Il 2026 segna un importante cambio di prospettiva nell’utilizzo dei tracking pixel nelle comunicazioni elettroniche. A le recenti indicazioni del Garante per la protezione dei dati personali – Provvedimento del 17 aprile 2026 – Linee Guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica, le organizzazioni sono chiamate ad una riflessione sulla legittimità delle pratiche comunicative attualmente adottate.
I tracking pixel sono minuscole immagini invisibili inserite all’interno delle e-mail che consentono al mittente di raccogliere informazioni sull’interazione del destinatario con il messaggio trasmesso. Attraverso tali strumenti è possibile sapere se un’e-mail è stata aperta, quando ciò è avvenuto e, in alcuni casi, raccogliere ulteriori informazioni tecniche associate alla consultazione del messaggio, quali l’indirizzo IP o il dispositivo utilizzato.
Secondo l’Autorità, il problema non risiede nell’esistenza della tecnologia in sé, bensì nel fatto che il monitoraggio avviene frequentemente in modo poco trasparente e senza una reale consapevolezza da parte dell’interessato. Il fenomeno, inoltre, non riguarda più soltanto il marketing, ma si è progressivamente diffuso anche nelle comunicazioni aziendali e professionali.
La base normativa: l’art. 122 del Codice Privacy
L’Autorità ha chiarito che l’impiego dei tracking pixel deve essere valutato alla luce dell’articolo 122 del Codice Privacy, disposizione che disciplina l’accesso alle informazioni archiviate sui terminali degli utenti e che costituisce uno dei pilastri della normativa e-Privacy italiana.
La conseguenza pratica è particolarmente rilevante: quando il tracking consente di monitorare il comportamento del singolo destinatario, il consenso preventivo dell’interessato rappresenta, nella maggior parte dei casi, il presupposto necessario per la liceità del trattamento. Il tracking pixel viene infatti considerato uno strumento suscettibile di incidere sulla sfera privata dell’utente.
Quando il consenso diventa necessario
L’Autorità individua alcune situazioni nelle quali il consenso non può essere considerato una mera formalità.
Ciò accade, ad esempio, quando le informazioni raccolte vengono utilizzate per:
- verificare quali destinatari hanno aperto i messaggi;
- monitorare il tasso di apertura riferito a singoli utenti;
- personalizzare contenuti o frequenza delle comunicazioni;
- segmentare i destinatari sulla base dei loro comportamenti;
- realizzare attività di profilazione finalizzate a individuare interessi e preferenze.
In altre parole, quanto più il trattamento è riferibile al singolo individuo e consente la ricostruzione dei suoi comportamenti, tanto più il consenso assume carattere imprescindibile.
Trasparenza e accountability al centro
Accanto al tema del consenso, le indicazioni del Garante rafforzano gli obblighi di trasparenza e accountability. Le organizzazioni devono informare chiaramente gli interessati circa l’esistenza del tracciamento, le finalità perseguite, i dati raccolti e i soggetti coinvolti nel trattamento. Allo stesso tempo, devono garantire la possibilità di revocare il consenso con modalità semplici e continuare a ricevere comunicazioni non tracciate. Sul piano documentale, il titolare deve inoltre essere in grado di dimostrare le valutazioni effettuate, la base giuridica adottata e le misure implementate per assicurare la conformità normativa.
Le attività da avviare entro il 29 ottobre 2026
Il Garante ha previsto un periodo transitorio di sei mesi dalla pubblicazione del provvedimento in Gazzetta Ufficiale, individuando nel 29 ottobre 2026 il termine entro il quale gli operatori dovranno adeguarsi alle nuove indicazioni.
In vista della scadenza, le aziende dovrebbero:
- mappare i sistemi di mailing e le piattaforme utilizzate;
- classificare le differenti forme di tracking in funzione delle finalità perseguite;
- aggiornare informative privacy, registri dei trattamenti e meccanismi di raccolta del consenso;
- riesaminare i rapporti con fornitori e provider tecnologici;
- verificare le configurazioni tecniche adottate;
- applicare concretamente i principi di privacy by design, minimizzazione, proporzionalità e trasparenza.