Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Se la sua azienda invia newsletter o email promozionali, ha già superato il 29 ottobre 2026 senza aver aggiornato la gestione dei pixel di tracciamento email marketing consenso Garante: da quel giorno l'Autorità ha formalmente aperto la fase di enforcement. Non tra sei mesi. Adesso. Con la deliberazione n. 545 del 23 luglio 2026, il Garante ha inserito espressamente nella propria agenda ispettiva per il periodo agosto-dicembre 2026 la verifica sull'implementazione delle linee guida del 17 aprile 2026 in materia di tracking pixel nelle comunicazioni di posta elettronica. Chi usa Mailchimp, Klaviyo, HubSpot o qualsiasi altra piattaforma di marketing automation ha i pixel attivi per impostazione predefinita — e nella maggior parte dei casi non lo sa, o pensa che il problema riguardi il fornitore, non sé stesso.
Questa convinzione è il primo e più costoso degli errori. Ma non è l'unico.
Cosa sono i pixel di tracciamento nelle email e perché il Garante li regola?
Un pixel di tracciamento, detto anche tracking pixel, è un'immagine di dimensioni microscopiche — 1×1 pixel, trasparente e invisibile all'occhio umano, inserita nel codice HTML di un messaggio email. Quando il destinatario apre il messaggio, il suo dispositivo contatta il server remoto che ospita il pixel: in quel momento vengono trasmessi dati come indirizzo IP, tipo di client di posta, data e ora di apertura, sistema operativo. Il Garante ha definito questi strumenti come un sistema di tracciamento occulto, riaffermando la necessità che, per qualificarsi lecito, il loro impiego debba essere preventivamente reso noto al destinatario, qualunque sia lo scopo della comunicazione o la tipologia del soggetto mittente.
Il Garante qualifica l'inserimento di tracking pixel nelle comunicazioni elettroniche come un'ipotesi di accesso al terminale dell'utente disciplinata dall'art. 122 del Codice Privacy, come modificato a seguito del recepimento della Direttiva ePrivacy. Non si tratta quindi di una questione di "dati sensibili" o di profilazione avanzata: basta aprire un'email per essere tracciati, e questo basta a far scattare l'obbligo.
Devo chiedere il consenso per sapere se il cliente apre la mia email?
Sì, nella quasi totalità dei casi. In base all'art. 122 del Codice Privacy, l'utilizzo dei tracking pixel è, in linea generale, vietato salvo che ricorra una delle condizioni previste dalla norma. Quando il consenso è necessario, deve essere acquisito prima dell'utilizzo dei tracking pixel; per i nuovi trattamenti, è preferibile richiederlo nel momento in cui viene raccolto l'indirizzo email, dopo aver fornito all'interessato le informazioni necessarie.
Il Garante individua tre specifiche ipotesi in cui i titolari del trattamento possono legittimamente impiegare tracking pixel senza acquisire il consenso degli utenti — ad esempio per verificare la corretta consegna tecnica del messaggio, senza conservare o elaborare i dati raccolti. Fuori da questi casi residuali, il consenso è obbligatorio. E deve essere libero, specifico, informato e revocabile in modo granulare: l'utente deve poter smettere di ricevere le email tracciate senza essere costretto a cancellare l'iscrizione alla newsletter.
Quali sanzioni rischio se uso i pixel senza consenso nelle email marketing?
Le sanzioni previste arrivano fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore. Ma il quadro sanzionatorio del secondo semestre 2026 parla chiaro anche guardando ai precedenti già irrogati in materia di marketing digitale: il Garante ha sanzionato Altroconsumo Edizioni Srl per 280.000 euro per l'utilizzo dei dati degli utenti raccolti mediante il sito www.altroconsumo.it per attività di email marketing, nonché per il ritardo nel rispondere alle richieste di esercizio dei diritti. La sanzione complessiva da 280.000 euro è la somma di 180.000 euro per le violazioni in materia di marketing e di 100.000 euro per l'omessa collaborazione con l'Autorità durante il procedimento.
A questo si aggiunge la sanzione di 5,5 milioni di euro inflitta a Banco Bilbao Italia (Garante, provv. n. 613 del 3 settembre 2026) per violazioni protratte per sette mesi nell'esercizio dei diritti degli interessati nell'ambito del marketing: un segnale preciso sulla propensione dell'Autorità a colpire con importi rilevanti proprio i trattamenti commerciali.
