Tracking pixel nelle email: quando serve il consenso, e dove le letture divergono

Un pixel che dice al mittente se e quando quel destinatario ha aperto l'email richiede il consenso preventivo di chi la riceve, salvo tre eccezioni. È la regola delle linee guida del Garante sui tracking pixel nelle comunicazioni di posta elettronica (provvedimento n. 284 del 17 aprile 2026, pubblicato nella Gazzetta Ufficiale, Serie Generale, n. 98 del 29 aprile 2026), che fissano in sei mesi dalla pubblicazione il termine per adeguarsi: il 29 ottobre 2026.

Sulla regola di fondo i commenti di studi e riviste concordano. Divergono invece su quattro punti che decidono come si imposta una campagna: da quando l'obbligo vale davvero, quanto sono larghe le eccezioni, se basta una casella di consenso, come trattare i contatti in soft spam. Nel frattempo la CNIL francese ha adottato una raccomandazione sullo stesso tema che, su alcuni punti, arriva a conclusioni opposte. Qui si mettono a confronto le letture e si indica, punto per punto, quella che regge meglio.

Quando serve il consenso, in sintesi?

Serve quando il pixel misura il comportamento del singolo destinatario: per cambiare oggetto o contenuti in base alle aperture, per regolare la frequenza, per smettere di scrivere a chi non apre, per ricavare gusti e preferenze. Non serve nelle tre ipotesi che il Garante riconduce alle deroghe dell'art. 122, e che descrive come esempi validi «allo stato attuale delle conoscenze». La tabella mette accanto la posizione del Garante e quella della CNIL, perché per chi scrive anche a destinatari francesi le due non coincidono.

Due regole valgono in ogni caso. L'informativa sul pixel è dovuta «qualunque sia lo scopo della comunicazione o la tipologia del soggetto mittente», e senza informativa i dati raccolti non sono utilizzabili. La prova che ricorre un'eccezione resta a carico del titolare, che deve poterla documentare.

Da quando vale l'obbligo: 29 aprile o 29 ottobre 2026?

L'obbligo di consenso viene dall'art. 122 del Codice privacy, che recepisce l'art. 5, par. 3, della direttiva ePrivacy e che le Linee guida EDPB 2/2023 (versione del 7 ottobre 2024) applicano espressamente ai pixel nelle email. Le linee guida del Garante non lo creano: lo interpretano e concedono sei mesi per adeguare ciò che è già in funzione.

Sulla data i commenti usano formule diverse. Agenda Digitale (Alessandro Vercellotti, 12 giugno 2026) scrive che le linee guida sono «operative» dal 29 aprile 2026 e che il provvedimento «non introduce una norma nuova». Il Garante invece, nella notizia del 5 ottobre 2026, titola che le linee guida «entrano in vigore» a fine mese, alla scadenza dei sei mesi, e la newsletter n. 553 dell'8 ottobre le dice «in vigore». Lo studio Stefanelli (7 ottobre 2026) e Cybersecurity360 (7 ottobre 2026) parlano del 29 ottobre come termine di adeguamento.

La lettura più solida tiene distinti due piani: da dove viene l'obbligo e quanto tempo si ha per adeguarsi. Il provvedimento è adottato ai sensi dell'art. 154-bis, comma 1, lett. a), del Codice, la norma che consente al Garante di adottare «linee guida di indirizzo», e motiva i sei mesi con la «potenziale complessità di eventuali adeguamenti dei sistemi e dei trattamenti già in atto». Il termine è quindi una finestra concessa dall'autorità per sistemare l'esistente. Non rende lecito, fino al 29 ottobre, un pixel individuale senza consenso che l'art. 122 vietava già prima. Ne seguono due conseguenze pratiche:

• dopo il 29 ottobre non resta alcun margine di tolleranza da invocare in un'ispezione;
• per i moduli di raccolta degli indirizzi aperti o rifatti dopo il 29 aprile non c'era ragione di aspettare. Le linee guida distinguono i trattamenti «già in corso» da quelli avviati dopo la loro «entrata in vigore», senza definire quella data: conviene conservare la data di acquisizione di ogni indirizzo e trattare come nuovi almeno i contatti raccolti dopo il 29 ottobre.

