Se gestisci campagne di email marketing, probabilmente hai già sentito parlare dei tracking pixel. Sono quelle minuscole immagini invisibili che permettono di sapere se un’email è stata aperta, da quale dispositivo, a che ora. Una funzionalità che diamo per scontata da anni e che è alla base di alcune statistiche (tasso di apertura) su cui costruiamo le nostre strategie di marketing.
Il 17 aprile 2026 il Garante per la protezione dei dati personali ha pubblicato un provvedimento (il n. 284) che cambia in modo significativo le regole del gioco. Le nuove Linee guida sono state pubblicate in Gazzetta Ufficiale il 29 aprile 2026 e impongono a chiunque utilizzi i tracking pixel di adeguarsi entro il 29 ottobre 2026.
Vediamo allora come continuare a usarli rispettando le nuove regole. In questo articolo ti spieghiamo cosa prevede il provvedimento, da quando si applica, cosa devi fare per essere a norma e, soprattutto, come EmailChef ti sta aiutando ad arrivare pronto alla scadenza.
⚠️ Nota importante.
1. Che cos'è il provvedimento sui tracking pixel
I tracking pixel sono immagini trasparenti di dimensione minima (spesso un solo pixel) inserite all’interno delle email. Quando il destinatario apre il messaggio, il client di posta scarica l’immagine da un server remoto: in quel momento si raccolgono informazioni come l’avvenuta apertura, l’orario, il dispositivo utilizzato e talvolta dati che permettono di risalire all’utente in modo univoco.
Il Garante li definisce “marcatori particolarmente invasivi soprattutto in ragione del loro carattere nascosto”: il destinatario, di norma, non sa che sta venendo tracciato. Da qui l’esigenza di regolamentarli in modo chiaro.
Le Linee guida (provvedimento n. 284 del 17 aprile 2026) inquadrano l’uso dei tracking pixel nell’articolo 122 del Codice privacy, la norma che regola l’accesso o la memorizzazione di informazioni nel terminale dell’utente.
Tradotto in pratica: se invii newsletter promozionali o campagne di email marketing e vuoi continuare a misurarne le aperture in modo individuale, hai bisogno del consenso dei destinatari. Il Garante, però, sceglie un approccio pragmatico: per evitare la cosiddetta consent fatigue (l’affaticamento da troppe richieste di consenso), ammette esplicitamente che il consenso al tracciamento possa essere ricompreso in quello, più generale, alla ricezione delle comunicazioni promozionali. Un unico consenso informato, quindi, è sufficiente, a patto che la richiesta sia formulata in modo neutro e senza forzature, e che l’utente sia stato correttamente informato.
Attenzione però: questa semplificazione vale per la raccolta del consenso. Quando si tratta di revoca, la regola cambia. Il Garante richiede infatti che l’utente possa revocare il consenso anche in modo granulare: potendo cioè scegliere se interrompere del tutto la ricezione delle email, oppure continuare a riceverle ma senza essere tracciato. Su questo punto il provvedimento non lascia margini di interpretazione.
Il Garante chiede inoltre che tu pubblichi un’informativa chiara e trasparente che spieghi all’utente cosa stai facendo.
2. Quando entra in vigore
Il Garante ha previsto un periodo transitorio di sei mesi dalla pubblicazione in Gazzetta Ufficiale, che è avvenuta il 29 aprile 2026.
La data da segnare in agenda è il 29 ottobre 2026. Entro quel giorno, tutti i soggetti che utilizzano tracking pixel nelle email (aziende, professionisti, enti pubblici, fornitori di servizi di email marketing) devono essersi adeguati alle nuove regole.
Una precisazione utile: il fatto che ti appoggi a una piattaforma come EmailChef non ti esonera dagli obblighi. Tu sei il titolare del trattamento dei dati dei tuoi iscritti, EmailChef è il responsabile del trattamento che li elabora per tuo conto. Significa che alcune cose le facciamo noi (e te ne parliamo tra poco), ma alcune restano sulle tue spalle: in particolare la raccolta del consenso e la corretta informativa ai tuoi iscritti.
