Tracking pixel e le nuove regole del Garante
Privacy · Email Marketing · Marketing Automation
Tracking pixel nelle email: le nuove regole del Garante della privacy in vigore dal 29 ottobre 2026
Dal 29 ottobre 2026 le aziende che utilizzano tracking pixel nelle email dovranno adeguarsi alle Linee Guida del Garante per la protezione dei dati personali.
Il cambiamento riguarda newsletter, DEM e sistemi di marketing automation che rilevano individualmente aperture, clic e comportamenti dei destinatari.
Non significa che il monitoraggio delle email venga vietato, cambiano però le condizioni con cui è possibile effettuarlo: quando il tracking permette di osservare il comportamento del singolo destinatario per finalità di marketing, ottimizzazione o profilazione, in linea generale deve esserci un consenso preventivo.
Esistono tuttavia alcune importanti eccezioni e modalità di misurazione che possono continuare a essere utilizzate senza trasformare ogni newsletter in un percorso pieno di checkbox.
In breve: cosa cambia per le newsletter?
Dal 29 ottobre 2026 il tracking individuale delle aperture delle email per finalità di marketing richiede, salvo specifiche eccezioni, il consenso del destinatario.
Il consenso al tracking può, in determinati casi, essere raccolto insieme al consenso all’email marketing, purché l’utente sia informato chiaramente e possa successivamente disattivare soltanto il tracking continuando a ricevere le email.
Le statistiche aggregate e realmente anonimizzate possono invece rientrare tra i casi per i quali non è necessario raccogliere il consenso individuale.
Perché il Garante interviene sui tracking pixel?
Il 17 aprile 2026 il Garante per la protezione dei dati personali ha adottato specifiche Linee Guida sull’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica.
Il provvedimento è stato pubblicato sulla Gazzetta Ufficiale del 29 aprile 2026 e prevede sei mesi per l’adeguamento. La scadenza operativa è quindi il 29 ottobre 2026.
Il principio alla base dell’intervento è simile a quello che conosciamo già nel mondo dei cookie e delle altre tecnologie di tracciamento: il dispositivo dell’utente non può essere utilizzato per raccogliere informazioni sul suo comportamento in maniera occulta senza una base prevista dalla normativa.
Il riferimento centrale è l’articolo 122 del Codice Privacy, relativo all’accesso o all’archiviazione di informazioni nell’apparecchio terminale dell’utente.
Cos’è un tracking pixel nelle email?
Un tracking pixel, chiamato anche web beacon o tracking image, è normalmente una piccolissima immagine caricata all’interno del messaggio email.
Quando il destinatario visualizza il messaggio e il client di posta carica l’immagine dal server remoto, il sistema può registrare l’evento e associarlo alla newsletter e, in molte configurazioni, anche al singolo destinatario.
A seconda della tecnologia utilizzata possono essere trattate informazioni come:
- apertura del messaggio;
- data e ora dell’apertura;
- numero di aperture;
- indirizzo IP o altri dati tecnici;
- client o dispositivo utilizzato;
- identificativi della campagna, del messaggio o del destinatario.
Questi dati vengono normalmente utilizzati per calcolare metriche come l’open rate, segmentare i contatti, modificare la frequenza degli invii o attivare automazioni sulla base del comportamento dell’utente.
I tipi di misurazione
Il punto fondamentale delle Linee Guida è la distinzione tra misurazione aggregata e monitoraggio individuale del destinatario.
Quando l’apertura di una newsletter viene registrata sul profilo di Mario Rossi e successivamente utilizzata per decidere cosa inviargli, quanto spesso contattarlo oppure quali prodotti proporgli, siamo di fronte a un trattamento molto diverso dalla semplice informazione:
“Il 38% dei destinatari della campagna ha aperto questa newsletter”.
Nel primo caso viene osservato il comportamento di una persona identificata o identificabile. Nel secondo può invece esserci una misurazione statistica aggregata, a condizione che l’infrastruttura sia realmente progettata per impedire la riconducibilità del dato al singolo destinatario.
