Chi invia newsletter, DEM o comunicazioni promozionali via email quasi certamente utilizza già, anche senza saperlo, un tracking pixel: una piccola immagine invisibile che rileva se e quando un messaggio viene aperto. Con il Provvedimento n. 284 del 17 aprile 2026 (pubblicato in Gazzetta Ufficiale il 29 aprile 2026), il Garante per la protezione dei dati personali ha adottato le prime Linee guida dedicate specificamente a questo strumento – e ha fissato un termine preciso per adeguarsi: 29 ottobre 2026.
Da qui a quella data mancano meno di tre mesi: per chi non ha ancora verificato le proprie comunicazioni email, è il momento di farlo.
Perché il Garante è intervenuto
Il tracking pixel si attiva quando il destinatario apre l’email e il client scarica automaticamente le immagini in essa contenute: a quel punto il mittente può sapere che il messaggio è stato aperto, quando e da quale tipo di dispositivo. Proprio perché questo avviene in modo impercettibile per l’utente, il Garante lo equipara, ai fini giuridici, a un accesso al dispositivo dell’utente ai sensi dell’art. 122 del Codice Privacy – la stessa norma che regola cookie e altri strumenti di tracciamento online.
La conseguenza pratica è che, nella maggior parte dei casi in cui il pixel serve a scopi di marketing, l’uso di questo strumento richiede il consenso preventivo e specifico dell’interessato, non diversamente da un cookie di profilazione.
Quando serve il consenso (e quando no)
Secondo le Linee guida, il consenso è generalmente necessario quando il tracciamento serve per:
- finalità di marketing;
- analisi del comportamento dei destinatari;
- profilazione commerciale;
- ottimizzazione delle campagne sulla base delle interazioni.
Il consenso può invece non essere necessario in ipotesi più circoscritte, come analisi statistiche aggregate e anonimizzate, esigenze di sicurezza e autenticazione, o comunicazioni di servizio (ad esempio notifiche di incidenti di sicurezza o modifiche contrattuali). La distinzione, però, non è sempre scontata: la stessa email può contenere più finalità di tracciamento, alcune soggette a consenso e altre no, ed è qui che si annidano gli errori più comuni.
I punti su cui le organizzazioni devono verificarsi
Le Linee guida non riguardano solo il consenso in sé, ma tutta la filiera che ruota attorno all’invio delle comunicazioni:
- informative non aggiornate rispetto all’uso reale dei tracking pixel;
- piattaforme di email marketing e fornitori terzi il cui ruolo (titolare, responsabile) non è stato definito correttamente;
- assenza di strumenti semplici per revocare il consenso, continuando comunque a ricevere le comunicazioni senza tracciamento;
- mancata distinzione, all’interno della stessa campagna, tra tracciamento soggetto a consenso e tracciamento tecnico non soggetto a consenso.
Un’informativa generica o una piattaforma di invio configurata senza questi accorgimenti espone l’azienda al rischio di trattamento privo di base giuridica adeguata – con le relative conseguenze in caso di controllo del Garante.
Non riguarda solo chi invia le email
Le Linee guida individuano più soggetti potenzialmente coinvolti nella filiera del tracciamento: non solo l’organizzazione che invia la comunicazione, ma anche il fornitore della piattaforma di email marketing, l’eventuale fornitore della tecnologia di tracciamento e, in alcuni casi, chi realizza i contenuti della campagna. Questo significa che la conformità non si esaurisce nel testo dell’informativa, ma richiede di capire chi fa cosa lungo tutta la catena – e di formalizzarlo correttamente, ad esempio attraverso le nomine a responsabile del trattamento previste dal GDPR. È un aspetto che molte aziende tendono a sottovalutare, dando per scontato che basti l’informativa rivolta al destinatario finale.
Il termine si avvicina
Il periodo transitorio di sei mesi concesso dal Garante scade il 29 ottobre 2026. Adeguare le piattaforme di invio, le informative e i meccanismi di consenso richiede tempo, soprattutto per chi gestisce più flussi di comunicazione e più fornitori: rimandare la verifica a ridosso della scadenza è il modo più rapido per arrivarci impreparati.
Come possiamo aiutarti
Il nostro team verifica la conformità delle comunicazioni email aziendali alle nuove Linee guida del Garante: dalla mappatura dei flussi che utilizzano tracking pixel, alla revisione di informative e piattaforme di invio, fino alla corretta gestione del consenso.
Se non sei ancora sicuro che le tue newsletter e le tue campagne email siano pronte per il 29 ottobre, richiedi una verifica con i nostri esperti.
