Tracking pixel nelle email: le regole dal 29 ottobre

I tracking pixel nelle email hanno trasformato un’azione banale, come aprire un messaggio, in un’informazione potenzialmente preziosa per chi lo ha spedito. A volte basta visualizzare una newsletter perché un sistema registri l’interazione, associandola a un destinatario, a un orario e, in determinate condizioni, persino a informazioni tecniche sul dispositivo utilizzato. Tutto senza che sullo schermo compaia necessariamente qualcosa di riconoscibile.

Il 29 ottobre 2026 scade il termine concesso dal Garante per la protezione dei dati personali per adeguarsi alle linee guida approvate il 17 aprile. La questione riguarda imprese, piattaforme digitali, editori, operatori commerciali e soggetti pubblici. Ma soprattutto riguarda milioni di persone abituate a considerare la propria casella di posta uno spazio relativamente privato.

La novità non consiste nel divieto generalizzato di questi strumenti. Il punto è stabilire quando il monitoraggio sia legittimo, quali informazioni possano essere raccolte e quanto debba essere libera la scelta di chi riceve la comunicazione. Una distinzione che rimette in discussione alcune abitudini consolidate del marketing digitale.

Tracking pixel nelle email: il piccolo osservatore che non si vede

Immaginiamo di ricevere un’offerta commerciale. Il messaggio contiene fotografie, un pulsante per acquistare e qualche riga di presentazione. Tra gli elementi grafici può nascondersi un’immagine minuscola, spesso trasparente, che viene caricata da un server esterno quando il programma di posta visualizza il contenuto.

La richiesta inviata al server lascia una traccia tecnica. Se il collegamento contiene un codice associato al destinatario, il sistema può ricondurre quell’evento a una determinata persona. In alcune configurazioni vengono rilevati anche l’indirizzo IP, il software utilizzato e il momento del caricamento.

Il pixel di tracciamento non legge di nascosto le parole contenute nelle altre comunicazioni e non permette, da solo, di esplorare l’intera casella di posta. La sua funzione è più circoscritta: raccogliere segnali relativi al messaggio nel quale è stato inserito. A seconda della tecnologia e delle condizioni di utilizzo, questi segnali possono contribuire anche a ricostruire ulteriori interazioni.

Una differenza apparentemente sottile, ma fondamentale. Il sistema non ha bisogno di conoscere il contenuto della nostra corrispondenza per trasformare un comportamento in un dato commerciale.

È proprio questa capacità di osservazione silenziosa ad aver attirato l’attenzione dell’Autorità. Il problema nasce quando il destinatario ignora che la propria attività venga registrata, elaborata e magari utilizzata per modificare le comunicazioni successive.

Il 29 ottobre scade il termine: cosa cambia davvero

Il provvedimento n. 284 del 17 aprile 2026, pubblicato nella Gazzetta Ufficiale del 29 aprile, ha fissato una cornice specifica per l’impiego di questi strumenti nella posta elettronica. Alle organizzazioni interessate sono stati riconosciuti sei mesi per adeguare i trattamenti già in corso.

La scadenza del 29 ottobre 2026 non rappresenta quindi l’introduzione improvvisa di un nuovo divieto. Segna la conclusione del periodo di adeguamento indicato dal Garante, che ha inserito la verifica dell’applicazione delle linee guida tra le proprie attività ispettive del secondo semestre dell’anno.

Il riferimento normativo principale è l’articolo 122 del Codice privacy, collegato alla disciplina europea sulle comunicazioni elettroniche. A questo si affiancano le disposizioni del GDPR in materia di trasparenza, consenso, responsabilizzazione e protezione dei dati personali.

In termini comprensibili, il monitoraggio non può essere trattato come una funzione automaticamente autorizzata dal semplice possesso di un indirizzo email. Chi raccoglie informazioni deve individuare una condizione giuridica che consenta di farlo e spiegare adeguatamente che cosa sta accadendo.

La responsabilità non si esaurisce nella pubblicazione di un’informativa. Occorre verificare come lavorano concretamente i sistemi, quali informazioni conservano e per quali attività vengono utilizzate.

Il consenso al marketing non è un lasciapassare senza limiti

La situazione diventa particolarmente interessante quando si parla di pubblicità. Una società invia una comunicazione commerciale e vuole conoscere quali destinatari l’abbiano aperta. Successivamente utilizza quei dati per modificare la frequenza degli invii, selezionare nuove offerte o attribuire interessi presunti ai clienti.

In una simile circostanza, quando il controllo è individuale e finalizzato alla misurazione delle campagne promozionali, il consenso preventivo costituisce la regola generale.

Il Garante ha però evitato di trasformare ogni operazione in una sequenza infinita di richieste. Le linee guida ammettono, in linea di principio, che il consenso al tracciamento possa essere ricompreso in quello più generale relativo alla ricezione di comunicazioni commerciali, purché l’utente sia stato informato correttamente e la scelta sia libera.

