Il 29 ottobre si chiude il periodo di sei mesi indicato dal Garante per adeguarsi alle Linee Guida sull’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica.
Per chi utilizza newsletter, piattaforme di marketing automation o sistemi di invio massivo, questi ultimi giorni sono il momento per verificare che il processo sia davvero sotto controllo.
Sapere che la piattaforma misura le aperture ma anche capire quali dati raccoglie, con quale livello di dettaglio, per quale finalità, chi può accedervi e come vengono gestiti consenso e revoca.
Un tracking pixel può registrare l’apertura del messaggio e, a seconda della configurazione, rendere disponibili anche altre informazioni tecniche: indirizzo IP, identificativi, dispositivo utilizzato, momento della consultazione ed eventuali aperture successive.
Per questo la domanda da porsi prima della scadenza non è semplicemente “abbiamo aggiornato l’informativa?”, ma “sappiamo esattamente come funziona il tracciamento che stiamo utilizzando?”
Dal tasso di apertura al comportamento del singolo destinatario
Le Linee Guida distinguono situazioni diverse. Una cosa è rilevare in forma aggregata quante email sono state aperte. Un’altra è associare il dato di apertura al singolo destinatario e utilizzarlo, ad esempio, per modificare la frequenza degli invii, interrompere determinate comunicazioni, valutare l’interesse verso una campagna o ricavare informazioni sulle preferenze della persona.
Nel primo caso, ove ricorrano le condizioni individuate dal Garante e l’utilizzo sia effettivamente limitato a finalità statistiche aggregate senza identificazione del destinatario, possono trovare applicazione le deroghe previste dall’art. 122 del Codice Privacy. L’Autorità richiama, tra le possibili misure, l’utilizzo di pixel non differenziati per destinatario e l’anonimizzazione delle informazioni tecniche correlate.
Quando il tracciamento consente di monitorare il comportamento del singolo destinatario e non ricorrono le specifiche eccezioni previste dalla normativa, il consenso preventivo costituisce il presupposto normalmente richiesto.
Sono le modalità concrete del trattamento, le finalità perseguite e il livello di identificabilità del destinatario a determinare il regime applicabile.
Dire che uno strumento “misura le aperture” non basta. Bisogna capire come le misura e cosa viene fatto con quel dato.
Anche il consenso va verificato nel suo funzionamento concreto. Può essere raccolto insieme a quello per l’invio di comunicazioni promozionali, purché l’interessato riceva informazioni chiare e la scelta rimanga libera. Ma deve poter essere modificato in seguito con altrettanta semplicità.
In molti casi il destinatario dovrebbe poter modificare le proprie preferenze e revocare il consenso al tracciamento con modalità semplici ed efficaci, secondo quanto previsto dalle Linee Guida. Per questo il Garante richiama anche la necessità di strumenti che consentano di gestire le preferenze in modo granulare.
La verifica, quindi, non può fermarsi all’informativa privacy. Bisogna controllare che ciò che viene dichiarato all’utente corrisponda alle impostazioni effettive della piattaforma e alle modalità con cui consenso e revoca vengono registrati.
Il nodo dei fornitori e delle configurazioni
Nella maggior parte dei casi il mittente non gestisce da solo l’intero processo.
Possono entrare in gioco il provider della piattaforma di emailing, soggetti che forniscono la tecnologia di tracking, partner commerciali o altri fornitori coinvolti nella gestione dei dati.
A ridosso della scadenza, alcune informazioni dovrebbero essere ormai chiare: quale piattaforma viene utilizzata, quali funzioni di tracking sono attive, se il dato è aggregato o riconducibile al singolo destinatario, chi può accedere alle informazioni raccolte, dove vengono trattate e come sono stati definiti i ruoli privacy.
Va verificato anche chi, all’interno dell’organizzazione, può modificare le configurazioni e con quali criteri.
Sono controlli che difficilmente possono essere svolti da una sola funzione.
Il Marketing conosce gli obiettivi delle campagne. IT o Digital conoscono gli strumenti e le configurazioni. Privacy valuta finalità, presupposti e informative. L’Area Legal presidia i rapporti con i fornitori.
Solo mettendo insieme questi elementi è possibile capire se il processo è effettivamente coerente.
Le Linee Guida richiamano inoltre i principi di privacy by design e by default. Anche quando il trattamento è lecito, resta una domanda da porsi: abbiamo davvero bisogno di raccogliere quel dato con quel livello di dettaglio?
Ridurre l’identificabilità del destinatario, limitare le informazioni raccolte o lavorare su dati aggregati non è più soltanto una scelta tecnica, diventa parte della progettazione del trattamento.
Oltre la norma
A pochi giorni dal termine del periodo di adeguamento, il controllo più utile è quello sul processo reale.
Informativa, consenso, configurazione della piattaforma, ruolo dei fornitori e gestione delle preferenze devono essere coerenti tra loro.
Se oggi ci venisse chiesto di ricostruire il percorso dei dati generati dall’apertura di una nostra newsletter, sapremmo farlo con chiarezza?
Se la risposta non è immediata, questi ultimi giorni possono essere utili per chiudere le verifiche ancora aperte.
Protection Trade affianca le organizzazioni nella verifica dei trattamenti e nel coordinamento tra privacy, strumenti digitali, fornitori e processi interni.
Fonti principali
Garante per la protezione dei dati personali, Linee Guida in materia di utilizzo dei tracking pixel nelle comunicazioni di posta elettronica, adottate il 17 aprile 2026 e pubblicate in Gazzetta Ufficiale il 29 aprile 2026.
