Scade il 29 ottobre 2026 il termine di sei mesi concesso dal Garante privacy per l’adeguamento alle Linee guida sui tracking pixel nelle comunicazioni di posta elettronica.
Aziende, piattaforme e soggetti che inviano newsletter dovranno aver verificato la conformità dei trattamenti, con particolare attenzione alle informative, ai presupposti di liceità e ai meccanismi di revoca del consenso.
Indice degli argomenti
Tracking pixel nelle e-mail: cosa scade, esattamente
Il riferimento è il provvedimento del Garante privacy n. 284 del 17 aprile 2026, pubblicato sulla Gazzetta Ufficiale Serie Generale n. 98 del 29 aprile 2026 e adottato ai sensi dell’art. 154-bis, comma 1, lett. a), del Codice.
In considerazione della potenziale complessità degli adeguamenti dei sistemi e dei trattamenti già in atto, l’Autorità ha individuato un termine di sei mesi dalla pubblicazione in Gazzetta Ufficiale entro il quale i soggetti tenuti devono conformarsi.
Va chiarito un punto. Le Linee guida non introducono un obbligo nuovo. Specificano come si applica a una tecnologia diffusa una regola già esistente: l’art. 122 del D.lgs. 196/2003, che recepisce l’art. 5, par. 3, della direttiva 2002/58/CE. Il 29 ottobre scade quindi il termine concesso per adeguarsi alle indicazioni dell’Autorità, non nasce l’obbligo di rispettare la disciplina sul consenso.
Quando il tracciamento richiede il consenso e questo manca, il trattamento può essere illecito già prima della scadenza, salvo che ricorrano i presupposti per applicare una deroga prevista dalla disciplina.
Perché non è una scadenza “di carta”
Due elementi rendono concreto il rischio.
Il primo è l’evidenza raccolta dall’Autorità. Gli accertamenti ispettivi del 6-8 ottobre 2025 e del 9-11 febbraio 2026, condotti presso un provider di posta elettronica e un fornitore di piattaforma di marketing automation, hanno rilevato che i tracking pixel vengono utilizzati pressoché nella totalità dei casi, per finalità che vanno dalla deliverability all’antispam, dalla misurazione delle performance alla personalizzazione delle campagne.
Il secondo è la programmazione dei controlli. Nel vademecum del 5 ottobre il Garante ha ricordato che la verifica dell’applicazione delle Linee guida sui tracking pixel nelle e-mail rientra tra le attività ispettive previste per il secondo semestre 2026.
Le cinque verifiche da chiudere (o almeno avviare) entro il 29 ottobre
Il quadro è quindi completo: un provvedimento formale, un termine esplicito e un piano ispettivo già calendarizzato. La scadenza va pertanto affrontata come un adempimento concreto, da documentare e verificare.
Mappare dove sono i pixel
Il primo passo è un censimento per tipologia di messaggio: newsletter, DEM, e-mail transazionali e automatiche, e-mail di servizio.
Sono le quattro categorie individuate dal § 3 delle Linee guida. Per ciascun flusso occorre accertare se la piattaforma di invio inserisce il pixel, se lo inserisce per impostazione predefinita e quali dati raccoglie (apertura, aperture successive, IP, user agent, timestamp).
Conta la configurazione effettiva dell’account, non la documentazione commerciale del fornitore. Gli esiti del censimento devono essere utilizzati per verificare e, se necessario, aggiornare il registro delle attività di trattamento ai sensi dell’art. 30 GDPR, in modo coerente con le finalità e le caratteristiche effettive dei trattamenti.
Qualificare la base giuridica di ogni flusso
Il § 5 delle Linee guida individua le ipotesi in cui, ricorrendone le specifiche condizioni, il titolare può prescindere dal consenso per l’impiego dei tracking pixel. Tra queste rientrano, secondo i limiti indicati dall’Autorità:
- statistica aggregata, ma solo con anonimizzazione effettiva, senza misurazioni personalizzate. L’Autorità suggerisce pixel uguali per tutti i destinatari di una stessa campagna e l’anonimizzazione degli altri dati tecnici correlati (indirizzo IP, client);
- sicurezza e autenticazione, ad esempio attivazione account, reset password o riscontro a richieste di esercizio dei diritti;
- comunicazioni istituzionali o di servizio che il titolare ha l’obbligo giuridico di inviare e rispetto alle quali conta l’effettiva presa di conoscenza.
Al di fuori delle ipotesi in cui ricorrono i presupposti per una deroga, il consenso è necessario. È il caso, ad esempio, del tracciamento individuale delle aperture utilizzato per ottimizzare le campagne, modulare la frequenza degli invii o costruire profili commerciali.
La valutazione che giustifica l’applicazione di una deroga deve essere documentata, in coerenza con il principio di accountability e con l’art. 5, par. 2, GDPR.
Aggiornare l’informativa
L’informativa è necessaria anche quando il trattamento può essere effettuato senza consenso.
Le Linee guida ammettono modalità semplificate e multilivello, con una sintesi nel modulo di raccolta dell’indirizzo e-mail e un rinvio all’informativa estesa, eventualmente integrata nella cookie policy.
