Questo articolo ha finalità esclusivamente informative generali e non costituisce consulenza personalizzata, legale o in materia di protezione dei dati.
Se nelle ultime settimane sono arrivate email di aziende, piattaforme e servizi che chiedono di scegliere se attivare o disattivare il monitoraggio delle aperture, e che rimandano a una “area riservata” o a preferenze di privacy, non è una cortesia casuale né una campagna pubblicitaria. È l’adeguamento obbligatorio al provvedimento n. 284 del 17 aprile 2026 del Garante per la protezione dei dati personali sulle linee guida relative all’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica.
Il termine di adeguamento era di sei mesi dalla pubblicazione in Gazzetta Ufficiale, avvenuta il 29 aprile 2026: è scaduto il 29 ottobre 2026. Da allora, chi usa pixel di tracciamento nelle email deve avere un’informativa chiara, un consenso valido quando il consenso serve, e un modo semplice per revocarlo. Il Garante ha annunciato che la verifica dell’applicazione rientra fra le attività ispettive del secondo semestre 2026.
Questo articolo spiega cosa sono questi pixel, che cosa dicono esattamente le regole, che cosa è cambiato nell’Europa dopo il mandato del Consiglio del 21 ottobre 2026 e, soprattutto, che cosa fare da ciascuno dei due lati: da chi riceve le email e da chi le invia.
In breve, le quattro risposte
| Domanda | Risposta |
|---|---|
| Sono arrivate email che chiedono di attivare o disattivare il monitoraggio: perché? | Perché dal 29 ottobre 2026 scade il termine di adeguamento al provvedimento n. 284 del 17 aprile 2026 del Garante Privacy sui tracking pixel nelle email. Le aziende che usano questi pixel devono avere informativa, consenso e revoca conformi. |
| Il consenso serve sempre? | No. Serve quando il pixel misura il comportamento del singolo destinatario per finalità promozionali o di profilazione. Non serve per statistiche aggregate e deliverability, per esigenze di sicurezza e per comunicazioni istituzionali e di servizio. |
| Rifiutare il tracciamento fa perdere la newsletter? | No. Il rifiuto non può comportare limitazioni nell’uso del servizio: chi rifiuta continua a ricevere le comunicazioni, e chi si iscrive non può essere vincolato al consenso. |
| Come si blocca il tracciamento nelle email? | Bloccando le immagini remote nel client di posta, oppure usando l’opzione nelle preferenze del servizio, oppure chiedendo la revoca selettiva del consenso al mittente. |
Chi lavora nel digitale e gestisce newsletter, CRM o automazioni trova invece le risposte operative nella parte finale di questo articolo, con le azioni divise fra chi riceve e chi invia. Per il quadro generale sul rispetto dei dati personali nel lavoro online, il punto di partenza è la sezione fisco del blog; per la protezione degli accessi e degli account, la guida per i creator che perdono l’account è il documento di riferimento.
Cos’è un tracking pixel, in concreto
Un tracking pixel è un’immagine di dimensioni minime, spesso un singolo pixel grafico, invisibile o dello stesso colore dello sfondo del messaggio, inserita nel corpo di una email come collegamento a un indirizzo internet.
Quando il destinatario apre il messaggio, il client di posta elettronica scarica automaticamente l’immagine. Il server che ospita l’immagine registra in quel momento l’apertura e può associare l’evento a informazioni ulteriori: l’indirizzo IP del dispositivo, il tipo di dispositivo e il client usati, l’orario di consultazione, l’eventuale download di un allegato.
La differenza rispetto ai cookie del browser è la posizione della traccia. Il cookie viene depositato sul dispositivo del visitatore e vive lì; il pixel non lascia nulla sul dispositivo, ma produce la registrazione sul lato di chi ha inviato il messaggio. Per questo il Garante ha ricondotto la fattispecie all’articolo 122 del Codice privacy, che disciplina l’accesso alle informazioni archiviate nel terminale dell’utente e il monitoraggio online del suo comportamento.
Chi usa questi pixel, in concreto: le piattaforme di email marketing e le piattaforme di invio massivo, i CRM, gli strumenti di automazione delle campagne, i sistemi di gestione delle relazioni con i clienti e, in misura crescente, i servizi di posta elettronica transazionale che misurano le prestazioni delle comunicazioni operative.
