Il 29 ottobre 2026 è scaduto il termine per adeguarsi alle Linee guida del Garante Privacy sull’utilizzo dei tracking pixel nelle comunicazioni elettroniche. Le nuove indicazioni riguardano imprese, professionisti, piattaforme digitali e chiunque utilizzi sistemi di invio e monitoraggio delle e-mail. Vediamo cosa cambia, quando è necessario il consenso e quali adempimenti devono essere rispettati.
Indice
Cosa sono i tracking pixel e perché il Garante Privacy è intervenuto
Quando riceviamo una newsletter, una comunicazione commerciale o persino una semplice e-mail di servizio, difficilmente immaginiamo che il mittente possa essere in grado di sapere quando abbiamo aperto il messaggio, quante volte lo abbiamo consultato e, in determinate circostanze, quale dispositivo abbiamo utilizzato.
Eppure, proprio questo è ciò che consentono di fare i cosiddetti tracking pixel, strumenti di tracciamento ampiamente utilizzati nelle piattaforme di e-mail marketing.
Si tratta di immagini di dimensioni estremamente ridotte, spesso trasparenti e invisibili al destinatario, inserite all’interno del messaggio elettronico.
Quando il destinatario apre l’e-mail, il programma di posta può richiedere automaticamente il caricamento dell’immagine da un server remoto. Questa operazione può consentire al mittente, o al fornitore della piattaforma utilizzata, di raccogliere informazioni quali:
- L’avvenuta apertura del messaggio.
- La data e l’ora di consultazione.
- Il numero di aperture.
- L’indirizzo IP e alcune informazioni tecniche sul dispositivo, a seconda delle modalità di caricamento.
- Le interazioni con il messaggio, nei limiti consentiti dalla tecnologia impiegata.
Il problema giuridico nasce dal fatto che questo monitoraggio può avvenire senza che il destinatario ne sia effettivamente consapevole.
Per disciplinare tale fenomeno, il Garante per la protezione dei dati personali ha adottato, con il Provvedimento n. 284 del 17 aprile 2026, specifiche Linee guida sull’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica.
Il provvedimento, pubblicato nella Gazzetta Ufficiale n. 98 del 29 aprile 2026, è stato successivamente accompagnato da un vademecum esplicativo in nove punti.
Tracking pixel e GDPR: quale normativa si applica?
Uno degli aspetti più rilevanti delle Linee guida riguarda l’inquadramento giuridico dei pixel di tracciamento.
Il Garante chiarisce che il loro utilizzo ricade nell’ambito dell’articolo 122 del Codice Privacy (D.Lgs. 196/2003), disposizione che disciplina l’archiviazione di informazioni nei dispositivi degli utenti e l’accesso alle informazioni già memorizzate.
È la medesima disciplina di riferimento per i cookie e per altre tecnologie di tracciamento.
Questo significa che l’utilizzo dei tracking pixel non può essere giustificato automaticamente attraverso un generico richiamo al legittimo interesse del mittente.
La disciplina speciale derivante dalla direttiva ePrivacy richiede, in linea generale, il consenso preventivo dell’interessato, salvo che ricorrano specifiche condizioni di esenzione.
Accanto all’art. 122 continua naturalmente ad applicarsi il Regolamento UE 2016/679 (GDPR), con particolare riferimento ai principi di:
- Liceità, correttezza e trasparenza (art. 5 GDPR).
- Informazione degli interessati (artt. 12 e 13 GDPR).
- Responsabilizzazione del titolare del trattamento (art. 5, par. 2).
- Protezione dei dati fin dalla progettazione e per impostazione predefinita (art. 25 GDPR).
La conseguenza è importante: non basta che l’invio dell’e-mail sia legittimo. Occorre verificare autonomamente anche la liceità dell’eventuale tracciamento effettuato attraverso il messaggio.
Quando è obbligatorio il consenso per i tracking pixel?
La regola generale stabilita dal Garante è che il consenso preventivo è necessario quando il tracking pixel permette di monitorare il comportamento del singolo destinatario per finalità commerciali, statistiche individuali o di profilazione.
