Niemiecka kancelaria wzywa sklepy za piksel śledzący w newsletterze. Ten sam przepis stoi w polskiej ustawie, a open rate i tak kłamie od pięciu lat

Frankfurcka kancelaria Cyfire wysyła sklepom w Niemczech wezwania za piksel śledzący w newsletterze, czyli za liczenie otwarć bez osobnej zgody odbiorcy. Polskie sklepy, które mają w bazie klientów z Niemiec, są w tej samej sytuacji, a przepis, na który powołuje się kancelaria, ma dokładny odpowiednik w polskiej ustawie. Zanim jednak wpadniesz w panikę prawną, zobacz, co ten piksel naprawdę mierzy. Od pięciu lat coraz mniej.

Co się wydarzyło

Ecommercenews.pl opisał 5 października nową praktykę kancelarii Cyfire Rechtsanwaltsgesellschaft z Frankfurtu: wezwania (Abmahnung) do sklepów, które wysyłają newslettery z pikselem śledzącym bez odrębnej zgody na analizę otwarć i kliknięć. Kancelaria żąda podpisania zobowiązania do zaniechania, zwrotu kosztów prawnych w wysokości kilkuset euro i kary umownej za każdy kolejny newsletter z pikselem.

Sprawdziłam to u źródeł po drugiej stronie granicy. Händlerbund, największe niemieckie zrzeszenie sklepów internetowych, które obsłużyło ponad 26 tys. wezwań, pisze o Cyfire tak: kancelaria „od niedawna znana jest z tego, że wzywa za brak zgody na newsletter i/lub brak zgody na piksele śledzące w newsletterach”, a wśród aktualnych zagrożeń wymienia „ukryte piksele śledzące w newsletterze”. W sprawach ochrony danych żądania po przekazaniu sprawy do Cyfire rosły do ponad 900 euro. Kancelaria Scheja & Partners widziała takie listy już 2 lipca: zarzuty dotyczą e-mailowej reklamy bezpośredniej, dowodów zgody (double opt-in) i „śledzenia, w szczególności otwarć i kliknięć”, a żądania to odszkodowanie z art. 82 RODO, koszty, informacja z art. 15 RODO i zobowiązanie do zaniechania.

Podstawą prawną jest § 25 ust. 1 TDDDG, niemieckiej ustawy o ochronie danych w telekomunikacji i usługach cyfrowych: zapis informacji na urządzeniu końcowym użytkownika albo dostęp do informacji już tam zapisanych są dopuszczalne tylko wtedy, gdy użytkownik wyraził zgodę na podstawie jasnych i pełnych informacji. Wyjątek z ust. 2 obejmuje wyłącznie to, co konieczne do przesłania komunikatu albo do świadczenia usługi, której użytkownik wyraźnie zażądał.

Dlaczego piksel podpada pod przepis o cookies

Piksel śledzący to obraz o rozmiarze jednego piksela wstawiony do kodu HTML wiadomości, z adresem unikalnym dla odbiorcy. Gdy program pocztowy pobiera obrazy, serwer nadawcy dostaje żądanie z tym identyfikatorem i zapisuje: ten adres otworzył wiadomość, o tej godzinie, z tego adresu IP, na tym urządzeniu. GetResponse opisuje to wprost: „W każdym newsletterze HTML umieszczamy mały, jednopikselowy obraz. Po jego pobraniu nasz system śledzenia rejestruje, że wiadomość została otwarta”.