Il punto che gli altri non dicono: la responsabilità è del titolare, non della piattaforma
La quasi totalità dei blog che trattano il tema si concentra sul profilo tecnico: come disattivare il pixel in Mailchimp, come modificare le impostazioni in HubSpot. È utile, ma manca il punto centrale.
Le linee guida impongono alle organizzazioni di considerare i tracking pixel non più come una funzionalità tecnica accessoria, ma come un trattamento che richiede una specifica valutazione sotto il profilo privacy. Questo significa che la responsabilità giuridica ricade interamente sul titolare del trattamento — cioè sull'azienda che invia le email — e non sul fornitore della piattaforma. Mailchimp o HubSpot sono responsabili del trattamento (data processor, secondo la terminologia del GDPR), e agiscono su istruzione del titolare. Nei loro termini di servizio, la funzione di tracciamento è abilitata per impostazione predefinita: il titolare che non la disattiva e non acquisisce il consenso non può addurre a propria difesa di "non sapere" o di "aver delegato tutto al software".
Nelle pratiche che seguiamo, l'errore più frequente è esattamente questo: il contratto con la piattaforma viene firmato dall'ufficio marketing, il DPO — il Responsabile della Protezione dei Dati — non viene coinvolto, e l'impostazione predefinita di tracciamento resta attiva per anni. Quando arriva il controllo, non esiste né il consenso né il registro del trattamento aggiornato.
Chi utilizza tracking pixel deve adottare misure tecniche e organizzative che garantiscano la protezione dei dati fin dalla progettazione e per impostazione predefinita, ai sensi dell'art. 25 del GDPR. Questo obbligo — la privacy by design and by default, cioè la protezione dei dati integrata fin dalla progettazione del sistema — non si assolve scegliendo una piattaforma certificata: si assolve verificando che la configurazione concreta del sistema corrisponda agli obblighi normativi.
I 5 errori più frequenti nella gestione dei pixel di tracciamento nelle email di marketing
1. Delegare la compliance alla piattaforma. Come spiegato, il titolare rimane responsabile. Il contratto con il fornitore deve essere rivisto come atto di nomina a responsabile del trattamento ai sensi dell'art. 28 GDPR, con istruzioni specifiche sulla gestione del tracciamento. Se il contratto non contiene queste istruzioni, la nomina è incompleta e il titolare rimane esposto.
2. Confondere il consenso al marketing con il consenso al tracciamento. Il Garante ammette che il consenso al tracciamento tramite pixel possa essere ricompreso nel consenso, più generale, alla ricezione delle comunicazioni promozionali, evitando richieste plurime che si traducono in fenomeni di consent fatigue. Questo, però, non significa che il consenso generico al marketing basti: l'informativa deve menzionare esplicitamente il tracciamento, le sue finalità, i dati raccolti e i tempi di conservazione. Un form che dice solo "acconsento a ricevere newsletter" non è sufficiente.
3. Non aggiornare le liste preesistenti. Il provvedimento distingue tra le attività di tracciamento di nuova introduzione e i trattamenti già in corso, con regole diverse per ciascun caso. Chi ha raccolto consensi prima del 29 ottobre 2026 deve verificare che quei consensi soddisfino i nuovi requisiti di specificità e granularità: in molti casi non lo fanno, e le liste vanno sanate o ridotte.
4. Ignorare il diritto di revoca granulare. L'utente deve poter revocare il consenso al solo tracciamento continuando a ricevere le email. Deve poter scegliere tra revoca del consenso unico, con cessazione di ogni comunicazione, oppure revoca soltanto con riguardo al tracciamento, continuando a ricevere le email prive di pixel. Se la piattaforma non consente questa distinzione tecnica, va riconfigurata o sostituita.
5. Non aggiornare il registro dei trattamenti e la valutazione d'impatto. Il registro delle attività di trattamento deve riportare il tracking pixel come trattamento autonomo, con base giuridica, finalità, tempi di conservazione e responsabili. Il Garante formula altresì una raccomandazione tecnica di particolare interesse: al fine di ridurre il rischio di identificabilità dei destinatari, il mittente dovrebbe generare per ciascun tracking pixel un identificativo inintelligibile e non sequenziale, da associare all'indirizzo email del destinatario mantenendo tale corrispondenza in un layer interno e separato della piattaforma utilizzata. Chi non ha ancora eseguito una DPIA — una valutazione d'impatto sulla protezione dei dati, lo strumento previsto dall'art. 35 GDPR per i trattamenti ad alto rischio — in presenza di profilazione comportamentale su larga scala, rischia un'ulteriore contestazione autonoma.
