Lo scorso 29 aprile 2026, sono state pubblicate in Gazzetta Ufficiale le Linee guida sull’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica, adottate dal Garante per la protezione dei dati personali con provvedimento del 17 aprile 2026 n. 284.
Il provvedimento del Garante si apre con una panoramica sull’utilizzo dei sistemi di tracciamento e dell’evoluzione di tali strumenti negli ultimi anni da parte dei fornitori di servizi o di gestori di piattaforme online.
In termini generali, tali strumenti di tracciamento – tra cui vengono annoverati cookie, fingerprinting, web beacon, script, javascript, mouseflow, widget etc. – hanno visto un utilizzo sempre crescente, con conseguente necessità di regolamentazione. Va inoltre posta particolare attenzione ad alcuni che, per le loro caratteristiche, possono agire da strumenti occulti poiché non sono immediatamente identificabili o percepibili dall’utente.
Si tratta, tra gli altri, dei tracking pixel, immagini di dimensioni minime (pari, per l’appunto, a un solo pixel) e spesso trasparenti, non contenute direttamente nelle e-mail bensì ospitate su server remoti. In estrema sintesi, i tracking pixel funzionano come segue: quando il destinatario apre il messaggio di posta elettronica, sia la prima volta che eventuali volte successive, un codice HTML inserito nel messaggio inoltra in automatico una richiesta al server del mittente. A seguito di tale richiesta automatica, il client di posta elettronica del destinatario scarica l’immagine e la archivia nella memoria del terminale dell’interessato in modo che venga presentata nel corpo dell’e-mail.
Per il Garante, queste operazioni integrano accesso e archiviazione di informazioni nel terminale dell’utente ai sensi dell’art. 122 del Codice Privacy, con applicazione della disciplina e-Privacy oltre al GDPR. Questo anche in ragione della natura del pixel, che di per sé non hanno un valore informativo sui dati relativi al destinatario; i dati (ad esempio, orario di apertura dell’e-mail e di successive riaperture) verrebbero infatti trasmessi con l’attivazione del meccanismo descritto sopra.
L’uso dei pixel deve essere reso noto preventivamente al destinatario, qualunque sia la finalità della comunicazione o la natura del mittente. L’informativa può essere fornita in forma multilivello: ad esempio, una sintesi nel modulo di raccolta dell’indirizzo e-mail e un rinvio a un’informativa più dettagliata, anche nella cookie policy. I soggetti coinvolti – individuati, tra gli altri, in mittenti, piattaforme di e-mailing, fornitori di liste, provider tecnologici ma anche content creator – devono inoltre definire i rispettivi ruoli privacy, anche valutando eventuali ipotesi di contitolarità o nomina a responsabile del trattamento.
Il consenso preventivo è necessario quando i pixel sono usati per misurazioni individuali e analisi delle performance promozionali, per personalizzare frequenza e contenuti delle comunicazioni, per interrompere invii in base all’interesse rilevato o per creare profili commerciali. Il consenso alla ricezione dei pixel può essere ricompreso nel più generale consenso alle comunicazioni promozionali, purché la richiesta sia chiara, neutra e realmente informata.
Non sempre è richiesto un consenso autonomo. È, tuttavia, necessario che l’utente sia informato in modo chiaro sulla natura e sulla finalità dei pixel. Occorre altresì che gli possano revocare il consenso in modo semplice e selettivo, scegliendo se non ricevere più le e-mail oppure se continuare a riceverle senza tracking pixel.
Per i trattamenti già in corso, il Garante prevede un termine di 6 mesi dalla pubblicazione in Gazzetta Ufficiale per conformarsi alle Linee guida. I soggetti che utilizzano piattaforme di newsletter o marketing automation o che comunque si avvalgono dei pixel dovranno dunque verificare subito se questi ultimi siano attivi, aggiornare informative e moduli di consenso, predisporre meccanismi di revoca e documentare le scelte tecniche adottate nelle tempistiche previste.