Il 29 ottobre 2026 scade il termine di adeguatezza concesso dal Garante per la protezione dei dati personali per conformarsi alle nuove Linee guida sull'utilizzo di cookie e altri strumenti di tracciamento (tra cui i tracking pixel) nelle e-mail e nelle newsletter.

Chiunque utilizzi strumenti di e-mail marketing o invii newsletter periodiche deve verificare la propria architettura di tracciamento per evitare sanzioni rilevanti ed eventuali contestazioni sulla liceità dei dati raccolti.

Di che cosa si tratta?

I tracking pixel (o web beacon) sono immagini trasparenti di dimensioni 1x1 pixel inserite nel codice HTML delle e-mail. Quando l'utente apre il messaggio o clicca su un link, il client di posta scarica il pixel dal server remoto, registrando informazioni quali:

  • Data e ora di apertura della mail.
  • Indirizzo IP e posizione geografica approssimativa dell'utente.
  • Tipo di dispositivo, sistema operativo e browser/client utilizzato.
  • Click sui singoli collegamenti ipertestuali (tracciamento dei link).

Il Garante ha posto l'attenzione sull'invisibilità di queste tecnologie per l'utente, equiparando l'uso dei pixel nelle e-mail all'uso dei cookie e dei marcatori nel web (ex art. 122 del Codice Privacy, D. Lgs. 196/2003).

A chi si applica la nuova direttiva?

Le Linee guida del Garante si applicano a:

  • Aziende, e-commerce e professionisti che svolgono attività di e-mail marketing o profilazione commerciale.
  • Enti pubblici e associazioni che inviano comunicazioni massive o newsletter periodiche ai propri iscritti.
  • Piattaforme SaaS e fornitori di servizi mail (come Mailchimp, Brevo, ActiveCampaign, HubSpot o plugin WordPress come MailPoet) che integrano di default funzioni di analytics avanzate.

A chi NON si applica?

La normativa non trova applicazione (o prevede deroghe complete al requisito del consenso preventivo) nei seguenti contesti specifici:

  • Persona fisica per usi esclusivamente personali o domestici: Privati che inviano e-mail o messaggi senza scopo commerciale o di profilazione (ex "esenzione domestica" del GDPR).
  • Invii in formato testo puro (Plain Text): Comunicazioni che non utilizzano la formattazione HTML e non contengono immagini esterne o codice eseguibile, rendendo tecnicamente impossibile l'inserimento di tracking pixel.
  • Mittenti che utilizzano tracciamenti totalmente anonimizzati e aggregati: Se l'infrastruttura di invio non raccoglie né registra indirizzi IP, identificativi univoci dell'utente o dati riconducibili al singolo destinatario, la misurazione non rientra nell'ambito dei dati personali.
  • E-mail transazionali strettamente necessarie: Comunicazioni erogate per adempiere a un contratto o a un obbligo di legge (es. scontrini digitali, credenziali di accesso, conferme d'ordine) dove l'eventuale tracciamento è puramente tecnico-funzionale (es. rilevazione di errori di recapito) e non viene usato per finalità di marketing o analisi comportamentale.

Vale anche per le metriche "solo statistiche" o ad uso interno?

La risposta breve è: sì, nella maggior parte dei casi standard.

Se il sistema registra chi ha aperto la mail associando l'azione all'indirizzo e-mail specifico dell'utente (es. "Mario Rossi ha aperto la newsletter X tre volte e ha cliccato sul link Y"), non si tratta di una mera statistica anonima, ma di un tracciamento individuale di dati personali.

Eccezioni (Esenzione dal consenso preventivo): Il consenso preventivo e specifico non è richiesto unicamente se:

  • Metriche aggregate e totalmente anonimizzate: Il pixel scaricato è identico per tutti i destinatari e l'infrastruttura di ricezione non raccoglie né registra l'indirizzo IP, l'ID dell'utente o dati identificativi del destinatario.
  • Controlli tecnici essenziali: Tracciamenti funzionali strettamente necessari per garantire la corretta erogazione del servizio (es. rilevazione di errori tecnici di recapito/bounce).

Cosa comporta l'adeguamento?

Per continuare a tracciare open rate e click rate individuali dal 29 ottobre 2026 occorre rispettare tre requisiti chiave:

  • Consenso preventivo e opt-in chiaro: Non è più sufficiente l'iscrizione alla newsletter. Il consenso al tracciamento delle aperture/click deve essere espresso e distinto rispetto all'iscrizione alla mailing list.
  • Informativa Privacy aggiornata: Occorre esplicitare chiaramente l'uso dei pixel, indicando quali dati vengono raccolti, per quali finalità (profilazione, statistica, personalizzazione contenuti) e a chi vengono eventualmente trasmessi.
  • Diritto di revoca semplice (Opt-out): L'utente deve potersi disiscrivere dal tracciamento (o disabilitarlo) in qualsiasi momento senza dover per forza cancellare la propria iscrizione alla newsletter.

Guida pratica: come verificare se sei interessato e come adeguarti

Per affrontare il cambiamento in modo strutturato, occorre procedere attraverso tre fasi operative:

  • 1. Audit della piattaforma di e-mail marketing: Controlla le impostazioni predefinite del tuo Software di E-mail Marketing (ESP). Verifica se le opzioni “Track Opens” o “Track Clicks” sono attive per default su ogni invio e se il software identifica l'utente o anonimizza l'IP.
  • 2. Revisione dei moduli di iscrizione (Form): Se la tua piattaforma non permette la misurazione in forma puramente anonima ed aggregata, inserisci una checkbox non preselezionata specifica per il tracciamento e separa il consenso al semplice ricevimento dei contenuti da quello per la misurazione delle interazioni.
  • 3. Configurazione del software: Verifica se la tua piattaforma consente l'anonimizzazione delle metriche di tracciamento. Molti provider offrono l'opzione di inviare pixel generici o disattivare il tracciamento utente per utente.

Avvertenza: Poiché l'adeguamento tecnico varia a seconda della stack tecnologica utilizzata (ESP, CRM, e-commerce) e le sanzioni per non conformità al GDPR possono essere rilevanti, si raccomanda caldamente di consultare il proprio Data Protection Officer (DPO) o un consulente legale specializzato in privacy prima della scadenza del 29 ottobre 2026.

Riepilogo in sintesi: cosa c'è da sapere

  • Cos'è la novità: Il Garante Privacy equipara i pixel invisibili nelle e-mail ai cookie web. Dal 29 ottobre 2026 è vietato tracciare aperture e click individuali senza un consenso preventivo, esplicito e revocabile.
  • Chi riguarda: Aziende, e-commerce, professionisti, enti pubblici e gestori di newsletter che usano software di invio mail (come Mailchimp, Brevo, HubSpot, MailPoet).
  • Come adeguarsi in breve: Raccogliere un opt-in separato per il tracciamento, aggiornare l'informativa privacy, offrire un'opzione di opt-out dal solo monitoraggio e passare ad analisi anonimizzate/aggregate.