Le aziende che utilizzano newsletter, comunicazioni promozionali e piattaforme di marketing automation dovranno prestare particolare attenzione alla scadenza del 29 ottobre 2026.
Entro questa data diventeranno pienamente operative le indicazioni contenute nelle nuove Linee guida del Garante per la protezione dei dati personali sull’utilizzo dei tracking pixel nelle comunicazioni email.
Non si tratta di un nuovo GDPR né di una modifica completa della normativa europea sulla privacy. Il provvedimento chiarisce però come devono essere applicate le regole già esistenti quando un’email contiene strumenti in grado di rilevare il comportamento del destinatario.
Per molte aziende questo significa rivedere informative, consensi, configurazioni delle piattaforme e modalità di gestione delle preferenze degli utenti.
Cosa sono i tracking pixel nelle email
I tracking pixel sono piccole immagini, spesso trasparenti e invisibili, inserite all’interno delle email.
Quando il destinatario apre il messaggio, il client di posta può caricare automaticamente l’immagine da un server remoto. Questa operazione permette al mittente o alla piattaforma utilizzata per l’invio di raccogliere alcune informazioni.
A seconda della configurazione, il pixel può consentire di sapere:
se l’email è stata aperta;
quando è stata aperta;
quante volte è stata visualizzata;
quale dispositivo o client di posta è stato utilizzato;
quale indirizzo IP ha effettuato la richiesta;
come il singolo destinatario interagisce con le comunicazioni ricevute.
Il Garante evidenzia che si tratta di strumenti particolarmente delicati perché operano spesso in modo non visibile e non immediatamente riconoscibile dall’utente.
Perché interviene il Garante Privacy
Il tracciamento delle aperture è da anni una delle funzionalità più diffuse nelle piattaforme di email marketing.
Le informazioni raccolte vengono utilizzate per misurare le performance delle campagne, migliorare la deliverability, identificare i destinatari più coinvolti, modificare la frequenza di invio oppure creare segmenti basati sui comportamenti osservati.
Il Garante ha però chiarito che non tutte queste attività possono essere svolte automaticamente sulla base del solo consenso all’invio delle comunicazioni.
L’impiego dei tracking pixel deve rispettare sia il GDPR sia le disposizioni del Codice Privacy e della direttiva e-Privacy relative all’accesso alle informazioni presenti nel dispositivo dell’utente.
La regola generale prevede quindi che il destinatario sia adeguatamente informato e, nei casi in cui il tracciamento sia individuale, che abbia espresso un consenso valido.
Quali email sono interessate
Le Linee guida non riguardano esclusivamente le newsletter commerciali.
Il provvedimento prende in considerazione diverse tipologie di comunicazioni:
newsletter informative;
DEM e campagne promozionali;
email automatiche;
messaggi di benvenuto e follow-up;
conferme di registrazione;
comunicazioni transazionali;
email di servizio;
comunicazioni istituzionali.
La necessità del consenso non dipende quindi solamente dal contenuto commerciale o informativo del messaggio, ma soprattutto dalle finalità e dalle modalità con cui il tracking viene utilizzato.
Quando è necessario il consenso
Il consenso è generalmente necessario quando il tracking permette di osservare il comportamento del singolo destinatario.
È il caso, ad esempio, in cui l’apertura delle email venga utilizzata per:
valutare individualmente l’interesse del destinatario;
modificare la frequenza delle comunicazioni;
interrompere gli invii verso utenti considerati poco attivi;
personalizzare i contenuti delle campagne;
attribuire interessi o preferenze;
creare profili commerciali;
attivare automazioni sulla base dell’apertura o della mancata apertura di un messaggio.
In questi casi il dato non viene utilizzato solamente per una statistica generale, ma viene associato a una persona o a uno specifico contatto presente nel database.
Il Garante stabilisce che l’utente debba essere informato chiaramente dell’esistenza del tracciamento e delle finalità per cui viene utilizzato.
È necessario aggiungere un nuovo consenso separato?
Non necessariamente.
Secondo il Garante, il consenso al tracking può essere ricompreso nel consenso più generale alla ricezione di comunicazioni promozionali, evitando di sottoporre all’utente una molteplicità di richieste e caselle.
Questa semplificazione è però possibile solo a determinate condizioni.
