Tracking pixel nelle email: guida privacy per aziende

I tracking pixel nelle email rilevano il caricamento di immagini remote e possono misurare le aperture dei messaggi. Per il tracciamento individuale promozionale serve, di regola, il consenso informato; esistono deroghe da verificare. Le aziende devono coordinare informativa, configurazione della piattaforma e revoca separata del tracciamento. Linee guida, paragrafi 5–6.

Cosa sono i tracking pixel nelle email e come funzionano?

Un tracking pixel è, normalmente, un'immagine molto piccola ospitata su un server esterno e richiamata dal codice di una email. Quando il programma di posta carica l'immagine, il server riceve una richiesta che può consentire di registrare l'apertura del messaggio. A seconda della configurazione, possono essere associati anche identificativi del destinatario, indirizzo IP, orario e informazioni sul dispositivo. È il funzionamento descritto dal Garante nelle Linee guida, paragrafo 1.

Per un'azienda il punto da chiarire è che cosa misura davvero il sistema: una percentuale complessiva di aperture oppure il comportamento del singolo contatto? Un report aggregato nella schermata della piattaforma potrebbe derivare da eventi raccolti individualmente. La presentazione del risultato, da sola, non dimostra che i dati sottostanti siano anonimi: la distinzione è decisiva per le deroghe illustrate nel paragrafo 5 delle Linee guida.

Disattivare il solo tracciamento delle aperture, inoltre, non risolve necessariamente la distinta questione dei link che identificano il destinatario. L'EDPB tratta sia pixel sia collegamenti tracciati nelle Linee guida 2/2023, versione definitiva, sezione 3.1.

Quali aziende sono interessate e cosa scade il 29 ottobre 2026?

Il tema riguarda chi utilizza questi strumenti nelle proprie comunicazioni: e-commerce, imprese con newsletter, agenzie che gestiscono campagne, piattaforme di marketing automation e altri operatori coinvolti nell'invio o nel monitoraggio. Le Linee guida considerano anche messaggi transazionali e di servizio; la qualificazione dipende dalle operazioni effettive e dalle finalità, non soltanto dal nome attribuito alla campagna. Linee guida, paragrafo 3.

Il 29 ottobre 2026 termina il periodo di sei mesi concesso per adeguarsi alle Linee guida adottate il 17 aprile 2026 e pubblicate in Gazzetta Ufficiale il 29 aprile. Il Garante ha richiamato il termine nella notizia del 5 ottobre 2026. Si tratta del termine di adeguamento alle indicazioni dell'Autorità, non della data dalla quale la tutela della riservatezza delle comunicazioni comincia a esistere.

Quando serve il consenso e quali sono le eccezioni?

Il tracciamento mediante pixel ricade nell'articolo 122 del Codice privacy; quando sono trattati dati personali si aggiungono le regole del GDPR. Il Garante distingue l'analisi individuale per finalità promozionali dalle specifiche ipotesi nelle quali può operare una deroga al consenso. La valutazione compete al titolare e va rapportata alla soluzione effettivamente utilizzata. Linee guida, paragrafi 1 e 5–6.

La tabella sintetizza i paragrafi 5 e 6 delle Linee guida. Non rende esenti tutte le statistiche né tutte le email transazionali. Per esempio, definire un messaggio «di servizio» non giustifica un successivo riutilizzo dei dati di apertura per scopi promozionali.

Anche nel B2B va esaminato l'accesso al terminale disciplinato dall'articolo 122: la natura aziendale del mittente o del destinatario non costituisce, di per sé, una deroga. La legittimità dell'invio della comunicazione e quella del suo monitoraggio sono verifiche distinte. Linee guida, paragrafi 1, 3 e 5.

Servono due consensi separati per newsletter e tracking pixel?

Non necessariamente due caselle. Per le comunicazioni promozionali il Garante ammette, in linea di principio, che il consenso al tracciamento sia ricompreso nel consenso alla ricezione delle comunicazioni. La richiesta deve però spiegare anche il monitoraggio ed essere formulata senza forzature. Un consenso che tace la presenza dei pixel non diventa informato per il solo fatto di essere stato raccolto con un modulo di iscrizione. Linee guida, paragrafo 6.

