Quella spia invisibile nella tua inbox: il Garante dice basta ai tracking pixel
Un puntino trasparente, grande quanto un pixel, nascosto nella tua email. Non lo vedi, ma lui vede te. Sa quando hai aperto il messaggio, quante volte, da quale dispositivo, dove ti trovavi. Il Garante privacy ha deciso che è ora di cambiare le regole del gioco.
Con le nuove Linee Guida del 17 aprile 2026, l'Autorità interviene su una delle tecniche di monitoraggio più diffuse e sottovalutate del marketing digitale: i tracking pixel nelle comunicazioni email.
Di cosa parliamo, esattamente?
I tracking pixel sono micro-immagini trasparenti — spesso un singolo pixel 1×1 — incorporate nel corpo delle email. Quando il destinatario apre il messaggio, l'immagine viene scaricata da un server remoto, che registra l'evento e cattura una serie di informazioni: orario di apertura, indirizzo IP, tipo di dispositivo e client di posta. Tutto questo avviene, nella stragrande maggioranza dei casi, senza che l'utente ne abbia la minima consapevolezza.
Le regole cambiano: consenso preventivo obbligatorio
Il Garante inquadra l'utilizzo dei tracking pixel nell'ambito dell'art. 122 del Codice Privacy, la norma che disciplina l'accesso alle informazioni memorizzate nei terminali degli utenti. La conseguenza è netta: serve un consenso preventivo, libero, specifico e informato prima di inserire un pixel di tracciamento in un'email.
Sono ammesse eccezioni limitate — finalità di sicurezza informatica, esigenze tecniche strettamente necessarie, comunicazioni istituzionali — ma sempre nel rispetto dei principi di proporzionalità e minimizzazione.
Cosa cambia in pratica per aziende e operatori?
Le Linee Guida si rivolgono a una platea ampia: fornitori di servizi digitali, provider di posta elettronica, piattaforme di email marketing e, più in generale, chiunque utilizzi tracking pixel. In sintesi, i destinatari dovranno garantire un'informativa chiara e trasparente sull'impiego di questi strumenti, predisporre meccanismi semplici per la revoca del consenso (anche selettiva) e adottare misure di privacy by design e by default per ridurre il rischio di identificazione degli utenti.
Il termine per adeguarsi è fissato in sei mesi dalla pubblicazione in Gazzetta Ufficiale.
Perché è importante
Questo provvedimento colma una lacuna che il settore conosceva bene. I tracking pixel sono utilizzati da anni in modo massiccio nelle campagne di email marketing, spesso senza alcuna base giuridica adeguata. Il Garante manda un segnale chiaro: anche le tecnologie "invisibili" devono rispettare i diritti degli interessati.
Per i DPO e i professionisti privacy, è il momento di verificare i flussi di email marketing dei propri clienti o organizzazioni e avviare l'adeguamento prima della scadenza.
Fonte: Garante per la protezione dei dati personali – Comunicato stampa del 21 aprile 2026, Doc-Web 10241977
