A cura di Paola Furiosi e  Andrea Strippoli

L’ecosistema del digital marketing e della data economy sta attraversando una fase di profonda revisione. In questo contesto, il Garante per la Protezione dei Dati Personali ha adottato il Provvedimento n. 284 del 17 aprile 2026,contenente le Linee Guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica (di seguito, le “Linee Guida”), pubblicato sulla Gazzetta Ufficiale, Serie Generale, n. 98 del 29 aprile 2026.

I tracking pixel (chiamati anche web beacon, pixel tag o pixel spia) sono piccole immagini, generalmente di dimensioni 1×1 pixel, invisibili all’occhio umano, che vengono incorporate in pagine web, email o documenti digitali con lo scopo di monitorare il comportamento degli utenti. Quando un utente apre una pagina web o un’email contenente un tracking pixel, il browser o il client di posta invia una richiesta al server che ospita l’immagine per caricarla. Questa richiesta trasmette automaticamente una serie di informazioni al server, tra cui l’indirizzo IP dell’utente, il tipo di browser e dispositivo utilizzati, il sistema operativo, la data e l’ora di apertura e, in alcuni casi, le azioni compiute sulla pagina. Poiché l’immagine è trasparente o delle stesse dimensioni di un singolo pixel, l’utente non si accorge della sua presenza. È proprio questo carattere occulto a rendere i tracking pixel particolarmente invasivi e a giustificarne la regolamentazione.

Le Linee Guida chiariscono come, salvo consenso dell’utente o deroghe specifiche, non sia consentito archiviare o accedere a informazioni nel terminale dell’utente. I titolari del trattamento dispongono di un termine di adeguamento di 6 (sei) mesi dalla data di pubblicazione in Gazzetta Ufficiale, ossia entro il 29 ottobre 2026.

Sul piano delle fonti, il provvedimento si inserisce nel sistema introdotto dalla Direttiva 2002/58/CE (di seguito, “Direttiva ePrivacy”) e dal Regolamento (UE) 2016/679 (di seguito, il “GDPR”). In tale architettura, la Direttiva ePrivacy opera come lex specialis, mentre le disposizioni del GDPR restano applicabili per gli aspetti non specificamente disciplinati. Tale rapporto di prevalenza riveste un significato pratico per gli operatori, in quanto le regole da tenere in considerazione per garantire la liceità nell’utilizzo dei tracking pixel dovranno essere ricercate all’interno dell’art. 5, par. 3, della Direttiva ePrivacy, recepito nell’ordinamento italiano all’interno dell’art. 122 del Codice Privacy.

Tale articolo prevede un divieto generalizzato di accesso o archiviazione di informazioni nel terminale dell’utente, derogabile unicamente in presenza di: (i) un previo consenso informato, libero, specifico e inequivocabile; o (ii) una delle eccezioni previste dalla norma stessa – ossia quando il trattamento sia necessario, consenta o faciliti l’effettuazione della trasmissione di una comunicazione per via elettronica o quando le operazioni condotte siano necessarie alla fornitura di un servizio di comunicazione online su richiesta degli utenti.

Questa impostazione è coerente con l’approccio già adottato dal Garante nelle Linee guida cookie e altri strumenti di tracciamento (Provvedimento n. 231 del 10 giugno 2021), espressamente richiamate dalle Linee Guida, nonché con la posizione espressa dall’European Data Protection Board nelle Linee Guida 2/2023 sull’ambito di applicazione tecnico dell’art. 5, par. 3, della Direttiva ePrivacy.

Con riferimento alle deroghe al consenso, il Garante ha individuato alcune casistiche in cui il tracking pixel può essere utilizzato senza il previo consenso dell’utente. In particolare, il consenso non è necessario quando:

• il tracking pixel è impiegato esclusivamente per misurare, in forma aggregata, la percentuale di apertura dei messaggi. In questo caso, occorrerà che le informazioni raccolte (inclusi i dati tecnici come indirizzo IP e client) siano anonimizzate in modo da impedire misurazioni riferibili al singolo utente, e che il pixel sia identico per tutti i destinatari della medesima campagna;
• il tracking pixel è utilizzato come misura di sicurezza nell’ambito di processi di autenticazione, completamento o aggiornamento delle credenziali dell’utente. In questo caso, l’uso del tracking pixel serve a verificare che un determinato messaggio – ad esempio, la conferma di attivazione di un account – sia effettivamente aperto su un dispositivo riconducibile all’utente interessato; o
• il titolare è tenuto per legge a inviare un messaggio istituzionale o di servizio e ha necessità di accertare che il destinatario ne abbia preso effettiva conoscenza. È il caso, ad esempio, di comunicazioni contenenti indicazioni su come proteggersi da phishing o frodi in presenza di minacce concrete.