Questo non significa che una vecchia autorizzazione pubblicitaria permetta automaticamente qualsiasi raccolta di dati. La portata del consenso dipende dalle informazioni fornite e dalle caratteristiche effettive del trattamento.

C’è poi una previsione destinata a incidere sulle piattaforme di invio: il destinatario deve poter rinunciare ai pixel senza essere necessariamente costretto a rinunciare anche alle email.

Le due decisioni devono poter essere gestite separatamente quando il trattamento si fonda sul consenso. Una persona potrebbe voler continuare a ricevere aggiornamenti commerciali senza accettare che ogni apertura venga registrata individualmente.

È una differenza importante rispetto all’abitudine di offrire soltanto due possibilità: restare iscritti oppure cancellarsi dalla lista.

Statistiche anonime e controllo individuale non sono la stessa cosa

Non tutti i sistemi di misurazione raccolgono informazioni riconducibili al singolo lettore. Ed è qui che la normativa introduce una distinzione sostanziale.

Un’organizzazione può avere necessità di sapere, in termini complessivi, quanti messaggi vengono visualizzati, se una campagna incontra difficoltà tecniche o se esistono problemi nella distribuzione della posta. Queste verifiche possono contribuire al miglioramento del servizio e al contrasto dello spam.

Le linee guida ammettono specifiche deroghe al consenso per rilevazioni esclusivamente statistiche, effettivamente anonime e prive di misurazioni personalizzate. Il Garante indica, tra le possibili soluzioni, l’utilizzo di un medesimo pixel per tutti i destinatari della campagna, accompagnato dall’anonimizzazione degli ulteriori dati tecnici.

Non basta però dichiarare che un report è aggregato. Se il sistema conserva informazioni personali per ciascun destinatario e soltanto successivamente le presenta sotto forma di percentuali, la questione richiede una valutazione diversa.

Il criterio decisivo è la possibilità concreta di identificare la persona e ricostruirne le interazioni, non il semplice aspetto della schermata statistica.

Conoscere l’andamento generale di una newsletter e costruire un archivio dei comportamenti individuali sono attività profondamente diverse. Trattarle come equivalenti significherebbe ignorare proprio il confine che il provvedimento intende rendere riconoscibile.

Per la sicurezza e le comunicazioni di servizio esistono eccezioni

Le email non servono soltanto a vendere prodotti. Attraverso la posta elettronica arrivano conferme di registrazione, avvisi su possibili frodi, aggiornamenti contrattuali, notifiche relative a incidenti informatici e comunicazioni istituzionali.

In determinate circostanze verificare che un messaggio sia stato visualizzato può contribuire alla sicurezza dell’utente o alla corretta gestione di un servizio richiesto.

Il Garante riconosce quindi la possibilità di utilizzare i marcatori senza uno specifico consenso quando ricorrono le condizioni previste dalla normativa, ad esempio per esigenze tecniche strettamente necessarie, per alcune operazioni di autenticazione oppure per comunicazioni obbligatorie di servizio e istituzionali.

Questo non autorizza qualsiasi forma di sorveglianza. Necessità, proporzionalità e minimizzazione dei dati rimangono requisiti centrali. Spetta al soggetto che utilizza il sistema dimostrare perché una determinata funzione sia giustificata.

Una comunicazione relativa a una minaccia informatica concreta, per esempio, risponde a esigenze differenti da un’offerta commerciale costruita sulla base degli interessi presunti del cliente.

Esiste anche un limite tecnico da non trascurare: la registrazione del caricamento di un’immagine non equivale automaticamente alla prova certa che il destinatario abbia letto, compreso o preso conoscenza del contenuto. Confondere questi passaggi potrebbe portare a conclusioni sbagliate, soprattutto quando la comunicazione produce effetti rilevanti.

Il paradosso del marketing: sapere che un’email è aperta non significa sapere che è letta

La questione ha una dimensione internazionale che supera il perimetro della normativa italiana. Da anni le grandi piattaforme tecnologiche intervengono per limitare la raccolta di informazioni attraverso la posta elettronica.

Apple, per esempio, ha introdotto con Mail Privacy Protection un sistema che nasconde l’indirizzo IP e può scaricare privatamente i contenuti remoti in background, anziché attendere che il destinatario visualizzi effettivamente il messaggio.

Le conseguenze per chi misura le campagne sono significative. Un pixel può risultare caricato anche quando la persona non ha realmente aperto la comunicazione.

Non è una semplice ipotesi teorica. La stessa Mailchimp, tra le piattaforme internazionali più conosciute per l’email marketing, spiega nella propria documentazione che la protezione introdotta da Apple può produrre tassi di apertura alterati e statistiche meno affidabili.

Ne deriva una contraddizione interessante: il mercato ha investito nella misurazione sempre più dettagliata dei comportamenti, ma alcuni degli indicatori utilizzati non rappresentano necessariamente ciò che pretendono di descrivere.

Un messaggio classificato come aperto potrebbe non essere mai stato letto. Al contrario, una comunicazione consultata senza caricare immagini remote potrebbe risultare non visualizzata nelle statistiche del mittente.

