Con provvedimento del 17 aprile 2026, pubblicato nella Gazzetta Ufficiale il 29 aprile 2026, il Garante per la protezione dei dati personali ha adottato le prime Linee guida dedicate all’utilizzo dei tracking pixel nelle comunicazioni e-mail, concedendo ai titolari del trattamento sei mesi per adeguarsi, con termine fissato al 29 ottobre 2026.
Il provvedimento affronta un tema di particolare rilievo per le imprese che utilizzano la posta elettronica quale canale di comunicazione con clienti, utenti o prospect, fornendo per la prima volta un quadro sull’impiego dei tracking pixel e chiarendo quando il loro utilizzo richieda il consenso dell’interessato ai sensi dell’art. 122 del Codice Privacy e quando, invece, possa ritenersi lecito in assenza di tale presupposto.
Che cosa sono i tracking pixel
I tracking pixel sono elementi grafici di dimensioni estremamente ridotte (generalmente di 1×1 pixel), generalmente invisibili al destinatario, incorporate all’interno delle comunicazioni e-mail. Quando il messaggio viene aperto e il pixel viene caricato, il mittente o il fornitore del servizio di invio può raccogliere informazioni relative all’interazione con la comunicazione, quali, ad esempio, l’avvenuta apertura dell’e-mail, la data e l’ora dell’apertura, l’indirizzo IP, il dispositivo utilizzato o altre informazioni tecniche. destinatario, di norma, non percepisce in alcun modo l’operazione
Le Linee guida chiariscono che tali strumenti, ove consentano di raccogliere informazioni riferibili al singolo destinatario o di monitorarne il comportamento, costituiscono vere e proprie tecnologie di tracciamento online. In questa prospettiva, il Garante riconduce i tracking pixel nell’alveo applicativo dell’art. 122 del Codice Privacy, estendendo alle comunicazioni e-mail principi già affermati con riferimento ad altre tecnologie di tracciamento.
Il Garante sceglie di non limitarsi alla disciplina generale del GDPR – che avrebbe potuto condurre a inquadrare la base giuridica nel legittimo interesse – e àncora l’intera disciplina alla regola del consenso prevista dalla normativa e-Privacy, che opera come lex specialis. Ne discende un significativo irrigidimento del regime applicabile: l’art. 122 pone un divieto generalizzato di archiviazione e accesso a informazioni nel terminale dell’utente, derogabile soltanto in presenza del consenso informato, della necessità di trasmettere una comunicazione elettronica o della stretta necessità per la fornitura di un servizio esplicitamente richiesto dall’utente.
L’approccio del Garante: finalità e modalità tecniche come criterio-guida
Le Linee guida non introducono un divieto generalizzato di utilizzo dei tracking pixel. L’Autorità adotta un approccio fondato sulle concrete modalità di funzionamento della tecnologia e sulle finalità perseguite dal trattamento.
Secondo il Garante, il semplice inserimento di un tracking pixel all’interno di una comunicazione non è sufficiente, di per sé, a determinare il regime giuridico applicabile. Occorre valutare se lo strumento consenta di raccogliere informazioni riconducibili al singolo destinatario, monitorarne le interazioni con il messaggio o utilizzare tali dati per attività di analisi comportamentale, personalizzazione o profilazione.
Qualora ricorrano tali circostanze, il tracking pixel integra una tecnologia di tracciamento soggetta alla disciplina dell’art. 122 del Codice Privacy e richiede, in linea generale, il preventivo consenso dell’interessato, nel rispetto dei requisiti previsti dagli artt. 4, n. 11, e 7 del GDPR.
Le ipotesi di utilizzo dei tracking pixel senza consenso
Il provvedimento individua alcune fattispecie nelle quali l’utilizzo dei tracking pixel può risultare compatibile con la disciplina privacy anche in assenza del consenso.
Tra queste rientrano, in particolare:
- le misurazioni statistiche aggregate finalizzate al miglioramento della deliverability delle comunicazioni o al contrasto dei fenomeni di spam, purché non consentano l’identificazione del singolo destinatario;
- l’impiego dei tracking pixel nell’ambito di misure di sicurezza o di autenticazione dell’utente, quali le comunicazioni per l’attivazione di un account o il completamento di procedure di verifica;
- specifiche comunicazioni di servizio o istituzionali nelle quali la verifica dell’effettiva presa di conoscenza del messaggio risulti funzionale alla tutela dell’utente o alla corretta erogazione del servizio, quali comunicazioni relative a incidenti di sicurezza, campagne informative su rischi di phishing, modifiche contrattuali o variazioni operative.
Il Garante precisa, tuttavia, che tali ipotesi non costituiscono esenzioni automatiche. Spetta al titolare del trattamento dimostrare che le modalità tecniche adottate siano effettivamente coerenti con le finalità dichiarate e che le informazioni raccolte non vengano successivamente utilizzate per finalità ulteriori, quali attività di marketing, analisi individuale del comportamento, personalizzazione delle comunicazioni o profilazione. Il principio di accountability permea l’intero provvedimento e impone una documentazione puntuale delle valutazioni effettuate.
Trasparenza, consenso e revoca granulare
Particolare attenzione viene dedicata agli obblighi di trasparenza e alla gestione del consenso.
Le imprese dovranno verificare che le informative privacy descrivano in modo chiaro l’eventuale utilizzo dei tracking pixel, le relative finalità e le modalità con cui gli interessati possono esercitare le proprie scelte, anche mediante informative multilivello.
