L’email marketing è ormai un canale strutturale di relazione con i clienti, e la misurazione delle campagne è una leva competitiva sempre più diffusa. Con le Linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica, adottate il 17 aprile 2026, il Garante per la protezione dei dati personali definisce un perimetro chiaro entro cui questi strumenti possono essere utilizzati, ponendo la tutela dei dati degli utenti al centro dell’attenzione di ogni impresa.

Il provvedimento non introduce un divieto. Fissa le condizioni di legittimità di una pratica ormai diffusa, offrendo alle aziende un quadro di riferimento stabile per continuare a monitorare le proprie comunicazioni nel rispetto della normativa.

Che cosa sono i tracking pixel e perché rientrano nel perimetro della privacy

Il tracking pixel è una immagine di dimensioni minime, in genere invisibile, inserita nel corpo di una email. Quando il destinatario apre il messaggio, il pixel viene caricato dal server del mittente e consente di rilevare informazioni come l’avvenuta apertura, il momento in cui è avvenuta, il numero di aperture, il dispositivo utilizzato e l’indirizzo IP.

Secondo il Garante questi elementi costituiscono dati personali e il caricamento del pixel rappresenta un accesso al terminale dell’utente. Per questo il trattamento ricade sotto il Regolamento UE 2016/679 e sotto l’articolo 122 del Codice Privacy, il D.Lgs. 196/2003 che recepisce la direttiva ePrivacy 2002/58/CE. La conseguenza operativa è che l’uso del pixel richiede una base giuridica definita e, in molti casi, il consenso preventivo dell’interessato.

Le indicazioni del provvedimento del 17 aprile 2026 e la scadenza del 29 ottobre

Le Linee guida sono state adottate con provvedimento n. 284 del 17 aprile 2026 e pubblicate nella Gazzetta Ufficiale, Serie Generale n. 98 del 29 aprile 2026. Il Garante ha concesso un periodo di adeguamento di sei mesi dalla pubblicazione. Le imprese che utilizzano tracking pixel nelle proprie comunicazioni hanno quindi tempo fino al 29 ottobre 2026 per allineare informative, modalità di raccolta del consenso e strumenti tecnici alle nuove indicazioni.

Il perimetro soggettivo è ampio. Riguarda chiunque invii newsletter, comunicazioni promozionali di direct email marketing, email transazionali e messaggi istituzionali, oltre ai fornitori di piattaforme di invio e alle società che gestiscono lo sviluppo tecnico del tracciamento.

Quando è necessario il consenso e quando è sufficiente informare

Il criterio guida è la finalità. Il Garante distingue tra impieghi che richiedono il consenso preventivo e impieghi che, a determinate condizioni, ne sono esclusi. Il consenso è sempre necessario quando il pixel serve a profilare il singolo destinatario, ad esempio per analizzarne il comportamento di apertura e personalizzare oggetti, contenuti e frequenza degli invii, o per alimentare processi di marketing automation.

Il consenso non è invece richiesto in tre ipotesi specifiche, a condizione che il trattamento resti circoscritto alla finalità dichiarata:

• statistiche aggregate e anonime, con pixel identico per tutti i destinatari e indirizzo IP anonimizzato, finalizzate a misurare la consegnabilità dei messaggi e a contrastare lo spam;
• finalità di sicurezza e autenticazione, per verificare che messaggi critici come il reset di una password siano aperti dal legittimo destinatario;
• comunicazioni obbligatorie o di pubblica utilità, che il titolare ha il dovere giuridico di inviare o che riguardano avvisi di sicurezza e modifiche contrattuali.

Informativa trasparente, consenso unico e revoca granulare

Sul piano della trasparenza il Garante ammette modalità semplificate e articolate su più livelli. L’informazione essenziale può essere fornita al momento della raccolta dell’indirizzo, con rinvio a una policy completa, anche aggiornando la cookie policy già esistente. Il contenuto minimo deve chiarire che vengono utilizzati tracking pixel, per quali finalità e come l’utente può controllarne l’uso.

Per evitare un affaticamento da richieste ripetute, il consenso alla ricezione delle comunicazioni e quello al tracciamento possono essere raccolti in un unico passaggio, purché la scelta resti libera. Centrale è il diritto di revoca, che deve essere semplice e sempre disponibile in ogni email. Il Garante richiede inoltre che la revoca sia granulare: l’utente deve poter smettere di ricevere le email oppure disattivare solo il tracciamento, continuando a ricevere i messaggi senza pixel. Ogni scelta va documentata, in coerenza con il principio di responsabilizzazione.

La progettazione tecnica secondo il principio di privacy by design

Le Linee guida dedicano attenzione anche alla dimensione tecnica, richiamando l’articolo 25 del Regolamento UE 2016/679. Il Garante suggerisce di generare per ciascun destinatario identificativi non intelligibili e non sequenziali, di mantenere la corrispondenza tra identificativo e indirizzo email in un livello interno separato della piattaforma e di far transitare le richieste del pixel attraverso l’identificativo anziché l’indirizzo in chiaro. L’obiettivo è ridurre l’esposizione dei dati in rete e il rischio di reidentificazione.

Un email marketing conforme come fattore di fiducia

La misurazione delle campagne resta uno strumento legittimo e prezioso. Il quadro definito dal Garante chiede però di distinguere con precisione le finalità e di costruire un rapporto trasparente con i destinatari, trasformando l’adempimento in un elemento di affidabilità della relazione commerciale. Anticipare l’adeguamento, prima della scadenza del 29 ottobre 2026, consente di allineare per tempo processi di marketing e sistemi di gestione del consenso.

Affianchiamo le imprese nella revisione delle informative, nella mappatura dei trattamenti legati alle comunicazioni elettroniche e nella definizione di modelli di raccolta del consenso conformi, integrando competenze di protezione dei dati e di marketing per coniugare efficacia delle campagne e tutela degli interessati.