Se hai una newsletter quasi sicuramente stai usando un tracking pixel e molto probabilmente non lo sai nemmeno. Sta lì “nascosto” in ogni email che mandi, e dopo l’invio ti restituisce un bel numero percentuale che si chiama tasso di apertura… hai presente?
Fino a questa primavera in Italia nessuna regola specifica diceva come andasse gestito. Ma surpriseeee… adesso invece c’è e ha anche una scadenza: il 29 ottobre 2026.
Proviamo a capire cosa dice davvero il Garante, senza farci prendere dal panico!
Cosa trovi nell’articolo
Cos’è un tracking pixel (e cosa racconta di chi apre l’email)
Un tracking pixel è un’immagine trasparente grande un solo pixel, quindi invisibile, che non sta dentro l’email ma viene caricata da un server esterno. Quando il destinatario apre il messaggio e il suo programma di posta scarica le immagini, quel server riceve una richiesta e registra che qualcuno ha aperto l’email, a che ora, da quale dispositivo, con quale indirizzo IP e quante volte l’ha riaperta.
Il Garante specifica che il pixel non permette di leggere il contenuto del messaggio, però può dire se l’email è stata cancellata, inoltrata o archiviata.
Un dettaglio che nemmeno io sapevo é che il tracciamento funziona solo se il download delle immagini è attivo, quindi chi legge le email in formato solo testo, o blocca le immagini, non viene tracciato.
Ma vediamo cosa cambia!
Cosa ha stabilito il Garante
Il 17 aprile 2026 il Garante per la protezione dei dati personali ha adottato il provvedimento n. 284 con le Linee guida sull’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica, pubblicate poi in Gazzetta Ufficiale (n. 98) il 29 aprile 2026. Il punto di partenza giuridico è l’articolo 122 del Codice privacy, quello che regola l’accesso alle informazioni presenti nel dispositivo dell’utente (la stessa logica dei cookie), letto insieme al GDPR e richiamando anche le Linee guida 2/2023 dell’EDPB. In pratica il pixel viene trattato come un cookie travestito da immagine.
Le regole valgono per tutti quelli che a qualsiasi titolo usano questi strumenti: quindi aziende, enti pubblici, fornitori di servizi email e piattaforme di marketing automation. Vale quindi anche per il piccolo professionista con la newsletter mensile, non solo per chi manda milioni di email… (le rogne arrivano sempre anche per noi! 😅)
Quando serve il consenso e quando no
Per i tracking pixel usati a scopo di marketing o di analisi del comportamento serve un consenso preventivo, libero, specifico e informato. Newsletter, DEM e email promozionali con misurazione dell’apertura rientrano tutte qui.
Esistono però delle eccezioni, e sono (ovviamente) poche e precise.
Il consenso non serve per la misurazione statistica aggregata finalizzata a migliorare la consegna delle email e a contrastare lo spam (a patto che il pixel sia uguale per tutti i destinatari e l’indirizzo IP sia anonimizzato), per i processi di sicurezza come l’attivazione di un account o il reset della password, e per i messaggi istituzionali o di servizio per cui esiste un obbligo giuridico di invio.
Le email transazionali di un e-commerce, per capirci, vanno valutate caso per caso, non basta che siano “di servizio” perché l’eccezione scatti.
Un consenso o due?
In giro si legge di tutto… Diverse agenzie hanno raccontato ai clienti che servono due caselle separate, una per la newsletter e una per il pixel. Le Linee guida però non lo dicono: ammettono che si possa raccogliere un unico consenso per la ricezione di comunicazioni promozionali e per il tracciamento, purché la richiesta sia chiara.
Se invece vuoi usare i dati raccolti per fare profilazione (segmentare le persone in base al loro comportamento, per esempio) è prudente chiedere un consenso ulteriore e separato.
Questa precisazione sulla profilazione è un’interpretazione e non un obbligo scritto nel provvedimento, infatti meriterebbe una conferma con il tuo consulente privacy!
La revoca deve essere granulare
Poter dire di sì è facile, il Garante pretende che sia facile anche cambiare idea. Ogni email deve contenere un link a un’area in cui il destinatario possa scegliere se continuare a ricevere le email con tracciamento, continuare a riceverle senza tracciamento oppure smettere di riceverle del tutto.
Rifiutare solo il tracciamento non deve comportare nessuna limitazione del servizio: se una persona dice no al pixel, la newsletter le arriva comunque.
Questo per chi progetta siti web o chi si occupa di email marketing è un pezzo interessante, perché significa che il footer dell’email e la pagina delle preferenze diventano parte della compliance (e vanno pensati bene, non buttati lì come un “disiscriviti” in grigio chiaro su grigio 🙃).
Informativa chiara e privacy by design
Il Garante consiglia un’informativa multilivello, come quella dei cookie, ovvero un breve testo nel modulo di iscrizione con un link all’informativa completa.
Sul fronte tecnico chiede di applicare “privacy by design e by default“, ad esempio usando per ogni destinatario un identificativo non sequenziale e non intelligibile, associato all’indirizzo email solo in un ambiente separato della piattaforma, così che l’URL del pixel non contenga mai l’email in chiaro.