Per i trattamenti già in corso, l’Autorità prevede modalità transitorie per fornire l’informativa, tra cui il primo messaggio utile o il primo momento di discontinuità nella relazione con l’interessato, secondo le condizioni indicate nelle Linee guida.
Per i nuovi trattamenti, invece, l’informativa deve essere resa nei tempi e con le modalità richiesti dalla disciplina applicabile. Il titolare deve quindi verificare che il testo sia aggiornato e che il canale individuato per renderlo disponibile sia effettivamente operativo.
Implementare la revoca granulare
È uno degli aspetti più impegnativi sul piano tecnico. L’interessato deve poter revocare il consenso al tracciamento senza essere costretto a rinunciare anche alla ricezione delle comunicazioni, quando queste possono legittimamente proseguire.
Deve inoltre poter interrompere le comunicazioni promozionali secondo le modalità previste dalla disciplina applicabile.
Le Linee guida indicano soluzioni che consentano di esercitare queste scelte in modo semplice, ad esempio attraverso un collegamento nel footer del messaggio o un’interfaccia dedicata.
Le preferenze espresse devono essere registrate e rispettate, anche per consentire al titolare di dimostrare l’effettiva gestione delle revoche.
Se la piattaforma non consente di escludere il pixel per i destinatari che rifiutano il tracciamento, occorre concordare con il fornitore una soluzione tecnica adeguata.
Allineare ruoli, contratti e misure by design
Per ciascun rapporto occorre verificare e documentare la corretta qualificazione dei ruoli in base alle funzioni effettivamente svolte e alle decisioni assunte sui trattamenti, valutando, ove ne ricorrano i presupposti, la nomina a responsabile ex art. 28 GDPR o un accordo di contitolarità ex art. 26.
I contratti devono descrivere correttamente le operazioni effettuate e le responsabilità dei soggetti coinvolti.
Sul piano della protezione dei dati fin dalla progettazione, ai sensi dell’art. 25 GDPR, va inoltre verificata l’adozione delle misure tecniche indicate dalle Linee guida, tra cui l’impiego di identificativi non direttamente riconducibili all’indirizzo e-mail nella richiesta tecnica generata dal caricamento del pixel, con adeguata separazione delle informazioni identificative all’interno della piattaforma.
Tre errori da non commettere
Ecco, alla luce di quanto detto, quali sono i tre errori da non commettere nella gestione dei tracking pixel.
“Serve un secondo flag dedicato al pixel”
Non è necessariamente richiesto un consenso separato. Il consenso al tracciamento può essere ricompreso in quello alla ricezione delle comunicazioni promozionali, purché la richiesta sia formulata in modo libero, specifico e informato e l’interessato sia adeguatamente informato dell’utilizzo dei tracking pixel.
Resta necessario consentire la revoca del solo tracciamento senza imporre la rinuncia alle comunicazioni che possono legittimamente proseguire.
“Le e-mail di servizio sono fuori perimetro”
Non sono automaticamente escluse. Occorre distinguere la natura della comunicazione dalla necessità di utilizzare il tracking pixel. L’eventuale deroga al consenso non elimina gli obblighi di trasparenza e può essere applicata soltanto quando ricorrono le condizioni previste dalle Linee guida.
Un messaggio contenente finalità promozionali non può beneficiare della deroga per il solo fatto di essere presentato come comunicazione di servizio.
“Basta che l’utente disattivi il download delle immagini”
La disattivazione del caricamento delle immagini non sostituisce gli obblighi del titolare. È una scelta che può impedire il caricamento del pixel, ma non costituisce una modalità equivalente a un meccanismo di consenso o di revoca selettiva.
Spetta al titolare configurare il trattamento in modo conforme e mettere a disposizione dell’interessato strumenti adeguati a esercitare le proprie scelte.
Tracking pixel: cosa succede dopo il 29 ottobre 2026
Per i trattamenti già in corso, le Linee guida prevedono modalità transitorie per completare determinati adempimenti, tra cui la messa a disposizione dell’informativa e l’attivazione dei meccanismi di revoca, nei limiti e alle condizioni indicati dall’Autorità.
Tale regime non può essere esteso automaticamente ai trattamenti avviati successivamente. Per i nuovi trattamenti, il titolare deve verificare fin dall’inizio il presupposto di liceità applicabile e raccogliere il consenso prima del tracciamento quando questo è richiesto.
Chi arriva alla scadenza con alcune attività ancora da completare dovrebbe essere in grado di documentare le verifiche svolte, le criticità individuate e le misure correttive avviate: censimento dei flussi, valutazioni sulle deroghe, aggiornamento dell’informativa e piano tecnico concordato con il fornitore. Questa documentazione consente di dimostrare le misure adottate e di ricostruire il percorso di adeguamento.
La scadenza riguarda le e-mail, ma le questioni poste dalle Linee guida interessano più in generale la trasparenza e la liceità delle tecniche di tracciamento digitale.
È quindi opportuno verificare anche gli altri strumenti utilizzati dall’organizzazione per misurare le interazioni degli utenti, valutandone separatamente finalità, dati raccolti e presupposti giuridici, senza estendere automaticamente a tecnologie diverse le regole specifiche previste per i tracking pixel.
Partecipa alla community