Tracking pixel nelle e-mail: cosa verificare alla scadenza del 29 ottobre 2026

Il 29 ottobre 2026 è il termine per adeguare l'utilizzo dei tracking pixel nelle e-mail alle indicazioni del Garante. Il Garante per la protezione dei dati personali, con il provvedimento n. 284 del 17 aprile 2026, "Linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica", ha previsto nel dispositivo sei mesi dalla pubblicazione nella Gazzetta Ufficiale, Serie generale n. 98 del 29 aprile 2026, per conformarsi. La notizia del Garante del 5 ottobre 2026 conferma la scadenza odierna e l'inclusione di queste verifiche nelle attività ispettive del secondo semestre 2026. Per aziende ed enti, la verifica riguarda quali informazioni vengono raccolte all'apertura dei messaggi, per quale uso e con quali possibilità di scelta per il destinatario.

Che cosa rileva il pixel

Il tracking pixel è un'immagine, spesso trasparente e di un solo pixel, ospitata su un server remoto. Quando il destinatario apre il messaggio e il programma di posta scarica le immagini, il codice inserito nell'e-mail genera una richiesta al server. Questa richiesta permette di rilevare l'apertura e, secondo la configurazione, di raccogliere informazioni sul dispositivo, sull'indirizzo IP e sulle aperture successive.

Il paragrafo 4 delle Linee guida lo considera particolarmente invasivo soprattutto per il suo carattere nascosto: il destinatario può ignorare il meccanismo, mentre il mittente o altri soggetti ricavano informazioni sul suo comportamento.

Disabilitare lo scaricamento delle immagini può impedirne il funzionamento, ma interessa tutte le immagini. Questo accorgimento del destinatario non sostituisce gli adempimenti richiesti a chi utilizza il tracciamento.

La disciplina e i soggetti coinvolti

Il riferimento specifico è l'articolo 122 del decreto legislativo 30 giugno 2003, n. 196, Codice in materia di protezione dei dati personali. I commi 1 e 2-bis disciplinano l'accesso alle informazioni del terminale, la loro archiviazione e il monitoraggio delle operazioni dell'utente: occorre il consenso preventivo, salvo le deroghe previste.

Si applica inoltre il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, di seguito GDPR. Il paragrafo 1 delle Linee guida ricostruisce questo coordinamento: la disciplina speciale delle comunicazioni elettroniche prevale nelle materie che regola specificamente; il GDPR fornisce la cornice generale.

La verifica coinvolge il mittente, la piattaforma di invio, gli eventuali fornitori di liste e della tecnologia di tracciamento, oltre a chi predispone i contenuti. Il paragrafo 3 richiede di definire i ruoli caso per caso, secondo l'articolo 5, paragrafo 2, del GDPR, considerando anche l'eventuale contitolarità prevista dall'articolo 26.

Newsletter, messaggi promozionali, e-mail transazionali e comunicazioni di servizio possono contenere pixel. La categoria del messaggio, da sola, non determina la liceità del loro impiego.

Informare prima del tracciamento

Il paragrafo 4 delle Linee guida richiede che il destinatario conosca preventivamente l'impiego dei pixel, qualunque sia lo scopo della comunicazione e chiunque sia il mittente. L'obbligo discende dall'articolo 5, paragrafo 1, lettera a), e dagli articoli 12 e seguenti del GDPR. Vale anche quando una deroga consente di utilizzare il pixel senza consenso.

L'informativa deve rendere comprensibili il tracciamento e le sue finalità. Il Garante ammette una struttura su più livelli, ad esempio un testo sintetico nel modulo di raccolta dell'indirizzo con rinvio alle informazioni complete. La scelta del formato resta al titolare, che deve verificarne completezza, chiarezza e fruibilità.

Sul piano applicativo, dichiarare soltanto che la piattaforma produce "statistiche" è insufficiente se il sistema registra le aperture del singolo destinatario per modificarne le comunicazioni successive. L'informativa deve corrispondere al trattamento effettivo.

Consenso e deroghe dipendono dall'uso dei dati

I paragrafi 5 e 6 distinguono gli impieghi che possono beneficiare di una deroga da quelli che richiedono il consenso preventivo. Spetta al titolare verificare la riconducibilità del trattamento alla fattispecie applicabile.

Per il conteggio statistico della percentuale globale di apertura, la deroga richiede tecniche di anonimizzazione che impediscano misurazioni personalizzate. Presentare un rapporto aggregato non basta se le informazioni restano riferibili ai singoli destinatari. Il Garante suggerisce pixel uguali per tutti i destinatari della stessa campagna e l'anonimizzazione degli altri dati tecnici, come indirizzo IP e client. Queste sono indicazioni tecniche; il requisito da soddisfare è l'anonimizzazione delle informazioni.