Tre cose che il pixel non è
Non è un virus e non compromette il dispositivo: è una richiesta a un server, e null’altro.
Non è un cookie: non viene salvato sul telefono o sul computer del destinatario.
Non è illegale in assoluto: è soggetto a regole precise, con deroghe espresse, e l’assenza di queste condizioni è ciò che rende l’impiego non conforme.
Cosa dice il Garante: la regola e le tre deroghe
La struttura della disciplina è semplice da ricordare. L’articolo 122 del Codice privacy prevede un divieto generalizzato di trattamento, superabile solo in presenza di una delle ipotesi previste dalla norma. La prima, e quella più discussa, è il consenso preventivo dell’utente, che deve essere libero, specifico, informato e inequivocabile.
Quando il consenso è necessario? Quando il pixel consente di misurare il comportamento del singolo destinatario per valutare o migliorare una campagna promozionale, per modificarne la frequenza in base alle email aperte, o per ricavare informazioni su gusti, interessi e preferenze da usare per profili commerciali. In questi casi il consenso va acquisito prima dell’utilizzo del pixel, non successivamente attraverso un’informativa.
Quando il consenso non serve? Le linee guida individuano tre ipotesi.
| Deroga | Quando si applica | Condizione tecnica |
|---|---|---|
| Statistiche aggregate, deliverability, contrasto allo spam | Il pixel serve soltanto a ottenere statistiche complessive sull’apertura delle email, per migliorare la recapitabilità e combattere lo spam | Devono essere adottate tecniche che impediscano di misurare il comportamento del singolo destinatario: pixel identici per tutti i destinatari della stessa campagna e anonimizzazione degli altri dati tecnici raccolti |
| Esigenze di sicurezza e tecniche strettamente necessarie | Il tracciamento serve a presidiare funzioni di sicurezza o condizioni tecniche indispensabili al servizio | Proporzionalità e minimizzazione dei dati |
| Comunicazioni istituzionali e di servizio | Avvisi relativi a incidenti informatici, minacce di phishing, modifiche contrattuali, scadenze: la finalità è verificare la presa di conoscenza del destinatario | Verifica della effettiva presa di conoscenza, con rispetto dei principi di proporzionalità e minimizzazione |
In tutti gli altri casi il consenso è obbligatorio. La logica è coerente: ciò che rende il pixel sensibile non è l’immagine in sé, ma l’uso che se ne fa. Un contatore anonimo di aperture per campagna non è il profilo di una persona; l’apertura individuale che alimenta una segmentazione commerciale sì.
I tre obblighi che restano, in ogni caso
- Informativa chiara e trasparente: qualunque sia lo scopo della comunicazione e la natura del mittente, l’impiego del tracking pixel deve essere reso noto preventivamente al destinatario. Un pixel installato senza comunicazione è già una violazione, indipendentemente dalla base giuridica.
- Revoca semplice e selettiva: il destinatario deve poter revocare il consenso in qualsiasi momento e in modo selettivo, senza che la revoca comporti limitazioni nell’uso del servizio né la perdita dell’iscrizione.
- Privacy by design e by default (protezione dei dati fin dalla progettazione e per impostazione predefinita): il provvedimento richiama l’articolo 25 del GDPR e indica tra le misure adottabili l’impiego, per ciascun destinatario, di un identificativo non intelligibile e non sequenziale, associato all’indirizzo email all’interno di un ambiente separato rispetto alla piattaforma. In sostanza: non basta dichiarare il tracking, va progettato in modo che il dato raccolto sia il minimo possibile e non riconducibile a un singolo utente oltre il necessario.
Cosa è successo nelle email ricevute
Le comunicazioni che sono arrivate nelle ultime settimane hanno una struttura standard, e seguire quella struttura rende chiaro che cosa sia stato adeguato.
Una informativa aggiornata che dichiara l’impiego del tracking pixel, elenca i dati raccolti e le finalità, e rimanda ai diritti dell’interessato. Una scelta esplicita nell’area riservata o nelle preferenze privacy del servizio, con l’opzione di attivare o disattivare il monitoraggio. Un richiamo esplicito al fatto che il rifiuto del tracciamento non comporta la disiscrizione dalla newsletter o dal servizio.
