Tracking pixel nelle email: che cosa serve entro il 29 ottobre 2026

Il 29 ottobre 2026 scade il termine per adeguarsi alle linee guida del Garante privacy sui tracking pixel nelle comunicazioni di posta elettronica. È la scadenza più trasversale del nostro calendario: non i soli fabbricanti, non la sola pubblica amministrazione — chiunque mandi una newsletter o un’email commerciale.

Prima la data, perché in giro se ne legge un’altra. Il provvedimento è il n. 284 del 17 aprile 2026, adottato ai sensi dell’art. 154-bis, comma 1, lett. a) del Codice; il comunicato stampa del Garante è del 21 aprile. Il termine non decorre da nessuno dei due: le linee guida individuano «un termine pari a 6 mesi dal momento della loro pubblicazione in Gazzetta Ufficiale entro il quale i soggetti tenuti dovranno conformarvisi». La pubblicazione è nella Gazzetta Ufficiale Serie Generale n. 98 del 29 aprile 2026, codice redazionale 26A02030. Sei mesi dal 29 aprile fanno il 29 ottobre. Chi li conta dal comunicato arriva al 21 ottobre: sbagliato.

Il pixel è un accesso al terminale

Un’immagine di un punto, spesso trasparente, su server remoto: all’apertura il client la scarica, e la richiesta dice al mittente che l’email è stata letta.

Il Garante qualifica l’operazione così: l’inserimento del pixel e la «lettura» delle informazioni che ne conseguono «sono operazioni conformi alla fattispecie di accesso al terminale disciplinata dall’art. 122 del Codice». La conformità «interessa la duplice modalità di accesso ivi prevista»: sia l’«archiviazione delle informazioni nell’apparecchio terminale di un contraente o di un utente» — l’inserimento del pixel — sia il successivo «accesso a informazioni già archiviate», cioè la rilevazione del comportamento.

Il comma 2-bis pone un divieto generale, salvo consenso o le deroghe previste dalla norma. Il legittimo interesse non entra: il provvedimento non lo nomina mai, e la direttiva e-Privacy è lex specialis rispetto al GDPR. Sull’identificabilità il Garante richiama il considerando 30: gli identificativi online «possono lasciare tracce che […] possono essere utilizzate per creare profili delle persone fisiche e identificarle». In premessa richiama anche i propri precedenti sui cookie (n. 229 dell’8 maggio 2014) e sulla profilazione online (n. 161 del 19 marzo 2015).

Un consenso solo, ma informato

Il Garante non chiede due caselle. Ritiene che il consenso al tracciamento «possa, in linea di principio, essere ricompreso in quello, più generale, alla ricezione delle comunicazioni promozionali», per evitare la consent fatigue, «alla condizione, tuttavia, che la richiesta sia formulata in modo neutro e privo di forzature».

La condizione vera è a monte. I pixel «sono marcatori particolarmente invasivi soprattutto in ragione del loro carattere nascosto» e il loro impiego va reso noto prima, «pena la loro inutilizzabilità». Un consenso raccolto senza dire che nel messaggio c’è un tracciante non copre il tracciante: per i trattamenti già in corso il vuoto va colmato «con il primo invio utile o comunque nel primo momento di discontinuità». Il provvedimento distingue newsletter, DEM, email transazionali ed email di servizio, ma l’obbligo non dipende dal tipo di messaggio: dipende dal fatto che il pixel c’è.

La revoca granulare rompe l’architettura delle piattaforme

Il punto più pesante. Chi ha acconsentito deve poter revocare «in modo agevole le scelte pregresse, anche in modo granulare: optando cioè per la revoca del consenso unico prestato, con l’effetto di impedire la futura ricezione di ulteriori messaggi, oppure revocandolo solo parzialmente, con esclusivo riguardo soltanto al tracciamento». Con un’icona o un link nel footer verso un’area dedicata. E chi rifiuta il tracciamento deve mantenere «la piena fruibilità del servizio», senza «alcuna limitazione».

