Il Garante per la protezione dei dati personali è intervenuto sul tema dei tracking pixel email nelle email: i piccoli elementi invisibili, grandi quanto un singolo pixel, che registrano l’apertura di un messaggio, l’orario, l’indirizzo IP e il dispositivo del destinatario. Una tecnologia usata da anni nel digital marketing e nella gestione delle newsletter, che con il provvedimento n. 284 del 17 aprile 2026 viene ricondotta a pieno titolo tra gli strumenti di tracciamento soggetti a regole precise.
“Se non paghi per il prodotto, il prodotto sei tu.” — Andrew Lewis
Per aziende, agenzie e professionisti della comunicazione si apre una fase di adeguamento obbligata, con una scadenza già fissata: il 28 ottobre 2026. La consapevolezza sulla natura invasiva di questi strumenti è il primo passo verso una comunicazione più trasparente e rispettosa.
Cosa cambia subito: i punti essenziali da affrontare ora
Se gestisci campagne email o newsletter aziendali, questi sono i tre ambiti su cui devi agire immediatamente:
- Aggiornare i moduli di consenso: il tracciamento delle aperture deve avere un consenso distinto e granulare, non combinato con l’iscrizione;
- Revisionare l’informativa privacy: dev’essere trasparente sulla presenza dei pixel, le finalità e gli effetti concreti;
- Configurare la piattaforma di invio: disattivare il pixel per i destinatari senza consenso, documentare le scelte nel registro dei trattamenti.
Chi non si muove entro il 28 ottobre 2026 espone la propria organizzazione a sanzioni fino a 20 milioni di euro e al danno reputazionale che accompagna ogni intervento del Garante.
Tracking pixel email: perché il pixel è un accesso al terminale
La qualificazione giuridica è il cuore del provvedimento. Il Garante riconduce i tracking pixel alla disciplina dell’articolo 122 del Codice Privacy, attuativo dell’articolo 5, paragrafo 3, della direttiva 2002/58/CE (direttiva ePrivacy): la stessa norma che regola i cookie e gli altri strumenti di tracciamento online.
La conseguenza pratica è rilevante: la disciplina ePrivacy opera come lex specialis e prevale sulle regole generali del GDPR. Questo significa che non è possibile invocare il legittimo interesse come base giuridica per il tracciamento delle aperture: l’archiviazione di informazioni o l’accesso a informazioni già archiviate nel terminale dell’utente richiede il consenso, salvo le eccezioni tassative previste dalla norma.
Quando i dati sulle aperture vengono usati per profilare il comportamento del singolo destinatario, serve il suo consenso preventivo e informato, esattamente come avviene per i cookie di tracciamento. Il pixel diventa così l’equivalente, nella casella di posta, del cookie di profilazione nel browser: stessa logica, stesse tutele, stessi obblighi per il titolare.
Le nuove linee guida: cosa prevede il provvedimento n. 284 del 2026
Le Linee guida sono state adottate con provvedimento n. 284 del 17 aprile 2026 e pubblicate in Gazzetta Ufficiale, Serie Generale, n. 98 del 29 aprile 2026. Il testo integrale è disponibile sul sito del Garante per la protezione dei dati personali.
I destinatari delle regole sono tutti gli operatori della filiera: fornitori di servizi della società dell’informazione, soggetti che offrono servizi online accessibili al pubblico, provider di posta elettronica, gestori di piattaforme per l’invio massivo di email (come Brevo, Mailchimp, HubSpot) e, più in generale, chiunque utilizzi tracking pixel nelle proprie comunicazioni.
Il Garante ha concesso un periodo di adeguamento di sei mesi dalla pubblicazione in Gazzetta Ufficiale: entro il 28 ottobre 2026 informative, moduli di consenso e configurazioni delle piattaforme dovranno essere conformi. Dopo quella data, l’utilizzo di pixel non conformi espone a provvedimenti correttivi e sanzioni amministrative. La sfida ora è quella di trasformare questo obbligo normativo in un’opportunità di costruzione di fiducia con i destinatari.
