Linee guida n. 284 del 17/04/2026

Linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica

Le presenti linee guida riguardano l’uso dei tracking pixel inseriti nelle e-mail e si rivolgono a fornitori di servizi della società dell’informazione, provider di posta elettronica, gestori di piattaforme per l’inoltro massivo di messaggi e, in generale, a chiunque utilizzi tali strumenti. Il Garante inquadra il fenomeno nel combinato disposto di GDPR, Codice privacy e disciplina e-Privacy, chiarendo i profili di liceità, trasparenza e consenso applicabili.

Quadro normativo di riferimento

Il provvedimento richiama la direttiva 2002/58/CE, il GDPR, il Codice privacy come modificato dal d.lgs. 101/2018 e il decreto legislativo n. 69/2012. Sono richiamati inoltre il considerando 173 e l’art. 95 GDPR, per il coordinamento tra Regolamento e disciplina e-Privacy, nonché il considerando 30 GDPR sugli identificativi online. Per l’interpretazione tecnica si richiamano anche il Parere WP29 n. 05/2014 sulle tecniche di anonimizzazione, il Parere EDPB n. 05/2019 e le Linee guida EDPB 2/2023 sull’ambito di applicazione tecnico dell’art. 5, par. 3, della direttiva e-Privacy.

Qualificazione dei tracking pixel come strumenti di tracciamento

Il Garante descrive i tracking pixel come immagini di dimensioni ridottissime, spesso trasparenti, ospitate su server remoti e scaricate automaticamente all’apertura del messaggio. Attraverso il codice HTML inserito nell’e-mail, il sistema invia al server informazioni sull’apertura del messaggio e dati ulteriori, quali indirizzo IP, tipo di dispositivo, durata della consultazione, numero di aperture, identificativi del pixel, message ID, delivery ID e token di sicurezza.

Secondo l’Autorità, questo meccanismo comporta sia un’archiviazione di informazioni nel terminale dell’utente sia un successivo accesso a informazioni già archiviate. Per tale ragione, l’uso dei pixel è ricondotto all’art. 122 del Codice privacy, che recepisce l’art. 5, par. 3, della direttiva e-Privacy e disciplina l’accesso alle informazioni terminali e la loro archiviazione.

Soggetti coinvolti e tipologie di messaggi

Le linee guida individuano i principali soggetti coinvolti nel trattamento, che devono definire i rispettivi ruoli in base all’accountability e, se del caso, alla contitolarità ex art. 26 GDPR. Tra questi vengono menzionati il mittente, il fornitore di servizi di invio e-mail, il fornitore di noleggio di liste di distribuzione, il fornitore della tecnologia di tracciamento, il content creator e il destinatario.

Sono inoltre distinte le principali categorie di comunicazioni in cui i pixel possono essere utilizzati:

• newsletter;
• DEM e comunicazioni promozionali o commerciali;
• e-mail transazionali e messaggi automatici;
• e-mail di servizio.

Obblighi di informativa e modalità semplificate

Il Garante sottolinea che la natura occulta dei pixel incide sul principio di correttezza e trasparenza dell’art. 5, par. 1, lett. a) GDPR. Ne deriva l’obbligo di informare preventivamente il destinatario circa l’uso di questi strumenti, qualunque sia la finalità della comunicazione o la natura del mittente.

L’informativa può essere resa in forme semplificate e multilivello, anche in modo multicanale. A titolo esemplificativo, il documento ammette:

• un’informativa sintetica nel modulo di raccolta dell’indirizzo e-mail;
• un link a un’informativa più dettagliata, anche nella cookie policy se presente;
• l’uso di altri canali e modalità, come video, pop-up, interazioni vocali, assistenti virtuali, telefono e chatbot.

Il titolare deve verificare, in base al principio di responsabilizzazione, che il sistema informativo sia completo, chiaro, efficace e realmente fruibile. Se l’impiego dei pixel è già in corso, l’informativa può essere fornita con il primo messaggio utile o nel primo momento di discontinuità disponibile nel rapporto con l’interessato.

