: o PECR trata um pixel como um cookie

O Reino Unido manteve a estrutura europeia após o Brexit. A posição da ICO em suas diretrizes de marketing direto é excepcionalmente clara: “As regras de marketing por correio eletrônico no PECR se aplicam ao e-mail em si, não aos pixels de rastreamento. Os pixels de rastreamento são cobertos pelas regras separadas do PECR sobre tecnologias de armazenamento e acesso, portanto, se o e-mail incluir pixels de rastreamento, você deve cumprir essas regras.”

Em termos simples, ter permissão para enviar o e-mail de marketing, seja por meio de consentimento ou do opt-in flexível para clientes existentes, não cobre o pixel dentro dele. O pixel é avaliado sob o regulamento 6, a mesma regra que rege os cookies, e na maioria dos cenários de marketing isso significa consentimento prévio, a menos que se aplique uma exceção específica. Um profissional de marketing em Manchester, portanto, precisa de duas coisas: permissão para enviar e-mails e permissão para rastrear.

Canadá: a CASL foca na mensagem e o consentimento vem em primeiro lugar

As pesquisas canadenses sobre “o rastreamento de e-mail é legal no Canadá” geralmente levam à CASL, a lei anti-spam do país. Assim como o CAN-SPAM, ela regulamenta a mensagem comercial em vez do pixel, mas é mais rígida quanto à permissão. De acordo com o departamento de Inovação, Ciência e Desenvolvimento Econômico do Canadá, as empresas são “obrigadas a obter o consentimento dos clientes antes de enviar-lhes mensagens eletrônicas comerciais”. O consentimento expresso significa que alguém concordou, verbalmente ou por escrito. O consentimento implícito é reconhecido apenas em certas circunstâncias, como um relacionamento comercial existente, e geralmente tem um limite de tempo.

A mesma página exige que toda mensagem identifique a empresa e qualquer pessoa em nome de quem ela é enviada, e afirma que “toda solicitação de cancelamento de inscrição deve ser atendida em 10 dias úteis ou menos e sem custo para o destinatário”. Os dados de abertura vinculados a um contato identificado são informações pessoais sob a lei geral de privacidade do Canadá, a PIPEDA, portanto, os princípios usuais de transparência e coleta limitada se aplicam ao que o seu rastreador armazena.

Onde fica o limite: e-mail individual versus campanhas

Todos os regimes acima se tornam mais rigorosos à medida que o volume aumenta e o relacionamento se torna mais fraco. Uma proposta rastreada para um cliente com quem você falou ontem é um objeto jurídico diferente de uma newsletter rastreada para 40.000 assinantes, mesmo que ambos usem o mesmo pixel. Os casos nos EUA que chegaram aos tribunais até agora envolvem marketing em massa de varejistas, as isenções da CNIL são redigidas em torno de e-mails solicitados e o texto da ICO é voltado para campanhas de marketing.

Use as três linhas como um teste rápido antes de inserir um rastreador:

• E-mail comercial individual: uma mensagem que você teria enviado de qualquer maneira, para uma pessoa que espera o seu contato. Rastreie, declare o uso e limite os dados a aberturas e registros de data e hora.
• E-mail de marketing para destinatários nos EUA: siga o CAN-SPAM para a mensagem e descreva o rastreamento de aberturas na sua política de privacidade. Não espere nenhuma exigência federal de consentimento, mas evite criar perfis a partir dos dados.
• E-mail de marketing para destinatários na UE ou no Reino Unido: obtenha consentimento prévio para o pixel, separado da permissão para enviar o e-mail, a menos que você se enquadre perfeitamente em uma isenção, como a verificação de capacidade de entrega da CNIL.

Se o seu trabalho se concentra principalmente na primeira linha, o esforço de conformidade é pequeno e um rastreador para o Gmail é a ferramenta certa. Se for principalmente a terceira linha, você precisará de um registro de consentimento antes do primeiro envio e de uma plataforma de envio em massa que o armazene.

Como rastrear e-mails no Gmail de forma legal: um checklist de seis passos

As etapas abaixo pressupõem o uso do Gmail e de um rastreador que funcione dentro dele. Elas foram criadas para manter você na categoria de baixo risco em todas as regiões abordadas acima.

