Ogni email aperta può dire molto più di quanto sembri. Un’immagine invisibile, grande appena un pixel, può registrare aperture, orari, dispositivi e altri dati dell’utente. Il Garante Privacy è intervenuto su una pratica diffusa nell’email marketing e fissa una scadenza chiara: entro il 29 ottobre 2026 aziende, piattaforme e newsletter dovranno adeguare informative, consensi e sistemi di revoca.
Indice degli argomenti
Le Linee Guida del Garante in materia di tracking pixel nelle email
Con la pubblicazione nella Gazzetta Ufficiale n. 98 del 29 aprile 2026, le Linee Guida del Garante in materia di tracking pixel nelle comunicazioni di posta elettronica (provvedimento n. 284 del 17 aprile 2026, adottato ai sensi dell’art. 154-bis, comma 1, lett. a) del Codice) sono operative. Chi invia comunicazioni elettroniche con pixel di tracciamento ha tempo fino al 29 ottobre 2026 per adeguarsi. Sei mesi che, a guardarli da qui, non sono molti se si parte da zero.
Il provvedimento non introduce una norma nuova. Applica una regola che esiste dal 2003, e nella sua forma relativa all’accesso al terminale dal 2012, a una tecnologia rimasta in una zona grigia di fatto, non di diritto. Quella zona grigia è ora chiusa. Vediamo cosa cambia, per chi, e con quali adempimenti concreti.
Il quadro normativo: art. 122 del Codice Privacy e GDPR
L’impianto è a due livelli. Sul piano speciale opera l’art. 122 del Codice Privacy (D.Lgs. 196/2003, modificato dal D.Lgs. 28 maggio 2012, n. 69, in recepimento della direttiva 2009/136/CE, e dal D.Lgs. 10 agosto 2018, n. 101), norma di recepimento della direttiva e-Privacy 2002/58/CE come modificata dalla 2009/136/CE. Il comma 1 fissa la regola generale: l’archiviazione di informazioni nel terminale dell’utente e l’accesso a informazioni già archiviate sono consentiti solo previo consenso informato, salva l’eventuale archiviazione tecnica strettamente necessaria a effettuare la trasmissione o all’erogazione di un servizio richiesto dall’utente. Il comma 2-bis chiude il sistema con un divieto residuale: salvo quanto previsto dal comma 1, è vietato accedere o archiviare informazioni sul terminale o monitorare le operazioni dell’utente.
Sul piano generale opera il GDPR, in modo complementare per le fattispecie non disciplinate dalla direttiva e-Privacy: licità, correttezza e trasparenza (art. 5), condizioni del consenso (artt. 4 e 7), informativa (artt. 12 ss.), privacy by design (art. 25).
Il rapporto è di specialità: l’art. 122 prevale sulle disposizioni più generali del GDPR nelle materie che disciplina, ai sensi del considerando 173 e dell’art. 95 del Regolamento. Il Garante richiama anche le Linee Guida EDPB 2/2023 del 7 ottobre 2024 per confermare che i tracking pixel integrano la fattispecie di accesso al terminale ex art. 122, indipendentemente dal meccanismo tecnico.
Cosa ha accertato il Garante
Il provvedimento non nasce da un reclamo. Nasce da un’attività ispettiva diretta condotta dal Garante in due momenti: 6-8 ottobre 2025 presso un provider di posta elettronica, e 9-11 febbraio 2026 presso una piattaforma di marketing automation.
L’esito è riportato testualmente: i tracking pixel vengono impiegati «presoché nella totalità dei casi». Non è una stima, è un accertamento documentato condotto dall’Autorità all’interno dei sistemi di due operatori di mercato.
Le implicazioni sono dirette. Sulla base della documentazione pubblica disponibile alla data del presente contributo, le principali piattaforme professionali di email marketing utilizzate in Italia, tra cui Mailchimp, ActiveCampaign, Brevo, HubSpot, Klaviyo e MailerLite, dichiarano che l’open tracking tramite pixel è attivo nella configurazione standard. La conformità alle Linee Guida non dipende dalla scelta del fornitore in sé, ma dal setting effettivo della piattaforma. Non tutte le piattaforme consentono nativamente una revoca granulare lato destinatario: per alcune la disattivazione selettiva richiede configurazioni custom e va verificata caso per caso. Salvo rientro in una delle deroghe descritte al paragrafo 5, l’invio con pixel attivo senza consenso è trattamento privo di base giuridica. Il problema riguarda quasi tutte le aziende italiane che fanno email marketing.
Come funziona tecnicamente un tracking pixel
Un tracking pixel è un’immagine di dimensioni minime, spesso un singolo pixel trasparente, non contenuta nel corpo dell’email ma ospitata su un server remoto. Quando il destinatario apre il messaggio, un codice HTML aziona una richiesta automatica al server del mittente, l’immagine viene scaricata dal client di posta e archiviata nella memoria del terminale.
