Pixel di tracciamento: scadenza al 29 ottobre 2026 per l’e-mail marketing

Le nuove Linee Guida adottate dal Garante per la protezione dei dati personali prevedono che entro il 29 ottobre 2026 aziende, agenzie e piattaforme debbano adeguarsi alle nuove regole con riguardo all’uso dei tracking pixel nelle e-mail. Per le agenzie di comunicazione significa attivarsi perchè i siti dei clienti e le newsletter siano conformi.

Quali informazioni raccogliamo con il pixel di tracciamento?

Il pixel di tracciamento inserito nelle comunicazioni commerciali trasmesse tramite e-mail consente di avere varie informazioni: le comunicazioni commerciali (newsletter) che inviamo ai nostri clienti e che le agenzie di comunicazione inviano per conto dei propri clienti, sono uno prezioso strumento per tracciare gli utenti.

Ad esempio, ci permettono di sapere se l’email è stata aperta, conoscere l’indirizzo IP, il dispositivo utilizzato, il tempo di consultazione, il numero di volte in cui il messaggio è stato aperto. I tracking pixel non permettono di conoscere il contenuto delle comunicazioni commerciali inviate ma monitorano le azioni compiute dell’utente (apertura, gestione, cancellazione, inoltro, archiviazione, ecc).

Sono strumenti preziosi per il mittente, perchè aiutano a direzionare la strategia d’impresa (in punto di comunicazione, contenuti, prodotti, servizi, ecc) ma diventano strumenti invasivi per il destinatario, che potrebbe non conoscere che queste informazioni vengono raccolte.

Quali sono le regole per tracciamento nelle comunicazioni commerciali?

La regola è: gli utenti devono inoltre ricevere un’informativa chiara e trasparente e poter revocare il consenso con modalità semplici, anche selettivamente.

Quindi la cosa da tenere a mente è: per tracciare il comportamento dell’utente serve acquisire un consenso libero, specifico e informato. Al tracciamento si estendono le medesime regole del consenso per la trasmissione delle comunicazioni commerciali.

Le fonti normative sono in primo luogo il Regolamento Europeo per il trattamento dei dati personali (2016/679), che nei primi articoli fissa i principi di trasparenza, consenso, responsabilizzazione e di consenso, oltre che di protezione dei dati sin dalla progettazione e per impostazione predefinita. Nello specifico:

I dati personali sono: a) trattati in modo lecito, corretto e trasparente nei confronti dell’interessato («liceità, correttezza e trasparenza»); b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all’articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali («limitazione della finalità»); c) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»);

In secondo luogo, l’articolo 122 del Codice Privacy che disciplina l’utilizzo del sistema di tracciamento: “L’archiviazione delle informazioni nell’apparecchio terminale di un contraente o di un utente o l’accesso a informazioni già archiviate sono consentiti unicamente a condizione che il contraente o l’utente abbia espresso il proprio consenso dopo essere stato informato con modalità semplificate“. Nello specifico è previsto che possano essere utilizzate specifiche configurazioni di programmi informatici o di dispositivi che siano di facile e chiara utilizzabilità per il contraente o l’utente.

L’utilizzo di un sistema di tracciamento dell’utente trova quindi regolamentazione all’articolo 122 del Codice Privacy che disciplina le tecnologie in grado di accedere alle informazioni presenti nei dispositivi degli utenti e/o monitorare il comportamento online.

Tutti sono obbligati a rispettare le nuove regole per il tracking pixel?

Le Linee Guida riguardano tutti i soggetti, pubblici e privati che intervengono nell’utilizzo del pixel di tracciamento all’interno delle e-mail.

É quindi fondamentale individuare quale o quali sono i soggetti che intervengono nella gestione delle comunicazioni commerciali per stabilire il ruolo di ciascuno con riguardo al trattamento dei dati personali e i conseguenti obblighi. Bisogna verificare le attività concretamente svolte dalle parti, gli accordi assunti, quanto disciplinato in materiale di trattamento dei dati personali. Mi riferisco ad esempio al tipico ruolo di responsabile del trattamento dell’agenzia di comunicazione o anche alla situazione di contitolari del trattamento.

