1. Introduzione
Con il Provvedimento n. 284 del 17 aprile 2026, pubblicato in Gazzetta Ufficiale il 29 aprile 2026, il Garante per la protezione dei dati personali (“Garante”) ha adottato le prime Linee Guida specificamente dedicate all’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica (“Linee Guida”).
L’intervento si inserisce in un contesto caratterizzato da una crescente attenzione verso gli strumenti di monitoraggio dei comportamenti online degli utenti e mira a fornire un quadro interpretativo uniforme circa l’applicazione dell’art. 122 del d.lgs. n. 196/2003 (“Codice Privacy”) e della disciplina del Regolamento (UE) 2016/679 (“GDPR”) ai sistemi di tracciamento incorporati nelle e-mail.
Secondo il Garante, i tracking pixel rappresentano strumenti particolarmente invasivi poiché operano in modo non visibile all’interessato. Le Linee Guida muovono infatti dalla constatazione che tali tecnologie consentono al mittente di acquisire informazioni sull’apertura del messaggio, sul numero di visualizzazioni, sul dispositivo utilizzato e, in alcuni casi, anche su ulteriori dati tecnici relativi al destinatario.
2. Contenuti principali del provvedimento in esame
2.1. La qualificazione dei tracking pixel come strumenti soggetti all’art. 122 del Codice Privacy
Uno dei principali chiarimenti forniti dal Garante riguarda la natura giuridica del tracking pixel.
Il Garante afferma che l’inserimento del pixel e la successiva raccolta delle informazioni generate dalla sua attivazione costituiscono operazioni riconducibili all’ambito di applicazione dell’art. 122 del Codice Privacy, in quanto integrano sia una forma di “archiviazione delle informazioni nell’apparecchio terminale di un contraente o di un utente” sia un successivo “accesso a informazioni già archiviate”.
Particolarmente rilevante è il passaggio nel quale il Garante precisa che i tracking pixel devono essere considerati strumenti di tracciamento occulti, poiché la loro presenza non è normalmente percepibile dall’utente e il loro funzionamento avviene in maniera automatica e invisibile.
Le Linee Guida individuano inoltre una pluralità di soggetti potenzialmente coinvolti nell’impiego dei tracking pixel, tra cui il mittente del messaggio, il fornitore di servizi di invio e-mail (emailing), il fornitore di servizi di noleggio di liste di distribuzione, il fornitore della tecnologia di tracciamento e il content creator. Il Garante precisa che ciascuno di tali soggetti è tenuto, caso per caso e in ossequio al principio di accountability, a definire il proprio ruolo rilevante ai fini della normativa in materia di protezione dei dati personali.
Il provvedimento distingue altresì tra diverse tipologie di messaggi e-mail rilevanti ai fini dell’applicazione della disciplina: (i) newsletter, ossia comunicazioni periodiche a contenuto informativo; (ii) DEM (Direct E-mail Marketing), comunicazioni di natura prevalentemente promozionale o commerciale; (iii) e-mail transazionali e messaggi automatici, inviati in relazione a specifiche azioni dell’utente o a transazioni in corso; e (iv) e-mail di servizio, caratterizzate da contenuti funzionali a specifiche esigenze del singolo o della collettività. Tale classificazione rileva ai fini dell’individuazione della base giuridica applicabile al trattamento connesso all’impiego dei tracking pixel.
2.2. L’obbligo di informativa preventiva
Le Linee Guida attribuiscono particolare importanza alla trasparenza.
Secondo il Garante, difatti, l’impiego di tracking pixel nelle e-mail deve essere preventivamente reso noto al destinatario della e-mail, qualunque sia lo scopo della comunicazione o la tipologia del soggetto mittente.
L’Autorità evidenzia inoltre che l’impiego dei pixel di tracciamento impone a tutti i titolari che già ne fanno o che intendano farne uso di informarne adeguatamente gli interessati, richiamando i principi di correttezza e trasparenza previsti dal GDPR.
Sul piano operativo, il provvedimento ammette modalità informative semplificate e multilivello, consentendo ad esempio l’utilizzo di informative sintetiche accompagnate da link a documentazione di dettaglio, nonché il ricorso a strumenti digitali quali chatbot, pop-up, assistenti virtuali o altri canali di comunicazione.
2.3. Quando è necessario il consenso
Il tema centrale delle Linee Guida riguarda l’individuazione dei casi in cui l’utilizzo del tracking pixel richiede il consenso dell’utente.
Il Garante ribadisce che l’art. 122, comma 2-bis, del Codice Privacy introduce un divieto generalizzato di utilizzo di una rete di comunicazione elettronica per accedere a informazioni archiviate nel terminale dell’utente, per archiviare informazioni o per monitorare le operazioni dell’utente, derogabile soltanto in presenza delle specifiche condizioni previste dal comma 1 della medesima disposizione.
Tra le principali ipotesi nelle quali il consenso può non essere necessario rientrano:
i trattamenti finalizzati esclusivamente alla misurazione statistica aggregata delle aperture delle e-mail, purché siano adottate adeguate tecniche di anonimizzazione;
le attività necessarie a garantire la sicurezza di processi di autenticazione o gestione degli account;
le comunicazioni di servizio o istituzionali per le quali il mittente abbia un obbligo giuridico di invio o sussistano particolari esigenze di tutela degli utenti. Il Garante menziona, a titolo esemplificativo, i messaggi recanti indicazioni utili su come prevenire azioni di phishing o frodi, le comunicazioni relative a modifiche contrattuali ovvero logistico-organizzative, le notifiche relative a incidenti di sicurezza, le campagne istituzionali informative, nonché i reminder su scadenze e adempimenti contrattuali o contributivi.