La richiesta deve essere:
chiara;
informata;
formulata in modo neutro;
priva di forzature;
sufficientemente specifica rispetto all’utilizzo dei tracking pixel.
L’informativa dovrà quindi spiegare che le comunicazioni possono contenere tecnologie utilizzate per rilevare l’apertura delle email e, quando previsto, per analizzare il comportamento del destinatario.
Il vero cambiamento operativo riguarda soprattutto la gestione della revoca: l’utente dovrà poter decidere non solo di disiscriversi completamente dalle comunicazioni, ma anche di continuare a riceverle senza essere tracciato.
La revoca dovrà essere granulare
Uno degli aspetti più rilevanti delle nuove Linee guida riguarda proprio la gestione delle preferenze.
All’interno delle email dovrà essere disponibile un collegamento facilmente visibile, ad esempio nel footer, attraverso il quale il destinatario possa accedere a un’area dedicata.
L’utente dovrà poter scegliere tra almeno due possibilità:
non ricevere più alcuna comunicazione;
continuare a ricevere le email, disattivando solamente i tracking pixel.
La piattaforma utilizzata dall’azienda dovrà registrare questa scelta e rispettarla negli invii successivi.
Non sarà quindi sufficiente affidarsi al tradizionale link “Disiscriviti” qualora l’unica alternativa proposta sia la cancellazione completa dalla newsletter.
Quando il consenso al tracking potrebbe non essere necessario
Le Linee guida prevedono alcune eccezioni.
Il consenso specifico può non essere richiesto quando il pixel viene utilizzato esclusivamente per produrre statistiche complessive e anonime sull’andamento di una campagna.
In questo caso, però, non deve essere possibile identificare il singolo destinatario o ricostruirne il comportamento.
Il Garante suggerisce, ad esempio, di utilizzare un unico pixel per tutti i destinatari della stessa campagna e di anonimizzare gli altri dati tecnici raccolti, come l’indirizzo IP o le informazioni relative al client di posta.
Il consenso potrebbe inoltre non essere necessario per particolari comunicazioni di sicurezza, messaggi obbligatori o email di servizio per le quali sia importante verificare l’effettiva ricezione o apertura.
Si tratta però di eccezioni che devono essere valutate e documentate dal titolare del trattamento sulla base della specifica finalità perseguita.
Cosa cambia per le aziende che hanno già un database
Le aziende che stanno già inviando email con tracking pixel non sono necessariamente obbligate a raccogliere nuovamente da zero tutti i consensi.
Le Linee guida prevedono un regime transitorio per i trattamenti già in corso.
Il titolare dovrà:
aggiornare l’informativa;
comunicare agli interessati l’utilizzo dei tracking pixel;
fornire l’informazione nel primo invio utile;
introdurre un sistema di revoca granulare;
registrare le preferenze espresse dagli utenti.
Per i nuovi contatti, invece, il consenso dovrà essere raccolto preventivamente, preferibilmente nel momento in cui viene acquisito l’indirizzo email.
Cosa devono verificare le aziende entro ottobre 2026
L’adeguamento non riguarda solamente i testi legali.
Per prepararsi alla scadenza è opportuno svolgere una verifica completa del processo di email marketing.
1. Analizzare come vengono utilizzati i dati di apertura
La prima domanda da porsi è se l’azienda visualizza solamente un dato statistico complessivo oppure se può sapere quali singoli contatti hanno aperto una comunicazione.
Bisogna inoltre verificare se l’apertura viene utilizzata per segmentare il database, attivare automazioni, assegnare punteggi o personalizzare le campagne.
2. Controllare l’informativa privacy
L’informativa deve indicare in modo comprensibile:
la presenza dei tracking pixel;
quali informazioni vengono raccolte;
per quali finalità vengono utilizzate;
per quanto tempo vengono conservate;
quali soggetti intervengono nel trattamento;
come può essere revocato il consenso.
Il Garante ammette un’informativa multilivello: una sintesi può essere inserita nel modulo di raccolta dell’indirizzo email, con un collegamento alla versione completa.
3. Verificare i moduli di raccolta del consenso
I form di iscrizione alla newsletter e i moduli di registrazione devono essere aggiornati per spiegare correttamente anche l’eventuale attività di tracciamento.