Pensiamo, ad esempio, a un’impresa che utilizza una piattaforma per sapere quali clienti aprono le newsletter, quali messaggi suscitano maggiore interesse e quali destinatari meritano successive comunicazioni personalizzate.
In questi casi, il tracciamento non si limita a misurare il funzionamento tecnico del servizio, ma consente di acquisire informazioni sul comportamento individuale dell’utente.
Il consenso deve essere libero, informato, specifico e inequivocabile e deve essere acquisito prima dell’attivazione del tracciamento.
Il consenso alla newsletter comprende anche quello ai tracking pixel?
Il Garante ammette che, nelle comunicazioni promozionali, il consenso al tracciamento possa, in linea di principio, essere ricompreso nel consenso più generale alla ricezione di messaggi pubblicitari.
Ciò non significa, tuttavia, che qualsiasi consenso al marketing autorizzi automaticamente il monitoraggio delle aperture.
L’interessato deve essere informato chiaramente della presenza dei pixel e delle relative finalità. Inoltre, la scelta non deve essere condizionata o formulata in modo da ostacolare una decisione consapevole.
Per le imprese, diventa quindi essenziale verificare non soltanto il testo dei moduli di iscrizione, ma anche le impostazioni delle piattaforme di invio utilizzate.
Quando i tracking pixel possono essere utilizzati senza consenso?
Le Linee guida individuano alcune ipotesi nelle quali il consenso preventivo può non essere necessario.
Non si tratta, però, di esenzioni generalizzate: la loro applicazione richiede una verifica concreta delle finalità perseguite e delle caratteristiche tecniche dello strumento.
Statistiche aggregate e anonimizzate
Il consenso può non essere richiesto quando i pixel vengono utilizzati esclusivamente per ottenere statistiche complessive sulle aperture delle e-mail, senza consentire il monitoraggio del singolo destinatario.
Per esempio, un’impresa potrebbe voler sapere quante e-mail di una campagna sono state aperte, senza conoscere l’identità delle persone che le hanno consultate.
In simili circostanze, il Garante suggerisce accorgimenti tecnici come l’utilizzo di pixel identici per tutti i destinatari della medesima campagna e l’anonimizzazione degli ulteriori dati tecnici raccolti.
La semplice presentazione dei risultati in forma aggregata, tuttavia, non è sufficiente se il sistema continua a identificare e monitorare individualmente i destinatari.
Sicurezza informatica e autenticazione
Un’altra possibile deroga riguarda le comunicazioni strettamente connesse alla sicurezza dei servizi digitali.
Si pensi alle e-mail inviate per confermare l’attivazione di un account, gestire il recupero di una password o completare una procedura di autenticazione.
In questi casi, il tracciamento può essere giustificato quando risulti effettivamente necessario all’adozione delle misure di sicurezza.
Comunicazioni obbligatorie e di servizio
Il Garante contempla inoltre alcune comunicazioni istituzionali o di servizio per le quali assume particolare rilievo la verifica dell’effettiva presa di conoscenza da parte del destinatario.
Tra gli esempi richiamati figurano le notifiche relative a incidenti informatici, gli avvisi su tentativi di phishing, le comunicazioni di modifiche contrattuali e determinati promemoria relativi a scadenze o adempimenti.
Anche in queste situazioni, però, l’assenza dell’obbligo di consenso non equivale a una libertà indiscriminata di tracciamento.
Il titolare deve poter dimostrare la sussistenza dei presupposti della deroga, nel rispetto dei principi di necessità, proporzionalità e minimizzazione. Garante Privacy+1
Informativa privacy: obblighi anche per newsletter ed e-mail di servizio
Il consenso non esaurisce gli obblighi previsti dalla normativa.
Il Garante precisa che il destinatario deve essere preventivamente informato della presenza di tracking pixel, indipendentemente dalla finalità della comunicazione e dalla natura pubblica o privata del mittente.
L’informativa deve spiegare, con linguaggio comprensibile, quali strumenti di tracciamento vengono utilizzati, quali informazioni raccolgono e per quali finalità.
È possibile ricorrere a informative su più livelli: ad esempio, una breve comunicazione nel modulo di iscrizione alla newsletter, accompagnata da un collegamento alla privacy policy completa.
