Tracking pixel nelle email: le linee guida del Garante e cosa fare entro ottobre 2026

Che cos'è un tracking pixel

È un'immagine trasparente di dimensioni minime — spesso un solo pixel — inserita nel corpo del messaggio. Quando il destinatario apre l'email, il programma di posta scarica quell'immagine dal server del mittente. Quel semplice scaricamento è il segnale: dice che il messaggio è stato aperto, quando, quante volte, con quale dispositivo e da quale indirizzo IP.

Il Garante ne sottolinea la particolare invasività, e la ragione è intuitiva: a differenza di un banner cookie, qui non c'è nulla da vedere e nulla da cliccare. Il destinatario non ha alcun modo di accorgersi che l'apertura di una email sta generando un dato su di lui.

La regola: art. 122 e consenso preventivo

Il passaggio giuridico decisivo è questo: l'impiego dei tracking pixel rientra nella disciplina dell'art. 122 del Codice privacy, che regola le tecnologie capaci di accedere alle informazioni presenti nei dispositivi degli utenti o di monitorarne il comportamento online.

È la stessa cornice normativa dei cookie. E ha una conseguenza immediata: nei casi ordinari il consenso deve essere raccolto prima, non desunto dall'iscrizione, non ricavato dal legittimo interesse, non dato per implicito nell'aver accettato di ricevere le comunicazioni.

Le eccezioni esistono, ma vanno maneggiate con cautela: sono eccezioni di scopo, non di comodo. Etichettare come “tecnica” una misurazione che alimenta le statistiche di marketing non regge a una verifica documentale.

La revoca selettiva: il punto che richiede più lavoro

Il Garante insiste su modalità semplici di revoca del consenso, anche in modo selettivo. Tradotto in pratica, significa che il destinatario deve poter scegliere tra due cose diverse:

• Non ricevere più le comunicazioni — la classica disiscrizione
• Continuare a riceverle senza essere tracciato — l'opzione che oggi quasi nessuno offre

È qui che si concentra il lavoro tecnico. La maggior parte delle piattaforme di invio tratta il tracciamento come un'impostazione della campagna, non come una preferenza del singolo destinatario. Rendere la revoca granulare significa gestire uno stato per contatto e inviare a quel contatto una versione del messaggio priva di pixel. Non è complicato, ma va previsto e configurato: non si risolve riscrivendo l'informativa.

Privacy by design: ridurre l'identificabilità

L'altro capitolo riguarda il modo in cui il pixel è costruito. Il Garante chiede misure di privacy by design e by default che riducano il rischio di identificare il destinatario e limitino la circolazione dei dati personali.

L'indicazione che circola nei commenti tecnici — ed è quella più sensata da attuare — è di generare un identificatore non intelligibile e non sequenziale da associare all'indirizzo email, mantenendo la corrispondenza in un livello interno separato della piattaforma. Il contrario, cioè l'indirizzo email in chiaro nell'URL del pixel, è ancora oggi la configurazione predefinita di parecchi strumenti: significa esporre un dato personale a chiunque intercetti o ispezioni il messaggio.

Chi è coinvolto

Le linee guida si rivolgono ai fornitori di servizi della società dell'informazione, ai soggetti che offrono servizi online accessibili al pubblico, ai provider di posta elettronica, ai gestori di piattaforme per l'invio massivo di email e, più in generale, a tutti i soggetti che utilizzano tracking pixel.

Quell'ultima categoria è la più ampia e la meno consapevole. Comprende l'e-commerce che manda il carrello abbandonato, l'hotel che invia l'offerta di stagione, lo studio professionale con la circolare mensile, il comune con la newsletter ai cittadini. Nessuno di questi soggetti si percepisce come “operatore del tracciamento”, ma tutti lo sono nel momento in cui guardano il tasso di apertura.

Cosa fare, in ordine

1. Censire gli invii. Quali flussi email partono dalla tua organizzazione, con quale strumento, e quali di questi hanno il tracciamento attivo. Spesso è attivo di default anche dove non serve.
2. Distinguere marketing da servizio. Le comunicazioni transazionali seguono una logica diversa dalle campagne promozionali e vanno separate, anche tecnicamente.
3. Rivedere il punto di raccolta del consenso. Il modulo di iscrizione deve rendere riconoscibili le due finalità: ricevere le comunicazioni e consentire la misurazione.
4. Costruire la revoca granulare. Verificare cosa consente la piattaforma e, se non lo consente, valutare una configurazione alternativa o un cambio di strumento.
5. Aggiornare informativa e registro dei trattamenti. La finalità di misurazione va descritta, con base giuridica e tempi di conservazione dei dati di apertura.
6. Documentare le scelte. Se ti avvali di un'eccezione, mettere per iscritto perché quel trattamento è strettamente necessario. In sede di accountability conta più la motivazione che la conclusione.

È un intervento che, per una PMI con due o tre flussi email, si esaurisce in poche ore di lavoro. Diventa impegnativo solo se rinviato a ridosso della scadenza, quando anche il fornitore della piattaforma sarà sommerso di richieste identiche.

Perché questa vicenda somiglia a quella dei cookie

Chi ha vissuto la stagione dei cookie banner riconoscerà lo schema: una tecnologia diffusa e data per scontata viene ricondotta a una norma che c'era già, e all'improvviso migliaia di soggetti scoprono di dover chiedere un consenso che non chiedevano. La differenza è che qui la superficie visibile è nulla, quindi l'adeguamento non produce nessun effetto percepibile dall'utente — e proprio per questo rischia di essere rimandato.

Il criterio pratico è lo stesso che vale per il cookie banner: la conformità non si misura da quello che dichiari, ma da quello che il sistema fa quando nessuno lo sta guardando.

Domande frequenti