Il sistema utilizzato dalla tua azienda registra chi apre una newsletter, quante volte la consulta o da quale dispositivo si collega?
Queste funzionalità, spesso attivate automaticamente nelle piattaforme di e-mail marketing, possono dipendere dall’utilizzo di tracking pixel. Con il Provvedimento n. 284 del 17 aprile 2026, il Garante per la protezione dei dati personali ha adottato specifiche Linee guida che chiariscono quando questi strumenti possono essere utilizzati e in quali casi è necessario acquisire preventivamente il consenso del destinatario.
Le indicazioni interessano newsletter e comunicazioni promozionali, ma anche e-mail transazionali, automatiche, informative, istituzionali e di servizio.
Le aziende hanno sei mesi dalla pubblicazione delle Linee guida in Gazzetta Ufficiale, avvenuta il 29 aprile 2026, per adeguare piattaforme, informative e sistemi di gestione dei consensi.
Che cosa sono i tracking pixel
I tracking pixel sono immagini trasparenti, generalmente grandi un solo pixel, inserite nel codice HTML di un’e-mail e ospitate su un server remoto.
Quando il destinatario apre il messaggio e il programma di posta scarica le immagini, viene inviata automaticamente una richiesta al server. Questo meccanismo può permettere al mittente o alla piattaforma utilizzata di raccogliere informazioni come:
- l’avvenuta apertura dell’e-mail;
- la data e l’orario della consultazione;
- il numero di aperture successive;
- l’indirizzo IP;
- il tipo di dispositivo o client utilizzato;
- il tempo di consultazione del messaggio.
Il pixel non permette di conoscere direttamente il contenuto dell’e-mail. La sua criticità deriva soprattutto dal fatto che opera in modo non visibile e può consentire di associare le informazioni raccolte a uno specifico destinatario.
Quali comunicazioni sono interessate
Le Linee guida hanno un ambito di applicazione molto ampio e non riguardano esclusivamente le campagne commerciali.
Il Garante distingue, in particolare, tra:
- newsletter, ossia comunicazioni periodiche a carattere informativo;
- DEM, prevalentemente promozionali o commerciali;
- e-mail transazionali e automatiche, come conferme, messaggi di benvenuto e follow-up;
- e-mail di servizio o istituzionali, inviate per esigenze specifiche del destinatario o della collettività.
La presenza di tracking pixel deve quindi essere verificata in tutte le tipologie di messaggi, anche quando la finalità principale della comunicazione non è commerciale.
Quando è necessario il consenso
L’articolo 122 del Codice Privacy stabilisce, come regola generale, che l’archiviazione di informazioni sul dispositivo dell’utente o l’accesso a informazioni già presenti richiedano il suo consenso preventivo.
Il consenso è necessario quando i tracking pixel vengono utilizzati per:
- monitorare le aperture a livello individuale;
- analizzare il comportamento del singolo destinatario;
- valutare e migliorare le campagne in base alle sue interazioni;
- individuare i contatti maggiormente interessati;
- attribuire punteggi o classificazioni ai lead;
- segmentare il pubblico;
- personalizzare contenuti e offerte;
- modificare la frequenza degli invii;
- costruire profili commerciali;
- alimentare workflow di marketing automation e lead nurturing.
Sono funzionalità frequentemente presenti nelle piattaforme di e-mail marketing e nei CRM. Non è quindi sufficiente verificare l’informativa: occorre controllare anche le impostazioni tecniche, le segmentazioni e le automazioni effettivamente attive.
Quando il consenso può non essere necessario
Le Linee guida individuano alcune circostanze nelle quali l’utilizzo dei pixel può rientrare nelle eccezioni previste dal Codice Privacy.
Il consenso può non essere richiesto quando il tracciamento è strettamente necessario per:
- elaborare statistiche globali realmente aggregate e anonimizzate;
- migliorare la corretta ricezione delle comunicazioni e contrastare lo spam;
- garantire la sicurezza e l’autenticazione degli account;
- gestire attivazioni, modifiche delle credenziali o richieste dell’utente;
- prevenire frodi e attività di phishing;
- erogare un servizio espressamente richiesto;
- verificare la presa di conoscenza di determinate comunicazioni istituzionali o di servizio che il titolare è obbligato a inviare.
Nel caso delle statistiche, i dati non devono consentire misurazioni personalizzate. Il Garante suggerisce, per esempio, di utilizzare lo stesso pixel per tutti i destinatari di una campagna e di anonimizzare anche le informazioni tecniche collegate, come indirizzo IP e client utilizzato.
Definire una funzionalità come “statistica” non è quindi sufficiente se la piattaforma continua a identificare il singolo destinatario.
Il consenso alla newsletter comprende anche il tracking?
Il consenso alla ricezione di comunicazioni promozionali e quello relativo all’utilizzo dei tracking pixel riguardano finalità potenzialmente distinte.
Il Garante ammette tuttavia la possibilità di raccoglierli attraverso un unico consenso informato, evitando richieste ripetitive, purché:
- l’impiego dei tracking pixel sia spiegato chiaramente;
- la richiesta sia formulata in modo neutro;
- la scelta sia libera e priva di forzature;
- il consenso sia consapevole e documentabile;
- l’utente possa successivamente disattivare soltanto il tracking.
La persona deve quindi poter scegliere se interrompere tutte le comunicazioni oppure continuare a ricevere le e-mail senza essere tracciata.