Consenso granulare: come raccoglierlo e mantenerlo
Il principio più innovativo delle linee guida riguarda la granularità del consenso. Il consenso all’iscrizione alla newsletter e quello al monitoraggio delle aperture devono essere due scelte distinte e autonome: l’utente deve poter ricevere le comunicazioni senza essere tracciato.
“La fiducia si costruisce in anni, si distrugge in secondi.” — Warren Buffett
Ne deriva un divieto esplicito: l’iscritto non può essere costretto a cancellarsi dalla lista per rifiutare il tracciamento. Condizionare la ricezione della newsletter all’accettazione del pixel renderebbe il consenso non libero e quindi invalido. I moduli di iscrizione dovranno prevedere caselle separate, non preselezionate, per le due finalità.
Per essere valido, il consenso al tracciamento deve essere:
- Preventivo: raccolto prima dell’invio di qualsiasi email contenente pixel;
- Informato: preceduto da un’informativa chiara su presenza, finalità ed effetti del tracciamento;
- Granulare: distinto dal consenso all’iscrizione e da ogni altra finalità;
- Libero: rifiutabile senza conseguenze sulla ricezione della newsletter;
- Revocabile: con la stessa facilità con cui è stato prestato, in qualsiasi momento.
Questo approccio rappresenta uno standard ormai consolidato nelle migliori pratiche di email marketing. Le aziende che adotteranno questi standard di trasparenza costruiranno relazioni più durature con i propri clienti, evitando i rischi reputazionali di una compliance tardiva.
La tabella riassuntiva: riferimento normativo completo
| Provvedimento | N. 284 del 17 aprile 2026, GU n. 98 del 29 aprile 2026 |
| Norma di riferimento | Art. 122 Codice Privacy (direttiva ePrivacy 2002/58/CE) |
| Qualificazione del pixel | Accesso al terminale dell’utente, come i cookie |
| Consenso | Preventivo, informato, granulare, distinto dall’iscrizione |
| Newsletter senza tracciamento | Diritto dell’utente garantito: no cancellazione forzata |
| Informativa | Obbligatoria: presenza dei pixel, finalità, effetti concreti |
| Eccezioni al consenso | Statistiche anonime e aggregate, sicurezza, deliverability |
| Legittimo interesse | Non utilizzabile come base giuridica |
| Destinatari | Mittenti, provider email, piattaforme di invio massivo |
| Scadenza adeguamento | 28 ottobre 2026 (6 mesi dalla pubblicazione) |
| Sanzioni | Fino a 20 milioni di euro o 4% del fatturato mondiale |
Informativa trasparente: come comunicare la presenza dei pixel
Accanto al consenso, il secondo pilastro è l’informativa trasparente. Il titolare deve indicare chiaramente la presenza dei pixel nelle proprie comunicazioni, le finalità perseguite (statistiche, profilazione, personalizzazione delle offerte) e gli effetti concreti del trattamento sul destinatario.
Non basta una riga generica nella privacy policy del sito. L’informazione deve essere facilmente accessibile dal contesto in cui il consenso viene raccolto: il modulo di iscrizione alla newsletter, il footer delle email, la pagina di gestione delle preferenze.
Le aziende dovranno intervenire su tre livelli: la privacy policy generale, che deve descrivere il funzionamento dei pixel; il modulo di raccolta del consenso, con le scelte granulari; e le email stesse, che dovrebbero richiamare la possibilità di gestire o revocare le preferenze di tracciamento con un link sempre presente.
Le eccezioni al consenso: quando il tracciamento è lecito senza chiedere
Il consenso non è richiesto in un numero limitato di casi. La prima eccezione riguarda le statistiche realmente anonime e aggregate: misurazioni che non consentono in alcun modo di risalire al comportamento del singolo destinatario, come il tasso di apertura complessivo di una campagna calcolato senza conservare dati individuali.