Più specificatamente:

• C’è il mittente della comunicazione, che formalmente decide se e come implementare il tracking pixel nelle e-mail ed è quindi il titolare del trattamento. Tipicamente, il cliente dell’agenzia di comunicazione (la quale gestisce il sistema di e-mail marketing). Di solito il tracciamento è un elemento che viene suggerito, perchè utile per l’acquisizione di informazioni.
• Ci sono i fornitori di servizi che consentono materialmente il tracciamento e quindi permettono il monitoraggio delle comunicazioni;
• C’è il provider di posta elettronica che è attivo nella gestione del servizio in quanto interviene nell’erogazione del servizio, permette la ricezione della comunicazione commerciale;
• C’è l’agenzia di comunicazione, tipicamente responsabile del trattamento che sulla operativamente costruisce il sistema di email marketing per conto del cliente, elabora le comunicazioni commerciali, compie una serie di attività connesse (realizzazione del sito con form d’iscrizione newsletter, ecc).
• Ci potrebbero poi essere altri eventuali soggetti che possono mettere a disposizione delle liste di distribuzione e che forniscono gli indirizzi dei destinatari;

Il consenso preventivo per il tracciamento è sempre necessario?

Le regole da rispettare dipendono anche dalla finalità concretamente perseguita e dalle modalità con cui vengono raccolte e utilizzate le informazioni.

Questo significa che il pixel di tracciamento può avere una finalità tipicamente commerciale (ad esempio misurare l’audience, costruire dei profili di utenti interessati a determinati contenuti veicolati tramite newsletter, ecc) oppure diverse: verificare la corretta ricezione delle comunicazioni, contrastare lo spam, ecc.

Il Regolamento Europeo prevede, come per tutte le attività di trattamento, che il trattamento sia fondato su una base giuridica legittima. I dati devono esser raccolti per finalità determinate esplicite e legittime e quindi, in primo luogo si tratterà di definire le finalità per le quali l’azienda ha necessità dei dati di tracciamento, successivamente si verificherà se queste sono conformi alla normativa per poi stabilire le modalità con cui acquisire, se necessario, il consenso, o comunque informare in modo corretto l’utente.

L’informativa è quindi sempre necessaria anche se la raccolta avviene unicamente per ragioni di sicurezza (cosa che comunque non succede quasi mai). Poi, nel caso di trattamento per finalità commerciale (es: impostare una strategia sulla base del rating di apertura), serve il consenso, nel caso di finalità di sicurezza (es: gestire problematiche in caso di mancato ricevimento), non serve il consenso.

Possiamo aiutarti a stabilire le finalità e se queste sono legittime.

Unico consenso o doppio consenso?

È una delle domande che ci viene posta dalle agenzie di comunicazione che occupano di e-mail marketing. Ma è vero che dobbiamo modificare il form di registrazione aggiungendo un altro flag? Nessuno accetterà mai.

Purtroppo, non è sufficiente leggere le informazioni in rete, magari sintetiche, magari non corrette. È necessario avere studiato le Linee Guida tenere conto, integralmente, di quanto previsto dal Regolamento Europeo sul trattamento dei dati personali (e dei suoi principi), del Codice Privacy e della ratio della normativa. Solo attraverso questo processo si possono stabilire le regole.

Il passaggio successivo è definire il caso concreto, perchè ci sono tante variabili: la presenza o meno del sistema di tracciamento, le diverse finalità, i soggetti che intervengono nelle comunicazioni, le piattaforme in uso, eccetera.

Per rispondere però alla domanda: le Linee Guida non impongono un doppio consenso. La regola è la preventiva acquisizione del consenso unico. Il doppio consenso può essere previsto, sopratutto nei casi in cui la piattaforma non consente una revoca granulare del consenso. Per approfondire il tema, contattaci.

Diamo supporto per la costruzione di form rispettosi della normativa applicabile.

Come fare per i contatti e-mail che oggi sono già tracciati?

È fondamentale poter continuare ad utilizzare validamente i contatti che sino al 29 ottobre 2026 hanno ricevuto newsletter senza dover chiedere un espresso nuovo consenso. Conosciamo il valore per un’azienda di disporre di una lista di contatti a cui trasmettere comunicazioni commerciali.

Il Garante ha previsto una procedura transitoria, applicabile solo ai contatti già acquisiti, precisando che per i nuovi contatti invece si applica la regola del previo consenso unico informato.

In questi casi, l’azienda trasmetterà alla prima comunicazione utile (quindi al massimo la prima successiva al 29 ottobre) un’informativa che abbia le caratteristiche riportate in questo articolo. Deve poi implementare un sistema che consenta la revoca del consenso in modo granulare.

