Se mandi una newsletter e guardi quante persone l’hanno aperta, stai usando un tracking pixel. Il Garante ha dato sei mesi per adeguarsi alle sue Linee guida del 17 aprile 2026. Il vademecum del 5 ottobre fissa il termine: entro il 29 ottobre 2026.
La regola di fondo è la stessa dei cookie: il pixel che riconosce il singolo destinatario richiede un consenso preventivo. Ma le eccezioni sono più ampie di quanto si legge spesso. Qui trovi cosa chiede il provvedimento e quando il consenso non serve. E cosa controllare nella tua piattaforma di invio, che sia Mailchimp, Brevo, FluentCRM o un’altra.
In sintesi
- Il Garante tratta il pixel nelle email come un cookie: si applica l’articolo 122 del Codice privacy. Lo dice il provvedimento n. 284 del 17 aprile 2026 (G.U. n. 98 del 29 aprile 2026).
- Il termine per adeguarsi è entro il 29 ottobre 2026: informative, consensi e sistemi di revoca.
- Serve il consenso preventivo quando il pixel riconosce il singolo destinatario.
- Non serve per le statistiche aggregate con dati anonimizzati, per la sicurezza e l’autenticazione e per le comunicazioni di servizio obbligatorie. L’informativa serve sempre.
- Il consenso può stare insieme a quello per la newsletter, se chiesto in modo neutro. La revoca invece deve poter riguardare solo il tracciamento.
- La verifica di queste Linee guida è nel piano ispettivo del Garante per agosto-dicembre 2026.
Cos’è un tracking pixel e perché il Garante lo tratta come un cookie?
È un’immagine minuscola, spesso trasparente e grande un solo pixel, inserita nell’email e ospitata sul server della piattaforma di invio. Quando apri il messaggio, il programma di posta scarica l’immagine e il server registra l’apertura: quando, da quale dispositivo, spesso da quale indirizzo IP. Il pixel è di norma diverso per ogni destinatario, quindi dice chi ha aperto, non solo quanti.
Per il Garante inserire il pixel equivale ad archiviare un’informazione nel dispositivo di chi riceve. Rilevare l’apertura equivale ad accedere a un’informazione già archiviata. Sono le due operazioni regolate dall’articolo 122 del Codice privacy, lo stesso articolo dei cookie. Il provvedimento osserva anche che il destinatario non può escludere solo alcuni pixel: il blocco delle immagini le riguarda tutte.
Quando serve il consenso?
Quando il pixel riconosce il singolo destinatario, cioè registra che proprio quella persona ha aperto l’email. Fanno eccezione solo i tre casi della sezione successiva. Il provvedimento cita, per esempio, chi cambia l’oggetto dei messaggi quando il tasso di apertura è basso e chi crea profili commerciali. È il caso più comune: la piattaforma segna «aperta» accanto a ogni contatto. Oppure un flusso automatico riscrive a chi non ha aperto il primo messaggio.
Il consenso va chiesto prima, preferibilmente nel momento in cui raccogli l’indirizzo, e dopo l’informativa. Il Garante ammette che possa essere compreso nel consenso alle comunicazioni promozionali, purché la richiesta sia formulata «in modo neutro e privo di forzature». In pratica: il modulo di iscrizione deve dire chiaramente che le aperture vengono misurate, non nasconderlo in fondo all’informativa.
Quando il consenso non serve?
Il consenso non serve in tre casi: statistiche aggregate e anonime, sicurezza e autenticazione, comunicazioni di servizio obbligatorie. Per il Garante la deroga vale «in un numero rilevante di casi». Va comunque applicata con proporzionalità e minimizzazione dei dati.
| Caso | A quali condizioni |
|---|---|
| Statistiche aggregate sul tasso di apertura | Dati anonimizzati, compresi indirizzo IP e programma di posta. Il Garante suggerisce un pixel uguale per tutta la campagna, non diverso per ogni destinatario. |
| Sicurezza e autenticazione | Per esempio la conferma di attivazione di un account o una richiesta di modifica della password, per verificare che il messaggio sia aperto su un terminale noto della persona. |
| Comunicazioni di servizio che sei obbligato a mandare | Per esempio indicazioni contro phishing e frodi, modifiche contrattuali, notifiche di incidenti di sicurezza, promemoria di scadenze contrattuali o contributive. Le email transazionali non sono escluse in blocco. |
Elaborazione Aeon Lab sul paragrafo 5 delle Linee guida del 17 aprile 2026.