Quando il tracking delle email richiede il consenso?
Il consenso è normalmente necessario quando il tracking permette di misurare il comportamento del singolo destinatario e questi dati vengono utilizzati per finalità di marketing.
Il Garante cita espressamente situazioni nelle quali le aperture vengono utilizzate per:
- valutare e migliorare le performance delle campagne promozionali;
- modificare contenuti o oggetto delle email sulla base delle aperture;
- adattare la frequenza degli invii;
- interrompere o modificare le comunicazioni in base al comportamento osservato;
- dedurre interessi, preferenze o gusti del destinatario;
- creare profili utilizzabili per ulteriori iniziative commerciali.
È esattamente il tipo di funzionalità che molte piattaforme di email marketing automation hanno reso normale negli ultimi anni.
Tracking senza consenso: quali eccezioni prevede il Garante?
Uno degli aspetti più interessanti delle Linee Guida è che non tutti gli utilizzi di un pixel vengono equiparati al tracking individuale per finalità commerciali.
Statistiche aggregate e anonimizzate
Il Garante considera possibile utilizzare tracking pixel per effettuare conteggi statistici globali delle aperture, ad esempio per valutare la deliverability delle email, purché il sistema sia costruito in modo tale da non consentire misurazioni personalizzate.
L’Autorità indica, tra le possibili soluzioni, l’utilizzo dello stesso identificativo per tutti i destinatari di una campagna e l’anonimizzazione degli altri dati tecnici raccolti.
In pratica, sapere che una newsletter è stata aperta dal 42% della lista può essere molto diverso dal sapere precisamente chi l’ha aperta.
Sicurezza e autenticazione
Sono previste inoltre situazioni collegate alla sicurezza del servizio, ad esempio per verificare determinate operazioni di autenticazione, attivazione di account o modifica delle credenziali.
Comunicazioni istituzionali o di servizio
Il Garante contempla anche alcune comunicazioni che il titolare deve inviare per obblighi giuridici o per fornire informazioni essenziali al destinatario, come notifiche di sicurezza, modifiche contrattuali, informazioni anti-phishing o alcuni reminder relativi ad adempimenti.
Attenzione: queste eccezioni non devono essere interpretate come una scorciatoia per continuare a tracciare normalmente le newsletter commerciali.
La finalità, la configurazione tecnica e il livello di identificabilità del destinatario devono essere valutati concretamente.
Serve una seconda checkbox per il tracking?
Non necessariamente.
Questo è uno dei passaggi più rilevanti del provvedimento.
Il consenso alla ricezione delle comunicazioni commerciali e quello relativo al tracking possono essere teoricamente distinti.
Il Garante riconosce però che, quando le finalità sono strettamente correlate, moltiplicare le richieste potrebbe produrre soltanto maggiore complessità e quella che viene definita consent fatigue.
Per questo motivo il consenso al tracking può, in linea di principio, essere ricompreso nel consenso più generale alla ricezione delle comunicazioni promozionali.
La condizione fondamentale è che l’utente sia informato in maniera chiara sul fatto che le email potranno contenere strumenti di tracciamento.
Esempio
Una formulazione del consenso marketing potrebbe chiarire già nel form che le comunicazioni possono utilizzare tecnologie che consentono di rilevare aperture e interazioni, rimandando all’informativa privacy per maggiori dettagli.
La formulazione concreta deve naturalmente essere valutata in funzione dei trattamenti effettivamente effettuati dall’azienda e verificata con il proprio consulente privacy o DPO.
La revoca deve essere granulare
Anche quando viene raccolto un solo consenso iniziale, l’utente deve poter successivamente scegliere tra due azioni differenti:
- non ricevere più le comunicazioni;
- continuare a ricevere le comunicazioni disattivando soltanto il tracking.
Il classico link “disiscriviti dalla newsletter”, quindi, potrebbe non essere sufficiente.
Il Garante suggerisce la presenza nelle email di un collegamento facilmente riconoscibile che permetta all’utente di raggiungere un’area per la gestione delle proprie preferenze.