Questa parte dipende quasi tutta dal fornitore del servizio email, quindi vale la pena chiedere o controllare cosa fa la piattaforma che usi!
NB: Privacy by design e by default vuol dire che la privacy dell’utente viene protetta fin dall’inizio: il sito raccoglie solo i dati necessari e, finché l’utente non sceglie diversamente, le impostazioni restano sempre quelle più protettive.
Un esempio di checkbox per il tuo form newsletter
Questa è una formula costruita sulle indicazioni del Garante, da trattare come punto di partenza e da far validare:
☐ Voglio iscrivermi alla newsletter e accetto che venga misurata l’apertura delle email (con un pixel che registra quando le apri). Puoi disattivare il tracciamento in qualsiasi momento dal link in fondo a ogni email. Informativa privacy.
La casella non deve essere preselezionata, e il testo va scritto in un linguaggio che una persona normale capisce al primo colpo. Nella pagina delle preferenze, raggiungibile dal footer, serve una domanda semplice (per esempio “Vuoi disattivare il tracciamento delle aperture?”) e un pulsante per salvare la scelta.
Cosa controllare entro il 29 ottobre
Per chi gestisce una newsletter, la lista di controlli è abbastanza concreta:
- Mappare tutte le email che partono dai tuoi strumenti (newsletter, automazioni, email di benvenuto, email transazionali del sito) e capire quali contengono un pixel.
- Rivedere i form di iscrizione: testo del consenso, casella non preselezionata, link all’informativa.
- Aggiornare la privacy policy con la descrizione del tracciamento, delle finalità e della possibilità di revoca.
- Configurare nella piattaforma email la revoca granulare e verificare che chi rifiuta il tracciamento riceva comunque le email.
- Controllare i contratti con i fornitori (nomine a responsabile del trattamento) e come la piattaforma gestisce gli identificativi nei pixel.
Il punto più delicato sono le liste già esistenti, quelle raccolte quando nessuno parlava di pixel. Facendo svariate ricerche non ho trovato indicazioni esplicite sul pregresso, quindi si deduce (non è una regola scritta, occhio!) che per gli iscritti che non hanno mai acconsentito in modo specifico al tracciamento, la scelta più sicura è disattivarlo, oppure chiedere una riconferma con un’email apposita.
Come sempre: se hai un’attività, la cosa più saggia è affidarsi a un consulente privacy o al proprio DPO (se presente). Il web designer potrà supportarti nella parte più tecnica, ma le scelte e le indicazioni precise devono arrivare da chi si occupa direttamente di questo.
Cosa rischi se non ti adegui
Il Garante ha ricordato con un comunicato le indicazioni da seguire, e la verifica dell’applicazione delle Linee guida rientra tra le attività ispettive previste per il secondo semestre del 2026. Le violazioni possono comportare le sanzioni previste dal GDPR e dal Codice privacy, che nei casi più gravi sono molto pesanti.
Per una newsletter da poche centinaia di iscritti il rischio concreto è basso, ma sistemare le cose costa poco e ti farà dormire più tranquill*!
Perdi meno di quello che pensi!
C’è una cosa che aiuta a ridimensionare l’ansia e il malcontento: il tasso di apertura è già una metrica poco affidabile. Chi blocca le immagini non viene contato come lettore anche se ha letto tutto, mentre alcuni strumenti di posta (Outlook, per dire) esplorano automaticamente i link e possono registrare aperture mai avvenute.
I clic, il numero di risposte e le iscrizioni che arrivano dopo una newsletter ti dicono molto di più su cosa funziona davvero. Se rinunciare al pixel significa guardare meno un numero impreciso, forse non è una grande perdita…
Domande frequenti
Il tracking pixel è illegale?
No, ma per finalità di marketing e analisi del comportamento si può usare solo dopo aver ottenuto un consenso preventivo, libero, specifico e informato, salvo le eccezioni previste dalle Linee guida.
Devo chiedere due consensi separati, uno per la newsletter e uno per il pixel?
Le Linee guida non lo impongono: un unico consenso è possibile se la richiesta è chiara. Per la profilazione è prudente un consenso separato.
Il pixel può leggere il contenuto delle mie email?
No, ma può segnalare apertura, orario, dispositivo, indirizzo IP e anche l’eventuale cancellazione, inoltro o archiviazione del messaggio.
Chi legge le email in solo testo viene tracciato?
No, il pixel viene scaricato solo se il programma di posta carica le immagini.
Le email di conferma ordine o di reset password hanno bisogno del consenso?
I messaggi legati alla sicurezza di un account rientrano tra le eccezioni, mentre le altre email transazionali vanno valutate caso per caso in base alla finalità del pixel.
Per concludere
Il lavoro vero da fare è meno drammatico di quanto sembri… un testo di consenso scritto bene, una privacy policy aggiornata, una pagina delle preferenze chiara e qualche impostazione nella piattaforma email.
Se vuoi una mano a sistemare il form di iscrizione e la parte tecnica del tuo sito WordPress, scrivimi e vediamo insieme da dove partire!
Questo articolo ha scopo informativo e non sostituisce una consulenza legale. Per la tua situazione specifica rivolgiti a un consulente privacy o al tuo DPO!
