Sul fronte tracking pixel Garante privacy il termine per adeguarsi scade il 29 ottobre 2026, ormai a ridosso. Con il provvedimento n. 284 del 17 aprile 2026 il Garante ha stabilito che i pixel inseriti nelle email rientrano nell'articolo 122 del Codice privacy: in linea generale il loro uso è vietato, salvo il consenso preventivo o una delle eccezioni previste (statistiche aggregate, sicurezza, comunicazioni dovute). L'informativa serve sempre. Se invii newsletter con una piattaforma di email marketing, la norma ti riguarda anche se il pixel non l'hai inserito tu.
Le linee guida sono state pubblicate nella Gazzetta Ufficiale n. 98 del 29 aprile 2026 e hanno concesso sei mesi di tempo per adeguarsi: il termine sta per scadere. Per le aziende che inviano newsletter, email promozionali e messaggi automatici il punto non è soltanto tecnico: riguarda basi giuridiche, informative, ruoli verso i fornitori e capacità di dimostrare le scelte fatte. Prima spieghiamo che cos'è un pixel di tracciamento e cosa comporta per chi usa una piattaforma di email marketing. Poi ricostruiamo il quadro normativo, i rischi e un piano di adeguamento.
Se invii email con pixel di tracciamento, questi sono i tre modi in cui Alchimie Digitali può affiancarti.
Analisi dei trattamenti, informative, registro, valutazione dei rischi, nomine privacy. È il punto di partenza per mettere in ordine i flussi email.
Scopri la consulenza GDPRLa società assume formalmente il ruolo di e offre supporto continuativo su documentazione, consensi e diritti degli interessati, con assistenza in caso di audit o ispezioni del Garante.
Scopri il DPO esternoPercorsi per chi in azienda gestisce newsletter, moduli e dati dei contatti, così che le regole diventino abitudini.
Scopri i corsiChe cos'è un pixel di tracciamento e cosa cambia per chi usa una piattaforma di email marketing
Se mandi newsletter e DEM con una piattaforma di email marketing, di quelle come Mailchimp, Voxmail e simili, questa parte è per te. Molti scoprono solo ora che nelle proprie email c'è un pixel di tracciamento, perché non l'hanno mai inserito: lo fa la piattaforma.
Che cos'è
Il pixel è un'immagine minuscola e invisibile, spesso grande un solo punto e dello stesso colore dello sfondo. Non è contenuta nell'email: l'email contiene un link a un'immagine che sta su un server. Quando il destinatario apre il messaggio e il suo programma di posta scarica le immagini, quel server riceve una richiesta e registra l'apertura. Se il destinatario legge in solo testo o blocca le immagini, la richiesta non parte e l'apertura non viene registrata.
Secondo il Garante, a seconda dei casi il pixel permette di raccogliere l'indirizzo IP, il dispositivo usato, il tempo di consultazione e il numero di aperture, e monitora anche la cancellazione, l'inoltro e l'archiviazione del messaggio. Non permette invece di leggere il contenuto dell'email. È la sua invisibilità, osserva il Garante, a renderlo delicato: chi riceve il messaggio può non accorgersi del tracciamento.
Come capire se lo usi
Il modo più rapido è guardare il report di una campagna. Se vedi il tasso di apertura, cioè quante persone hanno aperto il messaggio e quando, quel dato arriva da un pixel. Poi cerca nelle impostazioni della campagna e dell'account la voce sul tracciamento delle aperture, di solito chiamata open tracking o in modo simile. Alcune piattaforme lo attivano per impostazione predefinita e in certi casi si disattiva campagna per campagna: la guida ufficiale di Mailchimp, ad esempio, lo descrive così. Se non trovi l'impostazione o non è chiaro cosa venga raccolto, chiedilo al fornitore, meglio per iscritto.
Cosa comporta per te che usi questi servizi
Il pixel lo inserisce la piattaforma, ma la responsabilità è tua. Il titolare del trattamento è l'azienda che invia le email e, come osserva Agenda Digitale, le scelte su consenso e informativa restano in capo a lui, non al fornitore.
In pratica cambiano quattro cose. Primo: se usi le aperture per capire chi legge, personalizzare i messaggi successivi o segmentare i contatti, serve il consenso preventivo. Secondo: l'informativa deve dire che usi strumenti di tracciamento e per quali finalità. Terzo: chi non consente, o revoca, deve poter continuare a ricevere le email senza pixel. Quarto: di conseguenza, a nostro avviso, i dati individuali di apertura riguarderanno solo chi ha consentito, mentre per tutti gli altri potrai al massimo avere statistiche aggregate, nei limiti previsti dal Garante.
