TL;DR — Dal 29 ottobre 2026 chi invia email con tracking pixel deve rispettare le Linee guida del Garante privacy (provvedimento n. 284 del 17 aprile 2026, GU n. 98 del 29 aprile). Il pixel è trattato come un cookie: serve un’informativa e, per misurare le aperture del singolo destinatario a fini di marketing, il consenso. Servono anche una revoca granulare in ogni email e un registro delle scelte.
<
p class=”wp-block-paragraph”>Nella mia esperienza il tasso di apertura è la metrica più guardata e meno capita delle newsletter. Tutti la leggono nel report della piattaforma; quasi nessuno si chiede come venga calcolata. La risposta è un’immagine da un pixel, trasparente, caricata da un server remoto quando il programma di posta mostra le immagini. È attiva di default su quasi tutti gli strumenti di email marketing e, nei progetti che ho seguito, nessuno l’aveva mai accesa per scelta: era lì. Il Garante ha deciso che “era lì” non basta più. Le Linee guida pubblicate ad aprile danno sei mesi per adeguarsi, e i sei mesi scadono domani, 29 ottobre. Non è un tema da ufficio marketing: tocca le piattaforme che l’IT configura, le email automatiche che i sistemi inviano e i log che qualcuno conserva.
Cosa sono le Linee guida del Garante sui tracking pixel e da quando si applicano?
Le Linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica sono state adottate dal Garante per la protezione dei dati personali con il provvedimento n. 284 del 17 aprile 2026 e pubblicate nella Gazzetta Ufficiale, Serie generale n. 98 del 29 aprile 2026. Il Garante ha fissato “un termine pari a 6 mesi” dalla pubblicazione: il 29 ottobre 2026 (Garante, 2026a; Garante, 2026b).
Con una nota del 5 ottobre 2026 l’Autorità ha richiamato la scadenza: “Entro il 29 ottobre 2026 aziende, piattaforme e newsletter dovranno adeguare informative, consensi e sistemi di revoca”, aggiungendo che la verifica dell’applicazione delle Linee guida “rientra tra le attività ispettive previste dal Garante per il secondo semestre 2026” (Garante, 2026b). Una precisazione sulle date. Alcune analisi professionali indicano il 28 ottobre come ultimo giorno utile (Calzoni, 2026); il Garante, nella sua comunicazione, scrive “entro il 29 ottobre 2026”. In pratica conviene considerare il lavoro chiuso oggi.
Il perimetro è ampio. Il provvedimento si rivolge ai fornitori di servizi della società dell’informazione, ai soggetti che offrono servizi online, ai provider di posta, ai gestori di piattaforme per l’invio massivo e a “ogni altro soggetto che, a qualsiasi titolo, faccia uso di tracking pixel” (Garante, 2026a). Le tipologie di messaggi considerate sono quattro: newsletter, DEM (Direct E-mail Marketing, le email promozionali), email transazionali e automatiche, email di servizio. Non solo marketing, quindi: anche la conferma d’ordine o il messaggio di benvenuto generato da un gestionale.
Perché il Garante tratta il pixel come un cookie?
Il Garante riconduce il tracking pixel all’articolo 122 del Codice privacy, la norma italiana che recepisce la direttiva ePrivacy sull’accesso alle informazioni del dispositivo dell’utente: la stessa che regola i cookie. Ne deriva, ai sensi del comma 2-bis, “un divieto generalizzato di trattamento”, salvo il consenso dell’utente o una delle altre deroghe previste dalla norma (Garante, 2026a).
Il ragionamento tecnico è lineare. Il pixel non è dentro la email: risiede su un server remoto e viene caricato quando il destinatario apre il messaggio, trasmettendo al mittente informazioni come l’apertura, l’orario, l’indirizzo IP, il dispositivo e il numero di aperture successive. Il provvedimento osserva che “di regola i tracciatori sono univoci per singolo destinatario” e che la raccolta da parte del server “costituisce un’operazione di lettura sul terminale dell’utente” (Garante, 2026a). La lettura è allineata alle Linee guida EDPB 2/2023 sull’ambito tecnico dell’articolo 5, paragrafo 3, della direttiva ePrivacy, adottate il 7 ottobre 2024 e richiamate nello stesso provvedimento.