Oggi il modello dominante è binario: iscritto o disiscritto. Qui serve una terza opzione — iscritto e non tracciato. La prima verifica non è sull’informativa, è sul software: quella funzione esiste? Se non esiste, non si risolve riscrivendo un testo.

Conseguenza di secondo ordine. Il pixel è quasi sempre della piattaforma di invio, non vostro, ma i ruoli non sono scontati: il provvedimento chiede che siano definiti «caso per caso, e in ossequio al principio di accountability di cui all’art. 5, par. 2 del Regolamento», valutando «anche eventualmente» l’art. 26 sulla contitolarità. Titolare voi e responsabile la piattaforma non è un automatismo: dipende da chi decide finalità e mezzi del tracciamento. Chiedete l’atto di nomina e leggete che cosa dice sul tracciamento.

Quali metriche vi servono davvero

Negli accertamenti ispettivi dell’ottobre 2025 e del febbraio 2026 il Garante ha rilevato che i pixel «vengono utilizzati pressoché nella totalità dei casi». Il consenso però non serve sempre. Le deroghe sono tre: il conteggio statistico della «percentuale globale di apertura dei messaggi», con «pixel univoci, cioè non differenziati per ciascun utente, ma uguali per tutti i destinatari di una stessa campagna» e anonimizzazione di IP e dati tecnici; le misure di sicurezza legate all’autenticazione; i messaggi istituzionali o di servizio che il titolare ha l’obbligo giuridico di inoltrare.

Serve invece quando «la misurazione individuale e l’analisi del tasso di apertura» servono a valutare le campagne, adattarne frequenza e oggetto, ricavare gusti e preferenze. Domanda: quali metriche vi servono per decidere qualcosa, e quali raccogliete solo perché la piattaforma le raccoglie di default? Ogni apertura rilevata senza base giuridica è un trattamento senza base giuridica, e non diventa lecito perché è l’impostazione predefinita di uno strumento comprato.

L’identificativo non sequenziale

Il verbo conta: il Garante «suggerisce», non prescrive. Ritiene «opportuno suggerire che, per ridurre il rischio di identificabilità dei destinatari, […] il mittente generi un identificativo inintelligibile e non sequenziale e lo associ all’indirizzo di posta elettronica del destinatario, mantenendo tale corrispondenza in un layer interno e separato della piattaforma utilizzata». È l’art. 25 del GDPR applicato a un dettaglio minuscolo.

Dice però qualcosa di generale: un identificativo progressivo permette di dedurre relazioni fra destinatari senza leggerne il nome — chi è arrivato prima, chi si è iscritto lo stesso giorno, quanti siete. Vale per ogni sistema che assegna codici a persone. Corollario: un codice difficile da indovinare non è di per sé un controllo.

Il soft spam copre l’invio, non il tracciamento

È l’equivoco più probabile. Il provvedimento nomina il soft spam una volta sola, e non fra le deroghe: lo cita descrivendo come può essere stato acquisito l’indirizzo, «ad esempio nel corso di una transazione commerciale online rilevante anche per l’eventuale ricorso alla deroga di cui all’art. 130, par. 4 del Codice in materia di soft spam ovvero per procedure di upselling». Quella deroga riguarda l’invio a chi ha già comprato. Il tracciamento sta sotto l’art. 122 e ha il suo regime: poter scrivere non significa poter misurare.

Dove gira l’invio

Granularità della revoca, separazione fra identificativo e indirizzo, scelta di quali metriche esistono: sono decisioni di progetto. Diventano una richiesta al listino di qualcun altro solo quando il sistema non è vostro.

Per questo lavoriamo in due sole modalità: on-premise, nell’ambiente del cliente, oppure cloud dedicato CSIDIA — ambiente riservato al singolo cliente, accesso tramite VPN dedicata, data center in Italia, locali presidiati direttamente da noi. In entrambi i casi liste, invii e metriche restano in un perimetro che controllate, ed è là che si decide che cosa viene misurato e che cosa no. È il metodo che descriviamo qui.

Se dovete capire che cosa cambia nei vostri invii entro il 29 ottobre, scriveteci.