Tracking pixel e privacy: cosa sono, quando è obbligatorio aggiornare l’informativa e quali regole devono rispettare le aziende
Le nuove Linee guida del Garante Privacy del 17 aprile 2026 chiariscono gli obblighi relativi ai pixel di tracciamento nelle e-mail. Dal 29 ottobre 2026, imprese, professionisti e piattaforme digitali devono aver adeguato informative, sistemi di consenso e modalità di revoca.
L'utilizzo dei tracking pixel è una pratica estremamente diffusa nel marketing digitale. Si tratta di strumenti che consentono di monitorare le interazioni degli utenti con siti internet, newsletter e comunicazioni commerciali, raccogliendo informazioni utili a misurare l'efficacia delle campagne e a personalizzare i contenuti.
La loro apparente semplicità tecnica nasconde, tuttavia, implicazioni giuridiche significative. Il tracciamento può infatti comportare la raccolta di dati personali, la ricostruzione dei comportamenti individuali e, in determinati casi, la comunicazione delle informazioni a soggetti terzi.
La disciplina applicabile non si esaurisce nel GDPR, ma comprende anche la normativa ePrivacy e il Codice italiano in materia di protezione dei dati personali.
Con il provvedimento n. 284 del 17 aprile 2026, il Garante per la protezione dei dati personali è intervenuto specificamente sull'utilizzo dei tracking pixel nelle comunicazioni di posta elettronica, chiarendo quando occorre informare gli interessati, in quali situazioni è necessario acquisire il consenso e quali misure organizzative e tecniche devono essere adottate.
1. Cosa sono i tracking pixel e come funzionano
I tracking pixel, conosciuti anche come pixel di tracciamento o web beacon, sono risorse digitali, spesso costituite da immagini trasparenti di dimensioni estremamente ridotte, inserite all'interno di pagine web o messaggi di posta elettronica.
Nel caso delle e-mail, l'immagine non è generalmente incorporata nel messaggio, ma viene richiamata da un server remoto attraverso un collegamento.
Quando il destinatario apre il messaggio e il sistema di posta elettronica carica l'immagine, viene generata una richiesta al server che può consentire di raccogliere informazioni quali l'indirizzo IP, la data e l'ora del caricamento, alcune caratteristiche del dispositivo e, mediante identificativi specifici, l'associazione dell'evento a un determinato destinatario.
Queste informazioni possono essere utilizzate per verificare l'apertura di una comunicazione, misurare le performance di una campagna pubblicitaria o ricostruire determinate interazioni dell'utente.
Occorre precisare che il caricamento di un pixel non dimostra necessariamente che il destinatario abbia effettivamente letto il messaggio. Sistemi di protezione della privacy, proxy e funzionalità di precaricamento delle immagini possono infatti alterare l'affidabilità della rilevazione.
La tecnologia può essere presente anche nei siti internet e nelle applicazioni, dove viene utilizzata per analisi statistiche, monitoraggio delle conversioni, pubblicità personalizzata e remarketing.
2. Tracking pixel e cookie: quali differenze?
I tracking pixel non devono essere confusi con i cookie, sebbene entrambi possano essere utilizzati per finalità di tracciamento.
I cookie sono informazioni memorizzate sul dispositivo dell'utente, che possono essere successivamente lette dai sistemi autorizzati.
I tracking pixel funzionano invece, nelle configurazioni più comuni, attraverso il caricamento di risorse remote e la conseguente trasmissione di informazioni al server.
Le due tecnologie possono operare congiuntamente e raggiungere risultati sostanzialmente analoghi sotto il profilo del monitoraggio delle attività individuali.
L'assenza di cookie non comporta, pertanto, l'esclusione degli obblighi previsti dalla normativa sulla protezione dei dati personali.
Questo principio trova conferma negli Orientamenti 2/2023 dell'European Data Protection Board (EDPB), adottati nella versione definitiva il 16 ottobre 2024, che esaminano espressamente anche il tracciamento mediante URL e pixel nell'ambito dell'articolo 5, paragrafo 3, della direttiva ePrivacy.
3. Qual è la normativa applicabile ai tracking pixel?
Il quadro normativo è articolato e impone di considerare congiuntamente diverse disposizioni.
Regolamento (UE) 2016/679 – GDPR. Sono particolarmente rilevanti l'articolo 5, relativo ai principi di liceità, correttezza, trasparenza e minimizzazione; gli articoli 12, 13 e 14, concernenti gli obblighi informativi; gli articoli 6 e 7, riguardanti le basi giuridiche del trattamento e le condizioni del consenso; l'articolo 25, sulla protezione dei dati fin dalla progettazione e per impostazione predefinita.
