Pixel di tracciamento nelle email: scatta l’obbligo di consenso

Negli ultimi giorni di ottobre, a ridosso del ponte di Ognissanti, molti di noi hanno trovato nella posta messaggi tutti simili. Newsletter, negozi online, Banche e altri servizi avvisavano che le loro email contengono pixel di tracciamento e spiegavano come scegliere se essere monitorati o no. Il motivo è semplice: il 29 ottobre sono scaduti i sei mesi concessi dal Garante per la protezione dei dati personali per adeguarsi alle sue linee guida, adottate il 17 aprile e pubblicate in Gazzetta Ufficiale il 29 aprile 2026.

Che cos’è un pixel di tracciamento

È un’immagine minuscola, spesso trasparente e grande un solo pixel, inserita nell’email ma ospitata sul server del mittente. Quando il programma di posta la scarica, il server registra l’apertura: così chi scrive sa se e quando abbiamo letto il messaggio, quante volte, con quale dispositivo e da quale indirizzo IP. Editori, uffici stampa, negozi e banche li usano da anni per misurare l’efficacia delle campagne, ma anche per capire cosa interessa a ciascuno e costruire profili per messaggi su misura.

Cosa chiede il Garante

Le linee guida non introducono una legge nuova, ma chiariscono come applicare ai pixel l’articolo 122 del Codice privacy, in vigore dal 2012, che richiede il consenso prima di raccogliere informazioni dal dispositivo dell’utente. Se l’email serve a seguire il comportamento del singolo destinatario, il consenso va chiesto in anticipo e il mittente deve dichiarare con chiarezza che i pixel ci sono, quali dati raccolgono e per quale scopo. Vale quando si registra l’apertura di una newsletter o di una promozione, ma anche quando si vogliono capire gli interessi della persona o decidere quante email inviarle. Non serve un consenso per ogni pixel: può essere chiesto insieme a quello per le comunicazioni commerciali, purché lo si dica in modo esplicito.

Le eccezioni

Il consenso non è necessario per le statistiche complessive e anonime, che non permettono di riconoscere i singoli destinatari, né per le esigenze di sicurezza, come le email di accesso o autenticazione, né per le comunicazioni obbligatorie per legge di cui il mittente deve verificare la ricezione. C’è poi l’eliminazione dalle liste degli indirizzi inattivi, ma solo per le email di servizio e non per quelle promozionali, con limiti stretti sui dati conservabili.

Perché sono arrivati tanti avvisi

Per chi era già iscritto è prevista una fase di transizione: i mittenti potevano continuare a usare i pixel informando gli iscritti con il primo messaggio utile e offrendo un modo semplice per rifiutare. Chi si iscrive da ora, invece, deve dare il consenso prima. La scelta non è “tutto o niente”: si può rifiutare solo il tracciamento e continuare a ricevere la newsletter, che arriverà senza pixel, oppure cancellarsi del tutto. Chi rifiuta riceverà messaggi meno personalizzati. Il Garante ha fatto sapere che i controlli sul rispetto delle linee guida rientrano nelle ispezioni della seconda metà del 2026.

🕸️ La Ragnatela di Spider-Mac 🕸️

Le regole del Garante vanno nella direzione giusta, perché rendono esplicito ciò che per anni è avvenuto in silenzio. Resta però un limite: l’onere di difendersi ricade ancora sull’utente, chiamato a leggere avvisi e a fare clic per proteggere la propria riservatezza. Chi usa Apple ha già un argine con Mail Privacy Protection, che dal 2021 nasconde l’indirizzo IP e rende inaffidabili i dati sulle aperture. Fa riflettere che serva una norma, e non una buona prassi diffusa, per ottenere ciò che la tecnologia garantiva da tempo.