Entro il 29 ottobre 2026 tutti i soggetti pubblici e privati che intervengono, a qualsiasi titolo, nell’utilizzo dei tracking pixel nelle email sono tenuti ad adeguare le informative, i consensi e i sistemi di revoca alle linee guida del Garante della privacy relative all’utilizzo di tali strumenti nelle comunicazioni di posta elettronica (provv. n. 284/2026), pubblicate in Gazzetta Ufficiale lo scorso 29 aprile.

I tracking pixel sono strumenti utilizzabili sotto forma di immagini molto piccole, non visibili nelle comunicazioni di posta elettronica, per tracciare i comportamenti del destinatario dell’email (ad esempio, l’apertura o l’inoltro del messaggio), raccogliere ulteriori informazioni (fra cui l’indirizzo IP sul dispositivo utilizzato, il tempo di consultazione, il numero di volte in cui il messaggio è stato aperto), contrastare lo spam, ecc.

Tali strumenti non permettono di conoscere il contenuto dell’email e il tracciamento del destinatario può avvenire soltanto se è abilitato il download delle immagini; tuttavia, consentendo la raccolta di dati personali – spesso senza che l’utente ne abbia piena consapevolezza – il loro utilizzo deve rispettare specifiche regole in materia di protezione di tali dati.

Le linee guida del Garante chiariscono che l’impiego dei tracking pixel rientra nella disciplina prevista dall’art. 122 del DLgs. 196/2003 (c.d. “Codice della privacy”), che consente l’uso di tecnologie capaci di accedere alle informazioni presenti nei dispositivi degli utenti o di monitorarne il comportamento on line a condizione che “il contraente o l’utente abbia espresso il proprio consenso dopo essere stato informato con modalità semplificate”. Il consenso non è, invece, necessario, in alcuni casi specifici, come, ad esempio, per finalità di sicurezza, esigenze tecniche strettamente necessarie o comunicazioni istituzionali e di servizio, sempre nel rispetto dei principi di proporzionalità e minimizzazione dei dati.

Come precisato dal Garante nel Vademecum sull’utilizzo dei tracking pixel, per quanto non previsto dall’art. 122, trova applicazione il Regolamento Ue 2016/679 (GDPR), con specifico riferimento ai principi e alle regole in materia di trasparenza, consenso, responsabilizzazione del titolare e protezione dei dati fin dalla progettazione e per impostazione predefinita. Inoltre, l’applicazione delle regole per il corretto utilizzo dei tracking pixel deve essere valutata anche in base alla natura della comunicazione inviata (commerciale, informativa, ecc.), dal momento che questi ultimi possono essere impiegati in diverse tipologie di messaggi, tra cui newsletter, direct email marketing, email transazionali e messaggi automatici (ad esempio, conferme di registrazione, trasmissione di credenziali temporanee, ecc.).

Trattandosi di marcatori particolarmente invasivi e occulti, il Garante della privacy richiede che l’impiego di tracking pixel venga reso noto al destinatario della email, qualunque sia lo scopo della comunicazione o la tipologia del soggetto mittente. In applicazione di quanto previsto dall’art. 122 del DLgs. 196/2003, quindi, i titolari del trattamento dei dati che già ne facciano o che intendano farne uso sono tenuti a informarne adeguatamente gli interessati, anche in ossequio al principio di trasparenza di cui agli artt. 5 § 1 lett. a) e 12 e ss. del Regolamento, pena la loro inutilizzabilità.

L’informazione deve essere chiara, completa, facilmente accessibile e deve consentire alla persona di comprendere che nelle email saranno utilizzati strumenti di tracciamento e per quali finalità; a tal fine è ammessa anche un’informativa a livelli, tramite una prima informazione sintetica, rinviando ad una più dettagliata tramite apposito link. Spetta poi al titolare verificare che le modalità scelte garantiscano effettivamente completezza, chiarezza, efficacia e facilità di fruizione delle informazioni, in ossequio al principio dell’accountability.

Quando necessario, il consenso deve essere acquisito prima dell’utilizzo dei tracking pixel. In particolare, per i trattamenti intrapresi dopo l’entrata in vigore delle linee guida il consenso dovrà essere raccolto preferibilmente al momento stesso dell’acquisizione dell’indirizzo di posta elettronica in questione, dopo che l’interessato sia stato debitamente informato, mentre per i trattamenti già in corso l’informativa potrà essere fornita con il primo messaggio utile o nel primo momento utile di discontinuità nel rapporto con l’interessato.

Il consenso deve poter essere revocato in qualsiasi momento e con facilità e il rifiuto del tracciamento non deve comportare limitazioni nella fruizione del servizio. Le scelte espresse dall’interessato devono inoltre essere registrate dal titolare, anche per poter dimostrare il rispetto della normativa. Infine, particolare attenzione è richiesta rispetto all’adozione di misure di privacy by design e by default, per ridurre il rischio di identificabilità degli utenti e limitare la circolazione dei dati personali (art. 25 del GDPR).