Le Linee guida del Garante Privacy sui tracking pixel nelle comunicazioni email impongono alle organizzazioni di verificare le modalità di raccolta dei dati, la gestione del consenso e i meccanismi di revoca. Ecco le principali indicazioni operative in vista della scadenza del 29 ottobre 2026.
Il 29 ottobre 2026 scade il termine per adeguarsi alle Linee guida sui tracking pixel nelle email, adottate dal Garante per la protezione dei dati personali con il Provvedimento n. 284 del 17 aprile 2026, pubblicato nella Gazzetta Ufficiale del 29 aprile 2026.
L’Autorità ha previsto un periodo di sei mesi per consentire agli operatori di adeguare le tecnologie di monitoraggio delle comunicazioni di posta elettronica alle indicazioni in materia di trasparenza, consenso e tutela dei dati personali.
La scadenza interessa imprese, professionisti, pubbliche amministrazioni e organizzazioni che utilizzano newsletter, piattaforme di email marketing e sistemi automatizzati di comunicazione.
Con il vademecum pubblicato il 5 ottobre 2026, il Garante ha richiamato l’attenzione sulle principali misure da adottare, ricordando che il rispetto delle nuove indicazioni rientra tra gli ambiti di verifica delle attività ispettive programmate.
Le Linee guida non introducono un divieto generalizzato di utilizzo dei tracking pixel, ma richiedono una valutazione delle finalità del monitoraggio, delle informazioni raccolte e delle condizioni che ne rendono lecito l’impiego.
Cosa sono i tracking pixel e come funzionano
I tracking pixel sono piccoli elementi grafici, generalmente trasparenti e non visibili al destinatario, inseriti all’interno delle comunicazioni di posta elettronica.
Quando il destinatario apre un messaggio e il programma di posta carica le immagini remote, il pixel può attivare una comunicazione con un server esterno, consentendo al mittente o al fornitore della piattaforma di raccogliere informazioni sull’interazione.
A seconda delle caratteristiche tecniche dello strumento, possono essere rilevati:
- l’apertura del messaggio;
- la data e l’ora della consultazione;
- il numero di aperture successive;
- l’indirizzo IP e altre informazioni tecniche;
- elementi relativi al dispositivo o al programma di posta utilizzato.
Queste informazioni possono essere impiegate per analizzare l’efficacia delle campagne, individuare i destinatari maggiormente interessati e personalizzare le successive comunicazioni.
Il problema, dal punto di vista della protezione dei dati personali, emerge quando il monitoraggio viene effettuato senza che il destinatario ne sia adeguatamente informato o in assenza delle condizioni di liceità richieste dalla normativa.
Il quadro normativo: GDPR e Codice Privacy
Il Provvedimento n. 284 del 17 aprile 2026 chiarisce che l’utilizzo dei tracking pixel nelle email deve essere valutato alla luce dell’articolo 122 del D.Lgs. 196/2003, relativo all’accesso alle informazioni presenti nei dispositivi degli utenti.
Trova inoltre applicazione il Regolamento (UE) 2016/679 (GDPR), in particolare con riferimento ai principi di liceità, correttezza, trasparenza, minimizzazione dei dati e responsabilizzazione del titolare del trattamento.
Un aspetto particolarmente importante riguarda la distinzione tra la liceità dell’invio di una comunicazione e quella del monitoraggio delle interazioni del destinatario.
Il fatto che un’impresa sia legittimata a inviare una newsletter non significa, infatti, che possa automaticamente raccogliere informazioni individuali sulle aperture del messaggio.
La raccolta dei dati attraverso i tracking pixel richiede quindi una valutazione autonoma delle condizioni applicabili al trattamento.
Quando è necessario il consenso per i tracking pixel nelle email
Il Garante chiarisce che il monitoraggio individuale delle aperture effettuato per finalità promozionali richiede, di regola, un consenso preventivo, libero, specifico, informato e inequivocabile.
È il caso, ad esempio, delle attività attraverso le quali un’impresa registra le aperture dei singoli destinatari per modificare la frequenza delle comunicazioni, selezionare le campagne successive o elaborare profili commerciali.
Le Linee guida introducono tuttavia un’importante precisazione.
Il consenso relativo al tracciamento può, in determinate condizioni, essere ricompreso nel consenso generale alla ricezione delle comunicazioni promozionali.