Cosa fare con i contatti già presenti nel database?
Qui c’è un’altra distinzione importante.
Le Linee Guida prevedono un regime transitorio per i trattamenti già in corso.
Non viene quindi stabilito automaticamente che tutte le aziende debbano cancellare il database newsletter o raccogliere nuovamente da zero il consenso di ogni contatto.
Per i trattamenti già attivi il titolare deve però:
- aggiornare tempestivamente le informazioni fornite agli utenti;
- rendere evidente l’utilizzo delle tecnologie di tracking;
- implementare un sistema che permetta la revoca granulare;
- registrare le scelte effettuate dall’interessato.
Per i nuovi trattamenti e i nuovi contatti, invece, quando il tracking necessita di consenso questo deve essere acquisito preventivamente, preferibilmente già nel momento in cui viene raccolto l’indirizzo email.
Non basta una checkbox: bisogna poter dimostrare il consenso
Per molte aziende questa sarà probabilmente la parte più impegnativa.
Non è sufficiente visualizzare una checkbox sul sito: occorre che la scelta dell’utente arrivi correttamente al CRM o alla piattaforma di email marketing e che sia possibile dimostrarla successivamente.
Un sistema ben progettato dovrebbe quindi poter ricostruire almeno:
- lo stato del consenso al tracking;
- quando è stata effettuata la scelta;
- da quale form o sorgente proviene;
- quale informativa era applicabile;
- eventuali successive modifiche o revoche.
È un tema che coinvolge contemporaneamente privacy, CRM, sviluppo web, marketing automation e data governance.
Privacy by design: raccogliere meno dati può essere una soluzione
Il Garante richiama esplicitamente i principi di privacy by design e privacy by default.
L’obiettivo non dovrebbe quindi essere soltanto aggiungere una nuova checkbox, ma ripensare il modo in cui vengono raccolte le informazioni.
Ad esempio, quando non è necessario conoscere l’identità del singolo destinatario per misurare l’efficacia generale di una campagna, una soluzione aggregata e anonimizzata può rappresentare una scelta progettuale molto più robusta.
Lo stesso principio vale più in generale per la Digital Analytics: prima di raccogliere un dato è utile chiedersi se quel livello di dettaglio sia realmente necessario per raggiungere l’obiettivo di business.
Anche l’infrastruttura tecnica con cui raccogliamo i dati sta evolvendo in questa direzione. Nel nostro approfondimento su Google Tag Gateway e GA4 abbiamo analizzato come la misurazione stia progressivamente passando verso architetture first-party più controllabili e resilienti, senza però confondere una migliore infrastruttura di tracking con il rispetto delle scelte di consenso dell’utente.
Mailup, Brevo, Klaviyo, Mailchimp, HubSpot e le altre piattaforme: cosa cambia?
Le principali piattaforme di email marketing e marketing automation hanno aggiornato gli strumenti dedicati alla gestione del consenso al tracking.
Le implementazioni non sono però tutte equivalenti.
Una piattaforma adeguata dovrebbe permettere di distinguere almeno lo stato di iscrizione alla newsletter dallo stato del consenso al tracking.
Questo permette, ad esempio, di avere un contatto che:
Newsletter: attiva · Tracking individuale: disattivato
Alcuni strumenti consentono già di gestire il consenso per singolo contatto, mentre altri richiedono configurazioni specifiche, segmentazioni, API o invii separati.
La disponibilità di una funzione all’interno del software, comunque, non rende automaticamente conforme il trattamento: è il titolare che deve stabilire quali trattamenti effettua e configurare correttamente piattaforma, informative e processi.
