Con provvedimento n. 284 del 17 aprile 2026 (il “Provvedimento”), il Garante per la protezione dei dati personali ha per la prima volta, attraverso l’adozione di Linee Guida, disciplinato in modo organico l’impiego dei tracking pixel nelle comunicazioni di posta elettronica, con l’obiettivo di specificare le corrette modalità per la fornitura dell’informativa e per l’acquisizione del consenso degli interessati. I destinatari del provvedimento, inter alia provider di servizi di invio, piattaforme di marketing automation e fornitori di tecnologia di tracciamento, hanno sei mesi dalla pubblicazione in Gazzetta Ufficiale per adeguarsi. La scadenza è il 29 ottobre 2026.
Il tracking pixel è accesso al terminale
Il Provvedimento nasce dell’esigenza di arginare il fenomeno dell’utilizzo di tecnologie di tracciamento “occulte” nelle comunicazioni di posta elettronica, in particolare utilizzate all’interno di newsletter, direct e-mail marketing (DEM), e-mail transazionali, comunicazioni di servizio o messaggi istituzionali.
I tracking pixel sono immagini trasparenti e di dimensioni minime, spesso pari ad un solo pixel e dunque, impercettibili per il destinatario. Sono inserite nelle e-mail ma ospitate su server remoti e non hanno alcun carattere contenutistico. Al momento dell’apertura del messaggio, un codice HTML inserito nel testo genera automaticamente una richiesta al server del mittente: il pixel viene scaricato dal client di posta del destinatario e archiviato nella memoria del suo terminale. Questo processo, invisibile all’utente, consente al mittente di acquisire informazioni relative all’avvenuta apertura della comunicazione e, in alcuni casi, di ottenere informazioni ulteriori che possono ricavarsi dall’indirizzo IP del destinatario, come il tipo di dispositivo utilizzato, il tempo di consultazione del messaggio e il numero di aperture successive della stessa e-mail.
Il Garante qualifica questa sequenza operativa come fattispecie di accesso al terminale di cui all’articolo 122 del d.lgs. n. 196/2003 (“Codice Privacy”), norma che recepisce nell’ordinamento nazionale l’articolo 5, paragrafo 3, della direttiva 2002/58/CE (“Direttiva e-Privacy”). L’inquadramento è altresì coerente con le Linee Guida EDPB 2/2023 sull’ambito di applicazione tecnico della stessa disposizione europea, che le Linee Guida esplicitamente richiamano. Il caricamento del pixel integra l’”archiviazione di informazioni nell’apparecchio terminale” dell’utente e la rilevazione dell’apertura integra il successivo “accesso a informazioni già archiviate”, entrambe operazioni che ricadono nel perimetro dell’articolo 122 del Codice Privacy.
L’informativa: un obbligo trasversale alle tipologie di comunicazione
Le Linee Guida chiariscono che qualunque utilizzo di tracking pixel nelle e-mail impone la trasmissione di idonea informativa al destinatario, indipendentemente dalla tipologia del messaggio (commerciale, di servizio, istituzionale) e dalla natura del mittente (privato o pubblico). La mancata informativa rende il trattamento, secondo il Garante, illecito sul piano del principio di correttezza di cui all’articolo 5, paragrafo 1, lett. a), GDPR, in ragione del carattere nascosto dei tracking pixel.
Su questo piano, il Garante segue la logica di semplificazione già adottata per i cookie con le Linee Guida del 10 giugno 2021 (doc. web n. 9677876): l’informativa può essere strutturata su più livelli, con un’indicazione sintetica nel modulo di raccolta dell’indirizzo e-mail e un rimando a una versione più dettagliata, eventualmente incorporata nella cookie policy esistente. Sono ammesse modalità multicanale, quali pop-up, video, assistenti virtuali, chatbot, purché il sistema complessivo garantisca completezza, chiarezza e fruibilità, in conformità con il principio di accountability ex articolo 5, paragrafo 2, GDPR.
Per i trattamenti già in corso alla data di entrata in vigore delle Linee Guida, il Garante ritiene idoneo l’assolvimento dell’obbligo informativo mediante il primo invio utile o il primo momento di discontinuità disponibile nella relazione con l’interessato.