Non è quindi sempre necessario acquisire due consensi distinti.
Questa possibilità presuppone però che l’interessato riceva informazioni chiare sulla presenza dei tracking pixel, sulle finalità del monitoraggio e sulle modalità attraverso le quali può esercitare i propri diritti.
Non è sufficiente, pertanto, una formula generica che autorizzi l’invio delle comunicazioni senza descrivere le ulteriori attività di raccolta dei dati.
Tracking pixel: quando il consenso può non essere necessario
Le Linee guida individuano alcune situazioni nelle quali possono trovare applicazione le deroghe previste dall’articolo 122 del Codice Privacy.
Tra gli esempi richiamati dal Garante figurano le misurazioni statistiche aggregate effettivamente anonime e determinate attività tecniche strettamente necessarie per esigenze di autenticazione, sicurezza o corretta erogazione di un servizio.
Per quanto riguarda le statistiche, assume particolare importanza la differenza tra il monitoraggio individuale e la misurazione complessiva delle aperture.
Una statistica realmente anonima non deve consentire di risalire ai singoli destinatari.
A questo scopo, il Garante richiama anche la possibilità di utilizzare un pixel identico per tutti i destinatari della medesima campagna, accompagnato da adeguate misure di anonimizzazione degli ulteriori dati tecnici.
Le deroghe, tuttavia, non possono essere applicate automaticamente a qualsiasi newsletter o comunicazione aziendale.
Il titolare deve verificare concretamente la necessità del trattamento e documentare le ragioni che giustificano l’eventuale esclusione del consenso.
Informativa privacy: maggiore trasparenza sul monitoraggio delle email
Un altro elemento centrale delle Linee guida riguarda gli obblighi informativi.
Il destinatario deve poter comprendere se l’apertura di un’email comporta la raccolta di informazioni sul suo comportamento e per quali finalità tali informazioni vengono utilizzate.
Il Garante ammette la possibilità di fornire un’informativa articolata su più livelli.
Ad esempio, al momento dell’iscrizione alla newsletter può essere presentata una spiegazione sintetica delle attività di tracciamento, accompagnata da un collegamento a un documento più dettagliato.
L’informativa deve descrivere le modalità effettive del trattamento, evitando formulazioni generiche o non corrispondenti alle funzionalità utilizzate.
Le imprese devono quindi verificare la coerenza tra quanto dichiarato agli interessati e le impostazioni delle piattaforme di email marketing.
Revoca del consenso: il destinatario può continuare a ricevere le comunicazioni senza essere tracciato
Tra le indicazioni maggiormente rilevanti figura la necessità di garantire una revoca selettiva del consenso.
Quando il consenso riguarda sia la ricezione delle comunicazioni promozionali sia il relativo tracciamento, l’interessato deve poter modificare separatamente le proprie preferenze.
In particolare, deve poter scegliere di interrompere completamente la ricezione delle email oppure di continuare a riceverle senza essere sottoposto al monitoraggio fondato sul consenso.
Questa previsione presenta importanti conseguenze operative.
Le piattaforme devono consentire una gestione sufficientemente granulare delle preferenze e assicurare che la revoca del consenso al tracciamento produca effetti concreti.
Tra le possibili soluzioni indicate dal Garante rientra l’inserimento, nel footer delle comunicazioni, di un collegamento a una pagina dedicata alla gestione delle preferenze.
Per le organizzazioni non è quindi sufficiente aggiornare l’informativa: occorre verificare anche il funzionamento degli strumenti tecnologici.
Newsletter già attive: le indicazioni per i trattamenti esistenti
Le Linee guida distinguono le nuove attività di tracciamento dai trattamenti già in corso.
Per le attività avviate successivamente all’adozione delle indicazioni del Garante, il consenso eventualmente necessario deve essere acquisito preventivamente.
Per i trattamenti già esistenti, il provvedimento contempla specifiche modalità transitorie di adeguamento.
Tra queste figurano l’aggiornamento dell’informativa attraverso il primo invio utile o un momento appropriato di discontinuità nella relazione con l’interessato e l’introduzione di strumenti che consentano la revoca selettiva del consenso.
La disciplina transitoria non costituisce tuttavia un’autorizzazione generalizzata a effettuare qualsiasi monitoraggio.