Un piano ispettivo che non lascia margine di attesa
Il piano prevede almeno 35 accertamenti ispettivi sugli undici ambiti prioritari, condotti dal personale dell'Ufficio o dal Nucleo speciale privacy della Guardia di Finanza, in base al protocollo d'intesa del 2021. Per le aziende che utilizzano newsletter, piattaforme di marketing automation, sistemi di email marketing e strumenti di monitoraggio delle interazioni degli utenti, diventa necessario verificare l'effettiva configurazione tecnica dei sistemi utilizzati e la coerenza tra gli strumenti di tracciamento impiegati e le basi giuridiche individuate.
Le linee guida sono il frutto di una specifica attività ispettiva svolta nei mesi precedenti: l'Autorità ha condotto accertamenti conoscitivi, nell'ottobre 2025 e nel febbraio 2026, presso un provider di servizi email e una piattaforma di marketing automation. Questo significa che il Garante conosce già il funzionamento interno delle principali piattaforme: sa dove si trovano le impostazioni di default, sa che il pixel è attivo salvo disattivazione manuale, e sa cosa cercare durante un'ispezione.
Il brocardo nulla poena sine culpa — nessuna sanzione senza colpa — è principio cardine anche nel diritto amministrativo sanzionatorio. Ma la colpa, in questo contesto, non è solo quella di chi ha deliberatamente scelto di tracciare senza consenso: è anche quella di chi non ha verificato cosa fanno i sistemi che usa. Il titolare del trattamento risponde anche per omissione, non solo per azione.
Le linee guida sui pixel non descrivono un ideale: prescrivono un obbligo, con scadenza passata e ispezioni in corso.
Nota dall'esperienza dello studio
Nelle pratiche che seguiamo in materia di compliance GDPR, questo tipo di non conformità emerge quasi sempre durante la mappatura del registro dei trattamenti: il responsabile marketing riferisce di usare "solo la newsletter", ma dall'analisi delle impostazioni della piattaforma risultano attivi tre o quattro pixel distinti — apertura, click, tempo di lettura, geolocalizzazione approssimativa. Nessuno li aveva censiti. Il problema non è mai doloso: è che la funzione tecnica precede di anni la consapevolezza giuridica.
Domande frequenti
Le linee guida del Garante sui pixel valgono anche per le email transazionali, come gli ordini e le ricevute?
Le eccezioni al consenso previste dall'art. 122 del Codice Privacy riguardano i trattamenti strettamente necessari per la fornitura di un servizio richiesto dall'utente. Un'email di conferma d'ordine che traccia solo la consegna tecnica può rientrare in questa eccezione — ma solo se i dati non vengono conservati né utilizzati per finalità di profilazione o marketing. Se il pixel serve anche a misurare l'engagement del cliente, il consenso è necessario anche per le email transazionali.
Se il mio fornitore di marketing automation è fuori dall'Unione Europea, cambia qualcosa?
No, le obbligazioni rimangono in capo al titolare del trattamento stabilito in Italia o che tratta dati di utenti nell'UE. Il contratto con il fornitore extra-UE deve includere le clausole contrattuali standard approvate dalla Commissione europea per i trasferimenti internazionali di dati, oltre agli obblighi di responsabile del trattamento. La giurisdizione del fornitore non sposta la responsabilità.
Quanto tempo serve per mettersi in regola se la mia azienda usa una piattaforma come Mailchimp o HubSpot?
Dipende dallo stato di partenza. Un'azienda che ha già un registro dei trattamenti aggiornato e una base di consensi documentata può completare l'adeguamento — revisione informativa, configurazione della piattaforma, aggiornamento del contratto con il fornitore — in due o tre settimane di lavoro. Chi parte da zero, con liste storiche non segmentate e nessuna documentazione del consenso, affronta un percorso più lungo: nella nostra esperienza, tra sei e dieci settimane per un'operazione di pulizia completa delle liste e ridisegno dei flussi di consenso.
Redazione - Staff Studio Legale MP
