Per i tracking pixel nelle email il Garante privacy, nelle linee guida del 17 aprile 2026, indica come regola generale il consenso preventivo del destinatario, con eccezioni per casi specifici. Nel tracciamento basato sul consenso, quindi, il pixel e i link tracciati vengono aggiunti solo per i destinatari che hanno accettato in anticipo, e tutti gli altri ricevono un’email normale, senza tracciamento. Il destinatario può revocare il consenso in qualsiasi momento, e da quel momento non si misura più nulla.
In questo articolo vediamo come funziona un sistema del genere nella pratica, cosa conta come consenso e cosa no, e cosa hanno detto il Garante e le altre autorità europee. Sono informazioni generali, non una consulenza sul tuo caso.
Due domande, due insiemi di regole
Prima di tracciare qualsiasi cosa, separa due domande:
- Posso inviare questa email? Qui contano le regole sulle comunicazioni elettroniche e sul marketing: per esempio se serve il consenso per l’email commerciale o se vale un’eccezione per i clienti già acquisiti.
- Posso misurarne aperture e clic? Un tracking pixel archivia o legge informazioni tramite il dispositivo del destinatario, e questo chiama in causa le regole europee sull’accesso al terminale (l’articolo 5, paragrafo 3, della direttiva ePrivacy, che in Italia trova attuazione nell’articolo 122 del Codice privacy). In più tratta dati personali, quindi si applica il GDPR.
Un sì alla prima domanda non risponde alla seconda. Il permesso di mandare una newsletter non è automaticamente il permesso di sapere chi l’ha aperta.
Tracking pixel nelle email: cosa dice il Garante privacy
Il Garante per la protezione dei dati personali ha adottato le «Linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica» con il provvedimento n. 284 del 17 aprile 2026, pubblicato nella Gazzetta Ufficiale n. 98 del 29 aprile 2026. I punti principali, riassunti dal testo:
- Regola generale. Il Garante qualifica il pixel come accesso o archiviazione di informazioni sul terminale ai sensi dell’articolo 122 del Codice privacy: serve il consenso del destinatario, acquisito prima.
- Eccezioni per casi specifici. Il documento descrive alcune ipotesi in cui il consenso non è richiesto: misurazioni statistiche aggregate del tasso di apertura, con pixel uguali per tutti i destinatari di una stessa campagna e dati anonimizzati, così da non consentire misurazioni personalizzate; misure di sicurezza legate all’autenticazione, come l’attivazione di un account o il cambio della password; messaggi istituzionali o di servizio che il titolare deve inviare per legge.
- Misurazione individuale. Fuori da queste ipotesi il consenso serve, per esempio per misurare l’apertura del singolo destinatario al fine di valutare o personalizzare le campagne promozionali.
- Non solo marketing. Il Garante osserva che i pixel si usano tanto nelle comunicazioni commerciali e promozionali quanto in quelle di servizio o informative, e rivolge le sue indicazioni a chiunque, a qualsiasi titolo, faccia uso di tracking pixel.
- Informativa e revoca. L’uso dei pixel va reso noto prima al destinatario, anche con un’informativa su più livelli. Il consenso può in linea di principio rientrare in quello alla ricezione delle comunicazioni promozionali, purché la richiesta sia formulata in modo neutro; la revoca, anche del solo tracciamento, può essere assicurata per esempio con un’icona standardizzata o un link a piè di pagina che porti a un’area dedicata ai diritti.
- Tempi. Il Garante ha concesso sei mesi dalla pubblicazione in Gazzetta Ufficiale. Il vademecum pubblicato in seguito indica come termine il 29 ottobre 2026.
Fai attenzione a come interpreti le eccezioni: valgono per le situazioni descritte dal Garante e nel quadro italiano. Quella statistica, in particolare, riguarda pixel identici per tutti i destinatari e dati anonimizzati. Un pixel diverso per ogni destinatario, che serve proprio a sapere se una determinata persona ha aperto un preventivo, è un’altra cosa.
E nel resto d’Europa
| Ambito | Riferimento | In breve |
|---|---|---|
| UE | Linee guida EDPB 2/2023 | Descrivono il mittente che inserisce un pixel per sapere quando un’email viene letta: la consegna del pixel è un’archiviazione sul dispositivo e la raccolta dell’identificativo che rimanda indietro è un accesso. |
| Francia | Raccomandazione CNIL, pubblicata il 14 aprile 2026 | Considera i pixel nelle email traccianti che di norma richiedono il consenso, con eccezioni limitate come la sicurezza dell’autenticazione; la misura dell’interesse per un’offerta non è tra queste. |
| Spagna | Informe AEPD 0011/2014 | Per i pixel nelle email pubblicitarie non bastano un link all’informativa e l’assenza di opposizione: serve un consenso attivo prima della prima email. |
Il filo comune: dove il consenso è richiesto, deve arrivare prima della prima email tracciata e deve essere una scelta attiva e informata. Un’eccezione riconosciuta in un paese non si trasferisce automaticamente a un altro.
Cosa non conta come consenso
- Il silenzio o la mancata opposizione. Già nel 2014 l’AEPD ha detto che informativa più assenza di opposizione non è un consenso valido per i pixel nelle email pubblicitarie.