Quanto sono solide le tre eccezioni del Garante?

Non allo stesso modo. L'art. 122 conosce due sole deroghe al consenso: la trasmissione della comunicazione e lo stretto necessario per un servizio esplicitamente richiesto dall'utente. L'eccezione per l'autenticazione rientra senza sforzo nella seconda, e infatti la riconoscono sia il Garante sia la CNIL. Le altre due poggiano su argomenti più lontani dal testo della norma.

La statistica aggregata: coerente con la linea italiana, fragile fuori

Il Garante esenta il pixel che misura «la percentuale globale di apertura dei messaggi», purché sia uguale per tutti i destinatari della campagna e IP e dati del client siano anonimizzati. Lo giustifica con la deliverability, che va «anche a beneficio dell'utente», e con il parere WP29 n. 05/2014 sull'anonimizzazione. Nel riassumere le deroghe, il Garante parla di trattamento che «consenta o faciliti» la trasmissione. Il verbo «facilitare» compariva nel testo originario del 2002 dell'art. 5, par. 3, della direttiva («al solo fine di effettuare o facilitare la trasmissione»), ma il testo vigente dell'art. 122, riscritto dal d.lgs. 69/2012 in attuazione della direttiva 2009/136/CE, dice «unicamente ad effettuare la trasmissione». La deliverability si lascia ricondurre al facilitare più che all'effettuare, ed è proprio il verbo che la norma vigente non contiene più. È la stessa logica con cui le linee guida cookie del 10 giugno 2021 equiparano ai cookie tecnici gli analytics che non consentono di individuare il singolo.

La CNIL la pensa diversamente: nelle FAQ del 22 luglio 2026 scrive che la sua norma di recepimento si applica che i dati siano personali o no, e che l'anonimizzazione preventiva dei dati sul terminale non basta a esentarne la raccolta dal consenso. In Francia l'esenzione dipende dalla finalità (la deliverability delle email richieste), non dall'anonimato. La posizione francese è più aderente al testo europeo: le Linee guida EDPB 2/2023 (par. 10) riportano il passaggio della sentenza Planet49 della Corte di giustizia (1° ottobre 2019, C-673/17) secondo cui la tutela si applica a qualsiasi informazione archiviata nel terminale, «indipendentemente dal fatto che si tratti o meno di dati personali». L'anonimizzazione è una nozione del GDPR e non incide sull'accesso al terminale in quanto tale.

In pratica: davanti al Garante l'eccezione regge, perché è la sua linea costante. Per i destinatari in Francia no. C'è poi un limite che i commenti italiani non mettono in evidenza: un pixel identico per tutti dà il tasso di apertura della campagna ma non dice chi ha aperto. Non serve quindi a ciò che molti mittenti chiedono davvero al pixel, cioè individuare gli inattivi e pulire la lista. In Italia quella attività richiede il consenso, perché il Garante cita proprio l'interruzione degli invii dopo mancate aperture tra i casi che lo esigono.

Le comunicazioni obbligatorie: basta una clausola del contratto?

La terza eccezione copre i messaggi istituzionali o di servizio che il titolare «ha l'obbligo giuridico di inoltrare» e per i quali conta l'effettiva presa di conoscenza: avvisi antifrode e antiphishing, modifiche contrattuali, notifiche di incidenti, campagne istituzionali, ma anche «reminder su scadenze e adempimenti contrattuali o contributivi». DLA Piper (12 maggio 2026) la definisce la più ampia delle tre.

I commenti si dividono sul perimetro. Agenda Digitale la estende ai promemoria il cui invio discende «da una norma di legge o da una clausola contrattuale qualificante», escludendo il marketing travestito da servizio. Stefanelli e Cybersecurity360 restano sulla formula del Garante, l'obbligo giuridico di invio. La lettura più stretta è quella da preferire, per due ragioni:

• una clausola scritta dal mittente nelle proprie condizioni generali gli permetterebbe di crearsi da solo l'eccezione: basta prevedere l'obbligo di inviare il promemoria;
• il Garante fonda l'eccezione sul «bilanciamento degli interessi» e sul beneficio per i destinatari, un criterio che l'art. 122 non prevede. La CNIL non la riconosce, salvo per le email della pubblica amministrazione legate a una missione di servizio pubblico.