Un punto da far valutare nel proprio caso: il Garante ammette di usare il pixel senza consenso per statistiche aggregate solo con pixel uguali per tutti i destinatari della stessa campagna e con dati tecnici anonimizzati. Alcune piattaforme descrivono invece una grafica unica per ogni email inviata, che non corrisponde a quel modello. Non significa che sia vietata, ma che per quell'uso serve il consenso, salvo altre eccezioni.
Qui sotto puoi vedere il percorso passo per passo e provare cosa cambia se il destinatario legge l'email solo in formato testo.
Il percorso del pixel
- 1L'email parteContiene un'immagine minuscola ospitata su un server remoto.
- 2Il destinatario apreSe le immagini sono abilitate, il programma di posta le scarica.
- 3Il pixel chiama il serverParte una richiesta verso chi ospita l'immagine.
- 4Si raccolgono datiApertura e, a seconda dei casi, IP, dispositivo, tempo e numero di aperture.
- 5Scatta l'articolo 122Consenso preventivo, salvo eccezioni. L'informativa è sempre dovuta.
Premi "Riproduci il percorso" per vedere i cinque passaggi.
Tracking pixel Garante privacy: il quadro normativo
Il Garante ha adottato le linee guida con il provvedimento del 17 aprile 2026 (n. 284), ne ha dato notizia con un comunicato il 21 aprile e ha pubblicato un vademecum con le indicazioni principali. La norma di riferimento è l'articolo 122 del Codice privacy, che disciplina l'archiviazione di informazioni nel terminale dell'utente e l'accesso a quelle già archiviate. È la disciplina speciale che deriva dalla direttiva .
Il meccanismo comporta due operazioni: l'inserimento del pixel nell'email presente sul dispositivo del destinatario e la successiva raccolta di informazioni quando il pixel viene caricato. Accanto all'articolo 122 il GDPR continua ad applicarsi per gli aspetti non regolati dalla normativa e-Privacy: trasparenza, consenso, responsabilizzazione del e protezione dei dati fin dalla progettazione e per impostazione predefinita (articolo 25 del GDPR).
Chi deve adeguarsi e con quale ruolo
Le linee guida riguardano tutti i soggetti pubblici e privati che intervengono, a qualsiasi titolo, nell'uso dei pixel: il mittente, i fornitori di piattaforme per l'invio, i provider di posta elettronica e chi mette a disposizione proprie liste di distribuzione. Quando i soggetti sono più di uno, ciascuno deve individuare il proprio ruolo nel trattamento. A seconda delle attività svolte e degli accordi tra le parti possono applicarsi anche le regole del GDPR sulla .
Per un'azienda che usa una piattaforma di email marketing questo significa due cose. Primo: la conformità, come osserva Agenda Digitale, non dipende dal nome del fornitore ma dalle impostazioni effettive della piattaforma. Secondo: il fornitore può offrire gli strumenti, ma le scelte su consenso e informativa restano in capo al titolare.
Tracking pixel Garante privacy: consenso, eccezioni e informativa
Il consenso richiesto dall'articolo 122 deve essere informato, libero, specifico e inequivocabile. È necessario, ad esempio, quando il pixel misura il comportamento del singolo destinatario per valutare e migliorare una campagna promozionale, modificare le comunicazioni in base alle email aperte, adattarne la frequenza o ricavare gusti e interessi per creare profili commerciali. Le eccezioni previste sono tre.
| Scenario | Posizione del Garante | Cosa deve poter dimostrare il titolare |
|---|---|---|
| Misura del comportamento del singolo destinatario, personalizzazione, profilazione commerciale | Consenso preventivo | Consenso informato, libero, specifico e inequivocabile, acquisito prima del pixel e registrato |
| Statistiche complessive sulle aperture, deliverability, contrasto allo spam | Consenso non necessario se non si misura il singolo | Pixel uguali per tutti i destinatari della stessa campagna e dati tecnici anonimizzati |
| Misure di sicurezza, ad esempio legate all'autenticazione | Consenso non necessario | Che il pixel sia strettamente necessario alla specifica misura di sicurezza |
| Comunicazioni istituzionali o di servizio dovute (modifiche contrattuali, incidenti di sicurezza, phishing e frodi, scadenze e adempimenti) | Consenso non necessario | Obbligo di inviare la comunicazione e rilevanza di verificare l'effettiva presa di conoscenza |
Spetta al titolare, in base al principio di , verificare se nel caso concreto ricorrono i presupposti per usare i pixel senza consenso. L'informativa deve essere chiara, completa e facile da trovare. Può essere a più livelli, con una prima informazione sintetica nel modulo di raccolta dell'indirizzo e il rinvio a un testo più dettagliato. Per i trattamenti già in corso può essere data con il primo messaggio utile o nel primo momento utile di discontinuità del rapporto.
