L’utilizzo di newsletter, piattaforme di e-mail marketing e strumenti di marketing automation richiede oggi una particolare attenzione alla gestione dei dati personali e alle modalità con cui viene monitorata l’interazione degli utenti con le comunicazioni.
Con il Provvedimento n. 284 del 17 aprile 2026, pubblicato nella Gazzetta Ufficiale n. 98 del 29 aprile 2026, il Garante per la protezione dei dati personali ha adottato le nuove Linee guida in materia di utilizzo dei tracking pixel nelle comunicazioni di posta elettronica.
Le nuove indicazioni interessano in particolare le organizzazioni che utilizzano strumenti in grado di verificare l’apertura delle e-mail, misurare le performance delle campagne o analizzare il comportamento dei destinatari.
Cosa sono i tracking pixel?
I tracking pixel sono generalmente immagini di dimensioni minime o elementi non visibili inseriti all’interno delle e-mail che, al momento dell’apertura del messaggio, possono consentire la raccolta di informazioni relative al destinatario e alla sua interazione con la comunicazione.
A seconda della configurazione adottata, possono essere raccolti dati relativi all’apertura del messaggio, alla data e all’ora dell’apertura, all’indirizzo IP e alle caratteristiche tecniche del dispositivo o del client utilizzato.
Secondo il Garante, l’utilizzo dei tracking pixel comporta un’operazione di accesso alle informazioni presenti sul terminale dell’utente e rientra pertanto nell’ambito di applicazione dell’art. 122 del Codice Privacy, che attua la disciplina e-Privacy.
Quando è necessario il consenso?
Quando non ricorre una delle specifiche deroghe previste dall’art. 122 del Codice Privacy, l’utilizzo dei tracking pixel richiede il preventivo consenso dell’utente.
Il consenso deve essere libero, specifico, informato e inequivocabile.
Il consenso è necessario, ad esempio, quando il tracking viene utilizzato per:
- effettuare una misurazione individuale dell’apertura delle e-mail;
- analizzare le performance delle campagne promozionali sulla base del comportamento del singolo destinatario;
- adattare la frequenza o il contenuto delle comunicazioni in funzione dell’interesse manifestato;
- ricavare informazioni relative a gusti, interessi e preferenze del destinatario.
Il consenso al tracking può essere integrato con quello per le comunicazioni?
Le Linee guida prevedono una significativa semplificazione.
A determinate condizioni, il consenso al tracking può essere ricompreso nel più generale consenso alla ricezione delle comunicazioni promozionali, purché l’interessato sia adeguatamente informato circa l’utilizzo dei tracking pixel e la richiesta di consenso sia formulata in modo neutro e trasparente.
E per i consensi già raccolti?
Le Linee guida prevedono uno specifico regime transitorio per i trattamenti già in corso.
Per le newsletter e le comunicazioni già inviate sulla base di un consenso o di altro valido presupposto giuridico, non è prevista una generalizzata necessità di raccogliere nuovamente il consenso per il solo effetto delle nuove Linee guida.
Il titolare dovrà tuttavia:
- aggiornare l’informativa;
- mettere a disposizione degli interessati un meccanismo che consenta di revocare separatamente il consenso al tracking;
- consentire, ove desiderato, di continuare a ricevere le comunicazioni anche dopo la revoca del consenso al tracking.
Per i nuovi trattamenti, invece, quando il tracking richiede il consenso, questo dovrà essere acquisito preventivamente nel rispetto delle indicazioni contenute nelle Linee guida.
Quando il consenso può non essere necessario?
Le Linee guida individuano alcune situazioni nelle quali l’utilizzo dei pixel può beneficiare delle deroghe previste dall’art. 122 del Codice Privacy.
Tra queste rientrano, a determinate condizioni, le rilevazioni meramente statistiche e aggregate del tasso di apertura delle comunicazioni, purché siano adottate adeguate tecniche di anonimizzazione e non sia possibile effettuare misurazioni riferibili ai singoli destinatari.
Il Garante considera inoltre alcune ipotesi connesse alla sicurezza e all’autenticazione dell’utente, nonché determinate comunicazioni istituzionali o di servizio, quando la verifica della presa conoscenza del destinatario risulti funzionale alla finalità perseguita.
Informativa e diritto di revoca
L’interessato deve essere chiaramente informato della presenza dei tracking pixel, delle relative finalità e delle modalità del trattamento.
Quando il trattamento è fondato sul consenso, l’utente deve inoltre poterlo revocare facilmente e in maniera granulare.
La revoca del consenso al tracking non deve necessariamente comportare anche la rinuncia alla ricezione delle comunicazioni.
