In breve Un pixel che registra chi apre una email accede al dispositivo di chi la legge: vale l'art. 122 del Codice privacy, che recepisce l'art. 5, par. 3, della direttiva ePrivacy. Con il provvedimento n. 284 del 17 aprile 2026 il Garante ha chiarito che serve sempre l'informativa e, di regola, il consenso, salvo alcune eccezioni: il Garante ne indica tre. Il consenso può stare dentro quello al marketing, se chiesto in modo neutro, ma la revoca deve poter togliere solo il pixel. Il termine per adeguarsi, secondo il Garante, era il 29 ottobre 2026.
Che cos'è un pixel di tracciamento
È un'immagine minuscola, spesso trasparente, che non sta dentro l'email ma su un server remoto. Quando il destinatario apre il messaggio, il programma di posta la scarica. Con quella richiesta il mittente, o un suo partner, sa che l'email è stata aperta. Può sapere anche quando, quante volte, da quale dispositivo e, tramite l'indirizzo IP, da dove. Il Garante lo descrive così nelle sue linee guida, e aggiunge che di regola il pixel è diverso per ogni destinatario.
L'EDPB arriva alla stessa conclusione nelle Linee guida 2/2023 sull'ambito tecnico dell'art. 5, par. 3, della direttiva ePrivacy (par. 47-51). Il pixel che arriva sul dispositivo, anche solo nella cache del programma di posta, è un'archiviazione di informazioni. Raccogliere l'identificativo che il pixel rimanda indietro è un accesso. Quindi la norma si applica.
La regola: art. 122 del Codice privacy
L'art. 122, comma 1, consente di archiviare informazioni sul dispositivo di una persona, o di leggerle, solo con il suo consenso, dopo averla informata. Fanno eccezione le operazioni che servono solo a trasmettere una comunicazione e quelle strettamente necessarie a un servizio che la persona ha chiesto. Il comma 2-bis vieta tutto il resto. È lo stesso principio dell'art. 5, par. 3, della direttiva 2002/58/CE.
Il Garante precisa che la direttiva, e quindi l'art. 122, prevale sul GDPR dove è più specifica. Il GDPR resta la cornice: trasparenza, correttezza, responsabilità del titolare, protezione dei dati fin dalla progettazione.
Il provvedimento del 17 aprile 2026
Le «Linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica» sono il provvedimento n. 284 del 17 aprile 2026. Sono state pubblicate sulla Gazzetta Ufficiale n. 98 del 29 aprile 2026 e sono rivolte a chiunque usi pixel: mittenti, piattaforme di invio, fornitori di liste in noleggio, fornitori della tecnologia di tracciamento.
Il testo dà sei mesi dalla pubblicazione in Gazzetta per adeguarsi. Nella newsletter n. 553 dell'8 ottobre 2026 il Garante ha indicato la data: entro il 29 ottobre 2026. Ha anche ricordato che i controlli sui pixel rientrano nelle ispezioni previste per il secondo semestre 2026.
Quando non serve il consenso
L'informativa serve sempre: un pixel nascosto viola il principio di correttezza, qualunque sia lo scopo dell'email. Del consenso invece si può fare a meno in diversi casi. Il Garante ne indica tre, come esempi:
- Conteggio statistico anonimo della percentuale di aperture, per esempio per migliorare il recapito o contrastare lo spam. Il Garante suggerisce lo stesso pixel per tutti i destinatari di una campagna e l'anonimizzazione di IP e altri dati tecnici, così da non permettere misure per singola persona.
- Sicurezza e autenticazione: attivazione di un account, cambio password, risposta a una richiesta di esercizio dei diritti.
- Messaggi istituzionali o di servizio che il mittente ha l'obbligo di inviare e di cui conta che il destinatario prenda visione: avvisi contro il phishing, modifiche contrattuali, notifiche di incidenti di sicurezza, promemoria di scadenze.
Quando serve il consenso
In tutti gli altri casi. Il Garante fa esempi molto concreti. Serve il consenso se misuri le aperture persona per persona per migliorare le campagne promozionali, per esempio cambiando l'oggetto a chi apre poco. Serve se adatti la frequenza o smetti di scrivere a chi non apre. Serve se usi la lettura dell'email per dedurre gusti e interessi e costruire profili commerciali.
Per chi vende lead questo tocca da vicino le liste: una fascia «mai aperto» costruita con il pixel, senza consenso, non è utilizzabile.
Come chiedere il consenso e come farlo revocare
Per i trattamenti nuovi il consenso si chiede, preferibilmente, quando si raccoglie l'indirizzo, dopo l'informativa. L'informativa può essere su più livelli: una frase nel modulo e un link al testo completo.
Il consenso al pixel può stare dentro quello alle comunicazioni promozionali, così la persona dà un consenso unico. Il Garante pone due condizioni:
- la richiesta deve essere formulata in modo neutro, senza forzature;
- la revoca deve poter essere granulare: tutto insieme, e quindi niente più email, oppure solo il pixel, continuando a ricevere le email senza tracciamento.