Il punto che a mio avviso pesa di più è la frase con cui si apre il paragrafo sull’informativa: i tracking pixel sono “marcatori particolarmente invasivi soprattutto in ragione del loro carattere nascosto”. Per il Garante, un tracciamento non riconoscibile viola innanzitutto il principio di correttezza dell’articolo 5 del GDPR (Garante, 2026a). Non è un problema di forma del consenso: è un problema di trasparenza, e viene prima di tutto il resto.
Quando si possono usare i pixel senza chiedere il consenso?
Il Garante individua tre casi tipici in cui il consenso specifico non è necessario: il conteggio statistico della percentuale globale di apertura con pixel uguali per tutti e dati tecnici anonimizzati; i messaggi legati a sicurezza e autenticazione, come attivazione account o cambio password; i messaggi istituzionali o di servizio che il titolare ha l’obbligo giuridico di inviare (Garante, 2026a).
| Uso del pixel | Consenso necessario? | Condizioni indicate dal Garante |
|---|---|---|
| Tasso di apertura globale di una campagna (statistica) | No | Pixel “uguali per tutti i destinatari di una stessa campagna”; anonimizzazione di IP, client e altri dati tecnici; nessuna misurazione personalizzata |
| Email di sicurezza e autenticazione (attivazione account, modifica password, esercizio dei diritti privacy) | No | Funzionale a verificare che il messaggio sia aperto su un terminale noto dell’utente |
| Messaggi istituzionali o di servizio con obbligo giuridico di invio (phishing, incidenti di sicurezza, modifiche contrattuali, informative, scadenze) | No | Rileva l’effettiva presa di conoscenza del destinatario |
| Misurazione individuale delle aperture per migliorare le campagne promozionali | Sì | Consenso preventivo, anche unico con quello al marketing |
| Adattare frequenza o sospendere gli invii in base alle aperture | Sì | Consenso preventivo |
| Dedurre gusti e interessi per creare profili commerciali | Sì | Consenso preventivo |
Le deroghe non sono automatiche. Il provvedimento precisa che la riconducibilità del trattamento all’una o all’altra ipotesi “compete in prima battuta” al titolare, nel regime di responsabilizzazione del GDPR (Garante, 2026a). Detto in termini pratici: se si invoca la statistica, bisogna poter dimostrare che il pixel non distingue i destinatari. Nei progetti che ho seguito le piattaforme di invio usavano pixel personalizzati per singolo indirizzo, perché è così che producono i report per contatto: per questo la deroga statistica non va data per scontata, va verificata con il fornitore e, se serve, configurata.
Un dettaglio che interessa chi si occupa di identità: tra le email esenti ci sono quelle relative alla “gestione di una richiesta di modifica della password”. Chi ha seguito il cambio del reset password in Entra ID dal 7 novembre riconoscerà la logica: anche il Garante distingue tra tracciare per vendere e verificare per proteggere.
Come va raccolto il consenso e come funziona la revoca granulare?
Il consenso al tracking può essere ricompreso in quello più generale alla ricezione di comunicazioni promozionali, purché la richiesta sia “formulata in modo neutro e privo di forzature”. L’utente deve però poter revocare in modo granulare: smettere di ricevere le email oppure smettere solo di essere tracciato, continuando a ricevere messaggi senza pixel (Garante, 2026a).
La semplificazione del consenso unico è una scelta esplicita contro la “consent fatigue”, cioè la stanchezza da richieste di consenso multiple. Il contrappeso è la revoca. Il Garante suggerisce di inserire “all’interno di ogni messaggio e-mail inviato una icona standardizzata ovvero un link, posizionato nel footer”, che porti a un’area dove l’interessato può scegliere tra le due opzioni (Garante, 2026a). Chi rifiuta il tracciamento deve conservare “la piena fruibilità del servizio”, senza limitazioni. E tutte le scelte devono essere “debitamente registrate dal titolare”, anche ai fini della prova in caso di controversie.
Per le liste già in uso c’è un regime transitorio. Non serve raccogliere di nuovo il consenso solo per effetto delle Linee guida: il titolare deve dare l’informativa “con il primo invio utile o comunque nel primo momento di discontinuità disponibile” e attivare il meccanismo di revoca granulare (Garante, 2026a). Il regime è “destinato ad essere progressivamente dismesso” man mano che arrivano nuovi trattamenti, che seguono la regola del consenso preventivo.
