News - 15/10/2026

Data Governance e Privacy: entro il 29 ottobre l'obbligo di adeguamento alle Linee Guida del Garante sui tracking pixel nelle e-mail

Nuovi obblighi di trasparenza, consenso e gestione dei sistemi di tracciamento per imprese, piattaforme digitali e gestori di newsletter. Indicazioni operative del Garante e le possibili esenzioni dall’obbligo di consenso.

1. Il richiamo del Garante e la scadenza del 29 ottobre 2026

Con la newsletter dell’8 ottobre 2026, il Garante per la protezione dei dati personali ha richiamato l’attenzione delle imprese e degli altri operatori interessati sull’imminente scadenza del termine per l’adeguamento alle Linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica, adottate con provvedimento n. 284 del 17 aprile 2026 e pubblicate nella Gazzetta Ufficiale, Serie generale, n. 98 del 29 aprile 2026.

Il termine di sei mesi previsto dall’Autorità scadrà il 29 ottobre 2026.

Le Linee guida hanno chiarito le condizioni di liceità dell’impiego dei cosiddetti tracking pixel, strumenti tecnologici frequentemente incorporati nelle comunicazioni elettroniche per rilevare l’apertura dei messaggi e raccogliere informazioni sulle interazioni dei destinatari.

La disciplina interessa non soltanto le imprese che svolgono attività di marketing digitale, ma anche i soggetti che utilizzano piattaforme per l’invio massivo di comunicazioni, newsletter informative, messaggi istituzionali e comunicazioni di servizio.

Il Garante ha inoltre ricordato che la verifica del rispetto delle Linee guida rientra nel programma delle attività ispettive previste per il secondo semestre 2026.

2. Natura dei tracking pixel e delle informazioni raccolte

I tracking pixel sono immagini di dimensioni estremamente ridotte, generalmente trasparenti, inserite nel codice HTML dei messaggi di posta elettronica.

Quando il destinatario apre un’e-mail e il relativo programma consente il caricamento delle immagini remote, il pixel può attivare una richiesta verso un server esterno, consentendo al mittente o al fornitore della piattaforma di acquisire informazioni sull’interazione con il messaggio.

Tra le informazioni potenzialmente rilevabili rientrano:

• l’avvenuta apertura dell’e-mail;
• il momento e la frequenza delle aperture;
• l’indirizzo IP e alcune caratteristiche tecniche del dispositivo;
• le informazioni relative al programma utilizzato per consultare il messaggio;
• l’associazione delle aperture a uno specifico destinatario o a una determinata campagna.

Questi strumenti possono essere utilizzati per finalità differenti, quali la verifica dell’effettiva ricezione delle comunicazioni, la misurazione delle prestazioni delle campagne informative e promozionali, il miglioramento dei servizi di posta elettronica e, in determinati casi, la profilazione degli utenti.

Il Garante ha evidenziato che la particolare invasività dei tracking pixel deriva soprattutto dalla loro scarsa riconoscibilità da parte degli interessati, che possono essere sottoposti a monitoraggio senza esserne consapevoli.

3. Quadro normativo: Codice Privacy e GDPR

Il principale riferimento normativo è costituito dall’art. 122 del D.Lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali), rubricato Informazioni raccolte nei riguardi del contraente o dell’utente.

La disposizione disciplina, tra l’altro, l’archiviazione di informazioni nell’apparecchio terminale di un utente e l’accesso a informazioni già archiviate.

L’art. 122, comma 2-bis, individua le condizioni alle quali tali operazioni possono essere effettuate, prevedendo il consenso dell’interessato oppure la ricorrenza delle specifiche condizioni di necessità stabilite dalla norma.

Secondo il Garante, tale disciplina trova applicazione anche ai tracking pixel inseriti nelle comunicazioni di posta elettronica.

Alle disposizioni del Codice si affiancano quelle del Regolamento (UE) 2016/679 (GDPR), con particolare riferimento a:

• art. 5, par. 1, lett. a) – Principi applicabili al trattamento di dati personali: liceità, correttezza e trasparenza;
• art. 5, par. 1, lett. c) – Principi applicabili al trattamento di dati personali: minimizzazione dei dati;
• art. 5, par. 2 – Principi applicabili al trattamento di dati personali: responsabilizzazione del titolare (accountability);
• art. 7 – Condizioni per il consenso: dimostrazione della sua acquisizione e possibilità di revoca;
• artt. 12 e 13 – Trasparenza e informazioni da fornire all’interessato: obblighi di informazione sul trattamento;
• art. 25 – Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita: adozione di misure tecniche e organizzative adeguate;
• art. 28 – Responsabile del trattamento: disciplina dei rapporti con i fornitori che trattano dati personali per conto del titolare.

La disciplina dei tracking pixel deve pertanto essere ricostruita attraverso l’applicazione coordinata delle disposizioni speciali sulle comunicazioni elettroniche e dei principi generali del GDPR.

