Il 17 Aprile del 2026 sono state emanate dal Garante per la Protezione dei dati personali le Linee Guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica (pubblicate sulla Gazzetta Ufficiale Serie Generale n. 98 del 29 Aprile 2026).

Il provvedimento è tornato d’attualità negli ultimi giorni poiché il 29 Ottobre 2026 sono scaduti i 6 mesi concessi per l’adeguamento delle organizzazioni, pubbliche e private, a tali adempimenti.

L’utilizzo dei tracking pixel è qualificabile come trattamento rilevante per la vigente normativa di protezione dei dati personali?

Si, vengono in evidenza le seguenti norme:

1. Art. 122 del Codice Privacy: l'uso dei trackingpixel è qualificato come attività di trattamento che comportal'archiviazione e l'accesso a informazioni memorizzate sul dispositivo deldestinatario.
2. GDPR: il Regolamento UE 2016/679 si applica aqueste fattispecie con riferimento, in particolare, ai principi generali ditrasparenza, consenso, accountability, Privacy by Design e by Default.

A quali tipologie di organizzazioni si applicano le Linee Guida?

Il provvedimento si applica a tutti i soggetti pubblici e privati (mittenti, fornitori di piattaforme DEM/ESP, e-mail provider, fornitori di liste di distribuzione) e riguarda tutte le tipologie di e-mail (newsletter, DEM, comunicazioni transazionali/automatiche ed e-mail di servizio o istituzionali).

Come possono essere garantiti i requisiti di trasparenzaimposti dalla norma?

Mediante un’informativa dedicata a questa specifica attività di trattamento.

È necessario il consenso dei destinatari per utilizzare tali strumenti ditracciamento?

Il consenso è necessario solo se l’utilizzo dei pixel consente al mittente di perseguire finalità di profilazione e/o marketing individuale (come, a titolo esemplificativo, effettuare la misurazione del comportamento del singolo destinatario, la frequenza di apertura, monitorare le preferenze individuali, ecc.).

Ci sono esenzioni a tale principio?

Si, il consenso non è necessario quando l’utilizzo di strumenti di tracciamento è impostato in modo tale da fornire al mittente solo statistiche aggregate, il miglioramento della deliverability, misure anti-spam, garantire la sicurezza informatica oppure quando vengono perseguite finalità istituzionali o di servizio.

Quali attività debbono svolgere le organizzazioni per l’adozione delle Linee Guida?

Sono necessari sia interventi di natura tecnica sia misure di adeguamento della documentazione privacy  dell’organizzazione.

Di seguito, una sintesi delle azioni necessarie per analizzare e gestire correttamente le attività di tracciamento e garantire la conformità alle Linee Guida del Garante:

1. ‍Mappatura degli strumenti di invio e-mail: è necessario verificare con i fornitori se l'abilitazione dei tracking pixel avviene di default ed, eventualmente, disattivarla per le campagne standard. Se si perseguono solo finalità statistiche, richiedere al provider/piattaforma la configurazione di pixel anonimizzati e privi di identificativi personali diretti.ù
2. ‍Adeguamento dei form di contatto / Piattaforme di e-mail marketing: qualora le banche dati per le attività di tracciamento e profilazione individuale già esistenti fossero state correttamente acquisite, è sufficiente consentire, eventualmente, al destinatario di disattivare il tracciamento. Nei casi in cui sia necessario acquisire il consenso degli interessati, bisognerà adeguare i form di contatto o di iscrizione.
3. Implementazione della disiscrizione/opt-out granulare: aggiungere nel footer delle e-mail un link per consentire, eventualmente, al destinatario di disattivare il tracciamento senza doversi disiscrivere dalla mailing list. ‍
4. Revisione/integrazione delle informative privacy: creare una sezione dell’informativa privacy aziendale/istituzionale dedicata al tracciamento tramite e-mail. ‍
5. Revisione designazioni ex Art. 28 GDPR e accordi ex Art. 26 GDPR: aggiornare/integrare i contratti di designazione dei fornitori delle piattaforme e-mail come Responsabili del trattamento ex Art. 28GDPR o, qualora emergano profili di contitolarità, redigere gli accordi ex Art.26 GDPR.