Le aziende che inviano newsletter e comunicazioni commerciali con tracking pixel hanno tempo fino al 29 ottobre 2026 per adeguarsi alle Linee guida del Garante Privacy sull’utilizzo di questi strumenti nelle email. Il provvedimento, adottato il 17 aprile e pubblicato in Gazzetta Ufficiale il 29 aprile, ha concesso sei mesi per rivedere informative e sistemi di gestione di consenso e revoca, in considerazione della complessità degli interventi su sistemi e trattamenti già attivi. Il testo si rivolge ai fornitori di servizi della società dell’informazione, ai soggetti che offrono servizi online accessibili al pubblico, ai provider di posta elettronica e ai gestori di piattaforme per l’invio massivo di email. La verifica del rispetto delle Linee guida rientra tra le attività ispettive previste dall’Autorità per il secondo semestre del 2026.
Cosa sono i tracking pixel nelle email e come funzionano
I tracking pixel sono immagini minuscole, spesso grandi quanto un singolo pixel e dello stesso colore dello sfondo, che chi riceve un’email difficilmente nota.
L’immagine risiede su un server remoto e viene richiamata tramite un link inserito nel corpo del messaggio. Quando il destinatario apre l’email, un codice può attivare in automatico la richiesta al server, che restituisce l’immagine e consente al mittente o a uno dei suoi partner di sapere che la lettura è avvenuta. A seconda dei casi si raccolgono anche l’indirizzo IP, il dispositivo utilizzato, il tempo di consultazione e il numero di aperture. Il pixel permette di monitorare l’apertura, la cancellazione, l’inoltro e l’archiviazione del messaggio, mentre il contenuto dell’email resta fuori dalla sua portata. Il tracciamento avviene soltanto se è abilitato il download delle immagini. Chi legge la posta esclusivamente in formato testo non scarica il pixel, che quindi non può svolgere la sua funzione. Il Garante ne sottolinea la particolare invasività, perché questi strumenti operano spesso senza che il destinatario ne abbia piena consapevolezza.
Quando serve il consenso per i tracking pixel
L’utilizzo dei tracking pixel rientra nell’articolo 122 del Codice privacy, la norma che regola l’accesso alle informazioni archiviate nei dispositivi degli utenti e il monitoraggio del loro comportamento online.
Accanto alla disciplina speciale derivante dalla direttiva e-Privacy continua ad applicarsi il Regolamento europeo sulla protezione dei dati, che definisce la cornice generale per trasparenza, consenso, responsabilizzazione del titolare e protezione dei dati fin dalla progettazione e per impostazione predefinita. In linea generale l’uso dei pixel è vietato salvo che ricorra una delle condizioni previste dalla norma, a partire dal consenso preventivo, libero, specifico e informato dell’utente. Il consenso serve in particolare quando il pixel misura il comportamento del singolo destinatario, per esempio per modificare le comunicazioni in base alle email aperte o per ricavare informazioni su gusti e preferenze con cui costruire profili commerciali. Nelle comunicazioni promozionali il consenso ai tracking pixel può essere ricompreso nel più generale consenso a ricevere messaggi pubblicitari, purché la richiesta sia formulata in modo neutro e senza forzature, così da garantire una scelta libera e consapevole.
Il consenso può non servire quando il pixel produce soltanto statistiche aggregate sull’apertura dei messaggi, anche per migliorare la deliverability e contrastare lo spam, perché le tecniche adottate impediscono di misurare il comportamento del singolo destinatario. Le altre deroghe riguardano la sicurezza e le comunicazioni istituzionali o di servizio, come quelle relative a modifiche contrattuali o incidenti di sicurezza.
Informativa e revoca del consenso nelle email con tracking pixel
Chi utilizza tracking pixel deve informare preventivamente il destinatario, qualunque sia lo scopo della comunicazione o la natura del mittente. L’informazione deve risultare completa e facilmente accessibile, per esempio attraverso più livelli, con un primo avviso sintetico nel modulo di raccolta dell’indirizzo email e un rinvio a un’informativa più dettagliata. Per i trattamenti già in corso l’informativa può arrivare con il primo messaggio utile o nel primo momento di discontinuità del rapporto con l’interessato. Il consenso può essere revocato in qualsiasi momento e con facilità, anche in modo selettivo. Il destinatario deve poter scegliere se non ricevere più le comunicazioni oppure se continuare a riceverle senza tracking pixel, per esempio attraverso un link o un’icona riconoscibile presente in ogni email. Il rifiuto del tracciamento non comporta limitazioni nella fruizione del servizio e le scelte espresse vengono registrate dal titolare, anche per poter dimostrare il rispetto della normativa.
Il Garante richiama anche l’adozione di misure di privacy by design e by default, come l’uso per ciascun destinatario di un identificativo non intelligibile e non sequenziale, associato all’indirizzo email in un ambiente separato della piattaforma. Per i soggetti coinvolti l’Autorità ha pubblicato sul proprio sito una scheda informativa.