Revoca granulare, registro delle scelte e privacy by design
Quando il consenso serve, va acquisito prima di usare il pixel. Per i nuovi trattamenti il Garante preferisce che sia chiesto al momento della raccolta dell'indirizzo, dopo l'informativa. Nelle comunicazioni promozionali può, in linea di principio, essere compreso nel consenso generale a ricevere promozioni, purché la richiesta sia formulata in modo neutro e senza forzature.
La revoca deve essere facile e anche granulare: il destinatario sceglie se non ricevere più le comunicazioni o continuare a riceverle senza tracciamento. Ogni email può contenere un link o un'icona riconoscibile verso un'area dove gestire le scelte. Il rifiuto non deve limitare la fruizione del servizio e le scelte vanno registrate, anche per dimostrare il rispetto della normativa.
Sul piano tecnico il Garante indica come misura possibile un identificativo non intelligibile e non sequenziale per ciascun destinatario, associato all'indirizzo email in un ambiente separato della piattaforma. L'apertura si registra così senza far comparire l'indirizzo nella richiesta generata dal pixel. È un esempio concreto di , e chi sceglie o configura una piattaforma dovrebbe chiedere al fornitore se è disponibile.
Tracking pixel Garante privacy: controlli e rischi per l'azienda
Le linee guida nascono da attività ispettive. Secondo la ricostruzione di Agenda Digitale, il Garante ha ispezionato un provider di posta elettronica il 6-8 ottobre 2025 e una piattaforma di marketing automation il 9-11 febbraio 2026. Secondo ItaliaOggi, la verifica del rispetto delle prescrizioni sui tracking pixel rientra nel piano ispettivo del secondo semestre 2026.
Le linee guida non indicano importi sanzionatori e noi non ne citiamo: le conseguenze dipendono dalla violazione accertata. A nostro avviso, in caso di controllo conta poter mostrare in modo ordinato la mappa dei flussi email, le informative, i testi e i registri dei consensi, la configurazione della piattaforma e i contratti con i fornitori. Sono documenti che hanno senso in sé, perché mostrano che l'azienda sa cosa fa con i dati dei propri contatti.
Su questo siamo coerenti con il nostro modo di lavorare: Alchimie Digitali è in un percorso di certificazione ISO 9001 e ISO 27001, e il CEO del Gruppo Alchimie, Pietro Suffritti, è Lead Auditor. Documentare i processi e saperli dimostrare è la stessa logica che chiediamo ai clienti sul tema dei pixel.
Piano di adeguamento in sei passaggi
1. Mappa i trattamenti con pixel
Elenca newsletter, email promozionali (le cosiddette ), email transazionali, di servizio e automazioni, le piattaforme da cui partono e quali pixel sono attivi. Il Garante valuta le regole anche in base alla natura commerciale, informativa, istituzionale o di servizio del messaggio.
2. Classifica ogni uso: consenso o eccezione
Per ogni flusso decidi se il pixel serve a misurare il singolo (consenso) o a produrre statistiche aggregate, sicurezza o comunicazioni dovute (eccezione). Annota la motivazione: l'onere di dimostrare l'eccezione è del titolare.
3. Aggiorna informative e moduli di raccolta
Prevedi un'informativa sintetica nel modulo con rinvio a quella estesa, e una formula di consenso neutra. Per i contatti già in lista programma l'informativa nel primo messaggio utile.
4. Introduci revoca granulare e registro
Inserisci in ogni email un accesso riconoscibile alla gestione delle preferenze e conserva le scelte di ogni contatto, con data e testo mostrato.
5. Configura la piattaforma
Verifica le impostazioni effettive: tracciamento delle aperture solo per chi ha consentito, pixel identici per tutti nelle statistiche aggregate, identificativi non intelligibili. In alcune piattaforme la disattivazione si imposta campagna per campagna, come descrive ad esempio la guida ufficiale di Mailchimp: in quel caso va controllata a ogni invio.
6. Rivedi ruoli, contratti e documentazione
Definisci con il fornitore i rispettivi ruoli (titolare, responsabile, contitolare), aggiorna informative e documentazione privacy e prevedi un controllo periodico. Se hai anche altri obblighi in scadenza, come la scadenza NIS2 del 31 ottobre 2026, conviene coordinare le attività.
