È scaduto il termine per adeguarsi alle Linee guida del Garante
Il 29 ottobre 2026 rappresenta una data importante per le organizzazioni che utilizzano tecnologie di tracciamento nelle comunicazioni di posta elettronica.
Con il Provvedimento n. 284 del 17 aprile 2026, pubblicato nella Gazzetta Ufficiale n. 98 del 29 aprile 2026, il Garante per la protezione dei dati personali ha adottato specifiche Linee guida sull'utilizzo dei cosiddetti tracking pixel nelle e-mail.
L’Autorità ha previsto un periodo di sei mesi per consentire ai soggetti interessati di adeguare i propri trattamenti. Tale periodo è terminato il 29 ottobre 2026.
Le indicazioni riguardano non soltanto le aziende che effettuano campagne di marketing, ma anche le organizzazioni che inviano newsletter, comunicazioni automatiche, messaggi transazionali e comunicazioni di servizio mediante piattaforme dotate di sistemi di tracciamento.
1. Che cosa sono i tracking pixel
I tracking pixel sono generalmente immagini di dimensioni estremamente ridotte, spesso trasparenti e invisibili al destinatario, inserite nel codice HTML di un messaggio di posta elettronica.
Quando il destinatario visualizza il messaggio e il programma di posta scarica l'immagine da un server remoto, può essere generata una richiesta che consente al mittente o al fornitore della piattaforma di raccogliere informazioni sull'interazione con l'e-mail.
A seconda della configurazione, le informazioni possono comprendere:
- L'avvenuta apertura del messaggio.
- La data e l'ora dell'apertura.
- Il numero di aperture successive.
- L'indirizzo IP e alcune informazioni tecniche sul dispositivo.
- Ulteriori elementi utilizzabili per analizzare il comportamento del destinatario.
Questi strumenti non consentono, di per sé, di conoscere il contenuto del messaggio, ma possono rendere possibile un monitoraggio individuale delle interazioni.
Attenzione: la rilevazione dell'apertura dipende anche dalle caratteristiche del client di posta e dalle impostazioni relative al caricamento delle immagini. Il dato di apertura non deve quindi essere considerato automaticamente una prova certa della lettura effettiva del messaggio.
2. Quale normativa si applica
Il Garante ha chiarito che ai tracking pixel nelle comunicazioni e-mail si applica, in particolare, l'articolo 122 del D.Lgs. 196/2003 (Codice Privacy), relativo all'archiviazione di informazioni nei dispositivi degli utenti e all'accesso alle informazioni già archiviate.
Tale disciplina si affianca alle disposizioni del Regolamento (UE) 2016/679 (GDPR), con particolare riferimento a:
- Principi di liceità, correttezza e trasparenza.
- Obblighi di informativa.
- Condizioni di validità del consenso.
- Responsabilizzazione del titolare del trattamento.
- Protezione dei dati fin dalla progettazione e per impostazione predefinita.
- Corretta individuazione dei ruoli dei soggetti coinvolti nel trattamento.
Il fatto che una piattaforma e-mail includa il monitoraggio delle aperture tra le proprie funzionalità standard non significa che tale funzionalità possa essere utilizzata automaticamente senza ulteriori verifiche.
3. Quando è necessario il consenso
Il principio generale stabilito dall'articolo 122 del Codice Privacy è che l'impiego di tecnologie di tracciamento richiede il consenso preventivo dell'interessato, salvo il ricorrere delle specifiche deroghe previste dalla normativa.
Il consenso è normalmente necessario quando il tracking pixel viene utilizzato per analizzare il comportamento del singolo destinatario a fini promozionali o commerciali.
Rientrano tra gli esempi:
- Individuare quali persone hanno aperto una newsletter.
- Segmentare una mailing list in funzione delle aperture.
- Modificare la frequenza delle comunicazioni in base alle interazioni individuali.
- Personalizzare le campagne commerciali sulla base del comportamento osservato.
- Costruire profili di interesse o preferenze commerciali.