Conviene usarla solo per i messaggi che una norma impone di inviare, annotare quale norma, e non riutilizzare i dati di apertura di quei messaggi per altre finalità, come valutare l'interesse commerciale del cliente.

Una casella di consenso o due?

Una basta, per la newsletter promozionale e il pixel che serve a misurarla. Agenda Digitale lo scrive senza mezzi termini («una casella, non due») e contesta le agenzie che dopo la pubblicazione hanno indicato ai clienti il doppio consenso come obbligatorio. Il testo del Garante le dà ragione.

Il paragrafo 6 delle linee guida lo dice così: il consenso al pixel «possa, in linea di principio, essere ricompreso in quello, più generale, alla ricezione delle comunicazioni promozionali, in modo da consentire che la persona esprima a tal fine un unico consenso informato», alla condizione «che la richiesta sia formulata in modo neutro e privo di forzature».

Il contrappeso è la revoca granulare: in ogni email un link o un'icona verso un'area in cui il destinatario sceglie se smettere di ricevere i messaggi o riceverli senza pixel, senza subire limitazioni del servizio. Le scelte vanno registrate per poterle dimostrare (art. 7, par. 1, GDPR).

Il consenso unico ha però due confini che non tutti i commenti segnalano.

Il primo è la profilazione. Chiara Ponti su Cybersecurity360 osserva che le linee guida non lo dicono, ma è opportuno un consenso separato se i dati di apertura servono a profilare. È la lettura corretta: il Garante giustifica il consenso unico con la «stretta correlazione tra finalità», e la costruzione di profili «utilizzabili anche per iniziative diverse» esce da quella correlazione. La CNIL arriva allo stesso punto: un solo consenso per finalità connesse, consensi distinti per quelle che non lo sono.

Il secondo è il tipo di comunicazione. Il consenso unico è previsto per le comunicazioni promozionali. Per newsletter editoriali, comunicazioni associative o email transazionali con pixel individuale le linee guida non offrono la stessa scorciatoia: serve un consenso specifico al pixel, oppure il solo pixel statistico.

Liste già attive e contatti in soft spam: cosa cambia?

Per le liste commerciali già attive il Garante non chiede un nuovo consenso. Per i trattamenti in corso, basati sul consenso «o altro valido presupposto giuridico», chiede l'informativa sul pixel con il primo invio utile o nel primo momento di discontinuità del rapporto, e l'attivazione della revoca granulare nella forma più visibile. Lo definisce un regime transitorio, «applicabile esclusivamente ai trattamenti già in corso», senza data di fine. Il testo lo riferisce alle email «di carattere commerciale»: per i flussi transazionali o di servizio con pixel individuale dopo il 29 ottobre resta la regola generale, cioè consenso oppure pixel statistico.

Agenda Digitale suggerisce, come variante più cautelativa, di inviare un aggiornamento dell'informativa che offre di continuare senza tracciamento, togliendo il pixel a chi non risponde. È una scelta prudente, che il Garante non impone.

Il punto aperto sono i contatti in soft spam, cioè i clienti a cui si scrive senza consenso per prodotti analoghi ai sensi dell'art. 130, comma 4, del Codice.

Le linee guida citano il soft spam solo per descrivere come può essere stato acquisito l'indirizzo, e nessuno dei commenti italiani esaminati lo collega al consenso al pixel. Il consenso unico presuppone un consenso al marketing in cui far rientrare quello al pixel: nel soft spam quel consenso non c'è. La CNIL lo dice in chiaro: un'email inviata in base all'eccezione per prodotti analoghi non è un servizio richiesto dall'utente, e il pixel che contiene, anche se serve solo alla deliverability, richiede il consenso.