3. Cosa fare per adeguarsi
Adeguarsi al provvedimento richiede di intervenire su più fronti, ma senza stravolgimenti. Ecco i passi concreti, divisi tra quello che spetta a te come titolare del trattamento e quello che stiamo predisponendo noi di EmailChef per supportarti.
Cosa devi fare tu
Aggiornare l’informativa privacy. È il punto da cui partire. L’informativa che linki dal form di iscrizione (e, in generale, quella a cui rimandi quando raccogli un indirizzo email) deve descrivere in modo chiaro:
- Che utilizzi tracking pixel nelle email che invii.
- Quali informazioni raccogli (ip, apertura, orario, dispositivo).
- Per quali finalità le usi (misurare l’efficacia delle campagne, segmentare gli iscritti, personalizzare i contenuti).
- Per quanto tempo conservi questi dati.
- Come l’utente può revocare il consenso in ogni momento, e in modo selettivo.
Rivedere il testo del form di iscrizione. Non devi aggiungere nuove caselle nei tuoi form. Il Garante ammette che un unico consenso, raccolto in modo informato e neutro, copra sia la ricezione delle email promozionali sia il tracciamento. Quello che devi fare è assicurarti che l’informativa linkata dal form spieghi entrambe le cose, e che il testo accanto alla checkbox di consenso non parli soltanto di “ricezione di comunicazioni commerciali” ignorando il tracciamento. Una formulazione del tipo “acconsento a ricevere comunicazioni commerciali e al monitoraggio delle interazioni con le email, secondo quanto descritto nell’informativa privacy”, accompagnata da un richiamo visibile alla possibilità di revoca selettiva, è coerente con quanto richiesto.
Gestire il transitorio sugli iscritti già in lista. Per chi è già nella tua mailing list, il Garante prevede un regime transitorio dedicato. Quello che devi fare, alla prima occasione utile (cioè con il primo invio successivo all’adeguamento, o comunque al primo momento di discontinuità nella relazione con l’utente), è:
- aggiornare l’informativa e renderla disponibile;
- inviare un’email in cui segnali la nuova informativa, spieghi che utilizzi i pixel di tracciamento e che l’utente può recedere dal consenso (alla ricezione o, quando la funzionalità sarà disponibile, anche solo al tracciamento tramite pixel).
Documentare tutto. Il principio di accountability del GDPR vale anche qui: devi essere in grado di dimostrare di aver raccolto il consenso, in che forma, quando, e di aver fornito un’informativa adeguata. Conserva i log dei consensi e tieni traccia delle modifiche all’informativa.
Cosa stiamo facendo noi di EmailChef
Lavoriamo per farti arrivare al 29 ottobre con tutti gli strumenti pronti. Ecco cosa puoi aspettarti dalla piattaforma nei prossimi mesi.
Revoca granulare del consenso entro fine ottobre. Oggi i tuoi iscritti possono revocare il consenso alla ricezione delle email (l’iscrizione, in sostanza). Stiamo lavorando per introdurre, entro la scadenza fissata dal Garante, la possibilità di revocare in modo separato il consenso alla ricezione delle email e il consenso al tracciamento delle interazioni.
In questo modo un iscritto potrà scegliere di continuare a ricevere le tue comunicazioni ma chiedere di non essere più tracciato, oppure viceversa. È esattamente la modalità di revoca selettiva che il provvedimento richiede, ed è il cuore del meccanismo che ti permetterà di essere a norma senza dover stravolgere i tuoi flussi.
Documentazione di supporto. Pubblicheremo guide operative, modelli di informativa privacy aggiornati ai requisiti del Garante e FAQ tecniche man mano che ci avviciniamo alla scadenza.
Ti consigliamo, già da ora, di non aspettare ottobre. Anche se gli strumenti saranno pronti per tempo, una revisione dell’informativa privacy e l’aggiornamento del testo accanto ai form di iscrizione hanno bisogno di un confronto interno (e magari con il tuo consulente privacy) per essere fatti bene.