La sola presenza del link “Disiscriviti” potrebbe non essere sufficiente. Nel footer dell’e-mail può essere inserito un collegamento a un’area di gestione delle preferenze dalla quale disattivare esclusivamente i tracking pixel.
Per i trattamenti già in corso, il titolare può integrare le informazioni mancanti con il primo invio utile o in occasione del primo momento di discontinuità nella relazione con l’interessato. Deve però rendere disponibile e comunicare chiaramente il meccanismo di revoca granulare.
Informativa e trasparenza
Gli utenti devono essere informati dell’impiego dei tracking pixel anche nei casi in cui il consenso non sia necessario.
L’informativa dovrebbe indicare:
- quali strumenti di tracciamento sono utilizzati;
- quali dati possono essere raccolti;
- per quali finalità vengono trattati;
- se le informazioni sono analizzate individualmente o in forma aggregata;
- quali fornitori possono ricevere o trattare i dati;
- per quanto tempo vengono conservati;
- come modificare o revocare le proprie scelte.
L’informativa può essere organizzata su più livelli, inserendo una sintesi nel modulo di iscrizione e un collegamento a una versione completa e facilmente accessibile.
La responsabilità rimane in capo all’azienda
Affidare l’invio delle newsletter a una piattaforma esterna non trasferisce automaticamente al fornitore ogni responsabilità.
Il mittente deve verificare il proprio ruolo e quello di tutti i soggetti coinvolti, tra cui:
- il fornitore della piattaforma di invio;
- il fornitore della tecnologia di tracciamento;
- eventuali gestori di liste di distribuzione;
- agenzie e soggetti incaricati della gestione delle campagne.
L’azienda deve conoscere le funzionalità utilizzate, definire finalità e basi giuridiche, disciplinare i rapporti con i fornitori e verificare che le soluzioni adottate consentano di rispettare le preferenze degli utenti.
Privacy by design: non basta aggiornare i documenti
L’adeguamento non può limitarsi alla revisione dell’informativa. Il principio di privacy by design richiede di configurare strumenti e processi in modo da ridurre il trattamento dei dati al minimo necessario.
Tra le misure da valutare rientrano:
- anonimizzazione e aggregazione delle statistiche;
- limitazione dei dati raccolti;
- utilizzo di identificativi tecnici non direttamente riconducibili alla persona;
- separazione tra indirizzo e-mail e identificativo;
- impostazioni predefinite meno invasive;
- tempi di conservazione proporzionati;
- registrazione delle scelte dell’utente;
- gestione effettiva della revoca, anche limitata al solo tracking.
Cosa dovrebbero fare le aziende
Per prepararsi all’applicazione delle Linee guida è opportuno avviare una verifica congiunta tra marketing, IT, area legale e privacy.
In particolare, le aziende dovrebbero:
- mappare newsletter, DEM, e-mail automatiche, transazionali e di servizio;
- censire i moduli e i touchpoint utilizzati per raccogliere gli indirizzi;
- verificare se le piattaforme impiegano tracking pixel e se siano attivi per impostazione predefinita;
- individuare quali dati vengono raccolti e se siano collegati al singolo destinatario;
- distinguere le statistiche aggregate dal monitoraggio individuale;
- verificare le basi giuridiche e acquisire il consenso quando necessario;
- aggiornare informative, moduli e sistemi di gestione delle preferenze;
- controllare CRM, lead scoring, segmentazioni e automazioni;
- verificare contratti e configurazioni con i fornitori;
- documentare le analisi e le misure adottate.
L’adeguamento delle piattaforme di marketing automation può richiedere modifiche tecniche, sviluppo e test. È quindi consigliabile iniziare la verifica prima della ripresa delle campagne autunnali.
La tua newsletter è conforme?
Conoscere il tasso di apertura complessivo non è sufficiente per comprendere se il sistema sia conforme. Occorre verificare se il dato sia realmente aggregato oppure collegato al singolo destinatario, per quale finalità venga utilizzato e se la piattaforma consenta di rispettare la revoca del consenso.
Miller Group può affiancare le aziende nella verifica di:
- piattaforme di e-mail marketing e marketing automation;
- configurazione dei tracking pixel;
- informative privacy e moduli di iscrizione;
- raccolta e registrazione dei consensi;
- gestione granulare delle preferenze;
- CRM, segmentazioni, lead scoring e workflow automatici;
- documentazione e rapporti con i fornitori;
- misure di privacy by design e by default.
Grazie a un approccio integrato tra competenze privacy, legali, tecnologiche e di comunicazione, analizziamo l’intero processo: dalla raccolta del contatto all’invio della comunicazione, fino al monitoraggio dei risultati.
Hai dubbi sull’utilizzo dei tracking pixel?
La conformità di newsletter e piattaforme di marketing automation non dipende soltanto dall’informativa. È necessario verificare configurazioni tecniche, modalità di tracciamento, gestione dei consensi, automazioni e rapporti con i fornitori.
La divisione GDPR, Privacy & Legal di Miller Group affianca le aziende nell’analisi dei processi e nell’individuazione degli interventi necessari per adeguarsi alle nuove indicazioni del Garante.
Prenota un confronto con la divisione GDPR, Privacy & Legal di Miller Group:
- info@millergroup.it
- 02.367.624.90