La lettura che ne segue per l'Italia è un'interpretazione, non un'indicazione del Garante: per i contatti in soft spam acquisiti dopo l'adeguamento, misurare l'apertura del singolo richiede un consenso specifico al pixel, altrimenti si usa il pixel statistico. Per le liste in soft spam già attive vale il regime transitorio.

Chi scrive anche a destinatari in Francia deve seguire due regole?

Sì. Nelle FAQ la CNIL afferma di essere competente sulle violazioni della norma francese sui traccianti che riguardano utenti situati in Francia, e che il meccanismo dello sportello unico non si applica a questi controlli. Un'impresa italiana che scrive a clienti francesi risponde quindi alla CNIL per quei destinatari.

DLA Piper consiglia, per chi opera nei due Paesi, di tarare i sistemi sul regime più restrittivo. Il consiglio è meno semplice di quanto sembri, perché nessuno dei due è più restrittivo su tutto. Il Garante è più severo sulla misura individuale delle aperture, che chiede di coprire con il consenso. La CNIL lo è sulla statistica anonimizzata, sul soft spam e sulle comunicazioni istituzionali. Le strade praticabili sono due: segmentare le liste per Paese del destinatario e applicare a ciascun segmento le sue regole, oppure adottare una configurazione comune che regga in entrambi gli ordinamenti, cioè pixel individuale solo con consenso e nessun pixel negli altri casi.

Anche i tempi differiscono. La raccomandazione CNIL (delibera n. 2026-042 del 12 marzo 2026) è stata pubblicata nella Gazzetta ufficiale francese il 14 aprile 2026. Per gli indirizzi raccolti prima, il mittente poteva continuare a usare i pixel a condizione di informare i destinatari, dando loro modo di opporsi, entro tre mesi, cioè entro il 14 luglio 2026, salvo proroghe documentate. Scaduto quel termine senza informativa, vale la regola del consenso.

Cosa cambia per una struttura sanitaria?

Promemoria di appuntamento, avvisi di referto disponibile e inviti agli screening partono spesso dalle stesse piattaforme delle newsletter. La CNIL elenca i promemoria di appuntamento tra le email transazionali, in cui il pixel di sola deliverability è esente; il Garante non li cita tra i suoi esempi, e la terza eccezione funziona solo se l'invio è imposto da una norma.

C'è un profilo che le linee guida non trattano. Per l'art. 4, n. 15, del GDPR sono dati relativi alla salute anche quelli attinenti alla prestazione di servizi di assistenza sanitaria che rivelano informazioni sullo stato di salute. L'apertura registrata di un avviso legato a una prestazione specifica può dire qualcosa del rapporto di cura. Per queste comunicazioni la scelta più difendibile è il pixel solo statistico, oppure nessun pixel.

Cosa verificare prima del 29 ottobre 2026?

La linea di confine passa tra due tipi di pixel. Quello che conta le aperture della campagna senza sapere chi ha aperto può restare senza consenso in Italia. Quello che osserva il singolo destinatario, anche solo per decidere a chi smettere di scrivere, richiede il consenso. Le due eccezioni più larghe del Garante, statistica e comunicazioni obbligatorie, reggono davanti al Garante. Hanno meno appoggio nel testo dell'art. 122 e nessuno, o quasi, davanti alla CNIL: chi le usa deve saperlo e documentare la scelta.

Chi ha scritto

Giorgio Presepio

DPO certificato UNI 11697 | Privacy, AI Governance & Cybersecurity

Fondatore di inteGroup, è Data Protection Officer certificato ai sensi della norma UNI CEI EN 17740 e della UNI/TS 11945. Svolge il ruolo di DPO - tra gli altri - all'interno di importanti IRCCS e primarie strutture ospedaliere di rilievo internazionale. È consulente esperto in protezione dei dati, governance dell’intelligenza artificiale (Reg. UE 2024/1689 e L. 132/2025) e cybersecurity in settori ad elevata regolazione. Ha maturato una lunga esperienza nell'healthcare, biomedical research e lifescience e ha partecipa a gruppi di lavoro istituzionali e, in qualità di relatore, a seminari scientifici e corsi di alta formazione.

Profilo pubblico →