Pixel di tracciamento nelle email: dal 29 ottobre nuove regole del Garante

Dal 29 ottobre 2026 aziende, piattaforme e gestori di newsletter dovranno adeguarsi alle nuove Linee guida del Garante per la protezione dei dati personali sull'utilizzo dei cosiddetti "tracking pixel" nelle comunicazioni di posta elettronica. Lo riporta lo studio legale internazionale Hunton Andrews Kurth, richiamando un'analisi dello studio italiano Portolano Cavallo.

I tracking pixel sono minuscole immagini trasparenti, praticamente invisibili a occhio nudo, inserite all'interno delle email per rilevare se e quando un messaggio viene aperto e per raccogliere informazioni sul comportamento di chi lo riceve. Il Garante ha adottato le Linee guida il 17 aprile 2026 con il provvedimento n. 284, pubblicato in Gazzetta Ufficiale il 29 aprile: da quella data scattano i sei mesi concessi alle imprese per mettersi in regola, termine che scade appunto il 29 ottobre.

Secondo quanto emerso da una serie di ispezioni condotte dall'Autorità tra ottobre 2025 e febbraio 2026, i pixel di tracciamento risultano ormai utilizzati in pressoché tutte le comunicazioni email esaminate, con finalità molteplici: garantire la corretta consegna dei messaggi, contrastare lo spam, misurare il coinvolgimento del pubblico e le performance delle campagne, personalizzare le comunicazioni, individuare tentativi di phishing e rispondere a esigenze di formattazione.

Il Garante ha chiarito che l'uso di questi strumenti comporta la memorizzazione di informazioni e l'accesso a dati già presenti sul dispositivo del destinatario, rientrando così nel perimetro dell'articolo 122 del Codice Privacy, la norma che recepisce in Italia la direttiva ePrivacy. Per la loro natura nascosta, i tracking pixel vengono definiti strumenti particolarmente invasivi: proprio per questo le Linee guida stabiliscono che il loro utilizzo, per essere lecito, debba essere comunicato preventivamente ai destinatari, indipendentemente dalla finalità della comunicazione o dalla natura di chi la invia.

La regola generale prevede quindi la necessità di un consenso libero, specifico e informato prima di attivare il monitoraggio. Sono previste eccezioni limitate a finalità di sicurezza, a esigenze tecniche strettamente necessarie e alle comunicazioni istituzionali o di servizio, sempre nel rispetto dei principi di proporzionalità e minimizzazione dei dati trattati.

Le aziende dovranno inoltre fornire agli utenti un'informativa chiara e consentire la revoca del consenso con modalità semplici, anche in forma selettiva, così da permettere a chi riceve le email di scegliere quali tipi di tracciamento accettare e quali rifiutare. Le Linee guida richiamano infine i principi di "privacy by design" e "privacy by default", chiedendo alle imprese di adottare soluzioni tecniche che riducano fin dall'origine l'identificabilità degli utenti e limitino la circolazione dei dati personali.

Il Garante ha fatto sapere che la verifica del rispetto delle nuove indicazioni rientrerà tra le attività ispettive programmate per il secondo semestre del 2026, segnale che i controlli sulle aziende che utilizzano questi strumenti di monitoraggio nelle comunicazioni email potrebbero partire a breve dalla scadenza del termine di adeguamento.