I tracking pixel nelle e-mail di marketing sono regolati dalle Linee guida del Garante privacy pubblicate in Gazzetta Ufficiale il 29 aprile 2026, e il termine per adeguarsi è scaduto il 29 ottobre. Se un’azienda ha già una lista di iscritti alla newsletter, non deve ripartire da zero: il Garante ha previsto un percorso semplificato. È però un percorso provvisorio e conviene capire bene fino a dove arriva.

In breve

Per i tracking pixel inseriti nelle e-mail inviate a iscritti già presenti nelle liste di marketing, le Linee guida del Garante privacy (provvedimento n. 284 del 17 aprile 2026) chiedono un’informativa aggiornata e un meccanismo di revoca, anche parziale, del consenso. È un regime transitorio, destinato a essere dismesso per i nuovi trattamenti.

Che cos’è un tracking pixel e perché se ne occupa il Garante?

Il tracking pixel è un’immagine grande un solo pixel, spesso trasparente, che non sta dentro l’e-mail ma su un server esterno. Quando il destinatario apre il messaggio, il suo programma di posta scarica l’immagine e, con essa, comunica al mittente che l’e-mail è stata aperta, da quale indirizzo IP, con quale dispositivo, a che ora e quante volte.

Il destinatario non se ne accorge. Per il Garante è proprio questo il problema: uno strumento di tracciamento occulto, dentro un servizio, la posta elettronica, che veicola contenuti privati.

La base giuridica è l’articolo 122 del Codice privacy (d.lgs. 196/2003). Il comma 1 consente l’archiviazione di informazioni nel terminale dell’utente, o l’accesso a quelle già archiviate, solo con il suo consenso dopo adeguata informazione. Il comma 2-bis vieta di monitorare le operazioni dell’utente salvo che la norma lo consenta. Il Garante, richiamando le linee guida dell’EDPB del 2024 sull’ambito di applicazione della direttiva e-Privacy, ritiene che questa disciplina si applichi anche ai pixel nelle e-mail.

Quando serve il consenso per i tracking pixel e quando no?

La regola è il consenso. Le Linee guida individuano però tre casi in cui il titolare può farne a meno:

• il conteggio statistico della percentuale complessiva di aperture, con pixel uguali per tutti i destinatari della stessa campagna e dati tecnici anonimizzati;
• le misure di sicurezza legate all’autenticazione, come la conferma di un account o la richiesta di cambio password;
• i messaggi istituzionali o di servizio che il titolare ha l’obbligo di inviare.

Per l’e-mail marketing queste eccezioni contano poco. Se misuri le aperture del singolo destinatario per cambiare l’oggetto, regolare la frequenza degli invii o costruire profili di interesse, il consenso serve. Il Garante lo dice espressamente al paragrafo 6.

Che cosa deve fare chi ha già una lista di iscritti?

Per i trattamenti già in corso alla data delle Linee guida, come newsletter periodiche e liste già in uso per la prospezione commerciale, il provvedimento prevede due passaggi. Il testo non richiede una nuova raccolta del consenso:

1. Informativa. Va resa con il primo invio utile, o al primo momento di discontinuità disponibile, spiegando che le e-mail contengono pixel di tracciamento e a quale scopo.
2. Revoca anche parziale. Ogni utente deve poter revocare il consenso in modo semplice: o per tutte le e-mail, o solo per il tracciamento, continuando a ricevere i messaggi senza pixel. Il Garante propone un link nel piè di pagina che porti a un’area dedicata.

Chi rifiuta il tracciamento deve poter continuare a usare il servizio senza limitazioni. Tutte le scelte degli interessati vanno registrate, perché il titolare deve poterle dimostrare (art. 7, par. 1, GDPR).

Il consenso ai pixel può stare dentro il consenso al marketing?

In linea di principio sì. Il Garante riconosce che chiedere due consensi separati, uno per ricevere le e-mail e uno per i pixel, produce richieste ridondanti e una stanchezza da consensi che lavora contro l’utente. Per questo ammette un unico consenso informato.

