Il Garante per la Protezione dei Dati Personali ha adottato il Provvedimento n. 284/2026 (17 aprile 2026, pubblicato in Gazzetta Ufficiale il 29 aprile), con linee guida specifiche sull’uso dei tracking pixel nelle comunicazioni email. Il termine di adeguamento è 29 ottobre 2026. Riguarda ogni attività che invia newsletter, DEM o email transazionali, a prescindere dalla piattaforma usata.
Cosa sono e perché contano
Il tracking pixel è un’immagine invisibile inserita nelle email per rilevarne l’apertura. Il Garante lo qualifica come dato personale, perché nella maggior parte dei casi è univoco per destinatario. Da qui derivano obblighi precisi.
La distinzione che conta davvero
Non tutti i pixel sono uguali. Il provvedimento separa due categorie:
Non richiedono consenso (basta l’informativa): deliverability, anti-spam, anti-phishing, formattazione, statistiche realmente anonime — cioè senza alcuna correlazione, nemmeno indiretta, con l’identità del destinatario.
Richiedono consenso: misurazione dell’apertura per audience e performance, personalizzazione dei contenuti in base al comportamento, profilazione. Qui rientra la quasi totalità degli usi di marketing e automation.
Attenzione a un equivoco frequente: non vedere il dato del singolo utente in un report non significa che sia anonimo. Se il sistema registra comunque l’evento legato al contatto — anche solo internamente, anche se non lo esponi in nessuna schermata — la correlazione esiste, ed è quella a determinare se serve il consenso, non la visibilità in interfaccia.
Cosa cambia per chi si iscrive da oggi
Per i nuovi iscritti, il consenso al tracciamento può essere raccolto con un’unica checkbox insieme al consenso per le comunicazioni commerciali. Nessuna spunta aggiuntiva, nessuna frizione in più nel form di iscrizione. Cambia però l’informativa privacy che va aggiornata con le nuove specifiche. Cambia inoltre che nel footer di ogni nuova email inviata ci vuole un link per la revoca del consenso del tracciamento.
Cosa cambia per chi è già in lista
Qui il Garante prevede un regime transitorio, non un obbligo di nuovo consenso. Per i contatti che hanno già un consenso valido alla newsletter serve:
- un’informativa aggiornata sui tracking pixel, comunicata al primo invio utile;
- un meccanismo di revoca granulare, che permetta di disattivare solo il tracciamento senza disiscriversi dalla newsletter.
La condizione è che il consenso originario sia stato raccolto correttamente — niente caselle pre-spuntate, niente consenso forzato come condizione per iscriversi. Se la base di partenza è irregolare, il regime transitorio non si applica e serve una nuova raccolta di consenso.
Cosa devi fare prima del 29 ottobre
Due azioni, in quest’ordine.
- Sentire il proprio avvocato o DPO. Alcuni passaggi del provvedimento lasciano margini interpretativi — in particolare su cosa si intenda per “statistiche senza correlazione” e su quanto sia stringente il regime transitorio per il proprio caso specifico. Non è terreno su cui procedere per analogia con quello che fa un’altra azienda: la validità del consenso originario, la struttura del database contatti e il tipo di trattamenti in corso cambiano la risposta caso per caso.
- Verificare cosa offre già la propria piattaforma di email marketing. Molte piattaforme (Magnews di cui siamo gold partner è un esempio) hanno già strumenti nativi per gestire il consenso granulare al tracciamento a livello di singolo contatto — senza bisogno di sviluppi custom. Prima di immaginare soluzioni complesse, vale la pena controllare cosa è già disponibile: spesso il problema non è tecnico, ma di configurazione e di contenuti (privacy policy, informativa, testo della checkbox).
Il progetto di adeguamento, nella maggior parte dei casi, si riduce a tre cose: testi corretti (privacy policy e informativa), una configurazione della piattaforma già esistente, e una comunicazione ben calibrata verso il database attuale. La complessità è nel dettaglio giuridico, non nell’implementazione.