Cosa deve fare l’IT entro il 29 ottobre?
Per l’IT il lavoro si riduce a cinque verifiche: censire tutti i sistemi che inviano email con immagini remote, capire se i pixel sono personalizzati o uguali per tutti, configurare la revoca granulare nel footer, assicurare la registrazione delle scelte e applicare la minimizzazione suggerita dal Garante sugli identificativi.
- Inventario dei mittenti. Non solo la piattaforma di newsletter: anche CRM, e-commerce, gestionali, ticketing e qualunque sistema che invii email HTML. Il provvedimento include espressamente le email transazionali e automatiche.
- Tipo di pixel. Verificare nelle impostazioni o con il fornitore se il pixel è univoco per destinatario. Se si vuole usare la deroga statistica, servono pixel identici per campagna e anonimizzazione di IP e client.
- Footer e area preferenze. Aggiungere link o icona che porti a una pagina con due scelte distinte: disiscrizione oppure solo stop al tracking.
- Registro delle scelte. Ogni consenso e ogni revoca devono restare tracciati, con data, per l’onere della prova dell’articolo 7 del GDPR.
- Privacy by design. Il Garante suggerisce di generare “un identificativo inintelligibile e non sequenziale” associato all’indirizzo in un layer separato, così che la richiesta tecnica del pixel non contenga l’indirizzo email (Garante, 2026a).
Il quinto punto è quello che preferisco, perché è una misura tecnica concreta e misurabile, non un adempimento cartaceo. Riduce l’esposizione dell’indirizzo email nel traffico di rete e, per chi sviluppa sistemi di invio in proprio, è una modifica di poche righe. Il provvedimento la indica sia per i trattamenti in corso sia per quelli nuovi.
Implicazioni pratiche per le PMI italiane
La PMI italiana tipica manda una newsletter da una piattaforma SaaS, email transazionali dal sito o dal gestionale e qualche comunicazione di servizio dal CRM. Nella mia esperienza nessuno di questi tre flussi ha un responsabile unico, e il pixel è attivo su tutti per impostazione predefinita. Le Linee guida chiedono di guardarli insieme.
L’opportunità è che il Garante ha scelto la strada della semplificazione: consenso unico, informativa a più livelli, regime transitorio senza nuova raccolta dei consensi. Per molte PMI basteranno un aggiornamento dell’informativa, un link nel footer e una verifica delle impostazioni della piattaforma. L’hype da evitare è quello di chi presenta la scadenza come la fine dell’email marketing o, all’opposto, come una formalità. Il provvedimento non vieta i pixel e non chiede di rifare i database; chiede che il tracciamento smetta di essere invisibile. Il rischio vero è reputazionale e ispettivo: la verifica è nel piano dei controlli del secondo semestre 2026, e un’ispezione su un tema così tecnico si risolve guardando il codice di una email e il footer. La parte “cosa conviene fare” nel caso specifico, base giuridica e deroghe comprese, resta lavoro per il DPO o per un professionista abilitato.
Da quando si applicano le Linee guida del Garante sui tracking pixel nelle email?
Le Linee guida, adottate con il provvedimento n. 284 del 17 aprile 2026 e pubblicate nella Gazzetta Ufficiale n. 98 del 29 aprile 2026, prevedono sei mesi dalla pubblicazione per adeguarsi. Il Garante indica come termine il 29 ottobre 2026; alcune analisi professionali citano il 28 ottobre. La verifica rientra nelle attività ispettive del secondo semestre 2026.
Serve il consenso per misurare il tasso di apertura di una newsletter?
Dipende da come viene misurato. Il conteggio statistico della percentuale globale di apertura non richiede consenso se i pixel sono uguali per tutti i destinatari della campagna e i dati tecnici come IP e client sono anonimizzati. Se invece si misurano le aperture del singolo destinatario per migliorare le campagne, serve il consenso preventivo.
Bisogna raccogliere di nuovo il consenso dagli iscritti già presenti in lista?
No, per i trattamenti già in corso le Linee guida prevedono un regime transitorio. Il titolare deve fornire l’informativa con il primo invio utile e attivare un meccanismo di revoca granulare che consenta di disiscriversi oppure di rifiutare solo il tracciamento. Il regime vale solo per i trattamenti in corso; i nuovi richiedono il consenso preventivo.