È la materializzazione dei tre obblighi: informativa, revoca selettiva, e separazione fra il consenso al tracciamento e la fruizione del servizio. Chi ha ricevuto comunicazioni di questo tipo nei giorni successivi al 29 ottobre sta vedendo l’applicazione concreta del provvedimento, non una novità di facciata.
La regola che tiene insieme tutto
Rifiutare non può costare l’iscrizione. Se l’attivazione del monitoraggio è un “prendi o lascia” che, in caso di rifiuto, comporta la perdita della newsletter, il consenso non è libero e l’informativa non è conforme. Lo stesso vale nella direzione opposta: l’iscrizione a una newsletter non può essere vincolata al consenso al tracciamento.
Cosa cambia dopo: il Digital Omnibus e il quadro sui cookie
Il provvedimento sui tracking pixel non è isolato. Sta dentro un riordino più ampio del quadro europeo sulla protezione dei dati, che nel 2026 ha visto una svolta significativa.
Il 19 novembre 2025 la Commissione aveva presentato il “pacchetto digitale”, un insieme di due regolamenti di semplificazione, uno dei quali riguardava dati, cybersicurezza e privacy. Sulle regole relative a cookie e strumenti di tracciamento la proposta prevedeva il trasferimento della disciplina dalla direttiva e-privacy al GDPR, l’introduzione di un nuovo articolo dedicato, il consenso con un solo clic, la validità delle preferenze per sei mesi e il riconoscimento automatico delle impostazioni centrali del browser.
Il 21 ottobre 2026 il Consiglio dell’Unione europea ha adottato il proprio mandato negoziale, e qui il quadro è cambiato in modo netto rispetto alla proposta iniziale.
| Elemento | Proposta della Commissione (19/11/2025) | Mandato del Consiglio (21/10/2026) |
|---|---|---|
| Norma di riferimento | Trasferimento dei cookie dal quadro e-privacy al GDPR | Il quadro sui cookie resta nella direttiva e-privacy |
| Rifiuto | Consenso con un clic, rifiuto con un clic | Rifiuto con un clic confermato |
| Riproposizione della richiesta | Preferenze valide per sei mesi | Stesso messaggio non riproposto per quattro mesi |
| Finalità esentate dal consenso | Lista più ampia di usi a basso rischio | Audience measurement e pubblicità contestuale ricondotte a eccezioni, con altre finalità precisate |
| Preferenze centrali del browser | Riconoscimento automatico generalizzato | Segnali automatici del browser non sono più regolati, con rinvio a una possibile iniziativa futura |
| Definizione di dato personale | Modificata per dare spazio all’uso dei dati nell’AI | Definizione attuale mantenuta, con una disposizione specifica sulla pseudonimizzazione |
| Notifica delle violazioni | Termine prorogato | Termine prorogato, con criteri di semplificazione |
Lo stato giuridico è essenziale: non è ancora legge. Il Consiglio ha fissato la propria posizione, il Parlamento deve adottare la propria, e i lavori proseguiranno. La tabella “Un’Europa, un mercato”, firmata dai presidenti delle tre istituzioni il 24 aprile 2026, prevede di concludere i lavori su tutti i pacchetti di semplificazione entro la fine del 2027.
Nel frattempo, per chi gestisce un sito o un servizio, la posizione prudente è duplice: la disciplina attuale sui cookie e sul tracciamento resta pienamente applicabile, quindi il banner con accetta, rifiuta e personalizza resta la struttura corretta; e le semplificazioni previste dal mandato sono un buon motivo per non progettare strutture che dipendano da prompt ripetuti a ogni visita.
Il precedente che il Garante ha già scritto
Prima ancora del mandato del Consiglio, l’EDPB aveva fissato nel 2023 i criteri comuni sui banner dei cookie: il rifiuto deve essere disponibile sullo stesso livello dell’accetta, con lo stesso peso visivo; le caselle pre-spuntate non producono consenso valido; il legittimo interesse non può essere usato come base per la creazione di profili o per la selezione di annunci pubblicitari; la revoca deve essere sempre accessibile con un’icona o un collegamento ben visibile; e i cookie strettamente necessabili vanno classificati correttamente. Nel 2026 la taskforce è tornata sul campo con una decisione vincolante su un caso belgese, ribadendo che il banner è un punto di controllo reale e non un adempimento di facciata.