4. Esempi di testo
I testi che seguono sono esempi di partenza che puoi adattare al tono di voce del tuo brand e alla tua specifica configurazione. Non sostituiscono una valutazione con il tuo consulente privacy, ma ti danno un’idea concreta di come riformulare ciò che già hai.
Testo accanto alla checkbox del form di iscrizione
Acconsento a ricevere comunicazioni commerciali via email e alla raccolta dei dati di apertura delle email, come descritto nell’informativa privacy.
Paragrafo da aggiungere all'informativa privacy
Da inserire nella sezione dell’informativa che descrive le finalità di trattamento legate all’email marketing:
Tracciamento delle interazioni con le email tramite tracking pixel
Le email che ti inviamo possono contenere tracking pixel: immagini di dimensione minima che, al momento dell’apertura del messaggio, consentono al nostro sistema di rilevare alcune informazioni relative alla tua interazione con la comunicazione.
Dati raccolti: indirizzo IP, indirizzo email, data e ora dell’apertura, tipologia di dispositivo e client di posta utilizzati.
Finalità: misurare l’efficacia delle nostre campagne email, comprendere quali contenuti risultano di maggiore interesse, segmentare le comunicazioni successive in modo più pertinente, garantire la sicurezza e la corretta consegna dei messaggi.
Base giuridica: il tuo consenso, prestato al momento dell’iscrizione o successivamente, ai sensi dell’art. 122 del Codice in materia di protezione dei dati personali (D.lgs. 196/2003 e ss.mm.ii.) e dell’art. 6, par. 1, lett. a) del Regolamento (UE) 2016/679 (GDPR).
Periodo di conservazione: i dati raccolti tramite tracking pixel sono conservati per il tempo strettamente necessario alle finalità sopra indicate, in coerenza con il principio di minimizzazione, dopodiché vengono cancellati o anonimizzati in forma aggregata.
Revoca del consenso: puoi revocare in qualsiasi momento il consenso prestato seguendo le istruzioni indicate nelle nostre comunicazioni o contattandoci ai riferimenti riportati nella presente informativa.
5. Cosa cambierà nelle tue statistiche e nei tuoi flussi automatici
Una parte dei tuoi destinatari sceglierà di non essere tracciata: per loro non riceverai più il segnale di apertura. La conseguenza più visibile sarà un tasso di apertura più basso a parità di aperture reali, perché il calcolo continuerà a basarsi sul totale degli iscritti, mentre il numero di aperture rilevate sarà inferiore.
(Vale la pena ricordare che, anche oggi, il tasso di apertura non è una metrica affidabile in senso assoluto. Molti provider di posta, ad esempio Apple Mail con la Mail Privacy Protection e Gmail con il precaricamento delle immagini, impediscono il caricamento dei tracking pixel o lo eseguono in modo anonimizzato e preventivo. Questo significa che il tasso di apertura “vero” è già da tempo qualcosa di diverso da quello che vedi nelle statistiche. Per questo è sensato usarlo come indicatore di confronto tra campagne diverse, non come misura assoluta dell’engagement. Il nuovo provvedimento accentua una tendenza che era già in atto: il valore comparativo della metrica resta, ma il numero assoluto va letto con cautela ancora maggiore.)
L’altro effetto, meno immediato ma rilevante, riguarda i flussi automatici condizionati all’apertura di un’email (per esempio: “se l’utente apre l’email A, invia l’email B; altrimenti invia l’email C”). Chi non viene tracciato risulterà sempre come “non aperto”, quindi non entrerà mai nei rami di flusso condizionati all’apertura. Se usi questo tipo di automazioni, è il momento di rivederle: considera criteri alternativi (come il click su un link) o flussi che non penalizzino gli utenti non tracciati.
6. FAQ
No, hai tempo fino al 29 ottobre 2026. È però consigliabile iniziare a muoversi da subito: confrontarti con il tuo consulente privacy e pianificare per tempo le modifiche ai testi di consenso e all’informativa privacy ti permetterà di arrivare alla scadenza con calma, anziché correre all’ultimo momento.