Przepis mówi o dostępie do informacji na urządzeniu użytkownika, a nie o cookies, dlatego niemieccy prawnicy traktują piksel w e-mailu jak znacznik na stronie. Najmocniej powiedział to francuski urząd ochrony danych. CNIL w rekomendacji z 14 kwietnia 2026 definiuje piksel jako „zmniejszony obraz (1 piksel na 1 piksel), wbudowany w stronę internetową albo e-mail”, i stwierdza, że jego użycie w e-mailach co do zasady wymaga zgody. Wyjątek dotyczy indywidualnego pomiaru dostarczalności, czyli na przykład wykrycia adresów, które od dawna niczego nie pobierają, pod warunkiem ograniczenia danych do niezbędnego minimum, oraz e-maili transakcyjnych: powiadomień o wysyłce, resetów hasła, alertów bezpieczeństwa. Nadawcom, którzy już wysyłali e-maile z pikselem, CNIL dał trzy miesiące na jasne poinformowanie odbiorców i prosty mechanizm sprzeciwu.

Zgoda na newsletter to zgoda na treść. Zgoda na piksel to zgoda na pomiar zachowania. Z perspektywy przepisu to dwie różne rzeczy, i to jest sedno wezwań.

Ten sam przepis stoi w polskiej ustawie

W Polsce odpowiednikiem § 25 TDDDG jest art. 399 ust. 1 Prawa komunikacji elektronicznej (Dz.U. 2024 poz. 1221): „Przechowywanie informacji lub uzyskiwanie dostępu do informacji już przechowywanej w telekomunikacyjnym urządzeniu końcowym abonenta lub użytkownika końcowego jest dozwolone, pod warunkiem że” użytkownik został uprzednio, jednoznacznie poinformowany o celu i o możliwości ustawienia warunków w oprogramowaniu, a po otrzymaniu tej informacji wyraził zgodę. Ust. 3 wyłącza z tego tylko to, co konieczne do transmisji komunikatu albo do dostarczenia usługi, której użytkownik zażądał. Konstrukcja jest ta sama co w Niemczech i we Francji, bo wszystkie trzy przepisy przenoszą art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej.

Różnica jest w egzekucji. W Niemczech działa mechanizm wezwań: kancelaria albo konkurent może zażądać zaniechania i kosztów, zanim jakikolwiek urząd się odezwie. W Polsce takiej praktyki nie ma, a polskie organy nie zajęły w sprawie pikseli w e-mailach stanowiska tak jasnego jak CNIL. Dla sklepu oznacza to dwa różne rachunki. Jeśli masz w bazie adresy klientów z Niemiec, ryzyko jest konkretne i bliskie: list z Frankfurtu może przyjść po pierwszej kampanii sezonu. Jeśli wysyłasz tylko do Polski, przepis obowiązuje tak samo, ale decyzja na najbliższe tygodnie jest przede wszystkim o jakości pomiaru i higienie zgód, nie o pilnym ryzyku.

Open rate i tak nie jest pomiarem

I tu dochodzimy do tego, co mnie w tej historii naprawdę interesuje. Sklepy bronią piksela, bo bez niego „nie będzie open rate”. Tylko że open rate od 2021 roku nie mierzy otwarć. Apple wprowadził wtedy Mail Privacy Protection: funkcja ukrywa adres IP odbiorcy i „pobiera zdalne treści prywatnie w tle”, dzięki czemu nadawca „nie wie, czy e-mail został otwarty”. Każda wiadomość do użytkownika Apple Mail z włączoną ochroną liczy się jako otwarta, niezależnie od tego, czy ktoś ją przeczytał. Liczba otwarć jest więc zawyżona o nieznaną wartość, a różnica między kampanią A i B mieści się w szumie.

MailerLite pisze, że „całe śledzenie e-maili jest w MailerLite domyślnie włączone”, i jednocześnie radzi: jeśli masz w bazie wielu użytkowników Apple, wyłącz śledzenie otwarć albo wyłącz ich z kampanii, które na otwarciach polegają, na przykład testów A/B.

