Il 29 ottobre 2026 scade il termine concesso dal Garante per la protezione dei dati personali per adeguarsi alle Linee guida sull’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica, adottate il 17 aprile 2026 e pubblicate nella Gazzetta Ufficiale del 29 aprile. La scadenza interessa non soltanto le piattaforme di e-mail marketing, ma tutti i soggetti, pubblici o privati, che utilizzano pixel di tracciamento nelle comunicazioni elettroniche.
Si tratta di immagini di dimensioni minime, spesso trasparenti, inserite nelle e-mail e richiamate da server remoti. Al momento dell’apertura del messaggio il meccanismo può consentire di acquisire informazioni sull’interazione del destinatario, quali l’apertura della comunicazione e altri dati tecnici correlati. Il Garante richiama in particolare l’attenzione sul carattere occulto di questi strumenti, che può impedire all’interessato di avere consapevolezza del tracciamento.
Il consenso come regola generale
Il punto centrale delle Linee guida è l’applicazione dell’art. 122 D.Lgs. n. 196/2003. L’utilizzo dei tracking pixel è soggetto, in linea generale, al previo consenso informato, libero, specifico e inequivocabile dell’utente, salvo che ricorra una delle deroghe previste dalla stessa disposizione.
Il consenso non è quindi necessario in ogni ipotesi. Il Garante individua alcune ipotesi nelle quali può operare una deroga, tra cui le attività strettamente funzionali alla trasmissione o alla fornitura del servizio richiesto, determinate esigenze di sicurezza e specifiche comunicazioni istituzionali o di servizio, in particolare quando il titolare abbia l’obbligo giuridico di inoltrarle e rilevi l’effettiva presa di conoscenza del destinatario. Anche la misurazione statistica del tasso globale di apertura può essere effettuata senza consenso quando siano adottate tecniche di anonimizzazione che impediscano misurazioni personalizzate.
Diversa è l’ipotesi del monitoraggio individuale delle aperture utilizzato per valutare le performance di campagne promozionali, modificare frequenza e contenuti delle comunicazioni o ricavare informazioni sugli interessi del destinatario. In questi casi, in assenza di altra deroga prevista dall’art. 122, il consenso deve essere acquisito preventivamente.
Le Linee guida incidono anche sulle modalità di raccolta del consenso. Il Garante ammette che quello relativo ai tracking pixel possa, in linea di principio, essere ricompreso nel consenso alla ricezione delle comunicazioni promozionali, purché la richiesta sia formulata in maniera neutra e l’interessato sia adeguatamente informato.
Revoca e gestione delle preferenze dell’utente
Particolare attenzione deve essere dedicata alla revoca. L’utente deve poter modificare agevolmente la propria scelta, anche in modo granulare: può quindi rinunciare alle comunicazioni oppure rifiutare soltanto il tracciamento, continuando a ricevere e-mail prive dei marcatori. Le scelte dell’interessato devono inoltre essere registrate dal titolare.
Per i trattamenti già in corso, il Garante ha previsto un regime transitorio: il titolare deve integrare l’informativa, con il primo invio utile o nel primo momento di discontinuità disponibile, e predisporre un meccanismo riconoscibile e facilmente utilizzabile per consentire la revoca, anche selettiva, del consenso. I nuovi trattamenti sono invece assoggettati alla regola della preventiva acquisizione del consenso, quando necessario.
Gli adempimenti da verificare entro il 29 ottobre
L’adeguamento non riguarda, dunque, soltanto l’informativa privacy. Entro il 29 ottobre occorre verificare quali e-mail contengano pixel, per quali finalità siano utilizzati, quale presupposto ne legittimi l’impiego e se i sistemi consentano una gestione effettiva delle scelte dell’interessato. A ciò si aggiunge l’obbligo di adottare misure coerenti con i principi di privacy by design e by default.
Per Studi professionali, imprese e organizzazioni che utilizzano newsletter o piattaforme di marketing automation, la scadenza del 29 ottobre impone una verifica non solo documentale, ma anche tecnica e organizzativa delle modalità di utilizzo dei tracking pixel e dei sistemi di gestione del consenso.
