Il Garante per la protezione dei dati personali ha emanato il 17 aprile 2026 le Linee Guida sull’uso dei tracking pixel nelle comunicazioni di posta elettronica, pubblicate sulla Gazzetta Ufficiale Serie Generale n. 98 del 29 aprile 2026. Il 29 ottobre 2026 sono scaduti i 6 mesi concessi alle organizzazioni pubbliche e private per l’adeguamento.
Secondo Gesta, società benefit di consulenza della Liguria, l’uso dei tracking pixel è un trattamento rilevante per la normativa sui dati personali. Vengono in evidenza l’articolo 122 del Codice Privacy, che qualifica il pixel come attività che comporta archiviazione e accesso a informazioni memorizzate sul dispositivo del destinatario, e il Regolamento Ue 2016/679 (Gdpr), con i principi di trasparenza, consenso, accountability, Privacy by Design e by Default.
Il provvedimento si applica a tutti i soggetti pubblici e privati: mittenti, fornitori di piattaforme Dem ed Esp, e-mail provider e fornitori di liste di distribuzione. Riguarda tutte le tipologie di e-mail: newsletter, Dem, comunicazioni transazionali o automatiche ed e-mail di servizio o istituzionali. La trasparenza si garantisce con un’informativa dedicata a questa specifica attività di trattamento.
Il consenso dei destinatari è necessario solo se i pixel consentono al mittente finalità di profilazione o marketing individuale, come misurare il comportamento del singolo destinatario, la frequenza di apertura o le preferenze individuali. Non serve quando il tracciamento fornisce solo statistiche aggregate, migliora la deliverability, attua misure anti-spam, tutela la sicurezza informatica o risponde a finalità istituzionali o di servizio.
Per adeguarsi servono interventi tecnici e aggiornamenti della documentazione privacy. Il primo passo è la mappatura degli strumenti di invio: occorre verificare con i fornitori se i pixel siano attivi di default e, se necessario, disattivarli per le campagne standard. Se si perseguono solo finalità statistiche, si chiede alla piattaforma la configurazione di pixel anonimizzati e privi di identificativi personali diretti.
Vanno poi adeguati i form di contatto e le piattaforme di e-mail marketing. Se le banche dati per tracciamento e profilazione individuale sono state acquisite correttamente, basta consentire al destinatario di disattivare il tracciamento. Dove serve il consenso, bisogna modificare i form di contatto o di iscrizione.
Nel footer delle e-mail va aggiunto un link per la disiscrizione granulare, che permetta di disattivare il tracciamento senza lasciare la mailing list. L’informativa privacy aziendale o istituzionale deve avere una sezione dedicata al tracciamento tramite e-mail.
Vanno infine aggiornati i contratti di designazione dei fornitori delle piattaforme e-mail come responsabili del trattamento ai sensi dell’articolo 28 del Gdpr. Se emergono profili di contitolarità, si redigono gli accordi ai sensi dell’articolo 26.