Scade il termine di adeguamento alle Linee guida del Garante Privacy. Le indicazioni su consenso, informative, revoca selettiva e protezione dei dati interessano imprese, newsletter, CRM e piattaforme di email marketing.
Il 29 ottobre 2026 segna la scadenza del periodo di adeguamento alle Linee guida sui tracking pixel nelle comunicazioni di posta elettronica, adottate dal Garante per la protezione dei dati personali con il provvedimento n. 284 del 17 aprile 2026, pubblicato nella Gazzetta Ufficiale n. 98 del 29 aprile 2026.
Il provvedimento chiarisce le condizioni alle quali aziende, piattaforme di email marketing e altri soggetti possono utilizzare strumenti tecnologici capaci di rilevare l’apertura dei messaggi e raccogliere informazioni sul comportamento dei destinatari.
Le indicazioni riguardano aspetti fondamentali della protezione dei dati personali, tra cui la trasparenza delle comunicazioni, le modalità di acquisizione del consenso, l’esercizio del diritto di revoca e l’adozione di misure di privacy by design e by default.
L’adeguamento assume particolare rilievo per le organizzazioni che utilizzano newsletter, campagne promozionali, CRM e piattaforme di marketing automation.
In sintesi
- 29 ottobre 2026: scade il periodo di sei mesi concesso dal Garante per adeguarsi alle Linee guida sui tracking pixel nelle email.
- Consenso preventivo: necessario, in linea generale, quando il tracciamento individuale viene utilizzato per misurare i comportamenti dei destinatari a fini promozionali.
- Informativa trasparente: gli utenti devono conoscere la presenza dei pixel, le informazioni raccolte e le finalità del trattamento.
- Revoca selettiva: deve essere possibile interrompere il tracciamento continuando, se desiderato, a ricevere le comunicazioni.
- Deroghe e statistiche aggregate: il consenso può non essere necessario in specifiche circostanze, purché siano rispettate le condizioni previste.
- Controlli del Garante: la verifica dell’applicazione delle Linee guida rientra nelle attività ispettive programmate per il secondo semestre 2026.
Cosa sono i tracking pixel nelle email e come funzionano?
I tracking pixel sono immagini di dimensioni estremamente ridotte, spesso trasparenti e invisibili al destinatario, inserite nel corpo delle comunicazioni di posta elettronica.
Quando il destinatario apre il messaggio e il programma di posta carica l’immagine da un server remoto, può essere generata una richiesta tecnica che permette al mittente, o a un soggetto che opera per suo conto, di raccogliere informazioni relative all’interazione con la comunicazione.
A seconda della configurazione del sistema, possono essere rilevati diversi elementi:
- l’avvenuta apertura dell’email;
- la data e l’ora dell’interazione;
- eventuali aperture successive;
- informazioni tecniche relative al dispositivo o al programma di posta;
- dati associabili al singolo destinatario.
Queste funzionalità sono ampiamente utilizzate dalle piattaforme di email marketing e marketing automation per misurare l’efficacia delle campagne, individuare i messaggi maggiormente consultati e adattare le comunicazioni agli interessi degli utenti.
Il Garante sottolinea, tuttavia, che il carattere spesso invisibile di tali strumenti può compromettere la consapevolezza del destinatario rispetto al trattamento dei propri dati personali.
L’effettiva rilevazione dell’apertura dipende inoltre dalle caratteristiche tecniche del client di posta elettronica e dalle relative impostazioni.
Perché il Garante Privacy è intervenuto sui tracking pixel?
Con il provvedimento n. 284/2026, il Garante chiarisce che l’impiego dei tracking pixel nelle comunicazioni email rientra nell’ambito di applicazione dell’articolo 122 del D.Lgs. 196/2003, il Codice Privacy.
La disposizione disciplina l’archiviazione di informazioni nei dispositivi degli utenti e l’accesso a informazioni già archiviate, prevedendo, come regola generale, l’acquisizione del consenso preventivo, salve specifiche eccezioni.
A tale disciplina si affiancano le disposizioni del Regolamento (UE) 2016/679 (GDPR) relative alla liceità del trattamento, alla trasparenza, al consenso e alla responsabilizzazione del titolare.
Le Linee guida non introducono un divieto generalizzato di utilizzare i tracking pixel.
Definiscono invece le condizioni che devono essere rispettate affinché il loro impiego risulti conforme alla normativa sulla protezione dei dati.
La scadenza del 29 ottobre riguarda, dunque, il termine di adeguamento alle indicazioni dell’Autorità e non l’introduzione ex novo della disciplina sul consenso.