Il consenso al tracciamento deve essere informato: l’informativa agli interessati

Elemento fondamentale per acquisire un valido consenso è fornire all’interessato un’informazione chiara, completa, accessibile, trasparente affinchè la persona possa comprendere che nelle e-mail saranno utilizzati strumenti di tracciamento e per quali finalità.

Le Linee Guida non indicano concretamente le modalità, perché non sono uniche ma possono e devono necessariamente essere adattate in relazione a tutte le particolarità che abbiamo descritto.

L’informativa all’interessato potrebbe essere fornita tramite un’indicazione nel flag di consenso che rinvia tramite collegamento ipertestuale ad un’informativa completa, che deve contenere tutte le informazioni.

Le informazioni che devono essere fornite riguardano almeno: le finalità per le quali vengono acquisiti i dati di tracciamento, le categorie di dati acquisiti, il tempo di conservazione, i destinatari, l’eventuale trasferimento fuori UE dei dati di tracciamento.

Non esiste un’unica modalità, potrebbero esserci anche degli assistenti virtuali, dei pop-up informativi. Importante è poter dimostrare di aver fornito l’informazione e che il consenso raccolto sia valido.

Cosa deve fare l’agenzia di comunicazione per i propri clienti entro il 29 ottobre 2026?

Come consulenti legali delle agenzie di comunicazione e delle aziende che tipicamente si occupano di realizzare siti internet, costruire e-commerce o gestire un servizio di e-mail marketing per conto dell’azienda, sulla base delle indicazioni del Garante possiamo suggerire di operare come segue.

Ci sono tre verifiche da fare come premessa:

1. Verificare che i contatti e-mail che attualmente ricevono comunicazioni commerciali abbiano prestato un consenso libero, informato e specifico.
   Questo perchè: se non disponi nemmeno del consenso per trasmettere comunicazioni e-mail è necessario intervenire con altra modalità. Abbiamo dedicato un articolo al tema, qui.
2. Stabilire se e per quali finalità viene attualmente compiuto il tracciamento tramite pixel delle comunicazioni commerciali
   Potrebbe essere che non vi sia tracciamento oppure potrebbe essere che il tracciamento avvenga unicamente per ragioni di sicurezza
3. Verificare che la piattaforma in uso consenta di gestire i sistemi di tracciamento
   Se infatti la piattaforma non consente l’adattamento rispetto a chi presta il consenso, a chi revoca, a chi non rilascia, allora la prima cosa da fare è valutare un’altra piattaforma.

Procedura per implementare il sistema di tracciamento conforme alle Linee Guida del Garante

Definite queste premesse, ecco come suggeriamo di intervenire.

Chiaramente ti invitiamo ad adottare seriamente la procedura e non rinviare ai “rinnovi di gennaio 2027”. Questo anche perchè il Garante Privacy con Deliberazione del 23 luglio 2026 ha informato che nel corso del periodo agosto-dicembre 2026 verrà svolta un’attività ispettiva curata dall’Ufficio del Garante, anche per mezzo della Guardia di Finanza, indirizzata, tra le altre a verificare l’implementazione delle linee guida del Garante adottate il 17 aprile 2026 in materia di impiego di tracking pixel nelle comunicazioni di posta elettronica, appunto.

Ecco quindi come suggeriamo di intervenire, per punti:

1. Implementare il form di registrazione newsletter in modo che il sistema che consenta di chiedere il consenso al tracciamento momento in cui viene raccolto l’indirizzo e-mail;
2. Adottare misure tecniche e organizzative che garantiscano la protezione dei dati sin dalla progettazione (by design) e per impostazione predefinita (by default). Puoi approfondire le misure di sicurezza per una web agency, qui;
3. Consentire all’utente di revocare il consenso in ogni tempo, sia alla registrazione newsletter sia al tracciamento per finalità commerciali;
4. Predisporre un sistema di revoca granulare: il destinatario deve poter scegliere se non ricevere più le comunicazioni oppure se continuare a riceverle, chiedendo però che non contengano più tracking pixel;
5. Prevedere un sistema che registri i consensi per la ricezione delle comunicazioni commerciali, le revoche del sistema di tracciamento ;

Queste lavorazioni richiedono non solo attività operative ma, come hai potuto vedere, anche valutazioni dei profili strettamente legali sulla base dei principi fissati dalla normativa.

Foto di Suzy Hazelwood