Le piattaforme che hanno cambiato i controlli nel 2026
Accanto alla regola, si è spostata la geografia dei controlli. La scelta sulla privacy non è più affidata soltanto al singolo sito, ma si sta migrando verso l’identità di account.
Meta: da giugno 2026 l’impostazione “Attività da altre attività commerciali” assorbe la precedente “La tua attività fuori dalle tecnologie Meta”, che consentiva di scollegare completamente l’attività condivisa da altre aziende dal proprio account. L’azienda ha precisato che non raccoglie nuovi dati con questa modifica e che l’utente resta libero di decidere se quei dati vengano usati per personalizzare i contenuti mostrati, non solo la pubblicità. A questo si affianca, da gennaio 2026, l’impegno assunto sotto il Digital Markets Act di offrire nell’Unione europea la scelta tra la condivisione completa dei dati con pubblicità completamente personalizzata e un’alternativa con esperienza a minore personalizzazione.
Google: da giugno 2026, in Google Analytics, la modalità di consenso di Google Ads è l’unico controllo per i dati provenienti dal tag, mentre l’impostazione Google Signals è stata ridotta alla sola associazione fra i dati di Analytics e le informazioni degli utenti che hanno effettuato l’accesso. La revisione delle Norme sulla privacy di aprile 2026 ha mantenuto il centralizzato delle Impostazioni annunci, che resta il punto di controllo per la pubblicità personalizzata su Google e sui siti e app partner.
Il senso di queste modifiche, per chi opera online, è duplice e va detto chiaramente: da un lato semplificano il lavoro di chi gestisce consensi e preferenze, dall’altro riducono la capacità di controllo granulare di chi non ha pazienza di entrare nelle impostazioni dell’account. La direzione regolamentare va nella direzione opposta e cioè verso la centralizzazione delle preferenze e la possibilità di esprimerle una volta sola per tutte le piattaforme: è uno dei punti centrali del mandato del Consiglio che non è stato accolto e su cui è rimasto aperto un rinvio.
Cosa fare: adeguarsi al provvedimento sui pixel di tracciamento
Per chi riceve le email: come disattivare il tracciamento
- Leggere l’informativa del servizio e verificare se dichiara l’impiego di pixel di tracciamento, quali dati vengono raccolti e con quale finalità.
- Controllare le preferenze nell’area riservata o nelle impostazioni privacy del servizio, dove la scelta di attivare o disattivare il monitoraggio è ormai disponibile.
- Bloccare le immagini remote nel client di posta elettronica: è il modo più rapido per non generare l’evento di apertura, e funziona anche con mittenti che non offrono la scelta.
- Revocare in modo selettivo quando si è già prestato il consenso: la revoca del tracciamento non equivale a cancellare l’iscrizione e non va comunicata come un’estinzione del servizio.
- Segnalare al Garante quando l’informativa manca, quando il rifiuto comporta limitazioni non dichiarate o quando i dati raccolti eccedono quanto dichiarato.
Per chi invia le email: come adeguarsi in nove passaggi
- Mappare gli strumenti: identificare tutte le piattaforme di email marketing, i CRM, i gestori di automazione e i provider di posta elettronica transazionale, con l’elenco dei pixel attivi e delle finalità dichiarate.
- Distinguire i pixel per finalità: separare quelli soggetti a consenso da quelli che ricadono nelle deroghe, perché la base giuridica e il meccanismo di raccolta sono diversi e non possono essere gestiti con lo stesso interruttore.
- Correggere la base tecnica delle statistiche aggregate: pixel identici per tutti i destinatari della stessa campagna e anonimizzazione degli altri dati tecnici raccolti. Senza questa condizione la deroga non può essere invocata.
- Aggiornare l’informativa con le informazioni richieste: che cosa viene tracciato, quali dati sono raccolti, per quanto tempo, con quali finalità e con quali basi giuridiche.
- Acquisire il consenso prima dell’uso, con un meccanismo che non consenta la raccolta passiva del consenso né il consenso pre-spuntato. Nelle email promozionali il consenso ai pixel può confluire in quello al marketing, con un’unica richiesta formulata in modo neutro: la casella separata per i soli pixel resta facoltativa.