Presupposti giuridici e ipotesi di deroga al consenso

L’art. 122, comma 2-bis, del Codice vieta l’uso della rete di comunicazione elettronica per accedere a informazioni archiviate nel terminale, archiviare informazioni o monitorare le operazioni dell’utente, salvo quanto previsto dal comma 1. Le deroghe indicate dal Garante sono tre:

• consenso preventivo, informato, libero, specifico e inequivocabile;
• trattamenti necessari o che facilitino la trasmissione di una comunicazione elettronica;
• trattamenti necessari alla fornitura di un servizio di comunicazione online su richiesta dell’utente.

L’Autorità precisa che, in vari casi, i titolari possono beneficiare della deroga al consenso. In particolare:

• per misurazioni statistiche globali del tasso di apertura, purché anonimizzate e non personalizzate, con uso di pixel univoci per campagna e anonimizzazione dei dati tecnici correlati;
• per misure di sicurezza collegate all’autenticazione, al completamento o all’aggiornamento del processo di autenticazione;
• per messaggi istituzionali o di servizio dovuti o funzionali alla tutela del destinatario, come avvisi anti-phishing, comunicazioni su modifiche contrattuali o organizzative, informative privacy, notifiche di incidenti di sicurezza, campagne informative e reminder su scadenze.

Consenso nei casi residui e gestione della revoca

Quando non operano le deroghe, il titolare deve acquisire il consenso prima dell’invio di e-mail contenenti pixel. Il Garante evidenzia che questo vale, ad esempio, per il tracciamento usato per analizzare la performance delle campagne promozionali, adattare oggetto, frequenza o contenuti, interrompere invii in base all’interesse rilevato o costruire profili commerciali.

Per i trattamenti avviati dopo l’entrata in vigore delle linee guida, il consenso andrebbe raccolto al momento dell’acquisizione dell’indirizzo e-mail, dopo adeguata informativa. L’Autorità ammette che il consenso al tracciamento possa essere ricompreso in quello alle comunicazioni promozionali, evitando richieste plurime e consentendo una sola manifestazione di volontà, purché la richiesta sia formulata in modo neutro e non coercitivo.

Deve essere sempre possibile revocare il consenso in modo facile e anche granulare, con la possibilità di:

• cessare l’invio delle e-mail;
• cessare soltanto la ricezione dei tracking pixel, continuando a ricevere le comunicazioni prive di tracciamento.

La revoca può essere resa disponibile tramite un’icona standardizzata o un link nel footer dell’e-mail, che conduca a un’area dedicata ai diritti dell’interessato. Il rifiuto del tracciamento non può comportare limitazioni alla fruizione del servizio. Le scelte dell’interessato devono essere registrate dal titolare ai sensi dell’art. 7, par. 1 GDPR.

Privacy by design, minimizzazione e misure tecniche

Il Garante richiama espressamente l’art. 25 GDPR e suggerisce misure tecniche e organizzative idonee a ridurre il rischio di identificabilità. In particolare, propone che il mittente generi un identificativo inintelligibile e non sequenziale, associandolo all’indirizzo e-mail del destinatario in un layer interno e separato della piattaforma, così che la richiesta tecnica generata dal pixel non contenga direttamente l’indirizzo e-mail.

Questa impostazione consente di conteggiare gli eventi di apertura tramite identificativo, limitando l’esposizione del dato personale nella rete e riducendo il rischio di identificazione.

Destinatari, obblighi e termine di adeguamento

Le linee guida sono adottate ai sensi dell’art. 154-bis, comma 1, lett. a), del Codice. Il Garante dispone che i soggetti interessati tengano conto delle indicazioni in materia di:

• liceità, correttezza e trasparenza dell’informativa;
• consenso e presupposti di liceità ex art. 122 del Codice e artt. 4, punto 11, e 7 GDPR;
• revoca del consenso, anche granulare, ex art. 7, par. 3 GDPR;
• privacy by design e by default ex art. 25 GDPR.

Considerata la complessità degli adeguamenti, è previsto un termine di 6 mesi dalla pubblicazione in Gazzetta Ufficiale per conformarsi alle indicazioni contenute nel provvedimento.