Le nuove regole sui tracking pixel adottate dal Garante per la protezione dei dati personali diventeranno vincolanti il 29 ottobre 2026 e richiederanno il consenso preventivo per quelle immagini invisibili che segnalano quando un’e-mail di marketing viene aperta.
Le aziende che, entro quella data, non avranno riprogettato i propri meccanismi di raccolta del consenso, revoca del consenso e gestione degli identificativi si esporranno a controlli da parte dell’Autorità, che potrà verificare l’eventuale violazione semplicemente ricevendo una loro e-mail.
Le Linee guida sono state adottate il 17 aprile 2026 e pubblicate in Gazzetta Ufficiale alla fine dello stesso mese, aprendo un periodo transitorio di sei mesi che scadrà il 29 ottobre. Inoltre, il Garante ha confermato nella newsletter dell’8 ottobre che sono previsti controlli di conformità nella seconda metà dell’anno. La fine del periodo transitorio e l’avvio delle attività di vigilanza arriveranno quindi pressoché simultaneamente.
L’autorità francese per la protezione dei dati personali, la CNIL, si è mossa per prima, adottando una raccomandazione il 12 marzo 2026, applicabile già dalla metà di giugno. Il confronto tra i due approcci è rilevante dal punto di vista commerciale, poiché un’azienda che invia comunicazioni in entrambi i mercati è oggi esposta a due regimi normativi che non coincidono perfettamente.
Perché queste regole sui tracking pixel sono più facili da far rispettare rispetto a quasi ogni altro obbligo privacy
L’aspetto che molte imprese non hanno ancora compreso è di natura probatoria più che giuridica.
In una normale istruttoria, l’Autorità deve richiedere documenti, ispezionare sistemi e ricostruire ciò che è avvenuto all’interno dell’organizzazione, un processo lungo e spesso contestabile. In questo caso, invece, la violazione è interamente visibile nel messaggio di posta elettronica stesso. Chiunque si iscriva a una newsletter può:
- aprire il sorgente dell’e-mail e leggere l’indirizzo da cui viene caricato il pixel;
- verificare se viene trasmesso un identificativo del destinatario in chiaro;
- controllare se il footer offre la possibilità di interrompere il tracciamento;
- confrontare tali elementi con il consenso effettivamente raccolto in fase di iscrizione.
Una singola segnalazione da parte di un destinatario, o persino una semplice iscrizione effettuata dall’Autorità, può generare un fascicolo probatorio completo senza che nessuno debba accedere ai sistemi dell’azienda. Nella pratica, un’indagine che inizia con le prove già nelle mani del regolatore evolve in modo molto diverso rispetto a una che parte con una semplice richiesta di informazioni.
Le tre regole sui tracking pixel che determineranno l’esito di un’ispezione
Tre requisiti distinguono una posizione difendibile da una indifendibile, e i primi due sono proprio quelli che la maggior parte delle piattaforme di e-mail marketing non supporta di default.
- Possibilità di revocare il tracciamento separatamente dalla disiscrizione
L’approccio italiano richiede che il destinatario possa interrompere il tracciamento continuando comunque a ricevere le e-mail. Ciò deve avvenire tramite un link o un’icona nel footer.
Si tratta di una funzionalità che le piattaforme marketing tradizionali non sono state progettate per offrire, poiché le normali procedure di disiscrizione rimuovono semplicemente il contatto dalla lista di distribuzione.
- Identificativi che non contengano l’indirizzo e-mail
L’Autorità si aspetta che a ciascun destinatario venga assegnato un identificativo non sequenziale e non intelligibile, mantenuto separato dall’indirizzo e-mail.
L’indirizzo e-mail non dovrebbe quindi mai essere trasmesso quando il pixel viene richiamato. Ed è proprio qui che falliscono molte implementazioni, poiché l’indirizzo e-mail, oppure un semplice hash di esso, viene spesso incorporato nell’URL del pixel ed è quindi visibile a chiunque analizzi il messaggio.