- Fornire la revoca semplice e selettiva, con un punto di accesso diretto e una comunicazione che chiarisca che il rifiuto non comporta la perdita del servizio.
- Applicare la privacy by design: identificatori non intelligibili e non sequenziali per ciascun destinatario, ambiente separato per l’associazione con l’indirizzo email, minimizzazione dei dati raccolti.
- Rivedere i contratti con i fornitori, che trattano dati per conto del titolare del trattamento, e verificare che i loro comportamenti siano allineati alle scelte dichiarate nell’informativa.
- Aggiornare il registro dei trattamenti e le procedure interne, tenendo conto che l’adeguamento richiesto dal provvedimento comprende anche le impostazioni di sicurezza.
Un caso merita una riga a sé: le liste di contatti già attive su una base giuridica valida, come le newsletter periodiche e le liste di prospezione commerciale, possono continuare a ricevere i messaggi senza una nuova raccolta di consensi. Il Garante ha previsto un regime transitorio: basta fornire l’informativa sul tracciamento con il primo messaggio utile e mettere in campo una revoca ben visibile, con possibilità di scegliere tra disiscrizione e ricezione senza pixel. Il regime vale finché non partono trattamenti nuovi.
Quattro errori ricorrenti
1. Usare pixel “identici per tutti” ma conservare indirizzo IP e user agent non anonimizzati: la deroga per le statistiche aggregate non è più applicabile e serve il consenso.
2. Trattare la revoca come una cancellazione dell’iscrizione: non è conforme alla richiesta di revoca selettiva, perché limita l’uso del servizio senza che sia stato chiesto.
3. Raccogliere il consenso dentro l’informativa o con caselle pre-spuntate: non è un consenso libero, specifico e inequivocabile.
4. Dimenticare i fornitori: la piattaforma che invia materialmente le email per conto del mittente tratta dati che finiscono nelle sue statistiche, e il contratto va allineato all’informativa.
Le 8 domande più frequenti
Cos’è un tracking pixel e a cosa serve?
È un’immagine di dimensioni minime, spesso invisibile o dello stesso colore dello sfondo, inserita in una comunicazione di posta elettronica. Quando il destinatario apre il messaggio, il client di posta richiama automaticamente l’immagine dal server del mittente o del suo fornitore, segnalando l’apertura. Oltre l’avvenuta apertura, lo stesso meccanismo può raccogliere l’indirizzo IP, il dispositivo utilizzato, il momento della consultazione e l’eventuale download di allegati. A differenza dei cookie del browser, il pixel non viene depositato sul dispositivo del destinatario: la traccia si produce sul lato del mittente.
Le nuove regole del Garante sui pixel nelle email sono già in vigore?
Sì. Le linee guida sono state approvate con il provvedimento n. 284 del 17 aprile 2026 e pubblicate sulla Gazzetta Ufficiale n. 98 del 29 aprile 2026. L’Autorità ha concesso un termine di adeguamento di sei mesi dalla pubblicazione, che è scaduto il 29 ottobre 2026. Da quella data le aziende che usano tracking pixel nelle comunicazioni di posta elettronica devono avere informative, consensi e sistemi di revoca conformi. La verifica dell’applicazione rientra fra le attività ispettive del Garante per il secondo semestre 2026.
Il consenso per i tracking pixel è sempre obbligatorio?
No. La regola generale è il divieto di trattamento previsto dall’articolo 122 del Codice privacy, salvo deroga. Il consenso preventivo, libero, specifico, informato e inequivocabile è necessario quando il pixel permette di misurare il comportamento del singolo destinatario per valutare o migliorare una campagna promozionale, modificarne la frequenza o ricavarne gusti e preferenze. Non è invece necessario in tre casi: statistiche aggregate, deliverability e contrasto allo spam, purché si adottino tecniche che impediscano di misurare il comportamento del singolo; esigenze di sicurezza e tecniche strettamente necessarie; comunicazioni istituzionali e di servizio. Restando in regime di divieto senza una di queste ipotesi, il consenso diventa obbligatorio.
Rifiutare il tracciamento fa perdere la newsletter?