L'utente deve poi poter scegliere di continuare a ricevere i messaggi senza essere tracciato, revocando soltanto questa parte del consenso. L'alternativa fra accettare il monitoraggio e cancellarsi dalla newsletter non corrisponde alla revoca granulare descritta dall'Autorità. Le scelte devono essere registrate e rese operative negli invii successivi. Linee guida, paragrafo 6.

La guida sul consenso GDPR: requisiti e revoca approfondisce i criteri generali. Nel caso delle email, il modulo di raccolta, il database dei consensi e il centro preferenze devono funzionare in modo coerente.

Cosa fare con le liste e i consensi già esistenti?

Una lista preesistente non impone automaticamente di richiedere nuovamente ogni consenso. Il Garante prevede un regime transitorio per i trattamenti già in corso, basati sul consenso o su un altro valido presupposto: occorre assolvere agli obblighi informativi con il primo invio utile o nel primo momento di discontinuità disponibile e predisporre una revoca anche granulare, visibile e semplice. Linee guida, paragrafi 4 e 6.

Questa disciplina non sana una lista priva di valido presupposto giuridico. Non basta neppure che gli indirizzi siano stati raccolti anni prima per qualificare come preesistente un nuovo tracciamento. Vanno ricostruiti i trattamenti effettivamente in corso, i testi utilizzati e le finalità perseguite. Il regime transitorio è destinato a esaurirsi con l'avvio di nuovi trattamenti, ai quali si applica la regola preventiva descritta nel paragrafo 6 delle Linee guida.

La prima attività utile è quindi distinguere le liste: provenienza dei contatti, modalità di iscrizione, versione dell'informativa, prova della scelta e impostazioni di tracciamento. È una ricostruzione da compiere prima di decidere se aggiornare l'informazione, modificare le configurazioni o raccogliere un nuovo consenso.

Quali verifiche fare sulla piattaforma di email marketing?

La verifica deve coprire la configurazione utilizzata dall'azienda, incluse le automazioni e i collegamenti con il CRM. Il nome della piattaforma non basta a stabilire come siano trattati i dati. La seguente è una traccia operativa costruita sugli obblighi di trasparenza, gestione del consenso e protezione dei dati indicati nei paragrafi 4–6 delle Linee guida.

Un test concreto consiste nell'iscrivere un indirizzo di prova, modificare le preferenze e controllare il messaggio generato dalla campagna successiva. Se la piattaforma non permette la gestione richiesta, vanno valutati invii senza pixel, configurazioni alternative o una soluzione tecnica adeguata. Sono scelte operative da verificare sul prodotto e sul piano effettivamente in uso.

Il Garante suggerisce inoltre identificativi non intelligibili e non sequenziali, associati agli indirizzi in un ambiente interno separato: l'email del destinatario non dovrebbe essere esposta nella richiesta generata dal pixel. Questa misura riduce l'esposizione, ma non equivale automaticamente ad anonimizzare i dati. Linee guida, paragrafo 6. Il criterio generale è approfondito nella guida alla privacy by design e by default.

Chi risponde del trattamento tra azienda, agenzia e piattaforma?

L'affidamento della newsletter a un'agenzia non risolve da solo la ripartizione dei ruoli. Le Linee guida distinguono mittente, fornitore della piattaforma, provider di posta e soggetti che mettono a disposizione liste; richiedono di qualificare i ruoli sulla base delle attività reali, considerando anche possibili situazioni di contitolarità. Linee guida, paragrafo 3.

In sede di verifica è utile chiarire chi decide le finalità del monitoraggio, chi configura le campagne, chi accede ai dati e chi esegue le revoche. Quando un soggetto tratta dati per conto del titolare va esaminato anche l'accordo previsto dall'articolo 28 GDPR; una finalità autonoma del fornitore richiede una qualificazione distinta. Il riferimento è il testo del GDPR, articoli 26 e 28, con un approfondimento nella guida al DPA e al responsabile del trattamento.

Anche la durata di conservazione degli eventi e delle prove va definita in funzione delle finalità: non esiste, nelle Linee guida sui pixel, un unico termine numerico applicabile a ogni newsletter. Per impostare criteri differenziati si può consultare la guida ai tempi di conservazione dei dati, tenendo conto del principio di limitazione della conservazione del GDPR, articolo 5.

Da dove iniziare per adeguare una newsletter aziendale?

