Il monitoraggio delle aperture delle e-mail è una funzionalità ormai consolidata nelle piattaforme di marketing automation. Tuttavia, la possibilità di sapere chi ha aperto un messaggio, quante volte lo ha consultato e in quale momento pone questioni rilevanti in materia di protezione dei dati personali.
Con il vademecum pubblicato il 5 ottobre 2026, il Garante per la protezione dei dati personali ha richiamato l’attenzione sulle Linee guida del 17 aprile 2026 dedicate all’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica. Il termine previsto per l’adeguamento è fissato al 29 ottobre 2026.
Che cosa sono i tracking pixel e quale disciplina si applica?
I tracking pixel sono immagini di dimensioni minime, spesso trasparenti e invisibili al destinatario, inserite nel codice HTML di un’e-mail e richiamate da un server remoto. Quando il programma di posta scarica l’immagine, il server può registrare l’apertura del messaggio e raccogliere informazioni tecniche, come l’indirizzo IP, l’orario dell’evento e identificativi associati al destinatario.
Il problema giuridico non riguarda soltanto l’eventuale profilazione commerciale. Il tracciamento può avvenire senza che l’interessato ne sia consapevole, consentendo al mittente di monitorarne il comportamento.
Il Garante riconduce l’impiego di questi strumenti all’articolo 122 del Codice Privacy, che disciplina l’archiviazione di informazioni sul terminale dell’utente e l’accesso a informazioni già archiviate. Ne consegue che la liceità non può essere valutata esclusivamente sulla base dell’articolo 6 GDPR: occorre verificare anche le condizioni previste dalla disciplina speciale sulle comunicazioni elettroniche, oltre agli obblighi di trasparenza e responsabilizzazione del titolare.
Quando è necessario il consenso?
La regola generale è il consenso preventivo, libero, specifico e informato per l’utilizzo dei tracking pixel, fatte salve le eccezioni individuate dal Garante.
Una distinzione essenziale riguarda la finalità e le modalità del trattamento. Il monitoraggio individuale delle aperture per misurare l’interesse verso prodotti, segmentare i destinatari o attivare successive campagne promozionali richiede una verifica specifica dell’obbligo di consenso.
Diversamente, può essere ammessa la misurazione statistica aggregata quando siano adottate misure idonee a impedire l’identificazione dei singoli destinatari. Possono inoltre rilevare le deroghe previste per comunicazioni di servizio e finalità strettamente necessarie, da valutare in concreto.
Non è quindi sufficiente che una piattaforma offra una funzione di tracciamento: il titolare deve verificare se l’uso effettivo sia compatibile con le condizioni di liceità previste.
Come devono adeguarsi le aziende?
L’adeguamento richiede interventi tecnici e documentali coordinati. In particolare, le imprese devono:
- verificare se gli strumenti in uso impiegano tracking pixel e quali dati raccolgono;
- rivedere informative e consensi;
- configurare correttamente gli strumenti in uso e privilegiare, ove possibile, statistiche aggregate e misure di minimizzazione;
- garantire una revoca effettiva, separando il consenso al tracciamento da quello alla ricezione delle comunicazioni promozionali.
La possibilità di revocare il solo consenso al tracciamento assume particolare importanza. L’interessato dovrebbe poter continuare a ricevere una newsletter anche senza essere monitorato, quando ciò sia compatibile con il servizio offerto.
Il 29 ottobre 2026 rappresenta quindi una scadenza operativa per le imprese: verificare oggi gli strumenti di tracciamento significa ridurre il rischio di trattamenti illeciti e rendere le attività di e-mail marketing più trasparenti e sostenibili sotto il profilo della protezione dei dati personali.