La seconda eccezione copre le esigenze tecniche di sicurezza e deliverability: verifiche necessarie a garantire la corretta consegna dei messaggi, a prevenire abusi o a proteggere l’infrastruttura di invio. Rientrano nell’esenzione anche le comunicazioni istituzionali obbligatorie, per le quali il tracciamento risponde a finalità di documentazione previste dalla legge.
Attenzione però al perimetro: l’anonimizzazione deve essere effettiva e irreversibile. Se la piattaforma conserva, anche solo temporaneamente, il dato di apertura associato al singolo indirizzo email, la statistica non è anonima e il consenso torna obbligatorio. È qui che si gioca la partita della conformità.
Profilazione mascherata da statistica: l’errore più costoso
Il Garante mette in guardia da una prassi diffusa: mascherare la profilazione commerciale come statistica neutra. Molte aziende dichiarano di usare i pixel “solo per le statistiche”, ma poi utilizzano i dati di apertura per segmentare le liste, riattivare gli utenti inattivi, personalizzare le offerte o assegnare punteggi di engagement ai singoli contatti.
Tutte queste attività costituiscono profilazione individuale e richiedono il consenso, a prescindere dall’etichetta che viene loro attribuita. Il principio di accountability impone al titolare di dimostrare, documenti alla mano, che l’uso effettivo dei dati corrisponde a quanto dichiarato nell’informativa: la coerenza tra il dire e il fare è il primo elemento che un’ispezione andrà a verificare.
Cosa devono fare ora aziende e marketer: la checklist operativa
Il percorso di adeguamento parte da un audit della piattaforma di invio: verificare se il tracciamento delle aperture e dei clic è attivo, quali dati vengono raccolti, dove vengono conservati e per quanto tempo.
“Non c’è marketing migliore della trasparenza.” — Seth Godin
Il secondo passaggio riguarda la raccolta del consenso: aggiornare i moduli di iscrizione con la doppia scelta granulare, predisporre una campagna di raccolta del consenso per gli iscritti esistenti.
Il terzo fronte è documentale: aggiornare informativa e registro dei trattamenti, definire i tempi di conservazione dei dati di tracciamento e formalizzare i rapporti con la piattaforma di invio. Adeguarsi a queste nuove regole non è una perdita di tempo, ma un investimento nella credibilità e nella fiducia che i clienti ripongono nella vostra marca.
Piattaforme di email marketing: la responsabilità condivisa
Le linee guida chiamano in causa anche i gestori delle piattaforme di invio massivo. Chi fornisce il servizio deve mettere i propri clienti in condizione di rispettare la norma: possibilità di disattivare il pixel, gestione differenziata dei destinatari con e senza consenso, strumenti di anonimizzazione effettiva delle statistiche.
Per il titolare, il principio di accountability significa che non ci si può trincerare dietro le impostazioni predefinite del software. Se la piattaforma traccia le aperture e l’azienda non ha raccolto il consenso, la responsabilità della violazione ricade sul titolare del trattamento, che avrebbe dovuto configurare correttamente lo strumento o sceglierne uno conforme.
Sanzioni e scadenze: cosa rischia chi ignora le regole
La violazione dell’articolo 122 del Codice Privacy espone alle sanzioni previste dal GDPR: fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore. A queste si aggiungono i provvedimenti correttivi del Garante, dal divieto di trattamento alla limitazione delle campagne, e il danno reputazionale che accompagna ogni intervento pubblico dell’Autorità.
La scadenza del 28 ottobre 2026 non è un traguardo formale: è la data oltre la quale l’Autorità potrà intervenire su segnalazione o d’ufficio. Considerando i tempi necessari per aggiornare informative, moduli, piattaforme e raccogliere i nuovi consensi dalla base iscritti, iniziare subito è l’unica strategia prudente.