Conviene partire da tre situazioni, che illustrano come applicare i criteri dei paragrafi 5 e 6 delle Linee guida:

• E-commerce con campagne personalizzate sulle aperture. Va ricostruito quali eventi alimentano i segmenti e se l'utente può interrompere il tracciamento senza perdere la newsletter.
• Agenzia che gestisce più clienti. Occorre distinguere istruzioni e configurazioni di ciascun cliente, evitando che un unico modello di informativa o una preferenza globale sostituiscano le verifiche sui singoli trattamenti.
• Impresa che utilizza soltanto statistiche aggregate. Va verificato come nasce il dato: una percentuale finale non dimostra che sia esclusa la misurazione individuale richiesta per la deroga.

Il risultato della verifica dovrebbe mettere in relazione documenti, scelte degli utenti e comportamento effettivo del sistema. Aggiornare soltanto il testo dell'informativa non dimostra che la revoca venga rispettata dalla piattaforma.

Domande frequenti (FAQ)

Posso utilizzare i tracking pixel senza consenso?

In specifiche ipotesi, sì. Le deroghe riguardano, alle condizioni indicate dal Garante, statistiche realmente aggregate, determinate esigenze di sicurezza e alcune comunicazioni istituzionali o di servizio. Occorre verificare il caso concreto. Linee guida, paragrafo 5.

Il link per disiscriversi dalla newsletter è sufficiente?

Per la revoca granulare descritta dal Garante, deve essere possibile anche rinunciare al solo tracciamento continuando a ricevere i messaggi. La sola cancellazione integrale dalla lista non offre questa scelta. Linee guida, paragrafo 6.

Devo raccogliere un nuovo consenso da tutti gli iscritti?

Non automaticamente. Per i trattamenti già in corso su valido presupposto il Garante prevede uno specifico regime transitorio. Vanno verificati informazione agli interessati, revoca granulare e continuità del trattamento; l'anzianità della lista non basta. Linee guida, paragrafo 6.

I tracking pixel e i cookie del sito sono la stessa cosa?

Sono strumenti tecnicamente diversi, entrambi potenzialmente rilevanti per la disciplina sull'accesso al terminale. Il consenso raccolto sul sito non dimostra, da solo, un consenso informato al tracciamento nelle email. Linee guida, paragrafi 1 e 6.

La scadenza del 29 ottobre 2026 riguarda anche le piccole imprese?

Le Linee guida non prevedono un'esenzione generale basata sulle dimensioni dell'impresa. Conta l'impiego dei pixel e il trattamento effettuato. Il termine di adeguamento è richiamato nella notizia del Garante del 5 ottobre 2026.

Assistenza per newsletter, consensi e piattaforme di invio

Lo Studio può assistere l'azienda nella ricostruzione dei trattamenti, nella revisione di informative e modalità di raccolta del consenso e nell'individuazione delle modifiche da concordare con agenzia e fornitore della piattaforma. Le verifiche possono essere inserite in un'attività di consulenza GDPR per aziende, con un perimetro definito sulla situazione concreta.

Per richiedere una valutazione dell'esigenza, indica nel messaggio la piattaforma utilizzata, il tipo di comunicazioni inviate e il dubbio da esaminare. Non occorre allegare elenchi di destinatari o credenziali di accesso.

Fonti ufficiali e aggiornamento

• Garante, Linee guida sui tracking pixel del 17 aprile 2026, n. 284, doc. web 10241943: disciplina, deroghe, consenso e regime transitorio; testo pubblicato in Gazzetta Ufficiale il 29 aprile 2026.
• Garante, richiamo del 5 ottobre 2026, doc. web 10303585: termine di adeguamento del 29 ottobre 2026.
• Garante, scheda tematica sui tracking pixel: riepilogo delle indicazioni operative.
• EDPB, Linee guida 2/2023, versione 2.0 del 7 ottobre 2024: ambito tecnico della disciplina ePrivacy, sezione 3.1.
• Regolamento (UE) 2016/679, testo messo a disposizione dal Garante: principi, consenso, protezione dei dati e ruoli dei soggetti coinvolti.

Verifica delle fonti effettuata il 22 ottobre 2026. La guida contiene informazioni generali e non sostituisce l'analisi del singolo trattamento. Le indicazioni operative e gli esempi non attestano la conformità di una specifica piattaforma o configurazione; l'invio di una richiesta di contatto non costituisce conferimento dell'incarico professionale.