Tracking pixel nelle e-mail: le indicazioni del Garante Privacy

Tracking pixel nelle e-mail: le indicazioni del Garante Privacy

Entro il 29 ottobre 2026 l'adeguamento alle nuove Linee guida

Il Garante per la protezione dei dati personali ha pubblicato le Linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica, adottate con Provvedimento n. 284 del 17 aprile 2026.

Le indicazioni riguardano un tema particolarmente rilevante per aziende e organizzazioni che utilizzano newsletter, DEM, e-mail marketing e comunicazioni automatiche.

Cosa sono i tracking pixel?

I tracking pixel sono piccoli elementi, spesso invisibili al destinatario, inseriti nelle e-mail per monitorare l'interazione con il messaggio.

A seconda della configurazione, possono consentire di rilevare, ad esempio, l'apertura dell'e-mail, il numero di aperture, l'indirizzo IP e il dispositivo utilizzato.

Proprio perché il monitoraggio può avvenire senza che l'utente ne sia pienamente consapevole, il loro utilizzo deve essere valutato sotto il profilo della protezione dei dati personali.

Quali regole si applicano?

L'utilizzo dei tracking pixel rientra nell'ambito dell'art. 122 del Codice Privacy, mentre il GDPR continua ad applicarsi per gli aspetti non disciplinati dalla normativa e-Privacy.

Devono quindi essere rispettati, tra gli altri, i principi di trasparenza, accountability, minimizzazione dei dati e privacy by design e by default.

Quando è necessario il consenso?

Il consenso preventivo è necessario, in particolare, quando il tracking consente di monitorare il comportamento del singolo destinatario per finalità quali la personalizzazione delle comunicazioni, la valutazione dell'interesse verso una campagna o la profilazione commerciale.

Sono previste, tuttavia, specifiche situazioni nelle quali il consenso può non essere necessario, ad esempio per determinate statistiche aggregate, esigenze di sicurezza o comunicazioni istituzionali e di servizio, purché ricorrano le condizioni indicate dal Garante.

La valutazione deve quindi essere effettuata caso per caso, in relazione alla finalità e alle modalità concrete di utilizzo dello strumento.

Informativa e revoca del consenso

Il destinatario deve ricevere un'informativa chiara, completa e facilmente accessibile, che indichi l'utilizzo del tracking e le relative finalità.

Quando il consenso è richiesto, deve essere acquisito preventivamente e deve poter essere revocato facilmente. Le Linee guida richiamano inoltre la possibilità di consentire all'interessato di continuare a ricevere le comunicazioni, chiedendo però che non siano più utilizzati i tracking pixel.

Attenzione alla scadenza del 29 ottobre 2026

Il termine indicato per l'adeguamento alle Linee guida è il 29 ottobre 2026.

Entro tale data aziende, piattaforme e soggetti che utilizzano tracking pixel dovranno verificare, e se necessario adeguare:

• informative privacy;

• modalità di acquisizione del consenso;

• sistemi di gestione e revoca delle preferenze;

• configurazioni tecniche dei sistemi di tracking;

• misure di minimizzazione dei dati.

Il tema assume ulteriore rilievo considerando che la verifica dell'applicazione delle Linee guida rientra tra le attività ispettive del Garante previste per il secondo semestre 2026.

Cosa devono fare le aziende?

Le organizzazioni che utilizzano newsletter, DEM o piattaforme di e-mail marketing dovrebbero effettuare una verifica dei propri sistemi, controllando:

• quali tracking pixel vengono utilizzati;

• quali dati vengono raccolti;

• per quali finalità;

• se è necessario acquisire il consenso;

• se l'informativa è adeguata;

• se la revoca del consenso è semplice e accessibile;

• se le configurazioni tecniche rispettano i principi di privacy by design e minimizzazione.

Le nuove indicazioni del Garante rappresentano quindi un'occasione per effettuare un check-up dei propri sistemi di e-mail marketing, verificando la conformità sia degli aspetti tecnici sia di quelli organizzativi e documentali.