Cosa fare adesso: prossimi passi concreti
Se la tua organizzazione gestisce attività di email marketing, il tempo per agire è adesso. Ecco i punti su cui concentrarsi:
- Audit immediato: verifica se il tracciamento dei pixel è attivo nelle tue piattaforme e quali dati vengono raccolti;
- Revisione della privacy policy e dei moduli di consenso: assicura che il tracciamento sia una scelta granulare e distinta dall’iscrizione;
- Configurazione della piattaforma: disattiva il pixel per i destinatari senza consenso e documenta ogni scelta;
- Supporto professionale: coinvolgi esperti di privacy e marketing per una transizione senza rischi per la tua organizzazione.
Adeguarsi alle nuove linee guida non è solo una questione di compliance: è un’occasione per costruire relazioni di fiducia reale con i tuoi destinatari, dimostrando trasparenza e rispetto dei loro dati. Se questa transizione normativa ti preoccupa e preferisci una guida professionale nel processo, il nostro team di esperti di web marketing e privacy è disponibile a supportarti per una consulenza personalizzata.
FAQ sui tracking pixel email
Cosa sono i tracking pixel nelle email?
Sono immagini trasparenti di un solo pixel, ospitate su server remoti e incorporate nel corpo dell’email. Quando il messaggio viene aperto, il download dell’immagine comunica al mittente apertura, orario, indirizzo IP e dispositivo utilizzato.
I tracking pixel sono legali in Italia?
Sì, ma solo alle condizioni fissate dal Garante: consenso preventivo e informato del destinatario per ogni uso che consenta di monitorare il comportamento individuale, salvo le eccezioni per statistiche anonime e sicurezza.
Cosa dice il provvedimento n. 284/2026 del Garante Privacy?
Riconduce i pixel alla disciplina dell’articolo 122 del Codice Privacy, impone consenso granulare e informativa trasparente, individua le eccezioni ammesse e concede sei mesi per l’adeguamento, fino al 28 ottobre 2026.
Serve il consenso per tracciare le aperture delle newsletter?
Sì, quando i dati di apertura sono riconducibili al singolo destinatario o vengono usati per profilazione. Il consenso deve essere distinto da quello per l’iscrizione alla newsletter.
Posso continuare a inviare la newsletter a chi rifiuta il tracciamento?
Sì, ed è un obbligo: l’utente ha diritto di ricevere le comunicazioni senza pixel. Non è ammesso costringerlo a cancellarsi dalla lista per sottrarsi al tracciamento.
Quando non serve il consenso per i tracking pixel?
Per statistiche realmente anonime e aggregate, per esigenze tecniche di sicurezza e deliverability e per comunicazioni istituzionali obbligatorie previste dalla legge.
Il legittimo interesse copre il tracciamento delle email?
No. L’articolo 122 opera come lex specialis rispetto al GDPR: l’accesso al terminale dell’utente richiede il consenso e non può fondarsi sul legittimo interesse del titolare.
Cosa devo fare se uso Mailchimp, Brevo o piattaforme simili?
Verificare le impostazioni di tracciamento (spesso attive di default), disattivarle per gli iscritti senza consenso, aggiornare informativa e moduli di iscrizione e documentare le scelte nel registro dei trattamenti.
Entro quando bisogna adeguarsi alle nuove linee guida?
Entro il 28 ottobre 2026, sei mesi dalla pubblicazione in Gazzetta Ufficiale del 29 aprile 2026.
Quali sanzioni rischia chi non si adegua?
Le sanzioni GDPR fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, oltre a provvedimenti correttivi del Garante e al danno reputazionale connesso.
Le regole valgono anche per le email B2B?
Sì. L’articolo 122 tutela il terminale dell’utente a prescindere dal contesto: anche il tracciamento di comunicazioni verso indirizzi aziendali riconducibili a persone fisiche richiede le stesse cautele.
Hai bisogno di adeguare newsletter e tracking pixel email?
Doctor Web Agency può aiutarti a verificare piattaforme, moduli di consenso, privacy policy e configurazioni di email marketing.
