Il punto centrale è chiaro: quando il pixel viene usato per tracciare in modo individuale l’apertura delle email, la regola generale è il consenso preventivo; restano però alcune ipotesi di deroga e un regime transitorio per i trattamenti già in corso.
Cosa sono i tracking pixel e perché il Garante è intervenuto
I tracking pixel sono immagini minuscole, spesso trasparenti e invisibili all’utente, inserite nelle email per rilevarne l’apertura e raccogliere informazioni tecniche e comportamentali. È importante sottolineare un aspetto pratico fondamentale: questi tracciatori sono attivi di default su tutte le principali piattaforme di mercato utilizzate per l’invio (come Mailchimp, Brevo, HubSpot, ActiveCampaign, MailUp, ecc.).
Il Garante richiama la loro particolare invasività proprio perché operano in modo nascosto e senza piena consapevolezza del destinatario. Per questo le Linee Guida chiariscono che il loro impiego rientra nella disciplina dell’art. 122 del Codice Privacy, cioè nelle regole che governano tecnologie capaci di accedere a informazioni presenti nel terminale dell’utente o di monitorarne il comportamento online.
Chi è coinvolto dalle nuove Linee Guida
Le indicazioni non riguardano solo le piattaforme di email marketing. Il provvedimento si rivolge ai fornitori di servizi della società dell’informazione, ai soggetti che offrono servizi online accessibili al pubblico, ai provider di posta elettronica, ai gestori di piattaforme per l’invio massivo di email e, più in generale, a chiunque utilizzi tracking pixel nelle comunicazioni elettroniche. In pratica, il perimetro comprende anche aziende clienti finali, team marketing, operatori e-commerce, enti pubblici, studi professionali e DPO chiamati a verificare basi giuridiche, informative, processi di revoca e misure tecniche adottate.
Quando il consenso non serve
Le Linee Guida individuano alcune ipotesi in cui è possibile beneficiare di una deroga all’obbligo di acquisire uno specifico consenso per i tracking pixel.
La prima riguarda i conteggi statistici sulla percentuale globale di apertura dei messaggi, a condizione che non vi siano misurazioni personalizzate e che siano adottate tecniche di anonimizzazione. Il Garante suggerisce, in questi casi, pixel uguali per tutti i destinatari della stessa campagna e anonimizzazione dei dati tecnici correlati, come IP e client.
Una seconda ipotesi riguarda le misure di sicurezza collegate all’autenticazione dell’utente, al suo completamento o aggiornamento: per esempio messaggi di attivazione account, gestione di una richiesta di modifica password o richieste connesse all’esercizio di diritti privacy.
La terza area riguarda i messaggi istituzionali o di servizio che il titolare ha l’obbligo giuridico di inviare e per i quali rileva l’effettiva presa di conoscenza da parte del destinatario. Il Garante cita, tra gli esempi, comunicazioni su phishing o frodi, modifiche contrattuali, termini di servizio, informative sul trattamento dei dati, notifiche relative a incidenti di sicurezza e reminder su scadenze o adempimenti.
Quando il consenso non serve
Le Linee Guida individuano alcune ipotesi in cui è possibile beneficiare di una deroga all’obbligo di acquisire uno specifico consenso per i tracking pixel email. La prima riguarda i conteggi statistici sulla percentuale globale di apertura dei messaggi, a condizione che non vi siano misurazioni personalizzate e che siano adottate tecniche di anonimizzazione. Il Garante suggerisce, in questi casi, pixel uguali per tutti i destinatari della stessa campagna e anonimizzazione dei dati tecnici correlati, come IP e client.
Nuovi iscritti alla newsletter: sì a un consenso unico, ma a precise condizioni
Per i trattamenti avviati dopo l’entrata in vigore delle Linee Guida, il consenso dovrebbe essere raccolto preferibilmente al momento dell’acquisizione dell’indirizzo email, dopo aver informato correttamente l’interessato. Il Garante ammette che il consenso ai tracking pixel possa essere ricompreso in quello, più generale, alla ricezione delle comunicazioni promozionali, così da evitare richieste multiple e ridondanti. Ma questa semplificazione vale solo a precise condizioni: la persona deve essere pienamente consapevole dell’uso dei pixel, la richiesta deve essere formulata in modo neutro e privo di forzature e deve essere garantita una successiva revoca agevole, anche in modo granulare.
Trattamenti già in corso: niente riconsensualizzazione massiva, ma serve una revoca granulare
Per i trattamenti già in essere alla data di entrata in vigore delle Linee Guida, il Garante prevede un regime transitorio. Il titolare, dopo aver assolto agli obblighi informativi con il primo invio utile o comunque nel primo momento di discontinuità disponibile, deve implementare e rendere noto agli utenti un meccanismo che consenta la revoca anche granulare del consenso. Questo significa che l’interessato deve poter scegliere se smettere di ricevere del tutto le email oppure continuare a riceverle senza tracking pixel email. Le scelte devono essere registrate dal titolare anche ai fini di accountability, e il rifiuto del tracciamento non può comportare limitazioni nella fruizione del servizio.
Privacy by design: la misura tecnica da non trascurare
Le Linee Guida richiamano espressamente anche la privacy by design e by default. Per ridurre il rischio di identificabilità dei destinatari, il Garante suggerisce di generare un identificativo inintelligibile e non sequenziale, associandolo all’indirizzo email in un layer interno e separato della piattaforma. In questo modo il conteggio degli eventi di apertura avviene tramite l’identificativo, senza includere direttamente l’indirizzo email nella richiesta tecnica generata dal caricamento del pixel.
Entro quando adeguarsi
Il termine previsto dal Garante è di sei mesi dalla pubblicazione delle Linee Guida in Gazzetta Ufficiale. Nel testo del provvedimento, alla data del 17 aprile 2026, la pubblicazione risulta ancora “in corso di pubblicazione”, quindi il conteggio del termine decorre dalla data effettiva di pubblicazione in Gazzetta, non dalla data del provvedimento né da quella del comunicato stampa.
Cosa fare subito in azienda
Per aziende, enti e studi professionali il primo passo è verificare con il fornitore di email marketing se i tracking pixel email sono attivi, per quali finalità e con quale livello di granularità. Subito dopo occorre distinguere le tipologie di email inviate — promozionali, automatiche, transazionali, istituzionali o di servizio — per capire dove sia necessario il consenso e dove possano applicarsi le deroghe. Da qui discendono l’aggiornamento dell’informativa privacy, la revisione dei moduli di iscrizione, la progettazione di un meccanismo di revoca granulare e la verifica delle misure tecniche di minimizzazione e separazione degli identificativi.
Un tema da affrontare subito, non solo per compliance
Le Linee Guida sui tracking pixel email non riguardano solo la conformità privacy. Impattano anche governance dei dati, processi marketing, customer journey, rapporti con i fornitori e documentazione interna. Per questo, in molte organizzazioni, l’adeguamento richiederà un confronto congiunto tra marketing, IT, legale, compliance e DPO, così da evitare soluzioni parziali o meccanismi di consenso poco difendibili.
Il messaggio del Garante è netto: l’uso dei tracking pixel nelle email non può più essere trattato come una funzionalità tecnica neutra o automatica. Quando il tracciamento è individuale e finalizzato a misurazione, personalizzazione o profilazione commerciale, serve una base giuridica adeguata e, nella generalità dei casi, un consenso preventivo. Chi utilizza newsletter, DEM e campagne email dovrebbe quindi avviare subito una verifica dei propri flussi, prima che il termine di adeguamento inizi a decorrere o arrivi a scadenza.