Il Garante precisa che, in linea di principio, il consenso al tracciamento può essere ricompreso nel consenso alla ricezione di comunicazioni promozionali, purché la richiesta sia formulata in maniera chiara, neutra e tale da assicurare una scelta libera e consapevole.
Il consenso alla ricezione delle e-mail non deve essere considerato automaticamente sufficiente per qualsiasi forma di tracciamento: occorre verificare come è stato raccolto e quali informazioni sono state effettivamente fornite.
4. Quando il consenso può non essere necessario
Le Linee guida individuano situazioni nelle quali possono trovare applicazione le deroghe previste dall'articolo 122 del Codice Privacy.
Tra gli esempi richiamati dal Garante figurano:
Statistiche aggregate e deliverability. Il consenso può non essere necessario quando il pixel è impiegato esclusivamente per elaborare statistiche complessive, senza consentire la misurazione del comportamento del singolo destinatario, e sono adottate adeguate tecniche di anonimizzazione e minimizzazione.
Sicurezza. Possono ricorrere specifiche deroghe quando il tracciamento è strettamente necessario per esigenze tecniche o di sicurezza, ad esempio connesse all'autenticazione.
Comunicazioni istituzionali o di servizio. In determinate circostanze il monitoraggio può essere giustificato dalla necessità di verificare la presa di conoscenza di comunicazioni che il titolare è tenuto a trasmettere, come avvisi relativi a incidenti di sicurezza, frodi, modifiche contrattuali o adempimenti.
Queste eccezioni non sono automatiche: il titolare deve dimostrare che ricorrono effettivamente i relativi presupposti.
5. Informativa privacy: il destinatario deve conoscere il tracciamento
Un elemento fondamentale delle Linee guida è l'obbligo di trasparenza.
Il destinatario deve essere informato preventivamente dell'utilizzo dei tracking pixel, indipendentemente dalla natura commerciale, informativa o istituzionale del messaggio.
L'informativa deve consentire di comprendere almeno:
- Che nelle e-mail vengono utilizzate tecnologie di tracciamento.
- Quali dati possono essere raccolti.
- Per quali finalità vengono trattati.
- Quale sia il presupposto di liceità applicabile.
- Quali soggetti intervengono nel trattamento.
- Per quanto tempo i dati vengono conservati.
- Come esercitare i diritti riconosciuti dalla normativa.
Il Garante ammette informative multilivello, purché siano effettivamente accessibili, comprensibili e complete.
Per i trattamenti già in corso, le Linee guida contemplano specifiche modalità di aggiornamento dell'informativa, anche attraverso il primo messaggio utile o il primo momento utile di discontinuità nel rapporto con l'interessato.
6. Revoca del consenso: deve essere possibile disattivare il tracciamento
Quando il trattamento si basa sul consenso, il destinatario deve poterlo revocare in qualsiasi momento, con modalità semplici.
Un aspetto particolarmente importante è la granularità della revoca.
L'interessato deve poter scegliere, ad esempio, di continuare a ricevere una newsletter senza essere sottoposto al monitoraggio mediante tracking pixel.
Di conseguenza, un sistema che consenta esclusivamente di cancellarsi dall'intera mailing list potrebbe non soddisfare, da solo, l'esigenza di revocare selettivamente il consenso al tracciamento.
Le preferenze espresse devono essere correttamente registrate e rispettate nelle successive comunicazioni.
7. Privacy by design e configurazione delle piattaforme
Le organizzazioni devono verificare come i propri strumenti di invio e-mail raccolgono e gestiscono i dati.
Tra le misure richiamate dal Garante figurano la minimizzazione delle informazioni, la separazione degli identificativi tecnici dagli indirizzi e-mail e l'utilizzo di identificativi non immediatamente riconducibili al destinatario.
La verifica deve riguardare anche i rapporti con i fornitori delle piattaforme, le eventuali comunicazioni di dati a terzi e la corretta attribuzione dei ruoli privacy.
Non è quindi sufficiente aggiornare soltanto il testo dell'informativa: occorre valutare anche la configurazione tecnica del servizio.
8. Esempi pratici per le aziende
Caso A – Newsletter commerciale con report nominativo delle aperture
Un'azienda invia una newsletter a 8.000 contatti e consulta l'elenco delle persone che hanno aperto ogni messaggio.