È necessario verificare le condizioni nelle quali il consenso era stato raccolto, le informazioni precedentemente fornite ai destinatari e la natura dei trattamenti effettuati.
Privacy by design e responsabilità dei fornitori tecnologici
Le Linee guida richiamano anche il principio di protezione dei dati fin dalla progettazione, previsto dall’articolo 25 del GDPR.
Il Garante suggerisce l’adozione di soluzioni tecniche che riducano la circolazione e l’esposizione dei dati personali.
Tra gli esempi figurano l’utilizzo di identificativi non intelligibili e non sequenziali, separati dagli indirizzi email, per limitare la quantità di informazioni trasmesse durante il caricamento dei pixel.
Un altro elemento rilevante riguarda l’individuazione delle responsabilità dei soggetti coinvolti.
Le imprese che utilizzano piattaforme esterne devono verificare i ruoli privacy attribuiti ai fornitori, la presenza di eventuali trattamenti autonomi e le misure adottate per garantire il rispetto della normativa.
L’esternalizzazione del servizio di invio delle comunicazioni non determina automaticamente il trasferimento delle responsabilità del titolare del trattamento.
Scadenza 29 ottobre 2026: le verifiche operative per le imprese
In vista della scadenza, le organizzazioni che utilizzano strumenti di email marketing dovrebbero effettuare una verifica coordinata tra Marketing, IT, Legal e Data Protection Officer.
Le principali attività da considerare riguardano:
- Mappatura degli strumenti di tracciamento. Identificare i tracking pixel effettivamente utilizzati e distinguere le funzionalità di analisi aggregata da quelle di monitoraggio individuale.
- Verifica delle finalità. Accertare per quali scopi vengono raccolte le informazioni e se sussistono le condizioni di liceità applicabili.
- Aggiornamento delle informative. Controllare che le comunicazioni agli interessati descrivano in modo chiaro le attività di monitoraggio.
- Gestione del consenso. Verificare le modalità di acquisizione e registrazione delle scelte effettuate dai destinatari.
- Revoca selettiva. Accertare che sia possibile disattivare il tracciamento senza interrompere necessariamente la ricezione delle comunicazioni.
- Valutazione dei fornitori. Riesaminare le configurazioni delle piattaforme utilizzate e i rapporti con i soggetti esterni coinvolti.
- Documentazione degli adeguamenti. Conservare evidenza delle verifiche effettuate e delle misure adottate.
Queste attività rappresentano un percorso operativo suggerito sulla base delle Linee guida e non sette nuovi adempimenti autonomamente introdotti dal Garante.
Tracking pixel nelle email: la protezione dei dati come responsabilità organizzativa
La scadenza del 29 ottobre 2026 rappresenta un’occasione per riflettere su un tema che supera il solo ambito delle comunicazioni commerciali.
La crescente disponibilità di tecnologie capaci di analizzare il comportamento degli utenti richiede alle organizzazioni di interrogarsi non soltanto su quali informazioni sia possibile raccogliere, ma anche su quali siano realmente necessarie e proporzionate rispetto alle finalità perseguite.
La trasparenza dei trattamenti, la qualità delle informazioni fornite agli interessati e la possibilità di esercitare un controllo effettivo sui propri dati costituiscono elementi fondamentali della relazione tra imprese e destinatari delle comunicazioni.
Le indicazioni del Garante richiamano, quindi, l’importanza di un approccio integrato alla data governance, nel quale obiettivi commerciali, scelte tecnologiche e responsabilità organizzative siano coordinati.
Per le imprese, l’adeguamento alle Linee guida sui tracking pixel nelle email non dovrebbe essere considerato esclusivamente un adempimento normativo, ma anche un’opportunità per rafforzare la correttezza e la trasparenza dei processi di comunicazione digitale.
La formazione delle funzioni aziendali coinvolte può contribuire a sviluppare maggiore consapevolezza sulle implicazioni giuridiche e organizzative dell’utilizzo dei dati personali.
Per approfondire le novità in materia di GDPR e protezione dei dati personali, consulta le iniziative formative Paradigma dedicate alla Data Protection.
Scopri inoltre tutte le iniziative formative in programma e iscriviti alla nostra newsletter per ricevere aggiornamenti sulle principali novità normative.
