Il Garante per la Protezione dei Dati Personali ha adottato nuove Linee guida sull’utilizzo dei tracking pixel nelle comunicazioni e-mail. Il provvedimento, pubblicato sulla Gazzetta Ufficiale n. 98 del 29 aprile 2026, interessa tutte le organizzazioni che utilizzano sistemi di invio e-mail, newsletter, DEM e piattaforme di marketing automation che consentono di monitorare le interazioni dei destinatari. Il termine concesso dal Garante per l’adeguamento è di sei mesi dalla pubblicazione in Gazzetta Ufficiale, quindi entro il 29 ottobre 2026.
Ma cosa sono esattamente i tracking pixel? Quando richiedono il consenso dell’utente? E quali verifiche devono effettuare le aziende che utilizzano strumenti di e-mail marketing?
Cosa sono i tracking pixel nelle e-mail
I tracking pixel sono piccoli elementi grafici, generalmente invisibili al destinatario, inseriti all’interno delle e-mail per raccogliere informazioni sulle interazioni con il messaggio.
A differenza di un’immagine incorporata direttamente nell’e-mail, il pixel è normalmente ospitato su un server remoto. Quando il messaggio viene aperto, il client di posta può richiamare automaticamente quella risorsa, generando una richiesta che permette al sistema di registrare determinate informazioni. A seconda della configurazione utilizzata, è possibile rilevare, ad esempio:
- l’apertura di un’e-mail;
- il momento in cui viene aperta;
- il numero di aperture successive;
- l’indirizzo IP;
- il dispositivo utilizzato;
- altri identificativi associati al messaggio o al destinatario.
Proprio per il carattere normalmente invisibile di questi strumenti, il Garante ha sottolineato la necessità di garantire agli utenti maggiore trasparenza e controllo sull’utilizzo dei propri dati. L’utente può infatti non essere consapevole che l’apertura del messaggio stia generando una raccolta di informazioni. È per questo che trasparenza e possibilità di controllo diventano elementi centrali delle nuove Linee guida.
Tracking pixel e privacy: quando è necessario il consenso
Come regola generale, quando il tracking permette di monitorare individualmente il comportamento del destinatario, il suo utilizzo richiede il consenso, salvo che ricorra una delle specifiche deroghe previste dalla normativa.
È il caso, ad esempio, di strumenti utilizzati per conoscere quali utenti abbiano aperto una determinata campagna, analizzarne individualmente le interazioni o ricavare informazioni sui loro interessi.
Il Garante riconduce infatti le operazioni effettuate attraverso i pixel di tracciamento nell’ambito dell’articolo 122 del Codice Privacy: il caricamento e la successiva lettura delle informazioni coinvolgono il terminale dell’utente. A questa disciplina si affiancano i principi e gli obblighi previsti dal GDPR, tra cui trasparenza, validità del consenso e privacy by design.
Il consenso al tracking può essere unito a quello per il marketing?
Una delle indicazioni più rilevanti riguarda proprio il modo in cui il consenso può essere raccolto.
Secondo il Garante, il consenso all’utilizzo del tracking pixel può, in linea di principio, essere ricompreso nel consenso alla ricezione delle comunicazioni promozionali, evitando quindi di moltiplicare inutilmente le richieste rivolte all’utente.
Questo è però possibile soltanto se l’interessato viene informato in maniera adeguata e la richiesta di consenso è formulata in modo chiaro, neutrale e privo di forzature. La semplificazione iniziale non elimina però la necessità di garantire un controllo successivo molto più granulare. L’utente deve infatti poter scegliere tra:
- continuare a ricevere le comunicazioni con tracking;
- continuare a ricevere le comunicazioni senza tracking;
- interrompere completamente la ricezione delle e-mail.
Il rifiuto o la revoca del solo tracking non può quindi comportare automaticamente la disiscrizione dalla newsletter o altre limitazioni del servizio.
Quando il consenso al tracking può non essere necessario
Le Linee guida individuano anche alcune situazioni nelle quali il tracking può essere utilizzato senza acquisire uno specifico consenso.
Tra queste rientrano, ad esempio:
- Le misurazioni statistiche aggregate, utilizzate ad esempio per migliorare la deliverability o contrastare lo spam. In questo caso, però, il monitoraggio non deve permettere di identificare quali singoli destinatari abbiano aperto il messaggio e i dati tecnici devono essere adeguatamente anonimizzati.
- Alcune finalità di sicurezza e autenticazione, ad esempio nell’attivazione di un account, nella gestione di una modifica della password o in altri processi nei quali verificare l’apertura del messaggio contribuisce alla sicurezza del servizio richiesto.
- Alcune comunicazioni istituzionali o di servizio che il titolare è giuridicamente tenuto a inviare e per le quali sia rilevante verificare l’effettiva presa di conoscenza da parte del destinatario: ad esempio alcune comunicazioni di sicurezza, notifiche relative a incidenti, modifiche contrattuali o allerte antifrode.