Con riferimento alla raccolta del consenso, il Garante chiarisce — in una logica di semplificazione e per evitare fenomeni di c.d. consent fatigue —che quello relativo all’utilizzo dei tracking pixel può, in linea di principio, essere ricompreso nel consenso alla ricezione delle comunicazioni promozionali, purché la richiesta sia formulata in modo trasparente, neutro e privo di elementi idonei a condizionare la libertà di scelta dell’interessato. Non è dunque necessario, in via generale, prevedere una checkbox distinta dedicata ai tracking pixel.
L’aspetto di maggiore novità operativa risiede, tuttavia, nella revoca. Le Linee guida richiedono che l’interessato possa revocare il consenso in modo granulare: deve poter scegliere se revocare il consenso all’invio di tutte le comunicazioni oppure limitare la revoca al solo utilizzo dei tracking pixel, continuando a ricevere le comunicazioni prive di strumenti di tracciamento. Il rifiuto del tracciamento, in altre parole, non deve tradursi automaticamente nella perdita del servizio di comunicazione, purché sussista un’idonea base giuridica per l’invio delle e-mail.
Si tratta di un requisito che impone una revisione significativa delle architetture di preferenze adottate dalla maggior parte delle piattaforme di e-mail marketing, nelle quali la gestione delle iscrizioni e quella del tracciamento sono tipicamente accorpate in un unico flusso.
Privacy by design e soluzioni tecniche
Le Linee guida dedicano particolare attenzione all’implementazione di misure tecniche conformi ai principi di privacy by design di cui all’art. 25 GDPR, imponendo ai titolari di progettare le modalità di funzionamento dei tracking pixel in modo da ridurre, sin dalla progettazione, il trattamento di dati personali.
In tale prospettiva, il Garante suggerisce l’adozione di specifiche misure di minimizzazione volte a limitare l’identificabilità dei destinatari. In particolare, raccomanda che il mittente generi un identificativo inintelligibile e non sequenziale, lo associ all’indirizzo e-mail del destinatario e mantenga tale corrispondenza in un layer interno e separato della piattaforma utilizzata. In questo modo, il conteggio degli eventi di apertura avviene mediante l’identificativo, evitando che l’indirizzo e-mail transiti nella richiesta tecnica generata dal caricamento del tracking pixel.
Pur non imponendo una specifica soluzione tecnologica, il provvedimento individua un modello di riferimento che potrebbe richiedere interventi significativi sulle piattaforme di invio e sulle modalità di configurazione dei servizi di e-mail marketing, soprattutto laddove questi prevedano meccanismi di identificazione diretta del destinatario.
Il contesto europeo: la convergenza con la CNIL
Le Linee guida italiane non si muovono in un vuoto regolatorio. Circa un mese prima del provvedimento del Garante, la CNIL francese aveva adottato una propria Recommandation sullo stesso tema. Due atti di natura giuridica diversa — il primo vincolante, il secondo una raccomandazione — che rispondono alla medesima esigenza: ricondurre i tracking pixel nelle e-mail nell’alveo delle garanzie previste dalla Direttiva e-Privacy e dal GDPR, ponendo fine a una zona grigia che ne aveva consentito un impiego sostanzialmente privo di vincoli specifici.
La convergenza tra le due autorità rafforza il segnale per le imprese che operano su scala europea: il tracciamento nelle e-mail è ormai un tema regolatorio, non più una questione meramente tecnica o ancillare rispetto alla disciplina dei cookie.
Considerazioni: le implicazioni per le imprese
Le Linee guida rappresentano il primo intervento del Garante dedicato ai tracking pixel nelle comunicazioni e-mail e si inseriscono nel più ampio quadro delle regole europee e nazionali in materia di tecnologie di tracciamento.
L’attenzione dell’Autorità si sposta infatti dalla mera presenza della tecnologia alle concrete modalità di utilizzo, imponendo ai titolari del trattamento di dimostrare che ogni configurazione sia coerente con le finalità perseguite e con il quadro normativo applicabile.
Le indicazioni del Garante richiedono alle organizzazioni una verifica delle modalità con cui vengono gestite le campagne e-mail e delle funzionalità offerte dalle piattaforme di marketing automation, CRM ed e-mail delivery.
In concreto, le imprese dovranno verificare
- quali comunicazioni incorporino tracking pixel o tecnologie analoghe,
- distinguere gli utilizzi riconducibili a finalità tecniche o di sicurezza da quelli aventi finalità di analisi, personalizzazione o profilazione,
- verificare la correttezza della base giuridica individuata e assicurare la coerenza tra configurazioni tecniche, informative privacy e modalità di raccolta e gestione del consenso, anche con riferimento alla revoca granulare delle preferenze.
Sarà inoltre necessario documentare le valutazioni svolte secondo il principio di accountability e, ove opportuno, aggiornare la documentazione privacy, le procedure interne e i rapporti con i fornitori dei servizi di invio delle comunicazioni elettroniche.
Il periodo di adeguamento fino al 29 ottobre 2026 rappresenta l’occasione per riesaminare configurazioni tecniche, processi interni e documentazione, verificando la coerenza delle modalità di utilizzo dei tracking pixel con le indicazioni fornite dal Garante.
DOWNLOAD PDF