Il consenso è quasi sempre necessario
L’articolo 122, comma 2-bis, del Codice Privacy pone un divieto generalizzato di accesso al terminale dell’utente, derogabile solo al ricorrere di condizioni specifiche. Le Linee Guida individuano le ipotesi nelle quali il consenso non è richiesto e quelle nelle quali è invece obbligatorio.
Il consenso è obbligatorio quando la misurazione del tasso di apertura è effettuata a livello individuale per valutare e ottimizzare le campagne promozionali e quindi modificare oggetto, frequenza, pertinenza dei messaggi in base al comportamento del singolo destinatario; oppure quando il dato di apertura è utilizzato per ricavare inferenze su gusti, interessi e preferenze dell’utente al fine di costruire profili commerciali utilizzabili anche per iniziative diverse. Il Provvedimento chiarisce che per i trattamenti successivi alle Linee Guida, il consenso va raccolto preferibilmente al momento dell’acquisizione dell’indirizzo e-mail. Il Garante ammette che il consenso al tracking pixel possa essere incorporato in quello, più generale, alla ricezione di comunicazioni promozionali, evitando così ridondanti richieste multiple che generano consent fatigue, a condizione che la richiesta sia formulata in modo neutro e che l’utente sia compiutamente informato.
Il consenso può essere invece omesso quando:
- Il pixel è utilizzato per misurazioni statistiche aggregate e anonimizzate dell’apertura delle e-mail, purché i dati non consentano misurazioni personalizzate. Il Garante suggerisce l’impiego di pixel univoci per campagna (non per singolo destinatario) e l’anonimizzazione degli identificativi tecnici correlati (indirizzo IP, client).
- Il pixel è funzionale a misure di sicurezza relative al processo di autenticazione dell’utente (ad es. conferma dell’attivazione di un account, reset della password), verificando che il messaggio sia aperto su un terminale riconducibile all’interessato. In questo caso, esigenze di sicurezza e fornitura del servizio richiesto convergono a giustificare la deroga.
- Il pixel è inserito in messaggi istituzionali o di servizio che il titolare ha l’obbligo giuridico di inviare e rispetto ai quali sia rilevante la presa di conoscenza del destinatario quali, inter alia, avvisi antifrode e antiphishing, comunicazioni di modifiche contrattuali, notifiche di incidenti di sicurezza, campagne istituzionali.
La revoca deve essere granulare
L’utente che abbia acconsentito al trattamento deve poter revocare la propria scelta in modo differenziato e quindi optare per la cessazione di tutte le comunicazioni, oppure scegliere di continuare a ricevere le e-mail ma senza i tracking pixel. Questa seconda opzione è una facoltà che le piattaforme devono tecnicamente garantire.
Il meccanismo suggerito dal Garante prevede l’inserimento in ogni e-mail di un’icona standardizzata o di un link nel footer che conduca l’utente a un’area dedicata all’esercizio dei diritti, dalla quale sia possibile sia richiedere la disiscrizione totale sia disattivare selettivamente il solo tracciamento. Il rifiuto del tracciamento non può comportare alcuna limitazione del servizio, in conformità con il principio di non condizionamento del consenso già affermato per i cookie.
Tutte le scelte dell’interessato devono essere registrate dal titolare e dimostrabili in caso di contestazione. Sul piano della privacy by design, il Garante suggerisce una misura tecnica concreta: generare per ciascun destinatario un identificativo inintelligibile e non sequenziale, da associare all’indirizzo e-mail in un layer interno e separato della piattaforma, in modo che il conteggio delle aperture avvenga tramite l’identificativo senza esporre l’indirizzo e-mail nella richiesta tecnica generata dal caricamento del pixel.
Le conseguenze operative
Le Linee Guida definiscono per la prima volta in modo organico il quadro degli obblighi applicabili all’utilizzo di tracking pixel nelle comunicazioni di posta elettronica, chiarendo i presupposti di liceità del trattamento e le modalità operative di adempimento. I destinatari del provvedimento hanno tempo fino al 29 ottobre 2026 per conformarsi tramite l’aggiornamento delle informative, l’integrazione del registro dei trattamenti e l’implementazione tecnica della revoca granulare.