| Piattaforma | Gestione per singolo contatto | Revoca senza unsubscribe | Situazione operativa |
|---|---|---|---|
| Brevo | Sì | Sì | Dispone del Per-contact pixel tracking consent. La piattaforma crea attributi dedicati al consenso, alla data e alla fonte della scelta. È possibile inserire nei form una checkbox dedicata e aggiungere nelle email un link per revocare soltanto il tracking. |
| Klaviyo | Sì | Sì, tecnicamente | Gestisce l’Open Tracking Consent separatamente dal consenso marketing. Lo stato può essere modificato tramite import, sincronizzazioni dati o API ed è registrato nello storico del profilo. Alcune configurazioni per nuovi contatti richiedono però ancora workflow o API. |
| Mailchimp | Non in modo nativo equivalente | Da gestire operativamente | Il tracking delle aperture può essere disattivato per la singola campagna. Per database con utenti che hanno espresso preferenze diverse può quindi essere necessario segmentare il pubblico e gestire invii distinti, con e senza tracking. |
| HubSpot | Gestione principalmente per invio | Da progettare | Permette di disattivare open e click tracking a livello di account oppure per una singola email di marketing. Questo consente, ad esempio, di inviare senza tracking a segmenti di destinatari privi del consenso, ma la gestione del consenso deve essere progettata separatamente nel CRM. |
| MailUp | Sì | Sì | Il Centro Preferenze può includere una checkbox dedicata al tracking statistico. Se l’utente revoca il consenso può continuare a ricevere le comunicazioni mentre il dato viene gestito in forma anonimizzata, secondo la configurazione adottata. |
| Omnisend | Sì | Sì | Da agosto 2026 dispone del Contact-Level Email Open Tracking Consent. Ogni contatto può avere stato Given, Declined o Unknown e la preferenza può essere raccolta tramite form, Preference Management, import o API. |
Attenzione: la presenza di queste funzionalità non rende automaticamente conforme una configurazione.
Il titolare del trattamento deve stabilire quando il consenso è necessario, configurare correttamente la piattaforma, aggiornare l’informativa e conservare evidenza delle scelte effettuate dagli utenti.
Altre possibili modifiche nell’email marketing
Il cambiamento non riguarda solamente l’ufficio legale.
Per molti team marketing l’apertura di una email è oggi utilizzata come trigger:
- se non apre, reinvia dopo tre giorni;
- se apre ma non clicca, inseriscilo nel segmento X;
- se non apre da 90 giorni, avvia il workflow di riattivazione;
- se apre questa campagna, aumenta il lead score.
Questi workflow devono essere mappati perché utilizzano proprio quel dato individuale di comportamento sul quale si concentrano le Linee Guida.
L’adeguamento, quindi, non consiste soltanto nel modificare la privacy policy.
Può richiedere di intervenire sui form, sul CRM, sulle automazioni, sui segmenti, sui template email e sulla logica di reporting.
E l’open rate? Era già una metrica imperfetta
La nuova disciplina arriva in un momento nel quale l’open rate aveva già perso parte del proprio valore come KPI.
Meccanismi di protezione della privacy adottati dai client di posta, caching delle immagini e sistemi automatici possono infatti generare aperture che non corrispondono necessariamente a una reale lettura del messaggio.
Per molte aziende questo può essere il momento giusto per ridurre la dipendenza dall’open rate e concentrarsi maggiormente su metriche legate ad azioni concrete:
- clic;
- lead generati;
- conversioni;
- vendite;
- ricavi attribuibili alle campagne;
- retention e customer lifetime value.
Ridurre la dipendenza dall’open rate significa anche cambiare il modo in cui valutiamo l’efficacia del marketing. Nessuna singola metrica racconta infatti tutto il percorso dell’utente: è lo stesso problema che abbiamo approfondito parlando di attribuzione marketing, Multi-Touch Attribution, Lift Test e Marketing Mix Modeling, dove il punto centrale è combinare più segnali invece di cercare un unico dato perfetto.
Naturalmente anche il tracciamento dei clic e delle conversioni deve essere analizzato dal punto di vista privacy: cambiare KPI non significa automaticamente eliminare il trattamento di dati personali.
Per le aziende con volumi e investimenti sufficienti, una delle alternative più interessanti alla misurazione basata sul singolo utente è il Marketing Mix Modeling: un approccio che lavora su dati aggregati e serie storiche per stimare l’impatto dei diversi canali senza dover ricostruire il comportamento di ogni singola persona.
