Il Garante privacy ha pubblicato un vademecum informativo che riassume le indicazioni dell’Autorità relativamente all’utilizzo di tracking pixel nelle comunicazioni di posta elettronica, già oggetto delle precedenti Linee guida, adottate con Provvedimento del 17 aprile 2026.
Il richiamo dell’Autorità è rivolto a tutti i soggetti operanti nei settori del marketing digitale, dei servizi della società dell’informazione e della fornitura di servizi di posta elettronica, imponendo il pieno allineamento dei trattamenti ai principi normativi di settore entro il termine perentorio stabilito.
I tracking pixel si configurano quali marcatori digitali trasparenti e di ridottissime dimensioni, inseriti nel corpo delle e-mail al fine di rilevare la lettura dei messaggi e tracciare le condotte degli utenti. Il meccanismo di caricamento non rileva il contenuto delle e-mail, ma consente di monitorare l’apertura, la cancellazione, l’inoltro e l’archiviazione del messaggio, raccogliendo dati tecnici quali l’indirizzo IP, il dispositivo utilizzato, il tempo di consultazione e il numero di aperture, a condizione che sia abilitato il download delle immagini
Sotto il profilo del quadro normativo di riferimento, l’impiego di tali strumenti rientra nel campo di applicazione dell’art. 122 del d.lgs. 196/2003 (Codice Privacy), il quale disciplina l’accesso alle informazioni archiviate nei dispositivi dei destinatari e il monitoraggio delle attività online. Parallelamente, le modalità di trattamento trovano la propria disciplina generale nel Regolamento (UE) 2016/679 (GDPR), che impone il rispetto dei principi fondamentali di trasparenza, consenso, responsabilizzazione del titolare del trattamento (accountability) e tutela dei dati fin dalla fase di progettazione e per impostazione predefinita.
Ai fini dell’adeguamento operativo e della gestione del rischio di non conformità, le indicazioni dell’Autorità individuano i seguenti adempimenti necessari per la legittimità dei trattamenti:
- l’acquisizione preventiva di un consenso libero, specifico e informato espresso dal destinatario prima dell’attivazione dei marcatori di tracciamento
- la predisposizione di un’informativa trasparente e di facile accesso
- la configurazione di meccanismi agevoli per la revoca del consenso, garantendo la possibilità di esercitare l’opzione anche in forma selettiva
- l’adozione strutturata di misure tecniche conformi ai principi di privacy by design e privacy by default, dirette a mitigare il rischio di identificabilità e a limitare la circolazione dei dati personali.
Il regime normativo prevede circoscritte ipotesi di deroga all’obbligo di acquisizione del consenso preventivo, limitatamente a finalità strettamente necessarie:
- la tutela della sicurezza informatica
- l’evasione di esigenze tecniche indispensabili per l’erogazione del servizio richiesto
- la trasmissione di comunicazioni di servizio e istituzionali, fermo restando il rispetto dei principi di proporzionalità e minimizzazione dei dati.
La verifica dell’osservanza delle prescrizioni rientra nel programma delle attività ispettive dell’Autorità per il secondo semestre 2026.
Per tutti i soggetti tenuti all’adeguamento — inclusi fornitori di servizi della società dell’informazione, provider di posta elettronica e gestori di piattaforme per l’invio massivo di e-mail — il termine perentorio di entrata in vigore degli obblighi è fissato al 29 ottobre 2026.
