Tracking pixel nelle e-mail: perché tutti aggiornano le informative privacy e cosa rischiano le aziende. Scaduto il termine di 6 mesi fissato dal Garante Privacy con le Linee Guida di apri
Negli ultimi giorni le caselle di posta elettronica di milioni di utenti sono state sommerse da notifiche di aggiornamento delle informative privacy da parte di e-commerce, testate giornalistiche, fornitori di servizi e piattaforme digitali.
Non si tratta di una coincidenza, bensì dell’adempimento a una scadenza perentoria: il termine transitorio di 6 mesi concesso dal Garante per la protezione dei dati personali per conformarsi alle «Linee Guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica» (Provvedimento n. 284 del 17 aprile 2026).
Vediamo in dettaglio l’inquadramento normativo, le ragioni dell’intervento dell’Autorità e gli adempimenti operativi che ogni Titolare del trattamento deve implementare per scongiurare sanzioni.
Il quadro normativo: la tutela del terminale e la direttiva ePrivacy
Per anni l'invio di newsletter e comunicazioni promozionali tramite e-mail marketing ha fatto largo uso dei c.d. tracking pixel (o web beacon): micro-immagini trasparenti di dimensioni pari a 1x1 pixel incorporate nel corpo del messaggio HTML. Al momento dell'apertura del messaggio da parte del destinatario, il download dell'immagine da un server remoto consente al mittente di registrare:
Data, ora e frequenza di apertura;
Indirizzo IP di connessione e conseguente geolocalizzazione presuntiva;
Dispositivo, sistema operativo e client di posta utilizzati;
Eventuale click-through rate sui link incorporati.
Sotto il profilo strettamente giuridico, il Garante ha ricondotto in modo inequivocabile tali strumenti nell’alveo dell’art. 122 del Codice Privacy (D.lgs. 196/2003, in attuazione dell'art. 5, par. 3, della Direttiva ePrivacy 2002/58/CE). Tale disposizione disciplina l'archiviazione di informazioni o l'accesso a informazioni già archiviate nell'apparecchio terminale dell'utente.
Essendo il pixel uno strumento che interagisce direttamente con l'apparecchio dell'interessato raccogliendo dati a sua insaputa, il suo impiego non può essere considerato una mera appendice tecnica secondaria, ma un vero e proprio trattamento di dati personali sottoposto a precisi vincoli di legittimità.
Le principali novità introdotte dalle Linee Guida
L'intervento dell'Autorità fissa principi inderogabili che impongono una revisione strutturale delle strategie di direct marketing:
1. Il principio di granularità: disaccoppiamento del tracciamento
La novità più dirompente riguarda l'autonomia della scelta del destinatario. Fino a oggi, la prassi di mercato imponeva una scelta binaria: l'utente poteva accettare la newsletter (con relativo tracciamento occulto) oppure disiscriversi totalmente.Il Garante ha chiarito che l'interessato deve poter ricevere le comunicazioni commerciali anche rifiutando il tracciamento delle proprie interazioni. È fatto obbligo al Titolare di offrire un meccanismo di disiscrizione/revoca selettivo:
Rinuncia esclusiva al tracciamento tramite pixel (mantenendo la ricezione delle e-mail);
Revoca integrale del consenso alla ricezione di comunicazioni di marketing.
2. Rafforzamento dell'informativa (artt. 12 e 13 GDPR)
Le informative standard non sono più conformi. I Titolari devono esplicitare con chiarezza:
La tipologia di tracciatori impiegati;
Le categorie di dati raccolti (incluso l'indirizzo IP e i dettagli del dispositivo);
Le finalità specifiche (mera misurazione statistica aggregata vs profilazione individuale per la personalizzazione delle campagne);
I tempi di conservazione (data retention) di tali log.
3. Facilità di revoca del consenso (art. 7, par. 3, GDPR)
Il meccanismo per disattivare il tracciamento deve essere semplice quanto quello per prestarlo. In calce a ogni messaggio e all'interno dell'eventuale area riservata dell'utente (preference center) deve essere presente un link diretto che consenta la gestione granulare delle preferenze.
Checklist di conformità per aziende e Titolari del trattamento
Per le imprese che svolgono attività di newslettering, lead generation o e-mail marketing, la conformità non si esaurisce nell'invio di una notifica via mail. È necessario:
Audit degli strumenti di e-mail marketing: Verificare con i propri fornitori di piattaforme di invio (es. Mailchimp, Brevo, HubSpot, Salesforce) la possibilità tecnica di inibire i pixel per gli utenti che optano per la ricezione "non tracciata".
Aggiornamento dell'Informativa Privacy: Integrare una sezione specifica dedicata al tracciamento via e-mail ai sensi dell'art. 13 del GDPR e dell'art. 122 del Codice Privacy.
Revisione dei template di invio: Inserire nei footer delle e-mail link chiari per la gestione selettiva delle preferenze (Opt-out dal tracciamento vs Unsubscribe totale).
Aggiornamento del Registro dei Trattamenti: Formalizzare le basi giuridiche, i periodi di conservazione e le misure di sicurezza adottate per i dati di telemetria delle e-mail.
Conclusioni: il rischio sanzionatorio
L'utilizzo di tracking pixel privo di idonea base giuridica o effettuato in violazione degli obblighi di trasparenza espone le aziende al rischio delle sanzioni amministrative pecuniarie previste dall'art. 83 del GDPR (fino a 20 milioni di euro o al 4% del fatturato globale annuo) e dal Codice Privacy.
La conformità alle nuove Linee Guida non rappresenta soltanto un adempimento formale, ma un fondamentale elemento di affidabilità (accountability) e tutela del brand nei confronti dei propri utenti.
Il nostro Studio Legale è a disposizione delle imprese per effettuare l'audit dei processi di direct marketing e l'aggiornamento della documentazione contrattuale e privacy.
Commenti