I 5 obblighi principali per imprese e piattaforme di email marketing
1. Verificare quando è necessario il consenso preventivo
Il primo aspetto riguarda la base giuridica del tracciamento.
Secondo il Garante, il consenso preventivo è necessario, in linea generale, quando i tracking pixel permettono di analizzare il comportamento del singolo destinatario per finalità promozionali.
Rientrano in questa categoria, ad esempio, le attività finalizzate a:
- misurare individualmente le aperture delle email;
- modificare la frequenza delle comunicazioni in base all’interesse rilevato;
- personalizzare le campagne promozionali;
- ricavare informazioni sulle preferenze dei destinatari;
- elaborare profili commerciali basati sulle interazioni con i messaggi.
Il consenso deve essere libero, informato, specifico e inequivocabile, secondo le condizioni previste dal GDPR.
Il Garante ha tuttavia chiarito che, nelle comunicazioni promozionali, il consenso ai tracking pixel può, in linea di principio, essere ricompreso nel più generale consenso alla ricezione delle comunicazioni commerciali.
Questa soluzione è ammissibile soltanto quando l’utente riceve un’informazione adeguata ed esprime una scelta realmente consapevole, senza pressioni o forzature.
Non è quindi sempre obbligatorio predisporre due caselle di consenso separate.
2. Aggiornare l’informativa privacy
Le organizzazioni devono spiegare chiaramente ai destinatari quali strumenti di tracciamento vengono utilizzati e per quali finalità.
L’informativa deve descrivere, in particolare, le informazioni raccolte, le modalità del trattamento, gli eventuali soggetti coinvolti e i diritti esercitabili dagli interessati.
Non è sufficiente un riferimento generico all’utilizzo di strumenti statistici o di analisi delle campagne.
Il destinatario deve poter comprendere se il sistema si limita a produrre statistiche aggregate oppure se consente di ricostruire le sue interazioni individuali.
Per i nuovi trattamenti, le informazioni devono essere fornite prima dell’attivazione del tracciamento.
Per i trattamenti già in corso, il Garante ha previsto specifiche indicazioni operative per l’aggiornamento delle informative.
3. Garantire una revoca semplice e selettiva
Una delle novità operative più significative riguarda la revoca granulare del consenso.
Il destinatario deve poter scegliere se interrompere completamente la ricezione delle comunicazioni oppure continuare a riceverle senza essere sottoposto al tracciamento individuale mediante pixel.
Il Garante indica, a titolo esemplificativo, la possibilità di inserire nelle email un collegamento facilmente riconoscibile a un’area dedicata alla gestione delle preferenze.
La revoca deve essere semplice e accessibile, senza comportare ostacoli ingiustificati per l’utente.
Le organizzazioni devono inoltre registrare le scelte espresse dagli interessati, così da poter dimostrare la corretta gestione delle preferenze.
Il consenso alla ricezione delle newsletter e la possibilità di rifiutare il tracciamento devono quindi essere gestiti in modo coerente con le indicazioni dell’Autorità.
4. Applicare i principi di privacy by design e privacy by default
Le Linee guida richiamano espressamente l’articolo 25 del GDPR, relativo alla protezione dei dati fin dalla progettazione e per impostazione predefinita.
Il Garante raccomanda l’adozione di soluzioni tecniche che limitino la circolazione delle informazioni personali e riducano il rischio di identificazione dei destinatari.
Tra le misure suggerite figura l’utilizzo di identificativi non intelligibili e non sequenziali, associati agli indirizzi email attraverso sistemi interni separati.
L’obiettivo è evitare che informazioni direttamente identificative, come gli indirizzi di posta elettronica, siano trasmesse inutilmente nelle richieste tecniche generate dal caricamento dei pixel.
La conformità non dipende soltanto dall’informativa o dal consenso, ma anche dal modo in cui gli strumenti tecnologici sono configurati.
5. Verificare i sistemi utilizzati e documentare le scelte
Le aziende che si avvalgono di fornitori esterni per l’invio di newsletter e comunicazioni promozionali devono verificare concretamente le funzionalità disponibili nelle piattaforme utilizzate.
Il controllo dovrebbe riguardare:
- l’attivazione del monitoraggio delle aperture;
- l’eventuale associazione dei dati ai singoli destinatari;
- le finalità per le quali vengono elaborate le informazioni;
- i meccanismi di acquisizione e revoca del consenso;
- le modalità di conservazione dei dati;
- i ruoli e le responsabilità dei fornitori coinvolti.