La prima riga è la più utile per una PMI. Se ti basta sapere quanti iscritti hanno aperto la newsletter di ottobre, senza sapere chi, il consenso non serve. L’informativa sì. Ti serve però una piattaforma che anonimizzi davvero i dati: il pixel per contatto con una media calcolata dopo non basta.
Cosa va scritto nell’informativa?
Che usi i pixel, a cosa servono e come rinunciarci. Il Garante dice che senza trasparenza i pixel sono «inutilizzabili», anche nei casi in cui il consenso non serve. L’informativa può essere su più livelli: una frase breve nel modulo e nel piè di pagina dell’email, con un link alla versione completa. Per le liste già attive va data con il primo invio utile.
Come si revoca il consenso solo al tracciamento?
Con un link o un’icona nel piè di pagina dell’email che porti a una pagina dove scegliere. Le opzioni sono due: smettere di ricevere le email, oppure continuare a riceverle senza pixel. Chi sceglie la seconda deve poter usare il servizio come prima. Le scelte vanno registrate, perché tocca a te dimostrare il consenso (articolo 7 del GDPR).
Il Garante chiede anche protezione dei dati fin dalla progettazione: l’identificativo del pixel deve essere «inintelligibile e non sequenziale». La corrispondenza con l’indirizzo email va tenuta in un archivio separato della piattaforma. Su questo il lavoro lo fanno le piattaforme serie; il tuo compito è verificarlo e scegliere bene.
Chi è responsabile, l’azienda o la piattaforma?
L’azienda che manda le email. È lei a decidere perché misurare le aperture. La piattaforma di invio di regola agisce per suo conto e su sue istruzioni, come responsabile del trattamento. Il provvedimento non esclude la contitolarità (articolo 26 del GDPR) quando il fornitore della tecnologia partecipa alle decisioni. Per questo conviene rileggere il contratto e le impostazioni della piattaforma, non solo l’informativa.
Cosa fare per essere in regola?
Per essere in regola entro il 29 ottobre 2026 devi prima decidere se ti serve sapere chi apre. Poi sistemi informativa, consenso e revoca, e controlli automazioni e contratto. Ecco i sette passi, in quest’ordine.
- Apri le impostazioni della piattaforma e cerca il tracciamento delle aperture: è attivo? Per contatto o aggregato?
- Decidi se ti serve sapere chi apre. Se ti bastano le percentuali, passa alle statistiche aggregate o spegni il tracciamento delle aperture. È la strada più semplice.
- Se ti serve il dato per contatto, aggiungi al modulo di iscrizione una richiesta di consenso chiara e cita i pixel nell’informativa.
- Aggiungi nel piè di pagina il link per rinunciare solo al tracciamento, oltre a quello per disiscriversi.
- Informa la lista esistente con il primo invio utile.
- Controlla le email automatiche: conferme d’ordine, promemoria, flussi di benvenuto. Solo quelle di sicurezza e di servizio obbligatorie sono escluse dal consenso, non dall’informativa.
- Rileggi il contratto con la piattaforma e conserva le istruzioni che le hai dato.
Se usi pixel anche sul sito, come quelli dei social o di Google Ads, valgono le regole del banner dei cookie. Le trovi nel nostro articolo sul cookie banner a norma. Le altre verifiche sui dati raccolti dal sito sono nella guida al GDPR del sito web.
Test di autovalutazione
Newsletter, moduli, strumenti di tracciamento: li tratti come chiede il GDPR?
Quindici domande, tre minuti: cosa raccoglie il sito, con quali strumenti e fornitori, e dieci verifiche su informativa, cookie, contratti e trasferimenti. Nessun dato da lasciare.