La condizione è che la richiesta sia formulata in modo neutro e senza forzature. Il Garante indica inoltre che, per i nuovi trattamenti, il consenso va raccolto preferibilmente quando si acquisisce l’indirizzo e-mail, dopo l’informativa.

Perché la soluzione per le liste già in uso è provvisoria?

Perché il Garante la definisce così. Il regime descritto sopra si applica esclusivamente ai trattamenti già in corso ed è destinato a essere dismesso man mano che partono nuovi trattamenti, sottoposti alla regola del consenso unico preventivo.

Due conseguenze pratiche. Ogni nuovo iscritto va gestito con informativa e consenso fin dall’inizio, senza scorciatoie. Per le liste storiche, il provvedimento non indica una data di fine del regime transitorio: significa che l’azienda deve prepararsi a una regolarizzazione definitiva, senza sapere con quanto preavviso.

Quanto ai tempi, le Linee guida fissano un termine di sei mesi dalla pubblicazione in Gazzetta Ufficiale (n. 98 del 29 aprile 2026). Il termine è scaduto il 29 ottobre 2026 e non risulta una proroga.

Cosa fare in concreto in azienda

1. Individua chi invia le e-mail: la tua azienda, una piattaforma di invio, un fornitore di liste. Il Garante chiede di definire i ruoli di ciascuno, anche valutando la contitolarità (art. 26 GDPR).
2. Controlla se la tua piattaforma inserisce pixel e con quale finalità.
3. Aggiorna l’informativa e inviala con il primo messaggio utile.
4. Inserisci nel footer un link che permetta di revocare il tracciamento senza disiscriversi.
5. Registra le scelte degli utenti.
6. Valuta le misure di privacy by design indicate dal Garante: ad esempio un identificativo non sequenziale e non intelligibile associato all’indirizzo e-mail solo dentro la piattaforma, in modo che l’indirizzo non compaia nella richiesta tecnica del pixel.

Se vuoi ripassare il contesto, sul Codice privacy dopo il d.lgs. 101/2018 trovi questo articolo e su come uno studio dovrebbe gestire i dati in digitale quest’altro.

Il punto

Informativa aggiornata e meccanismo di revoca sono una soluzione dichiarata dal Garante come transitoria, pensata per accompagnare le liste già in uso. Non è un porto sicuro. L’adeguamento definitivo dipende da come sono state raccolte le liste, da quali piattaforme usi e da come i pixel vengono impiegati.

Per sapere come adeguarti in via definitiva, contattaci: francesco.minazzi@studioindustria.eu.

Per il quadro generale su GDPR e AI Act, trovi il mio libro su Amazon.

Domande frequenti

Devo chiedere di nuovo il consenso a chi è già iscritto alla mia newsletter?
Il provvedimento non prevede una nuova raccolta di consenso per i trattamenti già in corso. Prevede un’informativa da rendere con il primo invio utile e un meccanismo di revoca, anche solo del tracciamento. La regola del consenso unico preventivo vale invece per i nuovi iscritti.

Il consenso al marketing copre anche i tracking pixel?
Per i nuovi trattamenti, in linea di principio sì: il Garante ammette un unico consenso informato a ricevere comunicazioni promozionali e pixel. La richiesta però deve essere neutra, senza forzature, e l’utente deve poter revocare separatamente il solo tracciamento.

Le e-mail di conferma d’ordine o di reset password richiedono il consenso ai pixel?
Di regola no. Le Linee guida considerano compatibili con la deroga i pixel usati per misure di sicurezza legate all’autenticazione e per messaggi di servizio o istituzionali che il titolare ha l’obbligo di inviare. Vale la finalità: se lo stesso pixel serve anche a misurare l’interesse commerciale, la deroga non copre quell’uso.

Cosa succede se non mi sono adeguato entro il 29 ottobre 2026?
Il termine è scaduto: da quella data i trattamenti devono essere conformi alle Linee guida. Le conseguenze si valutano caso per caso. Conviene sistemare subito informativa e revoca e documentare le scelte degli utenti, così da poterle dimostrare in caso di controllo (art. 7, par. 1, GDPR).

Aggiornato al 1° novembre 2026.

NOTA: immagine realizzata con l’AI.