1. Rastreie mensagens individuais, não listas. Insira um rastreador em propostas, faturas, candidaturas e acompanhamentos. Mantenha newsletters e sequências frias em uma plataforma que gerencie o consentimento.
2. Avise o destinatário. A página de preços do Mail Tracker é explícita ao dizer que o plano gratuito “adiciona uma pequena assinatura visível que permite aos seus destinatários saberem que o e-mail é rastreado”. O plano Premium desbloqueia um rastreador invisível, e você pode alternar a qualquer momento nas configurações. Para destinatários europeus e britânicos, mantenha o aviso visível ativado.
3. Coloque uma frase na sua política de privacidade. Diga que você usa o rastreamento de abertura em e-mails comerciais, o que ele registra e por quanto tempo você guarda esses dados. Este é o único passo que resolve a maioria das questões nos EUA.
4. Colete apenas o que você precisa. Aberturas, contagens e registros de data e hora são suficientes para programar um acompanhamento. Não exporte dados de abertura para perfis nem os compartilhe com terceiros.
5. Respeite as objeções instantaneamente. Se alguém pedir para não ser rastreado, pare de inserir rastreadores para esse contato e exclua o que você tem armazenado, se solicitado.
6. Use recibos baseados em consentimento onde eles existirem. Em um domínio do Google Workspace, um administrador pode ativar os recibos de leitura do Gmail e pode exigir que os destinatários aprovem cada recibo antes que ele seja enviado de volta. O Google observa que eles não funcionam com contas pessoais do gmail.com, não são enviados para grupos e não devem ser usados como garantia para verificar a entrega, e é por isso que a maioria dos remetentes os combina com um rastreador. O nosso guia sobre recibos de leitura do Gmail compara as duas abordagens.

Experimente o Mail Tracker

Recibos de leitura, contagem de aberturas e notificações em tempo real dentro do Gmail, de forma gratuita e ilimitada. O plano gratuito avisa aos destinatários que o e-mail é rastreado, para que os seus acompanhamentos individuais permaneçam transparentes por padrão.

Começar agora →

O Mail Tracker é instalado a partir do Google Workspace Marketplace em vez de ser uma extensão de navegador, o que significa que ele funciona dentro do Gmail na web e no aplicativo do Gmail para iOS e Android. Você insere o rastreador na janela de composição de mensagem, e as aberturas aparecem como marcas de seleção duplas verdes nos seus e-mails enviados.

Por que os seus dados de abertura nunca serão completos, e por que isso não é um problema

Os destinatários têm controles reais, e um rastreador legal os respeita em vez de tentar contorná-los. No Gmail, a configuração “Perguntar antes de exibir imagens externas” mantém todas as imagens, incluindo um pixel, ocultas até que o leitor clique para exibi-las. Em um iPhone, a Proteção de Privacidade do Mail é um botão simples em Ajustes, Apps, Mail, Proteção de Privacidade e, uma vez ativada, a Apple diz que os remetentes não podem ver se a mensagem foi aberta. Os gateways de segurança corporativa também pré-carregam imagens, o que pode registrar uma abertura antes mesmo que qualquer humano leia a mensagem.

Trate uma abertura como uma dica sobre o momento certo de agir, não como uma prova. O nosso guia sobre como saber se alguém leu o seu e-mail aborda como combinar aberturas com respostas e outros sinais para que a falta de carregamento de um pixel nunca altere o seu julgamento.

Perguntas frequentes

Rastreie e-mails com a consciência tranquila

Então, o rastreamento de e-mail é legal? Para o caso do dia a dia, um acompanhamento rastreado no Gmail para alguém que espera o seu e-mail, a resposta nos EUA, Canadá, UE e Reino Unido é sim, desde que você seja transparente, mantenha os dados ao mínimo e respeite quem se opuser. A resposta só muda para “com consentimento prévio” quando o e-mail é uma campanha de marketing direcionada a caixas de entrada europeias ou britânicas, e esse é um trabalho para uma plataforma de envio em massa com registro de consentimento, não para um complemento do Gmail.

Coloque-se do lado certo dessa linha: mantenha o rastreador em mensagens individuais, deixe o aviso visível ativado para contatos internacionais e adicione uma frase sobre o rastreamento de aberturas à sua política de privacidade. O Mail Tracker oferece recibos de leitura ilimitados e notificações de abertura dentro do Gmail gratuitamente, com o aviso ao destinatário ativado desde a primeira mensagem. Para uma comparação das ferramentas que fazem isso bem, veja a nossa seleção do melhor rastreador de e-mail para o Gmail.