Cosa rischia chi non si adegua?
Il Garante ha inserito la verifica di queste Linee guida nel piano ispettivo di agosto-dicembre 2026, svolto anche con la Guardia di Finanza. Per l’articolo 122 del Codice privacy valgono le sanzioni del GDPR richiamate dall’articolo 166, comma 2, del Codice. Ma per una PMI il rischio più concreto è un altro, e lo abbiamo visto con i banner dei cookie. È il reclamo di un iscritto, quando il tracciamento è attivo da anni e nessuno ricorda perché.
Come ti aiuta Aeon Lab
La parte legale dell’informativa la scrive il consulente privacy. Noi lavoriamo sulla parte tecnica, dove di solito sta il problema:
- Verifica della piattaforma di invio: tracciamento delle aperture e dei clic, pixel per contatto o di campagna, automazioni che usano il dato.
- Modulo di iscrizione e piè di pagina aggiornati: consenso, informativa breve, link per rinunciare solo al tracciamento.
- Allineamento con il sito: banner dei cookie, pixel dei social, fornitori fuori dall’Unione. Lo facciamo dentro la consulenza di compliance e nella gestione del sito aziendale.
Controlliamo insieme la tua newsletter →
Domande frequenti
Le Linee guida vietano i tracking pixel?
No. Ne regolano l’uso: informativa sempre, consenso preventivo quando il pixel misura il singolo destinatario, revoca anche solo del tracciamento. Le statistiche aggregate con dati anonimizzati restano possibili senza consenso.
Il consenso alla newsletter vale anche per il pixel?
Può valere, se nella richiesta di consenso il tracciamento delle aperture è indicato in modo chiaro e neutro. Un consenso alla newsletter raccolto senza dirlo non copre il pixel per contatto.
Le email di conferma d’ordine sono escluse?
Non in blocco. Il provvedimento esclude le comunicazioni di sicurezza e autenticazione e quelle di servizio che il titolare è obbligato a mandare. Se in una conferma d’ordine il pixel serve a misurare l’interesse del cliente, la deroga non vale.
Cosa devo fare con gli iscritti che ho già?
Dare l’informativa con il primo invio utile e, se misuri le aperture per contatto, raccogliere il consenso o passare alle statistiche aggregate. Il link per rinunciare al solo tracciamento va aggiunto anche nelle email alla lista esistente.
Vale anche per chi usa piattaforme americane come Mailchimp?
Sì: le Linee guida riguardano chi manda le email, qualunque piattaforma usi. Con un fornitore fuori dall’Unione c’è in più la questione dei trasferimenti, che trattiamo in un articolo dedicato.
In breve
Entro il 29 ottobre 2026 il pixel che dice chi ha aperto la tua newsletter deve avere consenso preventivo, informativa e revoca del solo tracciamento. Le statistiche aggregate e anonime, le email di sicurezza e quelle di servizio obbligatorie non richiedono il consenso. L’informativa serve sempre. Per molte PMI la scelta più semplice è decidere se il dato per contatto serve davvero: se non serve, si spegne. Fa parte della serie sul GDPR del sito: la procedura per le 72 ore in caso di violazione è nella guida al data breach sul sito.
Pubblicato il 26 ottobre 2026. Ultimo aggiornamento: 26 ottobre 2026.
Fonti
- Garante per la protezione dei dati personali — Linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica, provvedimento n. 284 del 17 aprile 2026 (G.U. Serie Generale n. 98 del 29 aprile 2026), paragrafi 1, 3, 4, 5, 6.
- Garante — Comunicato stampa del 21 aprile 2026.
- Garante — Vademecum «E-mail marketing: le linee guida sui tracking pixel», 5 ottobre 2026 (termine del 29 ottobre 2026).
- Garante — Deliberazione del 23 luglio 2026 sull’attività ispettiva agosto-dicembre 2026, punto g).
- Codice privacy (D.Lgs. 196/2003), artt. 122 e 166, comma 2.
- Regolamento (UE) 2016/679 — artt. 5, 7, 25, 26, 28.