La tua piattaforma email è compliance con le norme attuali?
Adeguare il tracking delle email non significa soltanto aggiornare una privacy policy.
Occorre verificare insieme form di iscrizione, consensi, CRM, piattaforma di email marketing, workflow automatici, preference center e sistema di misurazione.
HT&T Consulting può supportarti nell’analisi dell’attuale infrastruttura di email marketing e marketing automation e nella progettazione tecnica delle modifiche necessarie, lavorando insieme ai referenti privacy dell’azienda.
Domande frequenti sui tracking pixel nelle email
Dal 29 ottobre 2026 i tracking pixel nelle newsletter sono vietati?
No. Le Linee Guida del Garante non vietano i tracking pixel. Regolano il loro utilizzo e prevedono il consenso preventivo quando vengono utilizzati per monitorare individualmente il comportamento del destinatario, salvo le specifiche deroghe previste.
Serve un consenso separato per newsletter e tracking?
Non necessariamente. Il Garante ammette che il consenso al tracking possa essere ricompreso nel consenso alle comunicazioni promozionali quando le finalità sono strettamente correlate e l’utente viene informato chiaramente. Deve però essere possibile revocare successivamente soltanto il tracking continuando a ricevere le email.
Posso continuare a misurare il tasso di apertura delle newsletter?
Sì, ma occorre distinguere la misurazione individuale da quella statistica aggregata. Il Garante contempla la possibilità di effettuare conteggi globali delle aperture senza consenso quando le informazioni sono realmente anonimizzate e non permettono una misurazione riferita al singolo destinatario.
Devo chiedere nuovamente il consenso a tutto il database esistente?
Le Linee Guida prevedono un regime transitorio per i trattamenti già in corso. È necessario informare adeguatamente gli interessati, rendere disponibile la revoca granulare e registrare le loro scelte. La situazione concreta deve comunque essere verificata sulla base dei consensi e dei trattamenti già esistenti.
Se una persona disattiva il tracking devo cancellarla dalla newsletter?
No. Uno dei principi indicati dal Garante è proprio la possibilità di revocare soltanto il consenso al tracking continuando a ricevere le comunicazioni email.
La privacy policy è sufficiente per adeguarsi?
No. L’adeguamento può coinvolgere il form di iscrizione, il sistema di raccolta dei consensi, il CRM, la piattaforma di email marketing, il preference center, le automazioni e la documentazione delle scelte degli utenti.
Qual è la scadenza prevista dal Garante?
Le Linee Guida sono state pubblicate in Gazzetta Ufficiale il 29 aprile 2026 e prevedono sei mesi per l’adeguamento. Il termine è quindi il 29 ottobre 2026.
Fonti
Fonti e approfondimenti
Per la redazione di questo articolo sono stati consultati il provvedimento del Garante
e la documentazione ufficiale delle principali piattaforme di email marketing.
Garante per la Protezione dei Dati Personali
Linee guida sull’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica,
adottate con provvedimento del 17 aprile 2026.
Brevo
Documentazione sulla gestione del consenso al tracking pixel,
sugli attributi associati al contatto e sulla revoca del monitoraggio.
Klaviyo
Guida alla gestione dell’Open Tracking Consent e alla separazione
tra consenso marketing e consenso alla misurazione delle aperture.
Mailchimp
Documentazione ufficiale sul funzionamento dell’open tracking
e sulla possibilità di disattivarlo nelle campagne email.
HubSpot
Indicazioni sulla gestione del consenso al tracking delle email,
comprese le opzioni di disattivazione a livello di account o singolo invio.
MailUp
Approfondimento sulla gestione del consenso ai tracking pixel
e sull’utilizzo del Centro Preferenze.
Omnisend
Documentazione sulla gestione del consenso all’email open tracking
a livello di singolo contatto.
Continua a leggere
9 minuti di lettura
14 minuti di lettura
E fa consumare meno energia.
Per tornare alla pagina che stavi visitando ti basterà cliccare o scorrere.