Una casella o due? Dove le interpretazioni divergono
Dopo la pubblicazione alcune agenzie hanno comunicato ai clienti che servirebbero due caselle distinte, una per la newsletter e una per il pixel. Secondo Agenda Digitale non è quanto scritto dal Garante, e la scheda ufficiale ammette che il consenso al pixel sia, in linea di principio, ricompreso in quello promozionale. Altri operatori, come TeamSystem, consigliano una scelta separata nei moduli. Dal testo del Garante non emerge un obbligo di doppia casella. Una scelta distinta può però rendere più semplice dimostrare un consenso specifico: è una valutazione da fare caso per caso.
Quando conviene farsi affiancare
Una piccola azienda può gestire da sola alcuni passaggi. Ci sono però situazioni in cui un affiancamento accorcia i tempi e riduce i rischi, perché il problema non è il pixel in sé ma tutto quello che gli sta intorno:
- usi più strumenti che inviano email (newsletter, CRM, e-commerce, automazioni) e non hai una mappa di cosa tracciano;
- le tue liste vengono da raccolte del passato, fiere o acquisti e non sei sicuro di quali consensi hai e come li hai registrati;
- informative, moduli e registro dei trattamenti non sono stati rivisti di recente;
- non hai chiarito con i fornitori chi è titolare, chi responsabile e chi contitolare.
Non tutte le aziende hanno l'obbligo di nominare un , mentre informativa, consenso e documentazione riguardano chiunque invii email con pixel. Per questo il servizio parte da una valutazione preliminare, che serve anche a capire se la nomina è dovuta. I tre servizi che trovi in evidenza all'inizio dell'articolo non sono alternativi: dipende da quanto è strutturata l'azienda.
People Also Ask: le domande che le persone cercano
Cos'è un pixel di tracciamento e come faccio a sapere se lo uso?
È un'immagine invisibile inserita nelle email, di solito dalla piattaforma di invio, che segnala quando il messaggio viene aperto. Se nel report delle tue campagne vedi il tasso di apertura, stai usando un pixel.
I tracking pixel nelle email sono illegali?
No. Non sono vietati in assoluto, ma ricadono nell'articolo 122 del Codice privacy: in linea generale l'uso è vietato salvo consenso preventivo o una delle eccezioni previste.
Cosa prevede il Garante per le email di marketing?
Informativa preventiva sull'uso dei pixel, consenso prima del loro utilizzo quando serve a misurare il singolo, revoca facile e anche granulare, registro delle scelte e misure di privacy by design. Per le promozionali il consenso al pixel può rientrare nel consenso generale, con richiesta neutra.
Cosa cambia il 29 ottobre 2026?
Scade il termine di sei mesi, contato dalla pubblicazione in Gazzetta Ufficiale del 29 aprile 2026, per adeguare informative, consensi e sistemi di revoca. Dopo quella data, secondo la stampa di settore, il rispetto delle linee guida può essere verificato nelle ispezioni del secondo semestre 2026.
Le email transazionali sono escluse?
Non del tutto. Il Garante le include tra i messaggi interessati, come conferme d'ordine o credenziali temporanee. Possono valere eccezioni, per esempio per le comunicazioni dovute o per misure di sicurezza, ma l'informativa serve comunque.
Come si evita di essere tracciati?
Il pixel funziona solo se le immagini vengono scaricate. Leggendo l'email in formato testo non viene caricato.
Domande frequenti
Chi è soggetto alle linee guida?
Tutti i soggetti pubblici e privati coinvolti nell'uso dei pixel: mittenti, piattaforme di invio, provider di posta e chi mette a disposizione liste di distribuzione.
Il termine è il 28 o il 29 ottobre?
Il termine è di sei mesi dalla pubblicazione in Gazzetta Ufficiale del 29 aprile 2026, quindi il 29 ottobre 2026. Alcune fonti riportano il 28 ottobre: noi seguiamo il computo dalla data di pubblicazione, in linea con la maggior parte delle fonti.
Il fornitore della piattaforma risponde al posto mio?
Il fornitore ha un proprio ruolo, che va definito, ma le scelte su consenso e informativa restano in capo al titolare. Per questo conviene rivedere i rapporti contrattuali.
Che cos'è la revoca granulare?
È la possibilità di scegliere se non ricevere più le comunicazioni oppure continuare a riceverle senza tracking pixel.
Il pixel permette di leggere il contenuto dell'email?
No. Il pixel monitora apertura, cancellazione, inoltro e archiviazione, ma non permette di conoscere il contenuto del messaggio.
Serve un DPO per usare i tracking pixel?
La nomina del DPO dipende dai criteri dell'articolo 37 del GDPR e non dall'uso del pixel in sé: è obbligatoria, ad esempio, per gli enti pubblici o per chi monitora persone su larga scala. Una valutazione preliminare permette di capire se per la tua azienda è dovuta.