Direttiva 2002/58/CE – ePrivacy. L'articolo 5, paragrafo 3, disciplina l'archiviazione di informazioni nei dispositivi degli utenti e l'accesso alle informazioni già archiviate, prevedendo una regola generale di consenso e specifiche eccezioni.
D.lgs. 196/2003 – Codice Privacy. L'articolo 122 recepisce nell'ordinamento italiano la disciplina relativa agli strumenti di tracciamento. L'articolo 130 disciplina, invece, le comunicazioni promozionali effettuate mediante strumenti elettronici, comprese le e-mail.
Provvedimenti e orientamenti delle Autorità. Assumono particolare rilievo le Linee guida del Garante sui cookie e gli altri strumenti di tracciamento del 10 giugno 2021, gli Orientamenti EDPB 2/2023 e le nuove Linee guida sui tracking pixel nelle e-mail del 17 aprile 2026.
L'aspetto essenziale è che la disciplina ePrivacy costituisce una regolamentazione speciale: quando l'utilizzo di uno strumento richiede il consenso ai sensi dell'articolo 122, non è sufficiente invocare il legittimo interesse previsto dall'articolo 6 del GDPR per eludere tale obbligo.
4. Le nuove Linee guida del Garante Privacy del 17 aprile 2026
Il Garante ha adottato il provvedimento n. 284 del 17 aprile 2026, pubblicato nella Gazzetta Ufficiale n. 98 del 29 aprile 2026, dedicato specificamente all'utilizzo dei tracking pixel nelle comunicazioni di posta elettronica.
Il termine di sei mesi previsto per l'adeguamento è scaduto il 29 ottobre 2026.
Le Linee guida si rivolgono ai soggetti pubblici e privati che utilizzano tali strumenti, tra cui imprese, gestori di newsletter, piattaforme di e-mail marketing e fornitori di servizi digitali.
L'Autorità ha posto particolare attenzione alla natura potenzialmente occulta dei pixel, che possono raccogliere informazioni senza che il destinatario percepisca l'esistenza del monitoraggio.
Per questo motivo, è stato ribadito che gli interessati devono ricevere un'informativa effettiva, chiara e comprensibile sull'utilizzo di questi strumenti.
Il Garante ha inoltre chiarito le condizioni che consentono di utilizzare i pixel senza consenso, i requisiti per la raccolta di un consenso valido, la necessità di garantirne la revoca anche selettiva e l'importanza di adottare misure di minimizzazione.
L'Autorità ha espressamente inserito la verifica dell'applicazione delle nuove Linee guida tra le attività ispettive programmate per il secondo semestre del 2026.
5. Quando è obbligatorio aggiornare l'informativa privacy?
Uno degli aspetti più rilevanti riguarda l'obbligo di aggiornamento delle informative già adottate dalle aziende.
Il GDPR non impone una revisione dell'informativa a intervalli temporali prestabiliti. Impone, invece, che le informazioni rese agli interessati siano corrette, complete, comprensibili e coerenti con i trattamenti effettivamente svolti.
Ne consegue che l'informativa privacy deve essere aggiornata quando viene introdotto un tracking pixel o quando cambiano elementi rilevanti di un trattamento già descritto.
L'aggiornamento si rende necessario, ad esempio, quando un'azienda introduce un sistema per monitorare individualmente le aperture delle newsletter, utilizza i dati di interazione per nuove finalità di profilazione, modifica i soggetti destinatari delle informazioni oppure attiva strumenti che comportano nuovi trasferimenti di dati verso Paesi terzi.
L'obbligo può sorgere anche quando vengono modificati i tempi di conservazione dei dati o quando una precedente descrizione generica delle attività di marketing non consente agli interessati di comprendere l'esistenza e le finalità del tracciamento.
La base normativa è costituita dagli articoli 12 e 13 del GDPR.
In particolare, l'articolo 13, paragrafo 3, stabilisce che, qualora il titolare intenda trattare ulteriormente i dati personali per una finalità diversa da quella originaria, deve fornire le relative informazioni prima dell'inizio del nuovo trattamento. Un'analoga previsione è contenuta nell'articolo 14, paragrafo 4, per i dati non raccolti direttamente presso l'interessato.
L'adeguamento non può quindi limitarsi a un aggiornamento meramente formale della pagina pubblicata sul sito: le informazioni devono essere effettivamente rese accessibili agli interessati secondo modalità appropriate.
Con riferimento ai tracking pixel nelle e-mail, le Linee guida del 2026 consentono, per i trattamenti già in corso, di integrare l'informazione attraverso il primo messaggio utile o il primo momento di discontinuità del rapporto con l'interessato.