Il principio di accountability richiede infatti che il titolare del trattamento sia in grado di dimostrare la conformità delle proprie attività.
L’utilizzo di una piattaforma esterna non esonera automaticamente l’organizzazione dalle responsabilità relative alle finalità e alle modalità del trattamento.
Quando i tracking pixel possono essere utilizzati senza consenso?
Il Garante ha individuato specifiche situazioni nelle quali l’utilizzo dei tracking pixel può rientrare nelle deroghe previste dall’articolo 122 del Codice Privacy.
Statistiche realmente aggregate
Il consenso può non essere necessario quando i pixel sono utilizzati esclusivamente per ottenere statistiche complessive sull’apertura delle comunicazioni, senza consentire la misurazione del comportamento del singolo destinatario.
Il Garante suggerisce, ad esempio, l’utilizzo di pixel uguali per tutti i destinatari della stessa campagna e l’anonimizzazione degli altri dati tecnici raccolti.
Una semplice presentazione aggregata dei risultati non è sufficiente se il sistema continua a raccogliere e conservare informazioni individualmente identificabili.
Esigenze di sicurezza
Ulteriori deroghe possono ricorrere quando l’impiego dei pixel è strettamente necessario per specifiche funzionalità di sicurezza.
Tra gli esempi indicati figurano alcune comunicazioni connesse all’autenticazione dell’utente e alla gestione delle richieste relative agli account.
Comunicazioni istituzionali o di servizio
Il consenso può non essere necessario anche in relazione a determinate comunicazioni istituzionali o di servizio che il titolare è tenuto a inviare e per le quali assume rilievo l’effettiva conoscenza da parte del destinatario.
Il Garante richiama, tra gli altri, i messaggi relativi a modifiche contrattuali, incidenti di sicurezza, minacce di phishing, scadenze e specifici adempimenti.
L’applicabilità delle deroghe deve comunque essere verificata caso per caso, nel rispetto dei principi di necessità, proporzionalità e minimizzazione.
Cosa cambia per newsletter, CRM e marketing automation?
L’adeguamento interessa direttamente le organizzazioni che utilizzano piattaforme tecnologiche per gestire campagne di comunicazione e relazioni con clienti, professionisti e altri destinatari.
Nel caso delle newsletter aziendali, occorre distinguere tra il semplice invio dei contenuti e l’utilizzo di funzionalità che consentono di monitorare individualmente le aperture.
L’invio della newsletter può continuare quando sussiste una valida base giuridica per la comunicazione. Ciò non significa, tuttavia, che il tracciamento individuale sia automaticamente lecito.
Analogamente, nei sistemi CRM, l’eventuale registrazione delle aperture nelle schede dei singoli contatti deve essere valutata alla luce delle finalità perseguite e delle condizioni previste dalla normativa.
Particolare attenzione meritano anche i sistemi di marketing automation, nei quali i comportamenti dei destinatari possono determinare l’attivazione automatica di ulteriori comunicazioni o la modifica dei percorsi promozionali.
Il tracciamento dei clic sui collegamenti, pur essendo tecnicamente distinto dal funzionamento dei pixel di apertura, richiede una valutazione autonoma delle caratteristiche del trattamento e degli obblighi privacy applicabili.
La verifica deve quindi riguardare l’intero processo di comunicazione digitale, non soltanto la presenza del pixel.
E i consensi già raccolti prima del 29 ottobre?
Un aspetto delicato riguarda le organizzazioni che dispongono di database di contatti acquisiti negli anni precedenti.
Le Linee guida distinguono tra nuovi trattamenti e trattamenti già in corso.
Per questi ultimi, quando il trattamento sia fondato su un consenso o su altro valido presupposto giuridico, il Garante prevede un regime transitorio che consente di aggiornare l’informativa con il primo invio utile, o nel primo momento di discontinuità disponibile, e di introdurre un sistema di revoca selettiva.
Questa previsione non costituisce una sanatoria generalizzata dei trattamenti precedentemente effettuati.
Le organizzazioni devono verificare la validità delle basi giuridiche originarie e l’effettiva consapevolezza degli interessati rispetto alle attività di monitoraggio.
Se non ricorrono i presupposti per effettuare il tracciamento individuale, sarà necessario acquisire un consenso valido oppure disabilitare le relative funzionalità per i destinatari interessati.