Le email transazionali e di servizio rientrano nelle Linee guida?
Sì, il provvedimento considera newsletter, DEM, email transazionali e automatiche ed email di servizio. Per alcune di esse è prevista una deroga al consenso: messaggi di sicurezza e autenticazione, come attivazione account o modifica password, e messaggi istituzionali o di servizio con obbligo giuridico di invio. L’obbligo di informativa resta comunque per tutte le tipologie.
Conclusioni
Le Linee guida sui tracking pixel sono un provvedimento piccolo con una lezione grande: in informatica “attivo di default” non equivale a “scelto consapevolmente”, e la norma comincia a pretendere la differenza. Il Garante non ha vietato nulla. Ha detto che un tracciamento nascosto è scorretto per definizione e ha offerto strade semplici per renderlo visibile: consenso unico, revoca in due clic, statistiche anonime senza consenso. La mia posizione è che le PMI ne usciranno meglio, perché saranno costrette a capire quali sistemi mandano email e cosa misurano davvero. Chi gestisce l’IT ha un ruolo preciso: inventariare i mittenti, guardare dentro le email e chiedere ai fornitori come funziona il pixel. Se domani la risposta è “non lo sappiamo”, il lavoro da fare è chiaro, scadenza o no.
Riferimenti
Fonti verificate al 28 ottobre 2026.
- Garante per la protezione dei dati personali. (2026a, 17 aprile). Provvedimento del 17 aprile 2026 – Linee Guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica (doc. web n. 10241943; registro dei provvedimenti n. 284; GU Serie Generale n. 98 del 29 aprile 2026). Livello B. garanteprivacy.it/home/docweb/-/docweb-display/docweb/10241943
- Garante per la protezione dei dati personali. (2026b, 5 ottobre). VADEMECUM – E-mail marketing: le linee guida sui tracking pixel (doc. web n. 10303585). Livello B. garanteprivacy.it/home/docweb/-/docweb-display/docweb/10303585
- European Data Protection Board. (2024, 7 ottobre). Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive. Livello B. Richiamate nel provvedimento, non consultate direttamente. [verificare URL]
- Redazione IPSOA Quotidiano. (2026, 5 ottobre). Tracking pixel: nuove regole dal 29 ottobre 2026. Livello C. ipsoa.it
- Calzoni, R. (2026, 9 maggio). Tracking pixel nelle email: cosa cambia con le Linee guida del Garante 2026. Livello C. studiolegalecalzoni.com
- LCA Studio Legale. (2026, 15 luglio). Tracking pixel nelle e-mail: le nuove Linee guida del Garante e gli adempimenti per le imprese. Livello C. lcalex.it
Link correlati su Argos New Dreams
- Reset password in Entra ID: dal 7 novembre 2026 valgono solo i metodi registrati
- Data Act, l’obbligo di “access by design” dal 12 settembre 2026
- D.Lgs. 179/2026: dal 23 ottobre 2026 l’AI Act in Italia ha chi vigila, chi sanziona e una regola per il lavoro
Trasparenza sull’uso dell’intelligenza artificiale
Questo articolo è stato redatto con l’assistenza di un sistema di intelligenza artificiale generativa (Claude Sonnet 5, tramite l’agente Argos Newsroom su Microsoft Copilot Studio) per la ricerca delle fonti, la strutturazione e la prima stesura. Il testo è stato successivamente verificato, corretto e approvato da un autore umano, Luca Borio, che ne detiene la responsabilità editoriale ai sensi dell’art. 50 del Regolamento (UE) 2024/1689. Dati, citazioni e link sono stati controllati sulle fonti originali indicate. Eventuali errori residui sono miei.
⚠️ Nessuna consulenza professionale
Questo contenuto ha finalità divulgativa e informativa. Non costituisce consulenza legale, fiscale, sanitaria, finanziaria o giuslavoristica, né sostituisce il parere di un professionista abilitato. Le norme citate sono riportate nella versione vigente alla data di pubblicazione e possono essere modificate: verifica sempre il testo aggiornato sulle fonti ufficiali (per il diritto italiano, Normattiva — https://www.normattiva.it ; per l’AI Act, il portale ufficiale UE — https://artificialintelligence-act.ec.europa.eu/ ). Per la valutazione di un caso concreto rivolgiti a un professionista.
Lascia un commento