Tracking Pixel nelle e-mail: cosa dice il Garante? 

Con il provvedimento n. 284 del 17 aprile 2026, il Garante Privacy ha adottato specifiche Linee Guida in materia di utilizzo dei tracking pixel nelle comunicazioni di posta elettronica, intervenendo su uno strumento ormai ampiamente impiegato non soltanto nelle campagne di marketing, ma anche nelle comunicazioni informative e di servizio.  

I tracking pixel sono immagini di dimensioni estremamente ridotte, normalmente ospitate su server remoti e inserite nel corpo delle e-mail. Al momento dell’apertura del messaggio, il relativo caricamento può consentire al mittente di acquisire informazioni sull’avvenuta lettura della comunicazione e, a seconda della configurazione adottata, anche ulteriori dati quali l’indirizzo IP, il tipo di dispositivo utilizzato, il momento e il numero delle aperture. Il Garante sottolinea come il carattere sostanzialmente invisibile di tali strumenti determini una particolare invasività del trattamento, soprattutto quando il destinatario non sia consapevole. 

Sotto il profilo normativo, l’Autorità riconduce l’impiego dei tracking pixel nell’ambito applicativo dell’art. 122 del Codice Privacy, quale disciplina speciale rispetto a quella generale prevista dal GDPR. Ne deriva, in linea di principio, la necessità di acquisire preventivamente il consenso dell’utente per l’accesso alle informazioni presenti sul suo terminale, salvo che ricorra una delle specifiche deroghe previste dalla norma. 

Il Garante chiarisce tuttavia che non ogni utilizzo del tracking pixel richiede necessariamente il consenso. Possono, ad esempio, ricadere nelle ipotesi di deroga le misurazioni esclusivamente statistiche delle aperture, purché realizzate mediante tecniche idonee a impedire l’identificazione del singolo destinatario, nonché taluni utilizzi strettamente funzionali alla sicurezza o all’erogazione del servizio richiesto dall’utente. Analoga valutazione può riguardare comunicazioni istituzionali o di servizio che il titolare sia tenuto a trasmettere, ove il tracciamento risulti effettivamente necessario al perseguimento della relativa finalità. 

Diversa è invece l’ipotesi in cui il tracking sia utilizzato, nell’ambito di comunicazioni commerciali o promozionali, per effettuare misurazioni individuali delle aperture, analizzare il comportamento del destinatario o adattare sulla base di tali informazioni contenuto, frequenza o prosecuzione delle campagne. In tali casi il Garante ritiene necessaria la preventiva acquisizione di uno specifico consenso, fermo restando che, quando il destinatario abbia già acconsentito alla ricezione delle comunicazioni promozionali, la richiesta relativa al tracking potrà essere strutturata secondo criteri di semplificazione, evitando duplicazioni e fenomeni di c.d. consent fatigue. 

Particolare rilievo assume inoltre l’obbligo di trasparenza. L’impiego dei tracking pixel deve essere preventivamente reso noto agli interessati, indipendentemente dalla natura commerciale, istituzionale o informativa della comunicazione, attraverso un’informativa chiara e facilmente accessibile. Il titolare è quindi chiamato a rappresentare in modo comprensibile non soltanto la presenza dello strumento, ma anche le finalità per le quali esso viene utilizzato e le caratteristiche essenziali del relativo trattamento. 

Sul piano operativo, le Linee Guida richiamano inoltre la necessità di assicurare un’effettiva revocabilità del consenso, anche in forma granulare, così da permettere all’interessato, ove possibile, di continuare a ricevere le comunicazioni rinunciando esclusivamente al relativo tracciamento. L’Autorità insiste altresì sull’adozione di misure di privacy by design e by default, suggerendo, tra l’altro, l’utilizzo di identificativi non intelligibili e non sequenziali in luogo dell’associazione diretta del tracking all’indirizzo del destinatario. 

Alla luce delle indicazioni formulate, tutti i soggetti coinvolti nell’utilizzo di tracking pixel – dai mittenti ai fornitori di servizi di e-mailing e delle relative tecnologie – sono quindi chiamati a verificare la conformità delle soluzioni adottate ai principi di liceità, correttezza, trasparenza e minimizzazione. Il Garante ha fissato un termine di sei mesi dalla pubblicazione delle Linee Guida in Gazzetta Ufficiale per consentire ai soggetti interessati di adeguare sistemi e trattamenti già in essere. Considerando che le Linee Guida sono state pubblicate in Gazzetta Ufficiale il 29 aprile 2026, il termine per l’adeguamento scade dunque il 29 ottobre 2026.