In tutti i casi nei quali non sia possibile avvalersi di una delle ipotesi di deroga previste dalla normativa applicabile, è necessario raccogliere il previo consenso dell’utente prima dell’installazione di tracking pixel all’interno delle email.

Quanto alle modalità di raccolta del consenso, il Garante ritiene che, data la stretta correlazione tra tracking pixel e finalità promozionali, il consenso alla ricezione dei pixel possa essere ricompreso in quello, più generale, alla ricezione delle comunicazioni di marketing. In altri termini, l’utente può esprimere un unico consenso informato che copra entrambi gli aspetti.

Con riferimento alla revoca del consenso, il Garante specifica che questa deve poter avvenire in maniera semplice e, se del caso, granulare. L’utente potrà, infatti, revocare il consenso nella sua interezza – cessando di ricevere ulteriori messaggi promozionali – oppure solo con riguardo al tracciamento tramite tracking pixel, continuando a ricevere le comunicazioni prive di tali strumenti. Sul piano operativo, il Garante suggerisce di inserire all’interno di ogni email un’icona standardizzata o un link nel footer che conduca l’utente verso un’area dedicata all’esercizio dei propri diritti. In tale area l’interessato potrà richiedere di cessare l’invio di email di marketing (come già accade ad esempio cliccando sui link di unsubscribe), o di interrompere soltanto la ricezione dei tracking pixel, continuando cioè a ricevere le comunicazioni di posta elettronica prive di tali pixel.

Sul piano dei ruoli, il Garante individua una pluralità di soggetti che possono intervenire nel processo di tracciamento:

• il mittente, che determina le finalità dell’impiego dei pixel;
• il fornitore di servizi di invio email (emailing), che mette a disposizione la piattaforma;
• il fornitore di servizi di noleggio di liste di distribuzione, che gestisce autonomamente l’invio alle distribution list;
• il fornitore della tecnologia di tracciamento;
• il content creator;
• il destinatario del messaggio.

Alla luce della scadenza del 29 ottobre 2026, i titolari del trattamento, i fornitori di servizi di email marketing, i gestori di piattaforme di inoltro massivo e ogni altro soggetto coinvolto nell’impiego di tracking pixel sono tenuti ad avviare tempestivamente un adeguato percorso di compliance. In particolare, si raccomanda di:

• condurre un censimento dei flussi di comunicazione email che prevedano l’inserimento di tracking pixel;
• aggiornare le informative sul trattamento dei dati personali;
• implementare o adeguare i meccanismi di raccolta del consenso;
• predisporre un meccanismo di revoca granulare del consenso;
• rivedere gli accordi contrattuali in essere con i fornitori di piattaforme di emailing e i provider tecnologici, formalizzando adeguatamente i ruoli privacy e aggiornando i data processing agreement o gli accordi di contitolarità ove necessario;
• valutare l’implementazione delle misure suggerite dal Garante volte a ridurre il rischio di identificabilità dei destinatari. Tra queste, il Garante indica in particolare la generazione di identificativi inintelligibili e non sequenziali da associare all’indirizzo email del destinatario, mantenendo tale corrispondenza in un layer interno e separato della piattaforma utilizzata. In questo modo, il conteggio delle aperture del messaggio avviene tramite l’identificativo, senza che l’indirizzo email sia ricompreso nella richiesta tecnica generata dal caricamento del pixel.

Le Linee Guida rappresentano un passaggio fondamentale nell’evoluzione della data economy, regolamentando l’utilizzo di tecnologie di tracciamento finora poco presidiate. La sfida per gli operatori è ora quella di adeguarsi a un quadro regolatorio che impone di conciliare le esigenze di marketing con il pieno rispetto dei diritti degli interessati.