4. Il consenso preventivo e le condizioni per il suo utilizzo

Le Linee guida hanno confermato che, nei casi ordinari di utilizzo dei tracking pixel per finalità di monitoraggio individuale e analisi delle campagne promozionali, è necessario acquisire preventivamente un consenso libero, specifico, informato e inequivocabile.

L’obbligo riguarda, in particolare, le attività attraverso le quali l’impresa rileva le aperture dei messaggi riconducibili a singoli destinatari, ne analizza il comportamento e utilizza tali informazioni per personalizzare successive comunicazioni.

Una delle principali precisazioni introdotte dal Garante riguarda tuttavia le modalità di acquisizione del consenso.

L’Autorità ha riconosciuto che, in determinate circostanze, il consenso all’utilizzo dei tracking pixel può essere ricompreso in quello più generale relativo alla ricezione delle comunicazioni promozionali.

Tale soluzione è ammessa in una logica di semplificazione, per evitare la moltiplicazione delle richieste di consenso, purché il destinatario riceva informazioni chiare sull’utilizzo dei sistemi di tracciamento e la manifestazione di volontà sia libera e consapevole.

La possibilità di utilizzare un consenso unitario non elimina, tuttavia, l’obbligo di consentire all’interessato una successiva revoca selettiva.

Il destinatario deve infatti poter scegliere di continuare a ricevere le comunicazioni, escludendo soltanto il tracciamento delle relative aperture.

Questa distinzione assume particolare importanza nella configurazione delle piattaforme di newsletter e di marketing automation.

5. Le ipotesi di esenzione dall’obbligo di consenso

Le Linee guida hanno individuato alcune fattispecie nelle quali l’impiego dei tracking pixel può risultare consentito anche senza acquisire uno specifico consenso.

Si tratta di ipotesi da valutare alla luce delle effettive finalità perseguite e delle caratteristiche tecniche del trattamento.

5.1. Rilevazioni statistiche aggregate

Una prima ipotesi riguarda l’utilizzo di tracking pixel per effettuare misurazioni statistiche globali, ad esempio per determinare la percentuale complessiva di apertura di una newsletter.

Il Garante ha ritenuto che tali attività possano beneficiare dell’esenzione quando siano adottate tecniche di anonimizzazione idonee a impedire la riconducibilità delle informazioni ai singoli destinatari.

A questo fine, l’Autorità ha suggerito l’utilizzo di pixel non differenziati per ciascun destinatario, ma comuni a tutti gli utenti di una determinata campagna, accompagnati dall’anonimizzazione degli ulteriori dati tecnici.

La semplice aggregazione successiva di dati inizialmente raccolti in forma individuale non equivale, di per sé, all’assenza di tracciamento individuale.

Occorre pertanto verificare l’intero funzionamento del sistema.

5.2. Sicurezza delle comunicazioni

Ulteriori ipotesi di esenzione possono riguardare i trattamenti necessari a garantire la sicurezza dei servizi.

Tra gli esempi richiamati dal Garante figurano le comunicazioni relative all’attivazione degli account, alla modifica delle password e alla gestione di determinate richieste degli utenti.

In questi casi, l’impiego del pixel deve risultare effettivamente funzionale alle esigenze tecniche o di sicurezza del servizio.

5.3. Comunicazioni istituzionali e di servizio

Le Linee guida hanno inoltre considerato alcune comunicazioni istituzionali o di servizio rispetto alle quali assume rilevanza l’effettiva conoscenza delle informazioni da parte del destinatario.

Tra gli esempi indicati dall’Autorità rientrano:

• comunicazioni obbligatorie relative a modifiche contrattuali;
• avvisi concernenti incidenti di sicurezza;
• comunicazioni dirette a prevenire frodi e attività di phishing;
• informazioni relative a modifiche organizzative di eventi programmati;
• promemoria su scadenze e adempimenti contrattuali o contributivi.

L’esenzione non deriva automaticamente dalla qualificazione del messaggio come istituzionale o di servizio.

Occorre dimostrare che l’utilizzo del tracking pixel risponda alle specifiche esigenze individuate dalla disciplina e sia proporzionato rispetto alla finalità perseguita.

Ne consegue che non tutte le newsletter informative possono essere automaticamente considerate esenti dall’obbligo di consenso.

6. Gli adempimenti richiesti alle imprese

L’adeguamento alle Linee guida richiede una verifica complessiva dei processi di comunicazione elettronica e delle soluzioni tecnologiche utilizzate.

In particolare, le imprese dovranno procedere alla ricognizione delle piattaforme di invio delle newsletter, dei servizi di marketing automation e degli ulteriori strumenti che consentono il monitoraggio delle aperture dei messaggi.

Sarà necessario individuare le finalità effettivamente perseguite, distinguendo le attività di misurazione statistica aggregata dalle forme di tracciamento individuale.