Il dato tecnico finisce così per assumere un significato commerciale che non sempre possiede. Un problema che coinvolge non soltanto la privacy, ma anche la qualità delle analisi e delle decisioni automatizzate.

Come riconoscere i tracking pixel e proteggere la propria posta

Per il destinatario non è sempre possibile individuare visivamente la presenza di un marcatore. Le immagini possono essere trasparenti, invisibili o integrate nella struttura del messaggio.

Il primo controllo utile riguarda le informazioni fornite dal mittente. Nelle comunicazioni che utilizzano questi strumenti deve essere spiegata la finalità del monitoraggio e, quando il trattamento si fonda sul consenso, devono essere disponibili modalità semplici per revocarlo.

Un collegamento collocato nella parte finale dell’email può consentire l’accesso alle preferenze privacy. Non è tuttavia sufficiente presumere che ogni messaggio contenga già un sistema di gestione corretto e completo: occorre verificare le funzioni effettivamente disponibili.

Dal punto di vista tecnico, disabilitare il caricamento automatico delle immagini esterne può impedire il funzionamento dei tradizionali pixel che richiedono una connessione al server remoto.

La lettura in formato esclusivamente testuale rappresenta un’altra possibilità. Alcuni programmi di posta mettono inoltre a disposizione strumenti specifici per limitare il tracciamento dell’indirizzo IP o delle attività di visualizzazione.

Queste precauzioni non eliminano ogni forma di monitoraggio. Se una persona seleziona un collegamento tracciato all’interno del messaggio, per esempio, l’interazione può essere registrata attraverso meccanismi differenti dal pixel di apertura.

È dunque utile distinguere tra protezione tecnica, diritti previsti dalla normativa e condizioni di utilizzo del servizio. Nessuno di questi elementi sostituisce automaticamente gli altri.

Le aziende devono guardare dentro i propri sistemi, non soltanto nelle informative

Le conseguenze della scadenza riguardano anche organizzazioni che non si considerano particolarmente attive nel marketing digitale.

Un’impresa può utilizzare una piattaforma per inviare comunicazioni ai clienti, un’associazione può distribuire aggiornamenti periodici e una testata giornalistica può gestire una newsletter informativa. In tutti questi casi vale la pena verificare se siano presenti funzioni di monitoraggio, come operino e quali dati vengano conservati.

Il fatto che una tecnologia sia integrata nel software utilizzato non trasferisce automaticamente ogni responsabilità al suo fornitore. Le linee guida richiamano infatti la necessità di identificare correttamente i ruoli dei diversi soggetti coinvolti nel trattamento.

Occorre inoltre considerare la protezione dei dati fin dalla progettazione. Tra le misure suggerite dal Garante figura l’impiego di codici identificativi non immediatamente riconducibili agli indirizzi email, mantenendo separata la corrispondenza tra identificativo e destinatario.

Per chi gestisce grandi quantità di comunicazioni, questo significa affrontare la questione anche sotto il profilo organizzativo: configurazione dei sistemi, gestione delle autorizzazioni, conservazione delle scelte degli utenti e verifica delle finalità effettivamente perseguite.

Un’attenzione particolare merita il mondo dell’editoria digitale. Le newsletter possono rappresentare uno strumento fondamentale per mantenere il rapporto con i lettori, ma il diritto a ricevere contenuti informativi non dovrebbe essere confuso con l’obbligo di lasciarsi profilare.

La vera posta in gioco è il diritto di leggere senza essere osservati

Per molti anni il mondo della pubblicità online ha considerato naturale trasformare le interazioni degli utenti in informazioni da raccogliere, classificare e utilizzare. Ogni apertura, ogni clic e ogni assenza di risposta sono diventati elementi da interpretare.

È una logica comprensibile dal punto di vista commerciale. Le imprese vogliono capire se la comunicazione raggiunge il pubblico e se le proprie campagne producono risultati. Il problema emerge quando questa esigenza finisce per prevalere sulla consapevolezza di chi riceve i messaggi.

Il caso dei tracking pixel racconta proprio questo passaggio. Una tecnologia nata anche per soddisfare esigenze operative può diventare parte di un sistema capace di osservare abitudini individuali, attribuire preferenze e orientare le successive occasioni di contatto.

Le regole italiane cercano di riportare una distinzione all’interno di un meccanismo che tende a cancellarla: misurare il funzionamento di un servizio non equivale a ottenere un’autorizzazione permanente a seguire il comportamento delle persone.

Il 29 ottobre non scompariranno le newsletter, le statistiche di apertura o le comunicazioni commerciali. Cambia però il livello di attenzione richiesto a chi utilizza strumenti invisibili per raccogliere informazioni.

Il risultato più importante potrebbe essere un principio molto semplice: l’interesse di un’azienda a conoscere i propri destinatari non rende automaticamente disponibile ogni dettaglio delle loro abitudini.

In fondo, aprire un’email dovrebbe continuare a significare prima di tutto una cosa: scegliere di leggere un messaggio, non necessariamente accettare di diventare un dato da analizzare.