Il Garante annuncia controlli sui tracking pixel
Nel vademecum pubblicato il 5 ottobre 2026, il Garante ha ricordato che la verifica dell’applicazione delle Linee guida sui tracking pixel nelle comunicazioni email rientra tra le attività ispettive previste per il secondo semestre 2026.
La scadenza del 29 ottobre rappresenta pertanto un passaggio significativo per le organizzazioni che utilizzano strumenti di comunicazione digitale.
L’attenzione non deve limitarsi all’aggiornamento formale della documentazione, ma estendersi alla verifica delle impostazioni tecniche e delle modalità concrete di trattamento dei dati.
Domande frequenti
Dal 29 ottobre 2026 è vietato utilizzare tracking pixel nelle email?
No. Le Linee guida non introducono un divieto generalizzato. L’utilizzo è possibile rispettando le condizioni previste dalla normativa, acquisendo il consenso quando necessario oppure verificando l’applicabilità delle specifiche deroghe.
Serve un consenso separato per i pixel di tracciamento?
Non necessariamente. Il Garante ammette, in linea di principio, un consenso unico per comunicazioni promozionali e tracking pixel, purché la richiesta sia trasparente e consapevole e sia garantita la revoca selettiva.
È possibile continuare a inviare newsletter senza monitorare le aperture?
Sì. L’invio delle newsletter e il monitoraggio individuale delle aperture sono attività distinte. Le comunicazioni possono continuare a essere inviate quando sussiste una base giuridica valida, anche senza utilizzare pixel di tracciamento individuale.
Le statistiche aggregate richiedono sempre il consenso?
No. In presenza delle specifiche condizioni individuate dal Garante, le statistiche realmente aggregate e anonimizzate possono essere elaborate senza raccogliere il consenso al tracking pixel.
Le aziende che utilizzano piattaforme esterne devono comunque adeguarsi?
Sì. Il titolare del trattamento deve verificare che le funzionalità della piattaforma siano configurate e utilizzate conformemente alla normativa applicabile, anche quando le operazioni tecniche sono affidate a un fornitore esterno.
Conclusioni: la conformità richiede trasparenza e controllo dei processi
La scadenza del 29 ottobre 2026 richiama l’attenzione su un principio che va oltre il singolo strumento tecnologico: la raccolta dei dati relativi ai comportamenti digitali deve essere comprensibile, proporzionata e controllabile dagli interessati.
Per le organizzazioni, il corretto utilizzo dei tracking pixel richiede il coordinamento tra funzioni Marketing, Legal, Compliance, Data Protection e IT.
Informative, consensi, impostazioni delle piattaforme e procedure di gestione delle preferenze devono essere considerate come elementi di un unico processo.
L’adeguamento rappresenta dunque non soltanto una questione normativa, ma anche un’opportunità per migliorare la governance delle informazioni e rafforzare la fiducia degli utenti.
Approfondire le competenze con Paradigma
La progressiva evoluzione della normativa sulla protezione dei dati personali richiede un aggiornamento continuo delle competenze giuridiche, tecnologiche e organizzative.
Paradigma propone iniziative formative dedicate alla Data Protection, alla Compliance e alla governance dei processi digitali, con particolare attenzione ai provvedimenti delle Autorità e alle implicazioni operative per imprese e professionisti.
Fonti ufficiali e riferimenti normativi
1. Garante per la protezione dei dati personali – Provvedimento n. 284 del 17 aprile 2026
Linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica, documento web n. 10241943.
Consulta il provvedimento integrale del Garante Privacy
2. Garante Privacy – Vademecum del 5 ottobre 2026
Indicazioni per l’adeguamento alle Linee guida entro il 29 ottobre 2026.
Consulta il vademecum ufficiale
3. Garante Privacy – Tracking pixel nelle email
Pagina tematica ufficiale con i principali chiarimenti sulle condizioni di utilizzo, sulle deroghe e sulla gestione dei consensi.
Consulta la pagina ufficiale sui tracking pixel
4. Regolamento (UE) 2016/679 – GDPR
Riferimenti principali: articoli 5, 6, 7, 12, 13, 25 e 28.
5. D.Lgs. 30 giugno 2003, n. 196 – Codice Privacy
Articolo 122, relativo all’archiviazione delle informazioni nei dispositivi degli utenti e all’accesso alle informazioni già archiviate.
Consulta il Codice Privacy su Normattiva
Newsletter Paradigma
Vuoi ricevere i prossimi aggiornamenti relativi all’area Data protection?
Novità normative, nuove iniziative e approfondimenti, nella tua casella di posta elettronica. Puoi disiscriverti in qualsiasi momento.