Diversamente, il consenso diviene necessario quando il tracking viene utilizzato per finalità di marketing, profilazione o ottimizzazione individuale delle campagne promozionali.
Il provvedimento richiama espressamente i casi in cui la misurazione individuale e l’analisi del tasso di apertura delle e-mail siano utilizzate per valutare e migliorare la performance delle campagne promozionali sulla base dei comportamenti osservati oppure quando il dato di apertura venga utilizzato per ricavarne informazioni presunte circa i potenziali gusti, gli interessi e le preferenze attribuibili all’utente allo scopo di creare dei profili commerciali.
2.4. Il consenso unico e il diritto di revoca granulare
Tra gli aspetti più innovativi delle Linee Guida vi è il tentativo di conciliare esigenze di tutela e semplificazione.
Il Garante riconosce infatti che il consenso alla ricezione di comunicazioni promozionali e quello all’utilizzo dei tracking pixel possono essere raccolti con un’unica manifestazione di volontà.
Tale semplificazione è tuttavia accompagnata da un’importante garanzia per l’interessato: la possibilità di revocare successivamente il consenso anche in modo selettivo.
Le Linee Guida richiedono infatti che l’utente possa revocarlo solo parzialmente, con esclusivo riguardo soltanto al tracciamento connesso alla ricezione di tracking pixel, continuando eventualmente a ricevere le comunicazioni e-mail prive di strumenti di monitoraggio.
Il Garante richiama inoltre l’attenzione sull’obbligo per il titolare di registrare debitamente tutte le scelte espresse dall’interessato, ivi comprese le eventuali revoche parziali, anche ai fini della dimostrazione del consenso cui il titolare potrebbe essere chiamato ai sensi dell’art. 7, par. 1, del GDPR.
2.5. Privacy by design e minimizzazione
Il provvedimento dedica inoltre attenzione alle misure tecniche che i titolari dovrebbero adottare per ridurre i rischi derivanti dal tracciamento.
Tra le soluzioni suggerite vi è l’utilizzo di identificativi pseudonimizzati e non sequenziali, mantenendo separata la corrispondenza tra tali identificativi e gli indirizzi e-mail dei destinatari.
Secondo il Garante, tali accorgimenti consentono di ridurre l’esposizione dell’indirizzo e-mail minimizzando il rischio di identificabilità dei dati che transitano nella rete.
3. Conseguenze pratiche
Le nuove Linee Guida avranno un impatto significativo su tutti gli operatori che utilizzano campagne e-mail, piattaforme di marketing automation, newsletter e sistemi di direct e-mail marketing.
In particolare, le organizzazioni dovranno:
verificare se i tracking pixel impiegati rientrino nelle ipotesi di esenzione individuate dal Garante o richiedano invece la raccolta del consenso;
aggiornare le informative sul trattamento dei dati personali/le privacy policy, le cookie policy e le procedure di raccolta del consenso;
implementare meccanismi che consentano agli utenti di revocare il consenso al tracciamento in maniera semplice e granulare;
riesaminare i rapporti contrattuali con provider di servizi e-mail, piattaforme di marketing automation e fornitori di tecnologie di tracking;
valutare l’adozione di misure tecniche conformi ai principi di privacy by design e privacy by default.
Particolarmente rilevante è inoltre il regime transitorio previsto dal provvedimento. Il Garante ha riconosciuto la complessità degli adeguamenti richiesti, concedendo agli operatori un termine pari a 6 mesi dalla pubblicazione in Gazzetta Ufficiale. Le Linee Guida distinguono, al riguardo, tra nuovi trattamenti, per i quali il consenso dovrà essere raccolto preventivamente al momento dell’acquisizione dell’indirizzo di posta elettronica, e trattamenti già in corso, per i quali il titolare dovrà tempestivamente assolvere ai propri obblighi informativi con il primo invio utile e implementare un meccanismo di revoca anche granulare del consenso, individuando soluzioni improntate alla massima riconoscibilità, visibilità e facilità d’uso a beneficio dell’interessato. Il Garante precisa che tale regime transitorio è destinato ad essere progressivamente dismesso via via che nuovi trattamenti verranno intrapresi e saranno assoggettati alla regola della preventiva acquisizione del consenso.
4. Conclusioni
Le nuove Linee Guida segnano un passaggio importante nell’evoluzione della disciplina italiana in materia di tecnologie di tracciamento.
Il Garante conferma un orientamento sostanzialmente rigoroso, qualificando i tracking pixel come strumenti soggetti alla disciplina speciale prevista dall’art. 122 del Codice Privacy e riaffermando la centralità dei principi di trasparenza e controllo da parte dell’interessato.
Allo stesso tempo, l’Autorità introduce alcune semplificazioni operative - come il consenso unico per comunicazioni promozionali e tracking - e individua specifiche ipotesi di esenzione che consentono di preservare l’efficienza di determinati servizi.
Per imprese, enti pubblici, provider tecnologici e operatori del marketing digitale, il semestre di adeguamento previsto dal provvedimento rappresenta pertanto un’occasione per riesaminare processi, strumenti e basi giuridiche dei trattamenti connessi all’invio di comunicazioni elettroniche, alla luce di un quadro regolatorio che pone sempre più al centro la trasparenza e la consapevolezza dell’utente.