Per i trattamenti già avviati, le Linee guida contemplano la possibilità di fornire le informazioni con il primo messaggio utile o in occasione di un momento di discontinuità del rapporto con l’interessato.
Resta comunque fondamentale distinguere l’obbligo informativo dall’eventuale necessità di acquisire un valido consenso.
Revoca del consenso: l’utente può rifiutare il tracciamento senza rinunciare alla newsletter
Una delle novità operative più significative riguarda la possibilità di revocare il consenso in maniera selettiva.
Secondo le indicazioni del Garante, il destinatario deve poter scegliere se interrompere completamente la ricezione delle comunicazioni oppure continuare a riceverle, escludendo però i tracking pixel.
In altri termini, non deve essere costretto a disiscriversi dalla newsletter per sottrarsi al tracciamento.
Il Garante suggerisce, ad esempio, l’inserimento di un collegamento facilmente riconoscibile in ogni messaggio, attraverso il quale l’utente possa modificare le proprie preferenze.
La revoca deve essere semplice e il titolare deve conservarne adeguata documentazione.
Si tratta di un’indicazione che richiede particolare attenzione alle funzionalità delle piattaforme di e-mail marketing: non tutti i sistemi potrebbero essere configurati, per impostazione predefinita, per gestire separatamente l’iscrizione alla newsletter e il consenso al monitoraggio.
Privacy by design: le responsabilità delle imprese e delle piattaforme di invio
Le Linee guida richiamano espressamente il principio di privacy by design e by default previsto dall’art. 25 GDPR.
Chi utilizza sistemi di tracciamento deve adottare misure tecniche e organizzative che limitino la raccolta dei dati allo stretto necessario e riducano i rischi per gli interessati.
Tra gli accorgimenti suggeriti dal Garante figura l’utilizzo di identificativi non intelligibili e non sequenziali, associati agli indirizzi e-mail attraverso ambienti separati della piattaforma.
In questo modo è possibile ridurre l’esposizione diretta dell’indirizzo e-mail durante le operazioni tecniche di caricamento del pixel.
È importante precisare che la pseudonimizzazione non equivale necessariamente all’anonimizzazione: quando l’identificativo può essere ricollegato a una persona, il trattamento continua a essere soggetto alle disposizioni del GDPR.
La responsabilità dell’adeguamento, inoltre, non riguarda esclusivamente il fornitore del software.
Anche l’impresa o il professionista che decide di utilizzare lo strumento deve verificare che le modalità concrete del trattamento siano conformi alla normativa.
Cosa devono fare le aziende dopo il 29 ottobre 2026?
Il termine di sei mesi concesso dal Garante, decorrente dalla pubblicazione delle Linee guida nella Gazzetta Ufficiale del 29 aprile 2026, è scaduto il 29 ottobre 2026.
Le indicazioni devono pertanto essere già state recepite dai soggetti interessati.
La verifica del rispetto delle Linee guida sui tracking pixel è stata inoltre inserita dal Garante tra le attività ispettive previste per il secondo semestre 2026.
Per le imprese e i professionisti che utilizzano strumenti di e-mail marketing, è quindi opportuno procedere a una verifica della conformità dei sistemi adottati.
Checklist di adeguamento GDPR
- Verificare se il software utilizzato inserisce automaticamente tracking pixel nelle e-mail
- Identificare le finalità del tracciamento e distinguere statistiche aggregate da monitoraggio individuale.
- Verificare la sussistenza del consenso o di una specifica condizione di esenzione.
- Aggiornare le informative privacy e i moduli di iscrizione alle newsletter.
- Consentire la revoca selettiva del consenso al tracciamento.
- Controllare gli accordi con i fornitori e i rispettivi ruoli privacy.
- Verificare le misure di minimizzazione, pseudonimizzazione e sicurezza.
- Documentare le valutazioni effettuate e le misure adottate.
Un aspetto merita particolare attenzione: l’utilizzo di una piattaforma di e-mail marketing conforme al GDPR non garantisce automaticamente la conformità di tutte le campagne realizzate attraverso di essa.