W audytach komunikacji, które robimy ze sklepami, widzę trzy miejsca, w których open rate steruje pieniędzmi. Pierwsze: automatyczny resend do „nieotwierających”, który po stronie Apple trafia do ludzi, którzy już przeczytali, a pomija tych, którzy wiadomość skasowali bez pobrania obrazów. Drugie: testy A/B tematów rozstrzygane po otwarciach, czyli po liczbie zawyżonej losowo. Trzecie: scoring aktywności i czyszczenie bazy, w którym „aktywny” znaczy „ma iPhone'a”. We wszystkich trzech piksel jest nie tylko problemem prawnym, ale źródłem złych decyzji. Gra w ciemno z poczuciem, że się widzi.

Co zostaje, gdy zgasisz piksel

Kliknięcie i zamówienie. Kliknięcie w link jest świadomym działaniem odbiorcy, a nie automatycznym pobraniem obrazu, i daje się przypisać do wiadomości bez piksela. Zamówienie z parametrami UTM w GA4 pokazuje, co wysyłka realnie sprzedała. Oba trzeba spiąć z marżą: wysyłka, która ma 30% otwarć i 0,8% kliknięć, może być gorsza od tej z 22% otwarć i 1,9% kliknięć, a różnicę zobaczysz dopiero w przychodzie i marży na wysyłkę, nie w otwarciach.

Pomiar dostarczalności, który CNIL dopuszcza bez zgody, też nie potrzebuje piksela w każdej kampanii. Adres, który od dwunastu miesięcy w nic nie kliknął i nic nie kupił, jest nieaktywny niezależnie od tego, czy pobierał obrazy. Czyszczenie bazy po kliknięciach i zakupach jest wolniejsze, ale prawdziwe.

Zgoda na śledzenie, jeśli chcesz ją zbierać, musi być osobna: niezaznaczone pole przy zapisie, własny tekst o tym, co mierzysz i po co, zapis daty i treści zgody. Dla obecnej bazy prośba o zgodę idzie w e-mailu bez piksela, bo inaczej dokumentujesz naruszenie w wiadomości, którą próbujesz je naprawić. I jedno ostrzeżenie z niemieckiej praktyki: wezwania zawierają gotowe oświadczenie do podpisu, a Händlerbund i Scheja & Partners zgodnie radzą nie podpisywać go w nadesłanej wersji bez oceny prawnika, bo jego zakres bywa szerszy niż zarzut.

Co zrobić w najbliższym tygodniu

1. Otwórz ustawienia narzędzia do wysyłek i sprawdź, czy śledzenie otwarć jest włączone na poziomie konta i w szablonach automatyzacji. W większości narzędzi jest, domyślnie.
2. Policz, jaka część bazy ma adresy z Niemiec albo zamówienia z dostawą do Niemiec. Dla tej grupy wyłącz piksel od zaraz, do czasu zebrania osobnej zgody.
3. Przejrzyj formularz zapisu: czy jest w nim osobne, domyślnie niezaznaczone pole na analizę otwarć i kliknięć, z własnym opisem celu. Jeśli nie ma, dopisz i zapisuj datę zgody.
4. Wypisz automatyzacje oparte na otwarciach: resend do nieotwierających, A/B po otwarciach, scoring, czyszczenie bazy. Przebuduj je na kliknięcia i zakupy przed pierwszą wysyłką sezonu, a nie w jej trakcie.
5. Zbuduj raport kampanii od końca: zamówienia z UTM w GA4, przychód, marża na wysyłkę, kliknięcia. Otwarcia zostaw w ostatniej kolumnie, z dopiskiem, że to szacunek.
6. Jeśli list z Niemiec już przyszedł: nie płać i nie podpisuj od razu, zabezpiecz dowody zgód z narzędzia i oddaj pismo prawnikowi z doświadczeniem w niemieckim prawie konkurencji.

Piksel w newsletterze dawał przez lata liczbę, którą dało się pokazać na spotkaniu. Niemieckie wezwania tylko przyspieszają decyzję, którą Apple podjął za nas pięć lat temu. Jeśli chcesz sprawdzić, które automatyzacje w Twoim sklepie nadal jadą na otwarciach i ile to kosztuje w marży, porozmawiajmy o tym na konsultacji.