Il 2026 segna un importante cambio di prospettiva nell’utilizzo dei tracking pixel nelle comunicazioni elettroniche. A le recenti indicazioni del Garante per la protezione dei dati personali – Provvedimento del 17 aprile 2026 – Linee Guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica, le organizzazioni sono chiamate ad una riflessione sulla legittimità delle pratiche comunicative attualmente adottate.
I tracking pixel sono minuscole immagini invisibili inserite all’interno delle e-mail che consentono al mittente di raccogliere informazioni sull’interazione del destinatario con il messaggio trasmesso. Attraverso tali strumenti è possibile sapere se un’e-mail è stata aperta, quando ciò è avvenuto e, in alcuni casi, raccogliere ulteriori informazioni tecniche associate alla consultazione del messaggio, quali l’indirizzo IP o il dispositivo utilizzato.
Secondo l’Autorità, il problema non risiede nell’esistenza della tecnologia in sé, bensì nel fatto che il monitoraggio avviene frequentemente in modo poco trasparente e senza una reale consapevolezza da parte dell’interessato. Il fenomeno, inoltre, non riguarda più soltanto il marketing, ma si è progressivamente diffuso anche nelle comunicazioni aziendali e professionali.
L’Autorità ha chiarito che l’impiego dei tracking pixel deve essere valutato alla luce dell’articolo 122 del Codice Privacy, disposizione che disciplina l’accesso alle informazioni archiviate sui terminali degli utenti e che costituisce uno dei pilastri della normativa e-Privacy italiana.
La conseguenza pratica è particolarmente rilevante: quando il tracking consente di monitorare il comportamento del singolo destinatario, il consenso preventivo dell’interessato rappresenta, nella maggior parte dei casi, il presupposto necessario per la liceità del trattamento. Il tracking pixel viene infatti considerato uno strumento suscettibile di incidere sulla sfera privata dell’utente.
L’Autorità individua alcune situazioni nelle quali il consenso non può essere considerato una mera formalità.
Ciò accade, ad esempio, quando le informazioni raccolte vengono utilizzate per:
In altre parole, quanto più il trattamento è riferibile al singolo individuo e consente la ricostruzione dei suoi comportamenti, tanto più il consenso assume carattere imprescindibile.
Accanto al tema del consenso, le indicazioni del Garante rafforzano gli obblighi di trasparenza e accountability. Le organizzazioni devono informare chiaramente gli interessati circa l’esistenza del tracciamento, le finalità perseguite, i dati raccolti e i soggetti coinvolti nel trattamento. Allo stesso tempo, devono garantire la possibilità di revocare il consenso con modalità semplici e continuare a ricevere comunicazioni non tracciate. Sul piano documentale, il titolare deve inoltre essere in grado di dimostrare le valutazioni effettuate, la base giuridica adottata e le misure implementate per assicurare la conformità normativa.
Il Garante ha previsto un periodo transitorio di sei mesi dalla pubblicazione del provvedimento in Gazzetta Ufficiale, individuando nel 29 ottobre 2026 il termine entro il quale gli operatori dovranno adeguarsi alle nuove indicazioni.
In vista della scadenza, le aziende dovrebbero:
Hai bisogno di informazioni? Scrivici e il nostro team di esperti ti risponderà il prima possibile.
Compila il form