Occorre verificare le funzionalità concretamente attivate, i dati raccolti e le modalità con cui vengono utilizzati.
Il tracking pixel può dimostrare che una e-mail è stata letta?
La questione presenta anche interessanti risvolti giuridici, soprattutto in materia contrattuale e probatoria.
Un sistema di tracciamento può registrare l’apertura tecnica di un messaggio, ma questo dato non equivale necessariamente alla prova che il destinatario abbia effettivamente letto e compreso la comunicazione.
Alcuni programmi di posta elettronica, infatti, possono precaricare le immagini o utilizzare sistemi di protezione della privacy che incidono sull’attendibilità delle informazioni raccolte.
Di conseguenza, la segnalazione di apertura di una e-mail non può essere automaticamente equiparata alla prova della sua effettiva conoscenza da parte del destinatario.
Questa distinzione assume rilievo soprattutto quando l’apertura viene utilizzata per sostenere che il destinatario abbia ricevuto una comunicazione contrattuale, preso conoscenza di una modifica delle condizioni del servizio oppure sia stato informato di un determinato evento.
Il valore probatorio di tali informazioni deve essere valutato nel caso concreto, anche alla luce delle modalità tecniche con cui sono state acquisite.
Le deroghe al consenso previste per determinate comunicazioni di servizio non attribuiscono, infatti, ai dati di tracciamento un valore probatorio legale che essi non possiedono.
Domande frequenti sui tracking pixel nelle e-mail
I tracking pixel nelle newsletter sono vietati?
No. Possono essere utilizzati rispettando le condizioni previste dall’art. 122 del Codice Privacy e dal GDPR. Il monitoraggio individuale per finalità commerciali richiede, in linea generale, il consenso preventivo.
Il consenso al marketing è sufficiente per tracciare le aperture?
Può comprendere anche il tracciamento, secondo le indicazioni del Garante, purché l’interessato sia informato in modo chiaro e possa esprimere una scelta libera e consapevole. Non è sufficiente una formula generica che non renda conoscibile il monitoraggio.
Le statistiche aggregate richiedono il consenso?
Non necessariamente. Il consenso può non essere richiesto quando vengono adottate misure effettive per impedire il monitoraggio individuale dei destinatari e ricorrono i presupposti della deroga.
È obbligatorio permettere di disattivare i pixel senza disiscriversi dalla newsletter?
Quando il trattamento si fonda sul consenso, il Garante richiede che la revoca possa avvenire anche in forma granulare. Il destinatario deve quindi poter continuare a ricevere le comunicazioni senza essere sottoposto al tracciamento.
Le regole riguardano anche le piccole imprese e i professionisti?
Sì. Le Linee guida non prevedono un’esenzione generale in ragione delle dimensioni dell’organizzazione. La disciplina riguarda tutti i soggetti, pubblici e privati, che utilizzano tracking pixel nelle comunicazioni elettroniche.
Conclusioni: maggiore trasparenza nel rapporto tra imprese e destinatari
L’intervento del Garante Privacy sui tracking pixel costituisce un passaggio importante nella disciplina del tracciamento digitale.
L’attenzione non si concentra più soltanto sui cookie utilizzati durante la navigazione web, ma si estende anche alle tecnologie integrate nelle comunicazioni elettroniche.
Per le imprese, questo non significa rinunciare necessariamente agli strumenti di analisi delle campagne, bensì utilizzarli secondo criteri di trasparenza, proporzionalità e rispetto delle scelte degli interessati.
Il punto centrale è distinguere le attività tecniche indispensabili al funzionamento del servizio dal monitoraggio individuale effettuato per finalità commerciali.
Dopo la scadenza del 29 ottobre 2026, l’adeguamento delle piattaforme, delle informative e dei sistemi di gestione del consenso non rappresenta più un’attività da programmare, ma una verifica di conformità da affrontare concretamente.
Per aziende, professionisti e operatori digitali, una corretta impostazione giuridica e tecnica dei sistemi di e-mail marketing rappresenta non soltanto una misura di prevenzione dei rischi, ma anche un elemento di affidabilità nei confronti dei propri clienti.