Il meccanismo consente al mittente, o ai suoi partner, di ottenere informazioni precise: l’avvenuta apertura, il numero di aperture, l’IP del destinatario, il dispositivo, il client di posta, il momento dell’apertura. Il tracciatore è di norma univoco per singolo destinatario, come precisa il Garante, il che significa che le informazioni raccolte sono dati personali riferibili a un individuo identificato.
La rilevanza giuridica è immediata: il meccanismo integra sia l’archiviazione di informazioni nel terminale sia il successivo accesso a informazioni già archiviate, le due fattispecie disciplinate dall’art. 122, con l’obbligo di consenso preventivo che ne deriva.
I soggetti coinvolti
Nel flusso di utilizzo dei tracking pixel intervengono più soggetti. Il mittente è il titolare del trattamento: è l’azienda che decide di inviare la comunicazione, individua le finalità, risponde in prima battuta degli obblighi. Il fornitore di servizi di invio email, tipicamente una piattaforma di marketing automation, è di norma qualificato come responsabile del trattamento su mandato del mittente, ferma restando la necessità di verificare la qualificazione effettiva sui flussi di trattamento concreti, secondo l’orientamento espresso dalla CGUE in Fashion ID (C-40/17) e dalla giurisprudenza successiva. Dove la piattaforma determini autonomamente alcune finalità del trattamento, come analytics interni o profilazione sui dati di engagement, può configurarsi una contitolarità ex art. 26 GDPR o, per quegli specifici trattamenti, una titolarità autonoma. Il rapporto va formalizzato con un DPA ai sensi dell’art. 28 del GDPR, ma le scelte su consenso e informativa restano del titolare.
Il fornitore della tecnologia di tracciamento rileva sotto il profilo della privacy by design (considerando 78 GDPR) e, in alcuni casi, come potenziale contitolare ai sensi dell’art. 26 GDPR, quando partecipi alle decisioni su finalità e mezzi. Il provvedimento richiama anche il fornitore di liste in locazione e il content creator per le email promozionali: i ruoli vanno definiti caso per caso in base agli accordi contrattuali effettivi, in coerenza con il principio di accountability (art. 5, par. 2 del GDPR).
Le ipotesi di esonero dal consenso
L’art. 122 del Codice prevede tre fattispecie di licità: il consenso preventivo, l’archiviazione tecnica necessaria alla trasmissione, l’erogazione di un servizio richiesto dall’utente. All’interno di questo perimetro, il Garante individua una serie di applicazioni esemplificative in cui i tracking pixel possono essere usati senza consenso specifico. L’elenco non è tassativo: l’Autorità lo qualifica espressamente come suscettibile di aggiornamento.
Misurazione statistica aggregata anonimizzata. Quando il pixel misura la percentuale globale di apertura, non le aperture dei singoli utenti, il consenso non serve, a condizione che l’anonimizzazione sia effettiva e implementata a livello di infrastruttura. Il Garante suggerisce pixel univoci uguali per tutti i destinatari di una campagna e l’anonimizzazione degli altri dati tecnici. Non basta dichiarare di usare il dato in forma aggregata se il sistema continua ad associare ogni apertura a un indirizzo email.
Sicurezza e autenticazione. Il pixel è lecito senza consenso quando serve a verificare che un messaggio specifico, conferma di attivazione di un account, modifica della password, esercizio di diritti GDPR, sia stato aperto su un terminale noto per appartenere all’utente. La finalità è la sicurezza, non la misura dell’engagement.
Messaggi istituzionali e di servizio con obbligo giuridico. Quando il mittente è tenuto a inviare la comunicazione (notifiche di data breach, modifiche contrattuali, adempimenti obbligatori, comunicazioni di soggetti pubblici) e l’effettiva presa di conoscenza del destinatario rileva ai fini della funzione del messaggio, il pixel può essere usato senza consenso. Vi rientrano anche i reminder su scadenze contrattuali o contributive quando l’obbligo di inoltro discende da una norma di legge o da una clausola contrattuale qualificante, non quando il reminder è marketing commerciale veicolato come comunicazione di servizio. Questa deroga è più rilevante per banche, assicurazioni, utility e PA, e va valutata caso per caso per il marketing commerciale in senso stretto.
Il consenso: una casella, non due
Nelle settimane successive alla pubblicazione, molte agenzie hanno comunicato ai clienti che le Linee Guida impongono un doppio consenso: una casella per la newsletter e una per il tracking pixel. Non è quello che ha scritto il Garante. Il paragrafo 6 del provvedimento ammette espressamente che il consenso al tracciamento tramite pixel possa essere ricompreso nel consenso più generale alla ricezione delle comunicazioni promozionali, a condizione che la richiesta sia formulata in modo neutro, privo di forzature, e che l’utente sia pienamente informato del fatto che le comunicazioni conterranno pixel di tracciamento.