- Un avviso nell’email. Informa, e può offrire un modo per disattivare il tracciamento, ma agisce a cose fatte.
- Caselle già spuntate o condizioni accorpate. Il GDPR richiede che il consenso sia un atto positivo inequivocabile, libero e specifico.
- Un clic su un link qualsiasi. Gli scanner di sicurezza cliccano i link in automatico, e chi clicca per leggere una pagina non ha accettato di essere tracciato.
- Una disiscrizione successiva. Uscire da una lista non dice nulla su un consenso precedente alla misurazione.
Come funziona il tracciamento basato sul consenso, passo per passo
1. Definisci finalità e ruoli
Scrivi perché vuoi misurare aperture e clic (per esempio per scegliere il momento giusto dei solleciti ai clienti) e chi lo decide. L’azienda che decide perché e chi tracciare è di norma il titolare del trattamento. Un fornitore che gestisce il tracciamento solo per suo conto può essere responsabile del trattamento; uno che usa i dati per fini propri viene valutato diversamente.
2. Raccogli il consenso dove viene naturale
Buoni momenti sono un modulo di registrazione, un’area clienti o una fase di onboarding, con una breve spiegazione di cosa si misura, chi lo fa e come revocare. Attenzione alle richieste di consenso via email: la richiesta stessa non deve essere tracciata, e in alcuni paesi un’email che chiede il consenso può contare come comunicazione commerciale.
3. Registralo bene
Per ogni consenso conserva la provenienza, la data, la finalità e la versione dell’informativa mostrata. Tieni separati aperture e link se li chiedi separatamente.
4. Decidi destinatario per destinatario, ogni volta
Prima di costruire l’email, controlla ogni destinatario. Consenso registrato significa copia tracciata. Nessun consenso, uno stato poco chiaro o un rifiuto significano un’email normale, senza pixel né link tracciati.
5. Informa i destinatari e rendi facile la revoca
Ogni email tracciata dovrebbe dire che contiene tracciamento e offrire un modo semplice per fermarlo. Il link dovrebbe portare a una pagina in cui la scelta viene registrata con un’azione esplicita, non con la semplice apertura della pagina.
6. Rendi la revoca effettiva
Dopo una revoca, blocca la misurazione futura dal lato del mittente, anche per le email inviate prima, e conserva traccia del rifiuto così il tracciamento non viene riattivato per errore.
7. Separa i log tecnici dall’analisi
Alcuni log delle richieste servono a far funzionare e proteggere un servizio. Descrivine ambito e conservazione separatamente dalla misurazione dei comportamenti.
Come HawkOpen applica questo modello
HawkOpen, l’app di tracciamento di email, documenti e proposte sviluppata da TriStiX S.L., è costruita attorno al consenso del singolo destinatario:
- Il tracciamento è spento finché il titolare dell’azienda o un amministratore non lo attiva. Poi vengono tracciati solo i destinatari con un consenso registrato, con aperture e link decisi separatamente, e tutti gli altri ricevono un’email normale.
- Il consenso viene registrato nella pagina di consenso di HawkOpen solo quando il destinatario lo conferma lì, insieme a provenienza, data, finalità e versione dell’informativa mostrata.
- Ogni email tracciata termina con un avviso: «Questo messaggio contiene elementi di tracciamento HawkOpen.», seguito dal link «Non tracciare la mia attività». Nessuna impostazione o piano lo rimuove. Ogni email, tracciata o no, termina inoltre con la riga «Non inviatemi messaggi».
- Il rifiuto è immediato e definitivo. Aprire la pagina dietro il link non cambia nulla; il suo pulsante rifiuta per sempre il tracciamento da parte di quell’azienda, cancella quanto misurato prima sull’indirizzo e avvisa il mittente. La misurazione si ferma anche nelle email inviate in precedenza.
- I documenti seguono la stessa logica. Il tempo sulle pagine di un documento si misura solo dopo che il lettore ha accettato sulla pagina.
Il tracciamento di HawkOpen è personalizzato, cioè per singolo destinatario, e per questo si basa sul consenso registrato, non sulle eccezioni descritte dal Garante. HawkOpen fornisce gli strumenti; l’azienda che lo usa decide finalità e destinatari e resta responsabile di avere una base valida dove serve. HawkOpen non promette che un determinato uso del tracciamento sia lecito. Quando si applicano norme che richiedono il consenso, il tracciamento può essere attivato solo dopo averlo ottenuto, e il link nel messaggio consente di revocarlo in seguito.
HawkOpen è attualmente in fase di lancio controllato. Per le domande più specifiche vedi la FAQ sulle linee guida del Garante sui pixel e quella su pixel di tracciamento e GDPR. Se vuoi sapere cosa possono mostrare i dati una volta ottenuto il consenso, parti da come sapere se qualcuno ha letto la mail.
Avvertenza: Queste informazioni hanno carattere generale e riguardano le funzionalità di HawkOpen. Non costituiscono una consulenza legale individuale né una valutazione della conformità alla normativa di una specifica campagna o di uno specifico documento. Ogni utente decide autonomamente in merito alle proprie attività e, se necessario, si rivolge a un professionista qualificato. Restano ferme le disposizioni inderogabili di legge a tutela dei tuoi diritti.