Dovranno inoltre essere verificate le informative rese agli interessati, le modalità di acquisizione e registrazione dei consensi e i meccanismi di revoca.

Particolare attenzione dovrà essere riservata alla possibilità di disattivare il tracciamento senza interrompere necessariamente la ricezione delle comunicazioni.

Sul piano organizzativo, sarà opportuno verificare anche i rapporti con i fornitori delle piattaforme digitali, accertando le rispettive qualificazioni privacy e la coerenza degli accordi contrattuali con le attività effettivamente svolte.

In applicazione dell’art. 25 GDPR, le imprese dovranno infine valutare soluzioni tecniche idonee a limitare l’identificabilità degli utenti, ridurre la circolazione dei dati personali e configurare i sistemi secondo criteri di minimizzazione.

Tra le misure suggerite dal Garante figura l’utilizzo di identificativi non intelligibili e non sequenziali, mantenendo separata l’associazione tra identificativo e indirizzo di posta elettronica.

7. Le responsabilità del titolare e il ruolo dei fornitori

L’utilizzo di piattaforme esterne per la gestione delle comunicazioni elettroniche non esonera il titolare del trattamento dalle proprie responsabilità.

Ai sensi dell’art. 5, par. 2, GDPR, il titolare deve essere in grado di dimostrare il rispetto dei principi applicabili al trattamento.

La circostanza che una piattaforma preveda automaticamente funzionalità di monitoraggio delle aperture non costituisce, di per sé, un presupposto di liceità.

L’impresa deve conoscere quali dati siano raccolti, per quali finalità, con quali modalità e da quali soggetti.

Qualora il fornitore operi per conto dell’impresa, il rapporto dovrà essere disciplinato conformemente all’art. 28 GDPR.

Nei casi in cui più soggetti determinino congiuntamente finalità e mezzi del trattamento, dovrà essere valutata l’eventuale applicazione dell’art. 26 GDPR, rubricato Contitolari del trattamento.

La verifica dovrà riguardare anche l’eventuale utilizzo dei dati da parte del fornitore per finalità proprie, nonché i tempi di conservazione e le modalità di cancellazione delle informazioni raccolte.

8. Le verifiche ispettive e il principio di accountability

Il Garante ha espressamente inserito la verifica dell’applicazione delle Linee guida sui tracking pixel nelle attività ispettive previste per il secondo semestre 2026.

L’adeguamento assume pertanto una rilevanza immediata anche sotto il profilo della capacità dell’impresa di documentare le proprie scelte.

Non sarà sufficiente dimostrare l’avvenuto aggiornamento delle informative.

Occorrerà poter ricostruire le modalità di funzionamento dei sistemi, le valutazioni effettuate sulle basi giuridiche, le misure adottate per limitare il tracciamento e le procedure predisposte per la gestione dei consensi.

In tale prospettiva, la conformità alle Linee guida rappresenta un’applicazione concreta del principio di accountability, che richiede al titolare non soltanto il rispetto delle prescrizioni normative, ma anche la capacità di dimostrarne l’effettiva attuazione.

9. Indicazioni conclusive per le imprese

In vista della scadenza del 29 ottobre 2026, le imprese che utilizzano newsletter, sistemi di comunicazione elettronica e piattaforme di marketing automation sono invitate a verificare tempestivamente la conformità delle tecnologie impiegate alle indicazioni del Garante.

La verifica dovrebbe coinvolgere le funzioni aziendali competenti in materia di protezione dei dati personali, sistemi informativi, comunicazione e marketing, nonché i fornitori esterni interessati.

Una particolare attenzione dovrà essere dedicata alla distinzione tra le attività di tracciamento che richiedono il consenso e quelle che possono beneficiare delle esenzioni previste dalla disciplina.

L’adeguamento non costituisce quindi un intervento esclusivamente documentale, ma richiede una verifica delle effettive modalità di funzionamento dei sistemi di comunicazione elettronica e dei processi organizzativi che ne governano l’utilizzo.

Riferimenti normativi e documentali

Linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica. Documento web n. 10241943.

Pubblicato nella Gazzetta Ufficiale, Serie generale, n. 98 del 29 aprile 2026. Gazzetta Ufficiale

2. Garante per la protezione dei dati personali – Newsletter dell’8 ottobre 2026

Richiamo alla scadenza del termine di adeguamento del 29 ottobre 2026. Documento web n. 10305399.

3. Garante per la protezione dei dati personali – Vademecum del 5 ottobre 2026

E-mail marketing: le linee guida sui tracking pixel. Documento web n. 10303585.

4. D.Lgs. 30 giugno 2003, n. 196

Codice in materia di protezione dei dati personali, con particolare riferimento agli artt. 122 e 130.

5. Regolamento (UE) 2016/679

Regolamento generale sulla protezione dei dati personali, con particolare riferimento agli artt. 5, 7, 12, 13, 25, 26 e 28.