Tracking pixel nelle email: cosa cambia per il marketing dopo le Linee guida del Garante

Il tasso di apertura è una delle metriche più utilizzate nell’email marketing, ma per misurarlo serve spesso un tracking pixel: un’immagine invisibile che permette al mittente di sapere se un’email è stata aperta. Proprio su questo strumento il Garante Privacy è intervenuto con apposite Linee guida, introducendo un quadro molto più chiaro per aziende, team marketing e piattaforme di invio.

La scadenza operativa è vicina: entro il 29 ottobre 2026 occorre verificare informative, consensi, configurazioni tecniche e meccanismi di revoca. Non si tratta soltanto di un adempimento normativo. È un passaggio che riguarda in modo diretto il modo in cui progettiamo newsletter, CRM e relazioni digitali.

In breve

• Cosa è cambiato: il Garante ha adottato le Linee guida sui tracking pixel con il provvedimento n. 284 del 17 aprile 2026, pubblicato in Gazzetta Ufficiale il 29 aprile 2026.
• Regola generale: il tracciamento delle aperture è vietato, salvo consenso dell’utente o una delle deroghe previste dall’art. 122 del Codice Privacy.
• Informativa: va sempre fornita, anche quando il consenso non è richiesto.
• Revoca: deve essere semplice e granulare, cioè limitata anche al solo tracciamento.
• Scadenza: il termine per l’adeguamento è il 29 ottobre 2026.

Che cos’è un tracking pixel

Un tracking pixel è un’immagine minuscola, spesso trasparente, inserita nel corpo di un’email e ospitata su un server remoto. Quando il messaggio viene aperto, il client di posta scarica quell’immagine e il mittente, o un suo partner, può rilevare l’apertura del messaggio.

A seconda delle configurazioni, il pixel può registrare anche altri dati tecnici, come l’indirizzo IP, il dispositivo utilizzato, il tempo di consultazione o il numero di aperture successive. Non consente invece di leggere il contenuto dell’email. Il tema non è quindi la misurazione in sé, ma il fatto che il destinatario, nella maggior parte dei casi, non è consapevole che questa attività stia avvenendo.

Serve il consenso?

In linea generale, sì. Le Linee guida chiariscono che il tracciamento tramite pixel rientra nell’ambito dell’art. 122 del Codice Privacy, che disciplina l’archiviazione di informazioni nel terminale dell’utente e l’accesso a quelle già archiviate. Di conseguenza, il consenso preventivo dell’utente è la regola di riferimento quando il pixel è usato per finalità che vanno oltre la semplice statistica aggregata.

Il consenso è necessario, ad esempio, quando l’apertura dell’email viene usata per:

• modificare oggetto o contenuti dei messaggi in base al comportamento del singolo destinatario;
• adattare la frequenza degli invii o interromperli in base all’interesse mostrato;
• ricavare gusti, interessi e preferenze utili a creare profili commerciali.

Il Garante ammette che il consenso al tracking pixel possa essere compreso nel consenso alla ricezione di comunicazioni promozionali, senza un modulo separato, ma a condizione che la richiesta sia formulata in modo chiaro, neutro e non forzato.

Quando il consenso può non servire

Le Linee guida indicano anche alcune ipotesi in cui il consenso può non essere necessario, purché il titolare sia in grado di dimostrarlo in concreto.

I casi più rilevanti sono tre:

1. Statistiche aggregate: quando il pixel serve solo a misurare la percentuale complessiva di apertura della campagna, con pixel identici per tutti i destinatari e anonimizzazione degli altri dati tecnici.
2. Sicurezza: quando il pixel è strettamente funzionale all’autenticazione dell’utente, ad esempio nella conferma di un account o nella modifica della password.
3. Comunicazioni istituzionali o di servizio: quando il mittente ha un obbligo giuridico di invio e rileva l’effettiva presa di conoscenza del messaggio, per esempio in caso di modifiche contrattuali, incidenti di sicurezza o avvisi anti-phishing.

Anche in questi casi, però, resta fermo l’obbligo di informare il destinatario.

Informativa e revoca: i due punti da verificare subito

Uno degli aspetti più importanti delle Linee guida riguarda il modo in cui l’utente viene informato e il modo in cui può modificare la propria scelta.

L’informativa deve essere chiara, preventiva e accessibile. Può essere organizzata su più livelli: una versione sintetica nel modulo di iscrizione e un link alla versione estesa.

La revoca, invece, deve essere semplice e granulare. L’utente deve poter scegliere se:

• smettere di ricevere completamente le email;
• continuare a riceverle, ma senza essere tracciato tramite pixel.

Questo significa che il rifiuto del tracciamento non dovrebbe costringere automaticamente alla cancellazione dalla newsletter. Un link nel footer o un accesso all’area preferenze possono essere soluzioni corrette, a patto che le scelte dell’utente vengano effettivamente registrate e rispettate.

Privacy by design: perché conta la configurazione reale

Uno dei messaggi più forti delle Linee guida è che la conformità non dipende soltanto dal fornitore scelto, ma dalla configurazione effettiva della piattaforma. In altre parole, non basta usare uno strumento noto o dichiarato “compliant”. Conta come è impostato davvero.

Il Garante richiama anche misure di privacy by design: per esempio, associare a ogni destinatario un identificativo non intelligibile e non sequenziale, mantenendo il collegamento con l’indirizzo email in un livello separato della piattaforma, così che l’indirizzo non compaia direttamente nella richiesta generata dal pixel.

Cosa fare entro il 29 ottobre 2026

Per un team marketing o per un’organizzazione che invia email in modo continuativo, l’adeguamento dovrebbe tradursi in una verifica molto concreta. Le attività essenziali sono almeno cinque:

• censire tutti gli strumenti che inviano email: newsletter, CRM, sistemi transazionali e strumenti usati dai singoli reparti;
• verificare dove il tracciamento delle aperture è attivo per impostazione predefinita;
• classificare ogni utilizzo, distinguendo i casi basati sul consenso da quelli che ricadono in una deroga, con motivazione scritta;
• aggiornare informative, moduli di iscrizione e area di gestione delle preferenze;
• documentare configurazioni, test e scelte degli utenti, chiarendo anche ruoli e istruzioni con i fornitori.

Domande frequenti

I tracking pixel sono vietati?
No. Le Linee guida non vietano in assoluto la misurazione delle aperture. Chiedono però che sia trasparente, proporzionata e correttamente giustificata.

Posso misurare il tasso di apertura senza consenso?
Sì, se la misurazione è soltanto aggregata e anonimizzata, con pixel identici per tutti i destinatari della stessa campagna. In ogni caso resta l’obbligo di informativa.

Le Linee guida valgono anche per le email transazionali?
Sì. Si applicano a newsletter, DEM, email transazionali e comunicazioni di servizio, indipendentemente dal soggetto mittente.

Cosa succede se non mi adeguo entro il 29 ottobre?
Le Linee guida non fissano una sanzione specifica, ma la verifica rientra nelle attività ispettive del Garante e restano applicabili le norme generali in materia di protezione dei dati personali.

Misurare meglio, non meno

Adeguarsi non significa rinunciare alle metriche. Significa misurare in modo più consapevole, più trasparente e più coerente con il rapporto di fiducia che un brand costruisce con il proprio pubblico.

Per questo il tema dei tracking pixel non riguarda solo la privacy. Riguarda il modo in cui marketing, tecnologia e governance lavorano insieme.

La compliance non è un bollino da applicare alla fine. È uno strato del progetto digitale.

Ed è proprio quando entra nella progettazione che smette di essere un ostacolo e diventa parte della qualità del sistema.