Si tratta di una previsione specifica relativa agli obblighi informativi, che non può essere interpretata come una sanatoria automatica di eventuali trattamenti precedentemente svolti in assenza dei necessari presupposti di liceità.
6. Cosa deve contenere l'informativa privacy aggiornata?
L'informativa deve consentire all'interessato di comprendere concretamente l'utilizzo dei tracking pixel, senza ricorrere a formulazioni eccessivamente generiche.
In particolare, deve chiarire quali strumenti vengono utilizzati, per quali finalità vengono raccolte le informazioni, quali categorie di dati personali possono essere trattate e su quale base giuridica si fonda il trattamento.
Devono inoltre essere indicati, secondo le disposizioni applicabili, i destinatari o le categorie di destinatari, gli eventuali trasferimenti internazionali di dati, i tempi di conservazione e le modalità di esercizio dei diritti degli interessati.
Quando il trattamento si fonda sul consenso, occorre spiegare chiaramente come questo possa essere revocato.
Una formulazione che si limiti ad affermare che l'azienda utilizza strumenti per migliorare i propri servizi potrebbe risultare insufficiente se non rende comprensibile che vengono monitorate le aperture delle comunicazioni o associate determinate interazioni ai singoli destinatari.
Il Garante ammette l'utilizzo di informative multilivello, ad esempio attraverso una breve comunicazione nel modulo di iscrizione alla newsletter, accompagnata da un collegamento a un'informativa più dettagliata.
Quest'ultima può essere inserita anche nella cookie policy, purché le modalità scelte assicurino un'informazione completa ed effettivamente fruibile.
7. Quando è necessario il consenso per utilizzare i tracking pixel?
Non tutti gli utilizzi dei tracking pixel richiedono necessariamente il consenso. Occorre distinguere le diverse finalità perseguite e le concrete modalità tecniche del trattamento.
Il consenso preventivo è generalmente necessario quando il pixel viene utilizzato per monitorare il comportamento individuale dei destinatari a fini commerciali.
È il caso, ad esempio, di un'azienda che registra le aperture delle newsletter associate a ciascun destinatario, utilizza tali informazioni per personalizzare successive comunicazioni oppure ricostruisce interessi e preferenze per sviluppare profili commerciali.
Le Linee guida del 2026 riconoscono tuttavia specifiche ipotesi nelle quali è possibile beneficiare delle deroghe previste dall'articolo 122 del Codice Privacy.
Tra queste rientrano, a determinate condizioni, le statistiche aggregate e anonimizzate sull'apertura dei messaggi, utilizzate anche per migliorare la deliverability e contrastare lo spam, purché non consentano il monitoraggio del singolo destinatario.
Ulteriori ipotesi riguardano determinate esigenze di sicurezza, connesse ad esempio all'autenticazione dell'utente, e comunicazioni istituzionali o di servizio per le quali sia rilevante verificare la presa di conoscenza del destinatario.
Le deroghe non operano automaticamente in ragione della denominazione attribuita al messaggio. Devono essere valutate concretamente, dimostrando che il trattamento risponde ai requisiti di necessità e proporzionalità.
Una semplice e-mail transazionale, pertanto, non legittima di per sé qualunque forma di tracciamento.
8. È necessario un consenso separato per i tracking pixel nelle newsletter?
Il provvedimento del Garante introduce un chiarimento particolarmente importante per le imprese che svolgono attività di e-mail marketing.
Secondo l'Autorità, il consenso all'utilizzo dei tracking pixel nelle comunicazioni promozionali può, in linea di principio, essere ricompreso nel consenso generale alla ricezione delle comunicazioni commerciali.
Questa soluzione mira a evitare richieste di consenso ripetitive e inutilmente complesse.
La possibilità di utilizzare un unico consenso è tuttavia subordinata alla circostanza che l'interessato sia adeguatamente informato anche sull'impiego dei pixel e che la richiesta sia formulata in termini neutrali, senza condizionamenti.
Un generico consenso al marketing, raccolto senza informazioni sull'attività di tracciamento, non deve quindi essere considerato automaticamente sufficiente.
Occorre inoltre garantire una revoca granulare: l'utente deve poter scegliere se interrompere completamente le comunicazioni promozionali oppure continuare a riceverle rinunciando esclusivamente al tracciamento.
La distinzione è rilevante anche rispetto all'articolo 130, comma 4, del Codice Privacy, che disciplina il cosiddetto soft spam.
La possibilità, a determinate condizioni, di inviare comunicazioni relative a prodotti o servizi analoghi senza un nuovo consenso all'invio non implica automaticamente la liceità del monitoraggio individuale tramite pixel. Quest'ultimo deve essere valutato autonomamente alla luce dell'articolo 122.
