Termina oggi, 29 ottobre, il periodo di sei mesi concesso dal Garante per la protezione dei dati personali per adeguarsi alle “Linee Guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica”, adottate con provvedimento del 17 aprile 2026.
Le Linee Guida si collocano all’intersezione di alcuni temi da tempo al centro dell’attenzione del Garante: il tracciamento online, tradizionalmente affrontato attraverso la disciplina dei cookie; il marketing e la profilazione, con particolare riguardo alla prova del consenso e alla semplicità della sua revoca; e, infine, la tutela della segretezza della corrispondenza.
Indice degli argomenti
Tracking pixel nelle email: perché sono pervasivi
Il punto di partenza delle Linee Guida è il carattere potenzialmente pervasivo dei tracking pixel, dovuto anche al loro carattere celato. Nella generalità dei casi, i destinatari delle e-mail sono ignari della presenza del pixel: si tratta infatti di un’immagine di dimensioni ridottissime incorporata nel corpo del messaggio.
Il pixel può trasmettere al mittente informazioni sull’avvenuta apertura del messaggio, sul numero di aperture successive e alcune informazioni tecniche relative al dispositivo o alla connessione. Tali informazioni si rivelano di particolare interesse per le aziende per misurare l’efficacia delle campagne di comunicazione e, in alcuni casi, per personalizzare i contenuti dei relativi messaggi.
Trasparenza e consenso per i pixel nelle email
Da qui l’importanza di garantire la trasparenza di tali trattamenti.
Finora, le informazioni relative ai pixel venivano spesso inserite nella cookie policy e la raccolta del relativo consenso effettuata tramite Consent Management Platform (CMP). Una scelta sistematicamente comprensibile, ma non necessariamente idonea a garantire un’informazione effettiva e consapevole da parte dell’utente. Infatti, il Garante rileva come l’utente potrebbe non essere in grado di percepire che una scelta espressa nel corso della navigazione su un sito web tramite – appunto – la CMP si estenda altresì alle comunicazioni ricevute nella propria casella di posta elettronica.
Da qui, il suggerimento di informare l’utente e acquisire il relativo consenso nell’ambito della raccolta del consenso alla ricezione di e-mail promozionali.
A dire il vero, la soluzione proposta dal Garante presenta un ulteriore profilo di interesse. Le Linee Guida riconoscono infatti che, in determinate circostanze, il consenso all’invio di comunicazioni promozionali e quello all’impiego dei pixel possono essere raccolti contestualmente. Pur trattandosi di consensi concettualmente distinguibili, l’Autorità valorizza la correlazione tra le finalità e l’esigenza di evitare richieste plurime, che rischiano di generare fenomeni di consent fatigue.
Tracking pixel nelle email: quando serve il consenso
La questione più complessa per gli operatori non riguarda tanto il principio generale del consenso, quanto la sua applicazione ai diversi utilizzi dei pixel.
Le ipotesi di esenzione dal consenso preventivo
Le Linee Guida individuano alcune ipotesi nelle quali l’impiego dei pixel può essere considerato necessario e/o di servizio e, pertanto, beneficiare dell’esenzione dal requisito della raccolta del consenso preventivo:
- Statistiche aggregate e anonimizzate: conteggi complessivi delle aperture, utilizzati, ad esempio, per migliorare la ricezione (c.d. deliverability) delle e-mail o contrastare fenomeni di spam, senza identificare i singoli destinatari.
- Misure di sicurezza: utilizzo dei pixel nell’ambito di processi di autenticazione o di altre esigenze di sicurezza.
- Comunicazioni istituzionali o di servizio: messaggi che il titolare è tenuto a inviare per obbligo giuridico.
Ed è proprio qui che emergono le prime difficoltà. Si pensi alla deliverability, ossia alla capacità di far arrivare correttamente i messaggi nella casella di posta dei destinatari. La finalità può essere legittimamente connessa al funzionamento del servizio; ma che cosa accade quando, per perseguirla, vengono raccolti dati riferibili ai singoli destinatari anziché statistiche anonime o aggregate? È sufficiente che l’obiettivo dichiarato sia tecnico perché il tracciamento possa considerarsi necessario e avvenire senza la raccolta di un previo consenso?