Non si tratta tuttavia di deroghe applicabili automaticamente: spetta al titolare valutare il singolo trattamento e verificarne concretamente i presupposti.
Cosa devono fare le aziende che utilizzano newsletter ed e-mail marketing
Il nuovo quadro richiede una verifica coordinata sotto il profilo privacy, organizzativo e tecnologico. Le organizzazioni che utilizzano newsletter, DEM e piattaforme di e-mail marketing dovrebbero innanzitutto ricostruire il funzionamento effettivo dei propri sistemi, verificando:
- quali sistemi di tracciamento siano attualmente utilizzati nelle comunicazioni;
- se le aperture e i click siano rilevati in forma individuale oppure esclusivamente aggregata e anonima;
- il contenuto delle informative privacy e la formulazione degli attuali consensi;
- le modalità con cui vengono registrate e conservate le preferenze degli utenti;
- la possibilità di consentire all’utente di disattivare esclusivamente il tracking, senza dover rinunciare alla ricezione delle comunicazioni;
- il funzionamento dei Preference Center e dei link presenti nel footer delle e-mail;
- l’integrazione tra piattaforme di e-mail marketing, CRM, database clienti e altri sistemi nei quali vengono gestite le preferenze dell’interessato.
Un consenso già presente nel database, ad esempio relativo al marketing o alla profilazione, non dovrebbe essere considerato automaticamente sufficiente senza verificarne il contenuto e l’informativa sulla base della quale è stato raccolto: occorre valutare se l’interessato sia stato effettivamente informato anche circa l’impiego degli strumenti di tracciamento nelle e-mail.
Attenzione anche a provider, piattaforme e responsabilità privacy
Un ulteriore aspetto da considerare riguarda i diversi soggetti che possono intervenire nella gestione delle campagne. Mittente, piattaforma SaaS di e-mail marketing, eventuali fornitori della tecnologia di tracciamento e altri soggetti coinvolti possono assumere ruoli differenti ai sensi del GDPR.
Le organizzazioni dovrebbero quindi verificare anche la catena delle responsabilità e i rapporti contrattuali con i propri fornitori, stabilendo correttamente, caso per caso, chi opera come titolare, responsabile o eventualmente contitolare del trattamento.
Tracking pixel e privacy by design: cosa cambia anche a livello tecnico
Le Linee guida richiamano inoltre il principio di privacy by design, introducendo indicazioni che coinvolgono direttamente la configurazione tecnica delle piattaforme.
Tra le soluzioni indicate dal Garante vi è l’utilizzo, per ciascun destinatario, di identificativi non intelligibili e non sequenziali, associati all’indirizzo e-mail soltanto all’interno di un livello separato e protetto della piattaforma. In questo modo l’indirizzo e-mail non viene direttamente trasmesso nella richiesta generata dal caricamento del pixel e si riducono l’esposizione dei dati e il rischio di re-identificazione.
Per le imprese, quindi, l’adeguamento non riguarda soltanto la documentazione privacy, ma può richiedere un confronto con i fornitori delle piattaforme utilizzate per verificare quali configurazioni e strumenti siano effettivamente disponibili.
E per gli utenti già presenti nei database?
Le Linee guida prevedono specifiche indicazioni anche per i trattamenti già in corso.
I titolari devono assicurare agli interessati un’adeguata informazione sull’impiego dei tracking pixel e mettere a disposizione un meccanismo semplice, visibile e riconoscibile attraverso cui sia possibile modificare le proprie preferenze.
Per i trattamenti esistenti, l’informativa può essere fornita con il primo invio utile o in occasione del primo momento di discontinuità della relazione con l’interessato. Anche in questo caso deve essere possibile revocare soltanto il tracking senza rinunciare alla ricezione delle comunicazioni e le preferenze espresse devono essere correttamente registrate dai sistemi aziendali.
Adeguamento tracking pixel: non solo privacy, ma anche tecnologia e marketing
Il Provvedimento n. 284/2026 non riguarda quindi soltanto l’aggiornamento di un’informativa privacy.
L’adeguamento richiede di coordinare consensi, database, piattaforme di invio, configurazione delle campagne, Preference Center e processi di gestione delle richieste degli interessati.
Le imprese che utilizzano newsletter, DEM o altri sistemi di comunicazione tramite e-mail dovrebbero pertanto verificare tempestivamente, insieme ai propri consulenti privacy e ai fornitori tecnologici, le modalità con cui vengono attualmente effettuati i tracciamenti e gli eventuali interventi necessari.
La scadenza per l’adeguamento è il 29 ottobre 2026.
Spazio88 seguirà l’evoluzione degli strumenti messi a disposizione dalle principali piattaforme di e-mail marketing e gli aspetti tecnici connessi all’applicazione delle nuove Linee guida, con particolare attenzione all’integrazione tra sistemi di invio, siti web, CRM e gestione delle preferenze degli utenti.