Il Garante suggerisce un link o un'icona nel piè di pagina di ogni email che porti a un'area dove scegliere. Chi rifiuta il tracciamento deve continuare a ricevere il servizio senza limitazioni. Le scelte vanno registrate, anche per poterle dimostrare (art. 7, par. 1, GDPR).
Per gli invii già in corso prima delle linee guida c'è un regime transitorio. Basta l'informativa al primo invio utile, insieme a un meccanismo di revoca anche solo del pixel, ben visibile. Con i trattamenti nuovi si torna alla regola del consenso preventivo.
Una nota di prudenza. In generale l'EDPB chiede un consenso per ogni finalità (Linee guida 05/2020, par. 44). Il consenso unico al marketing e al pixel è una semplificazione del Garante italiano: chi invia anche in altri Paesi dell'UE farà bene a verificarla con un legale.
I link tracciati
Le linee guida del Garante parlano solo dei pixel. L'EDPB, nelle Linee guida 2/2023 (par. 49-51), tratta allo stesso modo i link con un identificativo aggiunto all'indirizzo. Un link che dice chi ha cliccato, persona per persona, rischia quindi di ricadere nella stessa regola. È un punto da chiarire con un legale.
Checklist per chi invia email
- Elenca dove sono i pixel: newsletter, DEM, email di servizio, email transazionali.
- Per ognuno, scrivi la finalità e la base: consenso o una delle tre eccezioni.
- Aggiorna l'informativa con una sezione sui pixel.
- Per i nuovi iscritti, chiedi il consenso al momento della raccolta.
- Metti in ogni email un link per togliere solo il tracciamento.
- Tieni pronta una versione dell'email senza pixel per chi lo rifiuta.
- Usa identificativi non leggibili e non sequenziali, e non mettere l'indirizzo email nella richiesta del pixel, come suggerisce il Garante.
- Definisci i ruoli con la piattaforma di invio e con chi ti noleggia le liste, anche per l'eventuale contitolarità (art. 26 GDPR).
- Se non ti serve, togli il pixel.
Una proposta da seguire
Il 19 novembre 2025 la Commissione europea ha proposto un pacchetto chiamato Omnibus digitale (COM(2025) 837). Fra l'altro sposterebbe nel GDPR, in un articolo nuovo, le regole sull'accesso ai dispositivi oggi nella direttiva ePrivacy. È solo una proposta. Al 3 novembre 2026 la scheda della procedura al Parlamento europeo la indica in attesa di decisione della commissione competente. Oggi valgono l'art. 122 e le linee guida del Garante.
Come lo stiamo progettando in Markmatix
Markmatix è in costruzione, e le email di servizio sono una parte del progetto. Le aperture saranno spente in partenza. Clic e pixel di terzi nelle DEM seguiranno le impostazioni privacy dell'editore e i consensi del singolo contatto. La misurazione di aperture e clic sarà una finalità a sé nel registro dei consensi, e il link per revocare la misurazione vincerà sempre su ogni altra regola. Per seguirne lo sviluppo c'è la lista d'attesa.
Fonti
- Garante per la protezione dei dati personali, provvedimento n. 284 del 17 aprile 2026, «Linee Guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica» (G.U. Serie Generale n. 98 del 29 aprile 2026), doc. web n. 10241943. garanteprivacy.it
- Garante per la protezione dei dati personali, comunicato stampa del 21 aprile 2026 sulle linee guida, doc. web n. 10241977. garanteprivacy.it
- Garante per la protezione dei dati personali, Newsletter n. 553 dell'8 ottobre 2026, «Email marketing, in vigore le Linee guida sui tracking pixel», doc. web n. 10305399. garanteprivacy.it
- Decreto legislativo 30 giugno 2003, n. 196 (Codice privacy), art. 122. Normattiva
- Direttiva 2002/58/CE (ePrivacy) del 12 luglio 2002, art. 5, par. 3, nel testo modificato dalla direttiva 2009/136/CE. EUR-Lex
- Regolamento (UE) 2016/679 (GDPR), artt. 7, 25 e 26. EUR-Lex
- EDPB, Orientamenti 2/2023 sull'ambito di applicazione tecnico dell'art. 5, par. 3, della direttiva ePrivacy, versione 2.0, adottati il 7 ottobre 2024: par. 47-51. edpb.europa.eu
- EDPB, Linee guida 05/2020 sul consenso, versione 1.1, adottate il 4 maggio 2020: par. 44. edpb.europa.eu
- Commissione europea, proposta di regolamento COM(2025) 837 final del 19 novembre 2025 (Omnibus digitale), procedura 2025/0360(COD). EUR-Lex · Osservatorio legislativo del Parlamento europeo
Questa guida spiega le regole in generale e non è una consulenza legale: per il tuo caso chiedi a un avvocato.