Tracking pixel nelle email: cosa fare entro il 29 ottobre

I tracking pixel nelle email sono immagini minuscole, spesso trasparenti, ospitate su un server remoto: di norma, se il programma di posta carica le immagini remote, all’apertura del messaggio le scarica e il mittente può sapere se, quando e quante volte l’email è stata aperta. Il Garante privacy ne ha regolato l’uso con le linee guida del 17 aprile 2026 (provvedimento n. 284), pubblicate nella Gazzetta Ufficiale n. 98 del 29 aprile 2026, con sei mesi di tempo per conformarsi. Il 5 ottobre 2026 il Garante ha pubblicato un vademecum che indica la data: entro il 29 ottobre 2026 aziende, piattaforme e newsletter devono adeguare informative, consensi e sistemi di revoca.

Riguarda chi usa pixel nelle email, comprese newsletter, comunicazioni promozionali, messaggi automatici e di servizio, quindi anche le piccole imprese e gli enti del terzo settore. Per il Garante l’uso dei pixel va reso noto al destinatario “qualunque sia lo scopo della comunicazione o la tipologia del soggetto mittente”. Negli accertamenti svolti per preparare le linee guida presso un provider di posta elettronica e una piattaforma di marketing automation, l’Autorità ha rilevato che i pixel vengono utilizzati “pressoché nella totalità dei casi”.

Tracking pixel nelle email: quando serve il consenso?

La regola di partenza è l’articolo 122 del Codice privacy: archiviare informazioni sul dispositivo dell’utente o accedervi richiede il suo consenso, salvo le eccezioni previste. Le linee guida richiedono il consenso preventivo, per esempio, quando l’apertura viene misurata e analizzata destinatario per destinatario per:

• migliorare le campagne promozionali, cambiando l’oggetto, la frequenza o smettendo di scrivere a chi non apre;
• ricavare gusti, interessi e preferenze e costruire profili commerciali.

Secondo il Garante, “allo stato attuale delle conoscenze”, i titolari possono invece fare a meno di uno specifico consenso in diversi casi, fra cui:

1. conteggi statistici della percentuale globale di apertura, utili alla consegna delle email e contro lo spam, purché anonimi: il Garante suggerisce pixel uguali per tutti i destinatari della stessa campagna e l’anonimizzazione degli altri dati tecnici, come indirizzo IP e client;
2. misure di sicurezza legate all’autenticazione, quando il pixel serve a garantire che un messaggio, come la conferma di un account o la modifica della password, sia effettivamente aperto su un terminale noto per appartenere all’utente;
3. messaggi istituzionali o di servizio che il titolare ha l’obbligo giuridico di inviare e di cui conta l’effettiva presa di conoscenza, come le modifiche contrattuali, le notifiche di incidenti di sicurezza o i promemoria su scadenze contrattuali o contributive.

Stabilire in quale ipotesi rientra ciascun invio compete, in prima battuta, al titolare. Il consenso può non servire, l’informativa sui pixel serve comunque.

Cosa cambia per chi ha già una newsletter

Per i trattamenti già in corso alla data di entrata in vigore delle linee guida, basati sul consenso o su un altro valido presupposto giuridico, che prevedono email commerciali con pixel, è previsto un regime transitorio:

• l’informativa si dà con il primo invio utile, o nel primo momento di discontinuità disponibile;
• va attivato e fatto conoscere ai destinatari un meccanismo di revoca granulare: chi riceve deve poter smettere di ricevere le email oppure continuare a riceverle senza pixel. Il Garante indica come esempio un link o un’icona standardizzata nel footer di ogni messaggio, che porti a un’area dedicata all’esercizio dei diritti;
• chi rifiuta il tracciamento deve poter usare il servizio senza alcuna limitazione.

Per i nuovi trattamenti che richiedono il consenso, questo va raccolto preferibilmente quando si acquisisce l’indirizzo email, dopo l’informativa. Può essere compreso nel consenso più generale alle comunicazioni promozionali, se la richiesta è formulata “in modo neutro e privo di forzature”. Tutte le scelte dei destinatari vanno registrate, anche per poterle dimostrare in caso di controversie.

Cosa fare adesso

Mancano tre settimane. La sequenza che consiglio parte dall’organizzazione, prima delle impostazioni:

1. Fare l’elenco degli invii: newsletter, email promozionali, messaggi automatici, comunicazioni di servizio, con la piattaforma usata per ciascuno.
2. Capire come si misurano le aperture di ogni invio: per singolo destinatario o solo in forma aggregata e anonima. La risposta sta nelle impostazioni della piattaforma e negli accordi con il fornitore.
3. Definire i ruoli fra chi decide gli invii e chi fornisce la piattaforma, come chiedono le linee guida in base al principio di responsabilizzazione.
4. Far verificare l’informativa e aggiornare, dove presenti e pertinenti, i moduli di iscrizione.
5. Attivare e rendere noto un meccanismo di revoca anche granulare e registrare ogni scelta. Un link o un’icona nel footer è una delle soluzioni indicate dal Garante.
6. Applicare privacy by design e by default, come chiede il Garante: l’esempio tecnico che suggerisce, un identificativo inintelligibile e non sequenziale al posto dell’indirizzo email nella richiesta del pixel, con la corrispondenza conservata in un livello interno e separato della piattaforma, va valutato con il fornitore e con chi segue la privacy.

Se in azienda nessuno sa dire quali email tracciano le aperture, il primo passo è scoprirlo. Queste indicazioni non sono una consulenza legale e non garantiscono la conformità: sui casi dubbi serve il parere del responsabile della protezione dei dati o di un legale. Sul rapporto fra dati e strumenti digitali vedi anche intelligenza artificiale in azienda: da dove partire e, per gli enti, innovazione nel terzo settore e intelligenza artificiale.

Domande frequenti

Entro quando bisogna adeguarsi?

Entro il 29 ottobre 2026, la data indicata dal vademecum del Garante: sei mesi dalla pubblicazione delle linee guida nella Gazzetta Ufficiale del 29 aprile 2026.

Le regole valgono anche per un’associazione o un ente del terzo settore?

Sì, se usa pixel di tracciamento nelle email: le linee guida si rivolgono a ogni soggetto, pubblico o privato, che ne fa uso.

Serve sempre il consenso?

No. Secondo il Garante non serve, per esempio, per i conteggi statistici anonimi, per alcune misure di sicurezza e per i messaggi di servizio obbligatori. L’informativa serve in ogni caso.

Chi se ne occupa, l’ente o la piattaforma di invio?

Il mittente sceglie se usare i pixel e per quali finalità; la piattaforma di solito agisce su suo mandato. I ruoli vanno definiti caso per caso, anche nei contratti.

Se la tua azienda o il tuo ente manda newsletter e non sa con certezza cosa tracciano le sue email, scrivimi a [email protected] con l’elenco degli invii e la piattaforma che usate: ti rispondo con un primo orientamento su flussi, ruoli e decisioni da portare a chi segue la privacy. Qui trovi come lavoro sulla trasformazione digitale.