Un'altra ipotesi riguarda le misure di sicurezza connesse all'autenticazione, al suo completamento o aggiornamento: il paragrafo 5 richiama, ad esempio, l'attivazione di un account e la modifica della password.

Lo stesso paragrafo considera i messaggi istituzionali o di servizio che il titolare ha l'obbligo giuridico di inoltrare e per i quali rilevi l'effettiva presa di conoscenza del destinatario. Il Garante collega la deroga al carattere dovuto degli invii o alle finalità di beneficio e tutela richiamate negli esempi, fra cui avvisi su minacce di phishing, modifiche contrattuali e incidenti di sicurezza. La denominazione "e-mail di servizio" non concede un'esenzione generale.

Il consenso è invece necessario, secondo il paragrafo 6, quando le aperture individuali servono a valutare campagne promozionali, adattare la frequenza degli invii o desumere interessi e preferenze per costruire profili commerciali.

Consenso unico, revoca selettiva e regime transitorio

Per i trattamenti nuovi che richiedono il consenso, il paragrafo 6 ne prevede la raccolta preventiva, preferibilmente quando si acquisisce l'indirizzo, dopo l'informativa. Il consenso deve essere libero, specifico, informato e inequivocabile, secondo gli articoli 4, punto 11, e 7 del GDPR.

Il Garante ammette che un unico consenso informato comprenda la ricezione delle comunicazioni promozionali e dei pixel. La richiesta deve essere neutra e priva di forzature; non è quindi prescritta in ogni caso una seconda casella separata.

Deve però essere possibile revocare anche il solo tracciamento, continuando a ricevere messaggi privi di pixel. Il paragrafo 6 e l'articolo 7, paragrafo 3, del GDPR richiedono modalità agevoli: un collegamento che permetta soltanto di cancellarsi dalla newsletter non soddisfa questa esigenza. Il rifiuto del tracciamento non deve limitare la fruibilità del servizio. Le scelte devono essere registrate, anche per dimostrarle ai sensi dell'articolo 7, paragrafo 1.

Per i trattamenti già in corso all'entrata in vigore delle Linee guida, basati sul consenso o su altro valido presupposto giuridico e comprendenti e-mail commerciali con pixel, il paragrafo 6 introduce un regime transitorio. Il titolare deve informare tempestivamente con il primo invio utile o nel primo momento di discontinuità disponibile, quindi predisporre e rendere riconoscibile un meccanismo di revoca anche selettiva.

Le Linee guida legano questo regime ai trattamenti già in corso alla loro entrata in vigore, senza indicarne la data; i trattamenti intrapresi successivamente seguono la regola del consenso preventivo, quando richiesto.

Verificare l'adeguamento sul funzionamento degli invii

L'articolo 25 del GDPR e il paragrafo 6 delle Linee guida richiedono protezione dei dati fin dalla progettazione e per impostazione predefinita. Il Garante suggerisce un identificativo inintelligibile e non sequenziale, associato all'indirizzo e-mail mediante una corrispondenza conservata in un livello interno separato della piattaforma. Con questa soluzione, l'indirizzo non compare nella richiesta generata dal pixel.

È un suggerimento per ridurre l'esposizione dell'indirizzo e il rischio di identificabilità. La corrispondenza con il destinatario permane: non equivale all'anonimizzazione richiesta per beneficiare della deroga statistica.

Per il gestore della piattaforma, il controllo riguarda anche la possibilità di applicare le preferenze ai singoli destinatari. Per il mittente, il riscontro utile è il messaggio effettivamente prodotto dopo la modifica di quelle preferenze.

Una verifica organizzativa può tradurre i requisiti in questi passaggi:

• Censire i flussi che contengono pixel, comprese le comunicazioni automatiche, associando a ciascuno finalità e soggetti coinvolti.
• Confrontare le impostazioni della piattaforma con l'informativa e verificare quali dati vengono raccolti e resi disponibili ai diversi soggetti.
• Individuare, per ogni impiego, il consenso disponibile oppure le condizioni della deroga, distinguendo i trattamenti nuovi da quelli ammessi al regime transitorio.
• Provare la revoca selettiva e controllare che gli invii successivi continuino senza pixel per chi ha rifiutato il tracciamento.
• Conservare il riscontro delle configurazioni esaminate, delle informazioni fornite e delle prove effettuate.

Questi passaggi sono una proposta di verifica, da adattare all'organizzazione. Se la prova della revoca lascia attivo il pixel, occorre correggere la configurazione: l'aggiornamento del testo informativo, da solo, non risolve il difetto.