9. Quali ulteriori adempimenti devono effettuare aziende e professionisti?
L'aggiornamento dell'informativa rappresenta soltanto una componente dell'adeguamento richiesto.
Il principio di responsabilizzazione, o accountability, impone al titolare di conoscere concretamente le tecnologie impiegate e di verificarne le modalità di funzionamento.
È quindi necessario effettuare una ricognizione degli strumenti di tracciamento utilizzati, anche quando tali funzionalità siano integrate nelle piattaforme di invio delle newsletter o nei servizi forniti da soggetti esterni.
Il titolare deve verificare quali dati vengono raccolti, se possono essere associati a destinatari identificabili, dove vengono conservati e quali soggetti vi accedono.
Occorre inoltre valutare i ruoli privacy dei diversi fornitori, predisponendo, quando necessario, gli accordi previsti dall'articolo 28 del GDPR o quelli relativi alla contitolarità di cui all'articolo 26.
Devono essere esaminati anche gli eventuali trasferimenti internazionali di dati, alla luce degli articoli 44 e seguenti del GDPR.
Sul piano tecnico assumono particolare rilevanza i principi di privacy by design e privacy by default di cui all'articolo 25.
Le Linee guida suggeriscono, tra l'altro, l'impiego di identificativi non intelligibili e non sequenziali, mantenendo separata l'associazione tra l'identificativo utilizzato dal pixel e l'indirizzo e-mail del destinatario.
In presenza di trattamenti che comportino un rischio elevato per i diritti e le libertà degli interessati, dovrà inoltre essere valutata la necessità di una valutazione d'impatto sulla protezione dei dati (DPIA), ai sensi dell'articolo 35 del GDPR.
10. Quali rischi comporta il mancato adeguamento?
L'utilizzo di tracking pixel senza un'adeguata informativa o in assenza dei presupposti di liceità può determinare violazioni delle disposizioni del GDPR e del Codice Privacy.
Le possibili conseguenze comprendono provvedimenti correttivi dell'Autorità, ordini di cessazione dei trattamenti illeciti e sanzioni amministrative pecuniarie, secondo le disposizioni concretamente violate.
A queste conseguenze si aggiungono i rischi reputazionali e le possibili contestazioni da parte degli interessati.
Il problema, pertanto, non è soltanto documentale: un'informativa formalmente aggiornata non rende lecito un sistema di tracciamento che continui a operare senza il consenso richiesto o in violazione dei principi di minimizzazione e trasparenza.
Conclusioni: la conformità dei tracking pixel richiede una verifica sostanziale
Le Linee guida del Garante del 17 aprile 2026 confermano un principio fondamentale: le tecnologie di tracciamento devono essere valutate in relazione alle loro effettive funzionalità e agli effetti prodotti sui diritti degli interessati.
Per le aziende che utilizzano newsletter, strumenti di marketing automation e piattaforme digitali, l'aggiornamento dell'informativa privacy costituisce un adempimento necessario quando i trattamenti effettivamente svolti non risultano adeguatamente descritti, ma non esaurisce gli obblighi previsti dalla normativa.
Occorre verificare la liceità del tracciamento, la corretta raccolta e gestione dei consensi, la possibilità di revoca selettiva, la configurazione delle piattaforme e i rapporti con i fornitori tecnologici.
Il termine di adeguamento del 29 ottobre 2026 è ormai decorso. Le organizzazioni che non abbiano ancora verificato i propri sistemi dovrebbero quindi procedere a una ricognizione tempestiva, individuando le eventuali criticità e adottando le necessarie misure correttive.
Assistenza legale in materia di privacy e protezione dei dati personali
La corretta implementazione dei tracking pixel richiede un'analisi congiunta degli aspetti giuridici, contrattuali e tecnologici.
Lo Studio Legale presta assistenza a imprese, professionisti ed enti nella verifica della conformità dei trattamenti al GDPR, nell'adeguamento delle informative privacy, nella valutazione dei sistemi di tracciamento e nella definizione delle procedure di gestione del consenso.
L'attività di consulenza è orientata a individuare soluzioni giuridicamente sostenibili e proporzionate alle caratteristiche dei trattamenti concretamente effettuati.
Riferimenti normativi e documentali
Regolamento (UE) 2016/679, in particolare artt. 5, 6, 7, 12, 13, 14, 25, 26, 28, 35 e 44 e seguenti.
Direttiva 2002/58/CE, art. 5, par. 3.
D.lgs. 196/2003, artt. 122 e 130.
Commenti