Mancano 19 giorni al 29 ottobre 2026, la data da cui in Italia le email con pixel di tracciamento dovranno rispettare le nuove regole del Garante per la protezione dei dati personali. Chi invia newsletter o campagne promozionali potrà sapere se un destinatario ha aperto il messaggio solo dopo avergli chiesto un consenso esplicito. Le linee guida sono contenute nel provvedimento n. 284 del 17 aprile 2026, pubblicato in Gazzetta Ufficiale il 29 aprile: da quel giorno sono scattati i sei mesi concessi per adeguarsi.
Che cos'è un tracking pixel?
Si tratta di un'immagine minuscola, spesso di un solo pixel e trasparente, inserita nel codice di un'email. Quando il programma di posta carica le immagini, richiede il file al server del mittente. Quella richiesta basta a rivelare diverse informazioni: che il messaggio è stato aperto, a che ora, con quale dispositivo e da quale indirizzo IP. Il destinatario non vede nulla, ma chi ha spedito la mail ottiene un quadro preciso del suo comportamento.
Per il Garante questo meccanismo equivale a un accesso alle informazioni presenti sul dispositivo dell'utente. Per questo ricade nell'articolo 122 del Codice privacy, che recepisce la direttiva europea ePrivacy, oltre che nei principi del GDPR.
Cosa cambia dal 29 ottobre
La regola di base è semplice: il monitoraggio individuale delle aperture, ad esempio per misurare l'efficacia di una campagna di marketing, richiede un consenso libero, specifico e informato. Non basta una clausola generica nascosta nell'informativa.
Le linee guida prevedono però alcune eccezioni, purché si raccolgano solo i dati davvero utili allo scopo:
- sicurezza, per esempio per verificare la ricezione di un messaggio di autenticazione;
- funzioni strettamente necessarie dal punto di vista tecnico;
- comunicazioni istituzionali o di servizio, come gli avvisi su una violazione di dati o sulle modifiche a un contratto, quando sapere che il messaggio è arrivato fa parte della sua funzione;
- statistiche aggregate sul numero di aperture, a patto che siano realmente anonime e non riconducibili ai singoli destinatari.
I diritti di chi riceve le email
L'utente deve sapere in modo chiaro che il messaggio contiene un sistema di tracciamento, quali dati vengono raccolti, per quale scopo e per quanto tempo. Deve inoltre poter revocare il consenso con facilità e anche in modo selettivo: per esempio continuando a ricevere la newsletter, ma senza che le aperture vengano registrate. Il Garante insiste anche sulla privacy by design e by default, cioè su sistemi progettati fin dall'inizio per raccogliere il minimo indispensabile.
Cosa devono fare aziende e newsletter
Le regole riguardano imprese, piattaforme di email marketing, servizi di newsletter e chiunque gestisca invii massivi. In vista della scadenza conviene verificare alcuni punti:
- controllare se la piattaforma di invio usa pixel e se permette di disattivarli per i singoli contatti;
- spiegare nell'informativa, in un paragrafo apposito, come funziona il tracciamento delle email;
- introdurre un pannello delle preferenze che separi l'iscrizione dal consenso al tracciamento;
- usare identificativi non sequenziali e non leggibili per i destinatari;
- formalizzare con il fornitore del servizio l'accordo sul trattamento dei dati previsto dall'articolo 28 del GDPR.
Chi non ha un consenso valido può comunque continuare a inviare le email consentite, ma dovrà rinunciare a sapere chi le apre.
Controlli e sanzioni
Secondo le fonti consultate, il Garante ha inserito la verifica di queste pratiche nella propria attività ispettiva per il secondo semestre 2026. Una data precisa per l'avvio dei controlli e importi specifici legati a queste linee guida non sono stati comunicati. Il tema della privacy nella posta elettronica resta comunque al centro dell'attenzione, come mostrano anche le recenti novità di Gmail, tra cui le stelle blu per i mittenti verificati, e l'attività sempre più intensa delle autorità italiane sul digitale, come l'istruttoria dell'AGCM su Suno.
Domande frequenti
Da quando valgono le nuove regole sui pixel nelle email?
Dal 29 ottobre 2026, alla fine dei sei mesi concessi dopo la pubblicazione in Gazzetta Ufficiale del 29 aprile 2026.
Le newsletter dovranno smettere di arrivare?
No. Le linee guida non vietano l'invio, ma il tracciamento individuale delle aperture senza consenso.
Come si può evitare il tracciamento come utente?
Molti programmi di posta permettono di bloccare il caricamento automatico delle immagini, che impedisce al pixel di attivarsi. Con le nuove regole sarà anche possibile revocare il consenso direttamente dal pannello delle preferenze del mittente.
Foto di copertina: Carlo Dani, CC BY-SA 4.0, via Wikimedia Commons.