Per i trattamenti già in corso il Garante ha previsto un regime transitorio specifico. Non devi inviare una campagna di re-consenso: ciò che devi fare è aggiornare l’informativa e successivamente inviare ai tuoi iscritti un’email in cui segnali la nuova informativa, spieghi che utilizzi i pixel di tracciamento e ricordi che possono recedere dal consenso. Con il previsto rilascio della revoca granulare in EmailChef potranno in futuro scegliere se uscire dalla ricezione delle email o se mantenere la ricezione disattivando il solo tracciamento delle aperture.
No. Il Garante ammette espressamente che il consenso al tracciamento possa essere ricompreso in quello, più generale, alla ricezione delle comunicazioni promozionali, per evitare il fenomeno della consent fatigue. Una sola checkbox è dunque sufficiente, a condizione che l’informativa linkata dal form descriva chiaramente anche l’uso dei tracking pixel e che il testo della checkbox non sia formulato in modo ingannevole o forzato. Resta poi obbligatorio garantire all’utente la possibilità di revocare il consenso in modo granulare in qualsiasi momento successivo.
Il trattamento dei dati raccolti tramite tracking pixel senza una valida base giuridica espone a contestazioni da parte del Garante, con possibili richieste di adeguamento che, in caso di non ottemperanza, possono comportare le sanzioni amministrative previste dal GDPR. Al di là delle sanzioni, è in gioco la fiducia dei tuoi iscritti.
Sì, ma in casi limitati. Il provvedimento ammette deroghe per finalità di sicurezza, esigenze tecniche strettamente necessarie all’erogazione del servizio richiesto e per comunicazioni di servizio o istituzionali. Si applicano sempre i principi di proporzionalità e minimizzazione: la deroga va sempre motivata e documentata, e non costituisce un via libera generale.
Le email puramente di servizio ricadono tipicamente tra le ipotesi in cui il tracciamento può essere giustificato senza consenso specifico, in quanto strettamente necessario all’erogazione del servizio richiesto dall’utente. Attenzione però: se all’interno di un’email transazionale inserisci contenuti promozionali, la natura della comunicazione cambia e tornano in gioco gli obblighi di consenso.
No. Il provvedimento del Garante riguarda specificamente i tracking pixel, cioè le immagini invisibili che rilevano l’apertura delle email e che il provvedimento definisce “marcatori particolarmente invasivi” proprio in ragione del loro carattere nascosto. Il tracciamento dei click su un link, invece, è una conseguenza naturale e visibile dell’azione compiuta volontariamente dall’utente: cliccando su un link, l’utente sa di compiere un’azione e di essere reindirizzato. Per questa ragione, il tracciamento dei click non rientra nel perimetro del provvedimento e continuerà a funzionare come oggi.
Il provvedimento del Garante italiano si applica ai trattamenti che ricadono sotto la sua giurisdizione, ma le Linee guida si muovono nel solco del GDPR, che è europeo. Altre autorità nazionali stanno adottando posizioni simili. In ogni caso, adeguarsi al provvedimento italiano è generalmente compatibile con un’impostazione corretta a livello europeo.
Per il momento, EmailChef gestisce solo il consenso aggregato: gli utenti che non vogliono essere tracciati devono disiscriversi dalla newsletter. Con il rilascio della revoca granulare in EmailChef, gli iscritti che eserciteranno questa scelta verranno automaticamente esclusi dal tracciamento delle aperture e degli altri eventi misurati dai pixel, pur continuando a ricevere le tue comunicazioni. Lo stato di consenso sarà visibile e gestibile dalla piattaforma. Nel frattempo, ti consigliamo di iniziare a riflettere su come questa scelta degli utenti possa impattare le tue metriche di campagna, e su come comunicare con efficacia anche a una parte di pubblico per cui i dati di apertura non saranno più disponibili.
Per qualsiasi dubbio sui prossimi rilasci e sulle funzionalità in arrivo, il nostro team di supporto è a tua disposizione.
