Circolare n. 54 del 09/11/2026 – Privacy e newsletter: verifiche sui pixel di tracciamento e indicazioni da trasmettere ai fornitori tecnici

Dal 29 ottobre u.s. è in vigore l’obbligo di adeguare i cosiddetti tracking pixel nelle comunicazioni di posta elettronica con gli obblighi previsti dal provvedimento del Garante per la protezione dei dati personali del 17 aprile 2026, n. 284.

La disciplina interessa anche le imprese editoriali che utilizzano questi strumenti nelle newsletter e nelle campagne promozionali.

I tracking pixel sono minuscole immagini, generalmente invisibili, che vengono caricate da un server esterno quando il destinatario apre un’e-mail. Questo meccanismo può consentire di conoscere chi ha aperto il messaggio, quando e quante volte, raccogliendo anche informazioni tecniche sul dispositivo utilizzato.

Un esempio concreto è quello di una newsletter con cui un giornale invia ai propri lettori una selezione degli articoli pubblicati. Se la piattaforma permette di visualizzare che uno specifico iscritto ha aperto il messaggio tre volte, viene effettuato un monitoraggio individuale. La verifica diventa particolarmente rilevante quando queste informazioni vengono utilizzate per individuare gli interessi del lettore o selezionare i destinatari di successive offerte di abbonamento.

Un altro esempio riguarda il reinvio automatico della newsletter “a chi non ha aperto il primo messaggio”: anche questa funzione presuppone l’individuazione del comportamento dei singoli destinatari.

Occorre quindi verificare le condizioni che legittimano il tracciamento, oltre a quelle che consentono l’invio dell’e-mail. Le linee guida richiedono un’informazione adeguata e, al di fuori delle eccezioni previste, il consenso preventivo.

La possibilità di consultare soltanto una percentuale complessiva di aperture non garantisce, da sola, che il sistema sia anonimo. Ad esempio, un rapporto che indica “il 40 per cento dei destinatari ha aperto la newsletter” potrebbe comunque derivare dalla registrazione delle aperture nominative. La deroga prevista per determinate statistiche anonime richiede accorgimenti tecnici che impediscano le misurazioni personalizzate, secondo le condizioni indicate dal Garante.

Per effettuare la verifica, suggeriamo di trasmettere al fornitore della piattaforma con la quale vengono inviate le newsletter, oppure al tecnico che la gestisce, una richiesta dalla quale si possa desumere:

1. se sono presenti pixel o altri strumenti che rilevano l’apertura delle email. E se la funzione è attiva automaticamente oppure viene selezionata per ogni invio;
2. se e come vengono registrate le aperture dei singoli destinatari e quali dati vengono raccolti, per quanto tempo sono conservati e quali soggetti possono consultarli;
3. se sono attive automazioni che utilizzano tali dati, come il reinvio ai destinatari che non hanno aperto il messaggio, la selezione dei lettori più attivi o la personalizzazione delle campagne;
4. se sia possibile disattivare il tracciamento delle aperture mantenendo l’invio delle newsletter e come intervenire anche sugli invii già programmati e sui messaggi automatici;
5. se il sistema viene presentato come anonimo e quali configurazioni impediscono concretamente di ricondurre le aperture al singolo destinatario, precisando anche il trattamento dell’indirizzo IP e degli altri identificativi;
6. come vengono registrati e documentati il consenso al tracciamento e la sua eventuale revoca e se è possibile escludere i pixel per il singolo destinatario che li rifiuta;
7. se è disponibile un collegamento, da inserire nelle email, che permetta di rinunciare soltanto al tracciamento continuando a ricevere la newsletter.

La risposta del tecnico deve poi essere sottoposta al Responsabile della protezione dei dati (RPD/DPO), ove nominato, oppure al professionista che assiste l’impresa negli adempimenti in materia di protezione dei dati personali, che potrà valutare la necessità di aggiornare informative e modalità di raccolta del consenso, tenendo conto anche del regime transitorio previsto per i trattamenti già in corso. Il Garante ammette, alle condizioni indicate nelle linee guida, un consenso unico per comunicazioni promozionali e tracciamento, ma richiede che sia possibile revocare soltanto quest’ultimo senza perdere il servizio.

Sul piano operativo, se il monitoraggio individuale non è necessario, suggeriamo di chiederne la disattivazione e di ottenerne conferma scritta.

Se invece si intende mantenerlo, occorre verificare prima che sussistano le condizioni per utilizzarlo e che le scelte degli utenti siano effettivamente rispettate dalla piattaforma.

La verifica va estesa anche alle newsletter esclusivamente informative: l’assenza di pubblicità nel messaggio non esclude automaticamente l’applicazione delle regole sui pixel di tracciamento.

Il testo integrale del provvedimento è disponibile sul sito del Garante per la protezione dei dati personali.