Negli ultimi giorni molte aziende, comprese compagnie assicurative e altri operatori che inviano newsletter e comunicazioni commerciali, stanno recapitando ai propri clienti informative aggiornate sui “tracking pixel” inseriti nelle email. Il motivo è la scadenza, lo scorso 29 ottobre, del termine di adeguamento fissato dal Garante per la protezione dei dati personali con il provvedimento n. 284 del 17 aprile 2026, pubblicato in Gazzetta Ufficiale n. 98 del 29 aprile 2026: sei mesi esatti per mettersi in regola con le nuove Linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica.
Il pixel di tracciamento è una piccola immagine, spesso invisibile e delle dimensioni di un solo pixel, inserita come collegamento ipertestuale nel corpo dell’email ma ospitata su un server remoto: quando il destinatario apre il messaggio e scarica le immagini, il server registra l’apertura e può raccogliere dati come l’indirizzo IP, il dispositivo utilizzato, l’orario e il numero di aperture. Se l’email viene letta in modalità solo testo, il download non avviene e il tracciamento non si attiva.
Il Garante richiama anzitutto l’articolo 122 del Codice Privacy, che vieta in via generale l’uso di questi strumenti salvo specifiche eccezioni: il consenso informato, libero, specifico e inequivocabile dell’utente, necessario in particolare quando il pixel misura il comportamento del singolo destinatario per personalizzare campagne o costruire profili commerciali. Il consenso non serve invece per statistiche aggregate e anonime, per finalità di sicurezza o antispam, né per comunicazioni istituzionali o di servizio in cui rilevare l’avvenuta lettura ha una funzione essenziale, come avvisi di modifiche contrattuali, incidenti di sicurezza o tentativi di phishing.
Le aziende devono inoltre garantire un’informativa chiara e accessibile, raccolta prima dell’uso del pixel, e una possibilità di revoca “in qualsiasi momento e con facilità”, di tipo granulare: il destinatario deve poter continuare a ricevere le comunicazioni senza essere tracciato, senza che il rifiuto limiti l’accesso al servizio. Sul piano tecnico, il Garante suggerisce identificativi non intelligibili e non sequenziali per ciascun destinatario, in attuazione del principio di privacy by design dell’articolo 25 del GDPR.
Per le aziende, la scadenza ormai maturata rende concreto il rischio sanzionatorio previsto dall’articolo 83 del GDPR, fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, anche se le sanzioni finora irrogate dal Garante in materia di tracciamento sono state storicamente più contenute.
Articoli simili
Negli ultimi due giorni diversi siti istituzionali italiani ed europei sono risultati irraggiungibili o “in manutenzione” — tra questi anche quello di AgID, l’Agenzia per…
Perché non riesci a smettere di scrollare? Non è colpa tua: ora lo dice anche la legge
Dallo scroll infinito alle notifiche notturne, la Commissione europea ha accertato che il design di TikTok viola il Digital Services Act, mentre negli Stati Uniti…
Microsoft: “I modelli di frontiera non sono affidabili”, arrivano i guardiani degli agenti AI
Satya Nadella rilancia Project Perception con i Guardian Agents: sorveglianza indipendente sugli assistenti IA usati dalle aziende, anche quelli sviluppati dalla stessa Microsoft