Il consenso deve essere dimostrabile e associato alla versione dell’informativa accettata dall’utente.
4. Introdurre un centro preferenze
Il semplice link di disiscrizione potrebbe non essere più sufficiente.
L’utente deve poter scegliere se:
disiscriversi completamente;
continuare a ricevere le comunicazioni;
disattivare solamente il tracciamento.
5. Verificare la piattaforma di email marketing
L’azienda deve accertarsi che il software utilizzato consenta realmente di rispettare le preferenze espresse.
In particolare, la piattaforma dovrebbe permettere di:
inviare email senza tracking a specifici destinatari;
memorizzare la revoca del consenso;
distinguere le statistiche aggregate da quelle individuali;
conservare uno storico delle preferenze;
evitare l’esposizione diretta dell’indirizzo email nelle richieste generate dal pixel.
6. Chiarire i ruoli privacy
Il mittente della comunicazione è generalmente il titolare del trattamento, mentre il fornitore della piattaforma opera normalmente come responsabile.
È quindi opportuno controllare gli accordi sul trattamento dei dati, le istruzioni impartite al fornitore, gli eventuali sub-responsabili e i trasferimenti di dati al di fuori dello Spazio Economico Europeo.
Privacy by design anche nell’email marketing
Il Garante richiama espressamente il principio di privacy by design e by default.
Le aziende non devono limitarsi ad aggiungere una frase all’informativa, ma devono configurare tecnicamente i sistemi in modo da ridurre la quantità di dati raccolti e il rischio di identificazione degli utenti.
Tra le misure suggerite rientra l’utilizzo di identificativi non intelligibili e non sequenziali, mantenendo separata la corrispondenza tra questi identificativi e gli indirizzi email.
L’obiettivo è evitare che l’indirizzo del destinatario venga esposto direttamente durante il caricamento del pixel.
Dalla compliance a una relazione più trasparente con il cliente
Per le aziende retail, il dato relativo all’apertura di un’email è spesso utilizzato per valutare l’interesse del cliente, costruire segmenti e attivare percorsi automatici.
Le nuove regole non impediscono di utilizzare questi strumenti, ma richiedono maggiore trasparenza e una gestione più consapevole delle preferenze.
Questo passaggio può diventare anche un’opportunità.
Una strategia di marketing basata su consensi chiari, dati affidabili e preferenze realmente aggiornate permette infatti di:
migliorare la qualità del database;
ridurre gli invii poco pertinenti;
rafforzare la fiducia del cliente;
rendere più affidabili le segmentazioni;
costruire customer journey più coerenti;
trasformare la privacy in un elemento concreto della relazione con il brand.
La scadenza del 29 ottobre 2026
Le Linee guida sono state adottate dal Garante il 17 aprile 2026 e pubblicate nella Gazzetta Ufficiale il 29 aprile 2026.
Il periodo concesso per l’adeguamento è di sei mesi. La scadenza operativa è quindi fissata al 29 ottobre 2026.
Aspettare gli ultimi giorni potrebbe essere rischioso, soprattutto quando l’adeguamento richiede modifiche ai form, alle informative, alle piattaforme di invio e alla gestione tecnica delle preferenze.
Il primo passo consiste nel capire quali dati vengono realmente raccolti oggi e come vengono utilizzati.
Solo dopo questa analisi sarà possibile scegliere se mantenere il tracking individuale raccogliendo un consenso adeguato, limitarlo ai soli utenti che lo hanno autorizzato oppure passare a misurazioni statistiche anonime.
Conclusioni
Dal 29 ottobre 2026 il tracciamento delle aperture delle email dovrà essere gestito con maggiore trasparenza.
Le aziende dovranno sapere distinguere tra statistiche aggregate e monitoraggio individuale, aggiornare le informative, documentare i consensi e permettere agli utenti di continuare a ricevere le comunicazioni anche senza essere tracciati.
La sfida non riguarda solamente la conformità normativa.
Riguarda il modo in cui aziende e piattaforme progettano la relazione digitale con il cliente: meno raccolta invisibile di informazioni e maggiore controllo da parte delle persone.
Una gestione corretta dei dati non limita il marketing. Al contrario, permette di costruire comunicazioni più rilevanti, sostenibili e basate sulla fiducia.