Il trattamento consente il monitoraggio individuale a fini di analisi commerciale. In linea generale, occorre un consenso preventivo valido per il tracciamento, oltre al rispetto degli altri obblighi applicabili.
Caso B – Statistiche esclusivamente aggregate
Una piattaforma restituisce soltanto il numero complessivo delle aperture di una campagna, senza identificare i singoli destinatari né consentire di ricostruirne il comportamento.
Se sono rispettate tutte le condizioni tecniche e giuridiche indicate dal Garante, può essere valutata l'applicabilità di una deroga al consenso.
Caso C – Conferma d'ordine con pixel attivo
Un sito e-commerce invia automaticamente un'e-mail di conferma dell'acquisto. La piattaforma inserisce un pixel che rileva le aperture.
La natura transazionale del messaggio non rende automaticamente lecito il tracciamento. È necessario verificare se il pixel sia effettivamente necessario per una finalità ammessa o debba essere disattivato.
Caso D – Newsletter con possibilità di disattivare il monitoraggio
Un destinatario vuole continuare a ricevere aggiornamenti informativi, ma non desidera che vengano registrate le aperture.
L'azienda deve poter gestire tale preferenza, quando il tracciamento è fondato sul consenso, senza imporre necessariamente la rinuncia alla newsletter.
9. Che cosa devono fare le organizzazioni
Alla luce della scadenza del 29 ottobre 2026, è opportuno procedere a una verifica strutturata dei sistemi utilizzati.
Le principali attività sono:
- Censire le piattaforme di e-mail marketing, newsletter, CRM e invio automatico.
- Verificare se i tracking pixel siano attivi, anche per impostazione predefinita.
- Individuare le finalità effettive e i dati raccolti.
- Distinguere i trattamenti individuali dalle statistiche realmente aggregate.
- Verificare la necessità del consenso o la documentabilità di una specifica deroga.
- Aggiornare le informative privacy.
- Adeguare le modalità di acquisizione e revoca del consenso.
- Verificare i contratti e i ruoli privacy dei fornitori.
- Aggiornare, ove necessario, il registro dei trattamenti e le valutazioni dei rischi.
- Conservare le evidenze delle verifiche e delle decisioni adottate.
10. Quali rischi in caso di mancato adeguamento
L'utilizzo di tracking pixel senza adeguata informativa, senza il consenso quando richiesto o in assenza dei presupposti per beneficiare di una deroga può determinare violazioni della disciplina sulla protezione dei dati personali.
Le conseguenze devono essere valutate in relazione alle specifiche disposizioni violate e possono comprendere interventi correttivi dell'Autorità e sanzioni amministrative nei casi previsti dalla normativa.
Il Garante ha inoltre annunciato che il rispetto delle Linee guida rientra nelle attività ispettive programmate per il secondo semestre 2026.
Conclusioni
Il tracking delle aperture delle e-mail non è vietato in assoluto, ma deve essere giuridicamente giustificato, trasparente e tecnicamente configurato in modo conforme.
Le aziende devono prestare particolare attenzione alle funzionalità di monitoraggio individuale attivate automaticamente dalle piattaforme commerciali.
La scadenza del 29 ottobre 2026 rende prioritario verificare i sistemi esistenti, aggiornare la documentazione privacy e garantire agli interessati un controllo effettivo sulle proprie preferenze.
Riferimenti normativi e documentali
- Regolamento (UE) 2016/679 (GDPR), in particolare articoli 5, 7, 12-14, 25, 28 e 30, ove applicabili.
- D.Lgs. 196/2003, articolo 122.
- Garante per la protezione dei dati personali, Provvedimento n. 284 del 17 aprile 2026, doc. web n. 10241943.
- Gazzetta Ufficiale della Repubblica Italiana, Serie Generale n. 98 del 29 aprile 2026.
- Garante Privacy, Vademecum sui tracking pixel nelle e-mail, ottobre 2026.
Fonte ufficiale: Provvedimento n. 284/2026 – Garante Privacy