Al momento dell’iscrizione una sola casella di consenso è sufficiente, purché l’informativa chiarisca in modo comprensibile cosa viene tracciato, per quali finalità, e che l’utente può revocare il consenso al tracking mantenendo l’iscrizione. L’architettura del consenso va progettata per consentire la revoca granulare, non per raccogliere necessariamente consensi separati.
Il doppio consenso non è vietato, chi lo implementa adotta una misura più conservativa, ma non è obbligatorio. Sui trattamenti già in corso, il Garante adotta un approccio transitorio: aggiornare l’informativa con il primo invio utile e implementare la revoca granulare, senza richiedere un nuovo consenso esplicito.
La revoca granulare
Il Garante richiede che l’utente che ha acconsentito possa scegliere tra due opzioni distinte: revocare il consenso unitario, interrompendo la ricezione di tutte le comunicazioni, oppure revocare solo il consenso al tracking, continuando a ricevere le email senza pixel. Le due opzioni devono essere rese disponibili, distinte, facilmente accessibili.
Non tutte le piattaforme di email marketing consentono questa funzionalità in modo nativo. Sulla base della documentazione pubblica disponibile, Mailchimp supporta la gestione delle preferenze ma richiede configurazioni non standard per la granularità sul tracking; Brevo offre opzioni più native; ActiveCampaign permette configurazioni custom. Alcune piattaforme di newsletter inseriscono pixel di tracciamento di default in ogni invio e non offrono opzioni di disattivazione selettiva al publisher: una configurazione che pone un problema di compliance specifico per chi pubblica da soggetto italiano e va verificata prima di adottare lo strumento.
Tre scenari aziendali
La situazione di partenza non è uniforme. Si possono identificare tre scenari tipici, ciascuno con un percorso diverso.
Scenario 1: informativa strutturata, piattaforma che non consente la disattivazione del pixel
Chi ha un’informativa privacy ben costruita e consensi raccolti correttamente per la newsletter, ma usa una piattaforma che inserisce pixel di default senza possibilità di disattivazione selettiva, deve prima di tutto aggiornare l’informativa con una sezione esplicita sui tracking pixel, poi comunicare l’aggiornamento agli iscritti con il primo invio utile. Parallelamente, va valutata la migrazione a una piattaforma che supporti la revoca granulare e va implementato il pannello preferenze.
Scenario 2: informativa generica, consenso raccolto in modo non specifico
È la situazione più diffusa: form con link generico all’informativa, che a sua volta non menzionava i tracking pixel o li citava in modo vago. Il consenso all’invio c’è, ma non copre in modo trasparente il tracking. Il Garante ammette un approccio transitorio: aggiornamento dell’informativa con il primo invio utile e implementazione della revoca granulare, senza un nuovo consenso esplicito. Una scelta più cautelativa è inviare una comunicazione che aggiorna l’informativa e offre la possibilità di continuare a ricevere le email senza tracking; chi non risponde mantiene l’invio ma perde il tracking.
Scenario 3: database disordinato, consensi non tracciabili, liste vecchie
Contatti raccolti senza documentazione del consenso, liste ereditate, contatti importati senza consenso verificabile. Qui il tracking pixel è l’ultimo problema: a monte c’è un deficit di base giuridica per la raccolta stessa. Serve un audit della lista che separi i contatti con consenso documentato da quelli per cui il consenso non è ricostruibile. Senza consenso valido, l’uso della lista è una violazione diretta dell’art. 6 del GDPR.
Le misure tecniche e organizzative trasversali
Informativa, DPA e pannello preferenze
L’informativa privacy deve contenere una sezione dedicata ai tracking pixel: meccanismo di funzionamento, dati raccolti (apertura, IP, dispositivo, numero di aperture), finalità, base giuridica, destinatari, periodo di conservazione, modalità di revoca granulare. È ammesso un formato multi-livello, con informativa sintetica nel modulo di iscrizione e link a quella completa.
Il rapporto con il fornitore della piattaforma va formalizzato con un DPA ai sensi dell’art. 28 del GDPR, accettato e conservato agli atti. Il DPA copre il trattamento del responsabile. Le scelte su consenso e informativa restano del titolare.
Ogni email deve contenere un link visibile, di norma nel footer, che porta a un’area preferenze con due opzioni distinte: interrompere ogni invio oppure continuare senza tracking. Le scelte vanno registrate e rispettate.
Identificativo non intelligibile e privacy by design
Il Garante suggerisce esplicitamente che il mittente generi per ogni destinatario un identificativo non intelligibile e non sequenziale, associandolo all’indirizzo email in un layer interno e separato della piattaforma. Il conteggio degli eventi di apertura avviene tramite l’identificativo, senza che l’indirizzo email sia esposto nella richiesta tecnica generata dal caricamento del pixel. È il primo elemento che un ispettore verifica per valutare se la privacy by design (art. 25 GDPR) è stata implementata in modo sostanziale.