- Un consenso che copra effettivamente il tracciamento
Silenzio, inerzia e caselle preselezionate non sono validi.
L’approccio italiano consente che il consenso al tracciamento sia raccolto insieme al consenso generale per finalità di marketing, evitando di sottoporre gli utenti a un numero eccessivo di richieste di consenso. Tuttavia, questa semplificazione aiuta soltanto le aziende che sono in grado di dimostrare con precisione quali informazioni siano state fornite all’interessato al momento della raccolta del consenso.
Restano disponibili tre eccezioni limitate:
- statistiche aggregate e realmente anonime sui tassi di apertura;
- misure strettamente necessarie per autenticazione e sicurezza;
- comunicazioni istituzionali o di servizio obbligatorie.
Ognuna di queste eccezioni è, nella pratica, più ristretta di quanto possa sembrare. Ciò vale soprattutto per la prima: un tasso di apertura calcolato a partire da dati individuali che restano riconducibili a un interessato non diventa anonimo per il solo fatto di essere rappresentato in forma percentuale.
Dove l’approccio francese rende più complessa la gestione delle regole italiane
Un’impresa che invia comunicazioni in entrambi i mercati non può limitarsi a scegliere il regime più favorevole.
Le due discipline divergono infatti sotto vari aspetti. L’autorità francese consente, a determinate condizioni, la misurazione individuale dei tassi di apertura per garantire e migliorare la corretta consegna delle e-mail.
D’altro canto, la Francia è più rigorosa sul livello di dettaglio dei consensi, richiedendo consensi separati per finalità non strettamente collegate, mentre l’approccio italiano ammette una maggiore aggregazione delle richieste di consenso.
La conclusione pratica per chi opera in più Paesi è quindi semplice: progettare il sistema in modo da rispettare, per ogni singolo aspetto, il requisito più rigoroso. Costa di più in fase di implementazione, ma molto meno in fase difensiva.
Cosa fare nei sedici giorni che restano
Per le organizzazioni che non hanno affrontato la questione per tempo, una piena conformità entro il 29 ottobre è probabilmente irrealistica.
La domanda utile non è quindi come completare tutto, ma come trovarsi in una posizione difendibile quando inizieranno i controlli.
- Aprire oggi una delle proprie e-mail marketing e leggere l’URL del pixel
Se nell’URL compare l’indirizzo e-mail o un hash facilmente riconoscibile, quella sarà la prima evidenza che un ispettore noterà e il primo elemento da correggere.
- Inserire nel footer un link per la revoca del tracciamento
Anche una soluzione temporanea che disattivi il tracciamento per quel destinatario è preferibile alla totale assenza del meccanismo, la cui mancanza è immediatamente visibile dall’esterno.
- Riesaminare il testo del consenso effettivamente mostrato agli utenti
È importante documentare il contenuto esatto delle informazioni fornite al momento dell’iscrizione. La difesa di una banca dati storica dipende infatti da ciò che gli utenti sono stati informati allora, non da ciò che prevede l’informativa privacy attuale.
- Sistemare i contratti con la piattaforma e il fornitore del servizio di tracciamento
Questo è spesso il passaggio più lento e quello scoperto troppo tardi. Occorre definire correttamente i ruoli di titolare, responsabile e, ove applicabile, contitolare del trattamento, affinché sia chiaro chi risponde di ciascuna attività.
- Documentare ciò che non è ancora stato completato e le ragioni del ritardo
Date, attività pianificate e motivazioni devono essere messe per iscritto. Un piano di adeguamento documentato e in corso di esecuzione viene normalmente valutato in modo molto diverso rispetto a una situazione in cui l’organizzazione scopre il problema solo all’arrivo delle richieste dell’Autorità.
Le aziende che considerano il 29 ottobre semplicemente come una scadenza operativa di marketing rischiano di risultare conformi sulla carta ma non nel contenuto del messaggio. E il messaggio è l’unica cosa che chi indaga dovrà guardare.
About the Author: Giulio Coraggio