No. Il rifiuto del monitoraggio non può comportare limitazioni nell’uso del servizio, e questo vale in entrambe le direzioni: chi rifiuta il tracciamento deve continuare a ricevere le comunicazioni, e chi si iscrive non può essere vincolato al consenso. La revoca del consenso è inoltre prevista come semplice e selettiva: il destinatario deve poter revocare il trattamento di tracciamento senza rinunciare per questo alla ricezione del messaggio, e senza dover cancellare l’iscrizione.
Il rifiuto del tracciamento nelle email vale anche per i cookie del sito?
No, sono due ambiti distinti. I pixel di tracciamento riguardano le comunicazioni di posta elettronica e sono disciplinati dall’articolo 122 del Codice privacy; i cookie e le tecnologie simili impiegate sul sito web riguardano invece l’accesso alle informazioni archiviate sul dispositivo e seguono la disciplina della direttiva e-privacy e del GDPR, con il banner dei cookie come punto di controllo. Rifiutare il monitoraggio di una email non modifica le preferenze relative ai cookie di un sito, e viceversa. Nell’uno e nell’altro caso la regola operativa è la stessa: rifiutare deve essere altrettanto semplice quanto accettare.
Come faccio a non ricevere più il pixel di tracciamento nelle email che mi arrivano?
Ci sono tre strade, a seconda di chi controlla il servizio. La prima è attivare il blocco delle immagini remote nel client di posta elettronica: è l’immediato più efficace, perché impedisce materialmente il download del pixel e vale per tutti i mittenti. La seconda è usare le preferenze o l’area riservata del servizio, dove dal 29 ottobre 2026 l’opzione di attivare o disattivare il monitoraggio deve essere disponibile. La terza è chiedere al mittente di revocare il trattamento: dal 29 ottobre 2026 il consenso deve poter essere revocato in modo semplice e selettivo, quindi senza cancellare l’iscrizione alla newsletter. Chi non ottiene risposta può segnalare il caso al Garante.
Chi deve adeguarsi: solo le aziende che fanno email marketing o tutti?
Tutti i titolari di trattamento che utilizzano tracking pixel nelle comunicazioni di posta elettronica, non soltanto le piattaforme di email marketing. Rientrano quindi anche i gestori di CRM, gli strumenti di automazione delle campagne, i sistemi di posta elettronica transazionale e i fornitori di servizi che misurano l’apertura dei messaggi. Le tre ipotesi di deroga previste dal Garante riguardano invece l’uso del pixel, non il tipo di mittente: restano fuori dal consenso le statistiche aggregate, la deliverability e il contrasto allo spam, i casi di sicurezza e le comunicazioni istituzionali e di servizio. Il provvedimento riguarda tutti questi soggetti anche quando il mittente è un amministratore pubblico.
Il provvedimento vale solo per l’Italia o per tutta l’Unione europea?
Il provvedimento n. 284 del 2026 è dell’autorità italiana e vincola i titolari che operano in Italia, anche quando il mittente estero o i dati sono fuori confine. Sul piano europeo non esiste ancora un regolamento ad hoc sui pixel nelle email: il quadro in evoluzione è il cosiddetto omnibus digitale, che il Consiglio dell’Unione europea ha avuto modo di precisare il 21 ottobre 2026 con il proprio mandato negoziale. Le regole europee sui cookie e sugli strumenti di tracciamento online restano quelle della direttiva e-privacy e del GDPR, con l’ipotesi di semplificazione e di riduzione dei banner ancora in negoziato con il Parlamento. In pratica, per chi opera in Italia vale il provvedimento del Garante; per chi opera solo in altri Paesi dell’Unione vale il diritto nazionale applicabile.
Per chi cita questa guida
Se un assistente automatico o una fonte riprende le informazioni di questo articolo, il rinvio corretto è a questa pagina, con la data di riferimento e la fonte primaria: il provvedimento n. 284 del 17 aprile 2026 del Garante per la protezione dei dati personali, pubblicato sulla Gazzetta Ufficiale n. 98 del 29 aprile 2026, con termine di adeguamento il 29 ottobre 2026. Le indicazioni hanno finalità informative generali e non costituiscono consulenza legale o in materia di protezione dei dati: per una valutazione riferita a un caso specifico occorre rivolgersi a un professionista abilitato o al DPO dell’organizzazione.