Tracking pixel nelle email: ora si possono rifiutare restando iscritti

Da ieri, 29 ottobre 2026, chi inserisce pixel di tracciamento nelle email inviate a utenti italiani deve essersi adeguato alle linee guida del Garante per la protezione dei dati personali. I sei mesi concessi agli operatori erano partiti con la pubblicazione nella Gazzetta Ufficiale n. 98 del 29 aprile, ed è per questo che nelle ultime settimane molti servizi hanno scritto ai propri iscritti per spiegare che le loro newsletter contengono questi strumenti.

Il provvedimento n. 284 del 17 aprile 2026 non crea una legge nuova. Chiarisce che i pixel ricadono nell'articolo 122 del Codice privacy, la norma che recepisce la direttiva europea e-Privacy e che regola già i cookie. L'informativa va data sempre, il consenso preventivo serve nei casi ordinari ma con eccezioni precise, e chi lo ha dato deve poterlo revocare anche solo per il tracciamento e continuare a ricevere le email senza pixel.

Un'immagine invisibile che parla con il server del mittente

Un tracking pixel è un'immagine grande un solo pixel, quasi sempre trasparente, che non sta dentro il messaggio ma su un server remoto. A ogni apertura dell'email, la prima e anche le successive, un codice HTML fa partire una richiesta verso quel server per scaricare l'immagine. La richiesta porta con sé parametri come l'identificativo del pixel, l'indirizzo IP, l'identificativo dell'utente e del messaggio e la marca temporale dell'invio. Il tracciatore di regola è univoco per destinatario, quindi il mittente sa chi ha aperto, quando, quante volte, per quanto tempo e da quale tipo di dispositivo.

Per scrivere le linee guida il Garante ha condotto ispezioni conoscitive nell'ottobre 2025 e nel febbraio 2026 presso un provider di posta e una piattaforma di marketing automation, cioè un software che gestisce l'invio di campagne email per conto delle aziende. Ne è emerso che i pixel si usano nella quasi totalità dei messaggi, con scopi molto diversi tra loro. Servono a misurare la deliverability (la capacità di un'email di arrivare in casella e non nello spam), a contrastare spam e phishing, a contare aperture e download degli allegati e a personalizzare gli invii in base all'interesse rilevato.

Quando serve il consenso e quando no

Il consenso è obbligatorio quando la misurazione è individuale e serve a migliorare le campagne promozionali. Rientrano in questo caso il cambio dell'oggetto dopo un basso tasso di apertura, la riduzione della frequenza o lo stop degli invii a chi non apre e l'uso delle aperture per costruire profili commerciali su gusti e interessi. Per i nuovi iscritti il consenso va raccolto preferibilmente nel momento in cui si lascia l'indirizzo email.

Le eccezioni sono tre. La prima riguarda il conteggio statistico del tasso globale di apertura, a condizione che i dati siano anonimizzati, con un pixel identico per tutti i destinatari della stessa campagna e IP e client resi anonimi. La seconda copre i messaggi legati alla sicurezza dell'account, come l'attivazione, il cambio della password o la risposta a una richiesta di accesso ai propri dati. La terza vale per le comunicazioni di servizio o istituzionali che il mittente ha l'obbligo di inviare, per esempio gli avvisi antifrode, le modifiche contrattuali, le notifiche di incidenti di sicurezza e i promemoria su scadenze.

Per le liste già attive il Garante ha previsto un regime transitorio, ed è quello che spiega gli avvisi arrivati in questi giorni. Chi era già iscritto non deve dare un nuovo consenso. Il mittente deve informarlo con il primo invio utile e mettergli a disposizione un sistema di revoca granulare, per esempio un link o un'icona nel footer di ogni email che porti a un'area dove scegliere se disiscriversi del tutto o rinunciare soltanto ai pixel. Chi rifiuta il tracciamento non può subire limitazioni del servizio, e ogni scelta va registrata.

Sul lato tecnico le linee guida suggeriscono di associare a ogni indirizzo un identificativo non sequenziale e non leggibile, e di conservare la corrispondenza in un livello separato della piattaforma, così che l'indirizzo email non viaggi nella richiesta generata dall'apertura. Le verifiche rientrano nel piano ispettivo del Garante per il secondo semestre 2026, come ha ricordato l'Autorità nella newsletter dell'8 ottobre. Gli effetti sulle metriche di apertura riguardano soprattutto chi gestisce le campagne, e sono il tema di come cambia l'email marketing con le regole sul tracciamento. Il quadro sugli altri strumenti di profilazione è ricostruito nel pezzo su cookie, fingerprinting e tracciatori online.

Domande frequenti

Come si possono bloccare i pixel di tracciamento nelle email?

Il pixel si attiva solo se il programma di posta scarica le immagini. Se si disattiva il caricamento automatico delle immagini o si leggono i messaggi in solo testo, il tracciamento si ferma. Il blocco vale però per tutte le immagini, perché i pixel non hanno nomi o codifiche standard che permettano di escluderli in modo selettivo.

Le aziende devono chiedere due consensi separati, uno per la newsletter e uno per i pixel?

No. Per le comunicazioni promozionali il Garante ammette un consenso unico che comprenda anche il tracciamento, per evitare richieste ripetute che stancano l'utente. La richiesta deve essere formulata in modo neutro e la revoca deve restare possibile anche solo per i pixel, senza perdere l'iscrizione.

Le regole valgono anche per le email della pubblica amministrazione?

Sì. Le linee guida si rivolgono a tutti i soggetti pubblici e privati che usano pixel nelle email. Per le comunicazioni istituzionali che un ente è obbligato a inviare il consenso non è richiesto, ma resta l'obbligo di informare i destinatari della presenza dei pixel e dello scopo per cui vengono usati.