Questo aspetto assume particolare rilevanza per le organizzazioni che utilizzano newsletter e campagne di e-mail marketing: la gestione del consenso deve infatti consentire di distinguere la ricezione della comunicazione dall’eventuale attività di tracking.
Privacy by design e by default
Il Garante richiama espressamente anche il principio previsto dall’art. 25 GDPR.
Le organizzazioni sono chiamate a configurare i propri sistemi in modo da ridurre il rischio di identificabilità degli utenti e minimizzare la circolazione dei dati personali.
Tra le possibili misure viene indicato l’impiego di identificativi non intelligibili e non sequenziali associati internamente all’indirizzo e-mail, evitando che quest’ultimo venga direttamente incluso nella richiesta tecnica generata dal caricamento del pixel.
Cosa devono fare le organizzazioni?
Le nuove Linee guida richiedono quindi un’attenta verifica delle modalità con cui i sistemi di e-mail marketing e marketing automation sono configurati e utilizzati.
In particolare, le organizzazioni dovrebbero:
- Mappare i tracking pixel
Individuare i pixel presenti nelle comunicazioni e-mail e verificare quali dati vengono effettivamente raccolti. - Distinguere le diverse finalità di tracking
Occorre distinguere i sistemi utilizzati per rilevazioni statistiche e aggregate da quelli che consentono analisi individuali, attività di marketing o profilazione. - Verificare il presupposto giuridico
Per ciascuna modalità di trattamento deve essere verificata la corretta individuazione della relativa base giuridica. - Aggiornare l’informativa privacy
L’informativa deve descrivere in maniera chiara la presenza dei tracking pixel, le finalità perseguite e le modalità del trattamento. - Verificare i meccanismi di acquisizione del consenso
Quando necessario, il consenso deve essere acquisito preventivamente secondo le modalità previste dalle Linee guida. - Garantire la revoca granulare
Gli interessati devono poter revocare il consenso al tracking senza essere necessariamente costretti a rinunciare alla ricezione delle comunicazioni. - Verificare le piattaforme utilizzate
È necessario controllare le configurazioni delle piattaforme di e-mail marketing e marketing automation e i rapporti con i relativi fornitori. - Documentare le valutazioni effettuate
Le valutazioni devono essere documentate secondo il principio di accountability e deve essere verificato il rispetto dei principi di privacy by design e privacy by default.
La scadenza: 29 ottobre 2026
Il Garante ha previsto un periodo di sei mesi dalla pubblicazione delle Linee guida nella Gazzetta Ufficiale per consentire ai soggetti interessati di adeguarsi.
Considerata la pubblicazione del 29 aprile 2026, il termine per l’adeguamento è quindi fissato al 29 ottobre 2026.
Le organizzazioni che utilizzano strumenti di e-mail marketing e marketing automation sono quindi chiamate a verificare tempestivamente la conformità delle proprie configurazioni, con particolare attenzione ai meccanismi di tracking, alle informative, alla gestione dei consensi e alle modalità di esercizio delle scelte da parte degli interessati.
Dalle Linee guida alla compliance operativa
L’adeguamento alle nuove indicazioni non riguarda quindi esclusivamente la predisposizione o l’aggiornamento di un’informativa privacy.
È necessario verificare come il tracking viene effettivamente utilizzato, quali dati vengono raccolti, quali finalità vengono perseguite, quale presupposto giuridico viene applicato e come sono configurati gli strumenti tecnologici utilizzati dall’organizzazione.
Un approccio efficace richiede quindi di integrare valutazione giuridica, analisi dei processi e verifica delle configurazioni tecniche.
È proprio attraverso questa integrazione che la compliance può diventare uno strumento concreto di gestione e governo del rischio, anziché limitarsi a un insieme di adempimenti documentali.
Hai già verificato come vengono utilizzati i tracking pixel nelle tue e-mail?
Se la tua organizzazione utilizza newsletter, piattaforme di e-mail marketing o sistemi di marketing automation, questo è il momento di verificare le configurazioni esistenti e la gestione dei relativi consensi.
Aria Legal & Compliance supporta imprese ed enti nella gestione della Privacy e Data Protection, attraverso sistemi strutturati, proporzionati e integrati nei processi aziendali. La consulenza comprende, tra l’altro, analisi dei trattamenti, valutazione del rischio, DPIA, procedure, governance privacy, audit e supporto continuativo.
Privacy Alert n. 4/2026
Scarica la Privacy Alert completa
Tracking pixel nelle e-mail: la imminente applicabilità delle nuove Linee Guida del Garante Privacy
