Mancano poco più di sette settimane al 29 ottobre 2026, termine entro cui chiunque invii email commerciali, newsletter o comunicazioni istituzionali in Italia deve essersi adeguato alle linee guida del Garante privacy sui pixel di tracciamento. Il provvedimento n. 284 del 17 aprile 2026 è stato pubblicato in Gazzetta Ufficiale n. 98 del 29 aprile, e da quella data decorrono i sei mesi concessi agli operatori.

È una scadenza che sta passando sotto traccia in molte aziende, per un motivo semplice: il tracciamento delle email vive quasi sempre dentro la piattaforma di marketing automation, gestita dal reparto marketing o da un'agenzia esterna, e raramente arriva sul tavolo di chi si occupa di conformità. Il risultato è che a fine ottobre parecchie organizzazioni si troveranno non conformi senza averlo mai deciso.

Cosa dice il provvedimento

Il tracking pixel è un'immagine trasparente di dimensioni minime, invisibile all'utente, inserita nel corpo di un messaggio HTML. Quando il destinatario apre l'email, il client scarica quell'immagine dal server del mittente: da quel momento il mittente sa che il messaggio è stato aperto, quando, quante volte, con che tipo di dispositivo e da quale indirizzo IP.

Il Garante ha affrontato la materia per la prima volta in modo organico e ha stabilito alcuni punti fermi:

  • Il tracking pixel è trattamento di dati personali. Se il pixel consente di ricondurre l'apertura a un destinatario identificato — e nelle campagne di direct email marketing è esattamente così, perché l'URL del pixel contiene un identificativo univoco — non è un dato aggregato ma un dato personale a tutti gli effetti.
  • Serve una base giuridica valida, che nella maggior parte dei casi è il consenso. Non il legittimo interesse. Lo standard applicato è lo stesso già noto per i cookie: consenso preventivo, informato, libero.
  • Il consenso può essere unico, ma non forzato. Il Garante ammette che il consenso al tracciamento sia ricompreso in quello generale alla ricezione di comunicazioni promozionali, a condizione che la richiesta sia formulata in modo neutro, senza pressioni o formulazioni che inducano l'utente ad accettare.
  • La revoca deve essere granulare. L'utente deve poter scegliere tra due opzioni distinte: revocare tutto e non ricevere più nulla, oppure revocare solo il tracciamento e continuare a ricevere le comunicazioni prive di pixel. È questo, tecnicamente, il punto più oneroso.
  • L'ambito è ampio. Le linee guida non riguardano solo le newsletter promozionali: coprono anche le email transazionali e i messaggi istituzionali, e si rivolgono sia a chi invia sia ai fornitori delle piattaforme di invio e a chi sviluppa tecnicamente i sistemi di tracciamento.

Cosa significa per le aziende italiane

Il punto delicato non è il consenso in sé — quasi tutti hanno già un flusso di raccolta consensi per il marketing — ma la granularità della revoca. Molte piattaforme di email marketing, italiane e internazionali, oggi offrono un interruttore unico: iscritto o disiscritto. Non prevedono lo stato intermedio "iscritto ma senza tracciamento". Adeguarsi significa quindi, in ordine: verificare se la propria piattaforma supporta nativamente l'invio senza pixel per un sottoinsieme di destinatari, e se non lo supporta, capire con il fornitore se lo farà entro ottobre oppure costruire una soluzione interna, ad esempio con una lista separata e un template privo di tracciamento.

Il secondo aspetto pratico riguarda le email transazionali. La conferma d'ordine, l'avviso di spedizione, il promemoria di scadenza: sono messaggi inviati su base contrattuale, per i quali non serve consenso. Ma il pixel che ci mettete dentro non è coperto da quella base giuridica, perché non serve a eseguire il contratto: serve a misurare l'engagement. Molte configurazioni standard delle piattaforme applicano il tracciamento a tutti i template indistintamente. Questa è probabilmente la non conformità più diffusa e meno visibile.

C'è poi il tema delle responsabilità nella catena. Nella maggior parte dei casi l'azienda che invia è titolare del trattamento e la piattaforma è responsabile ex art. 28 GDPR. Se la piattaforma inserisce il pixel per impostazione predefinita e il titolare non lo sa, la responsabilità verso l'interessato resta del titolare. Vale la pena rileggere il contratto di nomina e verificare che le istruzioni documentate coprano esplicitamente il tracciamento delle aperture.

Un'osservazione di contesto, per capire dove sta andando il tema. Il Garante sta applicando ai pixel la stessa logica che ha già applicato ai cookie e, più di recente, ad altre tecnologie di tracciamento lato server: conta l'effetto — l'osservazione del comportamento di una persona identificabile — non lo strumento tecnico. Chi si è già adeguato bene sul fronte cookie ha metà del lavoro fatto, perché ha già una mappa dei trattamenti di marketing e un registro dei consensi con storicizzazione. Chi ha risolto i cookie con un banner comprato e mai configurato scoprirà ora che quel debito tecnico si paga due volte.

Va detto anche il rovescio della medaglia, per onestà intellettuale: le linee guida rendono strutturalmente meno affidabili le metriche di apertura, che restano uno degli indicatori su cui il marketing costruisce le proprie decisioni. Non è un effetto collaterale imprevisto — è l'esito voluto di una scelta che mette il controllo dell'utente davanti alla misurabilità della campagna — ma chi deve gestire il cambiamento internamente farà bene ad anticiparlo, perché la resistenza organizzativa arriverà da lì.

Cosa fare entro il 29 ottobre

  • Fate l'inventario degli invii: newsletter, DEM, transazionali, comunicazioni di servizio, notifiche di prodotto. Per ciascun flusso stabilite se contiene un pixel di tracciamento. Nel dubbio, aprite un messaggio reale e ispezionate l'HTML cercando immagini di 1x1 pixel o URL contenenti parametri identificativi.
  • Chiedete al fornitore della piattaforma, per iscritto, se supporta la disattivazione selettiva del tracciamento per singolo destinatario e con quali tempi. La risposta determina il vostro piano.
  • Rimuovete il tracciamento dalle email transazionali salvo che abbiate raccolto un consenso specifico. È l'intervento a rapporto costo-beneficio migliore.
  • Aggiornate l'informativa privacy descrivendo il tracciamento delle aperture, le finalità, i tempi di conservazione dei dati di apertura e le modalità di revoca.
  • Rivedete il form di raccolta consensi: la formulazione deve essere neutra, senza checkbox pre-spuntate e senza design che spinga verso l'accettazione.
  • Predisponete il doppio percorso di revoca nella pagina di gestione preferenze o nel footer: "non voglio più ricevere comunicazioni" e "voglio continuare a riceverle senza tracciamento".
  • Verificate i tempi di conservazione: i dati di apertura raccolti per anni senza una politica di cancellazione sono un problema autonomo rispetto al consenso.
  • Aggiornate il registro dei trattamenti e, se il tracciamento alimenta profilazione con effetti significativi, valutate se serve una DPIA.

Sette settimane sono sufficienti per un intervento ordinato, ma solo se si parte adesso: se la piattaforma non supporta la revoca granulare, il tempo tecnico per una soluzione alternativa non è di pochi giorni.