Finalità multiple e gestione dei pixel nelle email
Il problema si complica ulteriormente quando lo stesso pixel viene utilizzato per più finalità. In questi termini, il periodo “di grazia” riconosciuto dal Garante per l’applicazione delle Linee Guida è stato fondamentale per gli operatori, al fine di avviare le necessarie attività di mappatura e coordinamento dei dipartimenti IT, marketing, legal e privacy.
Un operatore può, ad esempio, utilizzare il tracciamento per finalità statistiche, di miglioramento dell’efficacia della campagna o per inviare contenuti personalizzati. Si tratta di attività che possono essere tecnicamente collegate, ma che non sono necessariamente equivalenti dal punto di vista giuridico: possono infatti incidere sull’informativa da fornire, sulla scelta della base giuridica, sulla necessità di acquisire il consenso e sulle modalità con cui l’interessato può esercitare i propri diritti.
Ad esempio, nel caso di utilizzo del pixel per inviare comunicazioni personalizzate: come evitare la consent fatigue? Occorre aggiornare sia i consensi marketing che profilazione? Come conciliare chiarezza con le esigenze di garantire un user journey facile e agevole?
Il confronto con la CNIL francese
In questo contesto, un riferimento utile arriva dalla Francia. La Commission nationale de l’informatique et des libertés (CNIL), nelle proprie raccomandazioni sui pixel nelle e-mail, approfondisce alcune questioni operative relative alla distinzione tra utilizzi, alle condizioni delle esenzioni e alla gestione delle preferenze degli utenti. Il suo approccio può offrire spunti comparativi utili anche agli operatori italiani.
Revocare il consenso ai tracking pixel nelle email
Un ulteriore aspetto riguarda la possibilità di revocare il consenso.
Se un pixel può essere utilizzato per finalità diverse, il titolare del trattamento deve rendere effettiva la scelta dell’interessato per ciascuna finalità, senza trasformare la revoca in un percorso complesso o poco comprensibile.
Piattaforme, revoca e filiera dei fornitori
Si pone, ad esempio, il problema di chi desideri continuare a ricevere la newsletter, ma non voglia essere tracciato. A livello operativo, ciò richiede di valutare se le piattaforme e gli altri strumenti operativi consentano di disattivare il tracciamento per singolo destinatario, differenziare i consensi in base alle finalità e conservare evidenza delle preferenze espresse. In questo senso, il Garante richiede di inserire in calce all’e-mail un apposito bottone o link che consenta all’utente di revocare il proprio consenso al pixel.
È inoltre necessario verificare che le scelte siano rispettate lungo l’intera filiera, inclusi i fornitori che inseriscono o gestiscono i pixel per conto del mittente.
Il tema è particolarmente rilevante nei sistemi complessi, in cui il dato raccolto da una piattaforma può essere trasferito ad altri strumenti per alimentare report, segmentazioni o automazioni. La revoca deve essere valutata alla luce dell’intero trattamento e non soltanto dell’interfaccia attraverso cui l’utente ha espresso la propria scelta.
Il Garante e i tracking pixel dopo il regime transitorio
In definitiva, le Linee Guida del Garante hanno avuto il merito fare chiarezza su uno strumento che è in grado di produrre effetti significativi sugli interessati. Da oggi, viene meno anche il regime transitorio riconosciuto dall’Autorità, con la conseguenza che i titolari del trattamento non potranno fare più affidamento sulle relative misure di favore, inclusa la possibilità di avvalersi di un regime di opt-out per gli interessati già iscritti nei propri database.
Il 29 ottobre rappresenta rappresenta quindi una data importante nel percorso di adeguamento del mercato. Al contempo, molte questioni interpretative rimangono aperte. Per questo, sarà determinante osservare come gli operatori si conformeranno alle nuove regole e, soprattutto, monitorare quale indirizzo emergerà dalla futura attività applicativa e interpretativa del Garante.
Partecipa alla community