Tempi, enforcement e rischio sanzionatorio
Il termine per l’adeguamento scade il 29 ottobre 2026, sei mesi dalla pubblicazione in Gazzetta Ufficiale n. 98 del 29 aprile 2026.
Sul piano sanzionatorio opera l’art. 83 del GDPR, con sanzioni amministrative pecuniarie fino a 20 milioni di euro o al 4% del fatturato mondiale annuo. Sono i massimali teorici. La prassi sanzionatoria del Garante italiano sulle violazioni in materia di cookie e tracciamento ha prodotto importi ben al di sotto di quei massimali, parametrati caso per caso a gravità della violazione, dimensione del titolare, presenza o assenza di comportamenti collaborativi. Il parametro reale per valutare il rischio concreto non è il massimale, è la probabilità di essere oggetto di un’ispezione.
Quella probabilità sale quando ricorrono insieme tre fattori, qui tutti presenti: un provvedimento formale, una scadenza esplicita, un’Autorità che ha già condotto ispezioni nel settore. Il confronto più pertinente è il pattern dell’enforcement italiano sulle cookie policy: tolleranza prolungata seguita da un’ondata sanzionatoria concentrata.
Il principio si estende oltre l’email
Le Linee Guida riguardano le email, ma il principio che esprimono è più largo. Quando in una comunicazione digitale c’è una raccolta di dati sull’interazione dell’utente che non è evidente all’utente stesso, servono trasparenza e base giuridica.
Per le comunicazioni commerciali su sistemi automatizzati, email, SMS, messaggistica istantanea, la base normativa è l’art. 130 del Codice Privacy, che richiede il consenso preventivo come regola generale, salvo la deroga del soft spam prevista dal comma 4, applicabile ai soli clienti già acquisiti per la promozione di servizi analoghi a quelli oggetto della precedente vendita. Per il tracking che avviene attraverso tecnologie che accedono al terminale dell’utente, si applica l’art. 122. Per il server-side tracking, l’applicabilità dell’art. 122 dipende dalla configurazione tecnica, in particolare da se la raccolta dei dati origina o meno da un evento sul terminale dell’utente, secondo l’orientamento EDPB nelle Linee Guida 2/2023.
Nella posizione dell’EDPB, il perimetro dell’art. 5, par. 3, della direttiva e-Privacy copre ogni tecnica che raccoglie dati sull’utente attraverso il terminale, a prescindere dal meccanismo. Le soluzioni di server-side tracking come Conversion API di Meta, Enhanced Conversions di Google, container server-side via Google Tag Manager, rientrano frequentemente nell’art. 122 perché, in molte implementazioni reali, l’evento è raccolto lato client tramite un identificatore o un tag e poi inoltrato al server. La conformità dipende da come è gestito il consenso a monte e da come è strutturato il flusso tecnico, e va valutata implementazione per implementazione.
Partire dall’email ha senso, c’è una scadenza precisa e il Garante ha già ispezionato il settore. Ma la compliance progettata solo sull’email è una compliance che si rifà in sei mesi quando arriva il prossimo provvedimento. La regia va impostata sull’intero sistema di comunicazione digitale dell’azienda.
Checklist operativa
- Verificare che l’identificativo associato al pixel sia non intelligibile e non sequenziale. Aggiornare il registro dei trattamenti ex art. 30 del GDPR. Per gli utilizzi che rientrano nelle deroghe al consenso, documentare la valutazione nelle attività di accountability.
- Verificare se la piattaforma di email marketing in uso supporta la revoca granulare del tracking. Se non la supporta, pianificare la migrazione subito.
- Censire i trattamenti che coinvolgono tracking pixel (newsletter, DEM, email transazionali, di servizio), per ciascuno annotare tipo di pixel, dati raccolti e finalità.
- Verificare l’esistenza e la validità del DPA con il fornitore della piattaforma di invio ai sensi dell’art. 28 del GDPR.
- Aggiornare l’informativa privacy con una sezione dedicata ai tracking pixel: meccanismo di funzionamento, dati raccolti, finalità, base giuridica, destinatari, periodo di conservazione, modalità di revoca granulare.
- Aggiornare il modulo di iscrizione alla newsletter con un riferimento esplicito ai pixel di tracciamento e al diritto di revoca granulare. Una sola casella di consenso è sufficiente se il testo è chiaro sul punto.
- Implementare il pannello preferenze nell’area di gestione degli iscritti, con due opzioni distinte: disiscriversi completamente o continuare a ricevere le email senza tracking. Comunicare l’aggiornamento dell’informativa con il primo invio utile.
Partecipa alla community