# Pixel di tracciamento nelle email: le linee guida del Garante, spiegate Source: https://postmetry.com/it/pixels-garante/ Guida · Italia Aggiornata il 15 settembre 2026 Lettura 11 minuti Inviate email anche a destinatari in Francia? La regola francese, quella della CNIL, ha la sua pagina, tradotta in italiano: [Pixel di tracciamento nelle email: la regola della CNIL, spiegata semplicemente](https://postmetry.com/it/pixels-cnil/) Con il provvedimento n. 284 del 17 aprile 2026, pubblicato in Gazzetta Ufficiale il 29 aprile, il Garante per la protezione dei dati personali ha adottato le prime linee guida dedicate ai pixel di tracciamento nelle email. Chi li usa ha sei mesi dalla pubblicazione per adeguarsi. Questa pagina ne riassume il contenuto senza gergo: che cosa fa un pixel, quando serve il consenso, i casi in cui il Garante ritiene che non serva, e che cosa cambia rispetto alla Francia. Ogni affermazione rimanda al testo. [Analizzare un'email](https://postmetry.com/it/analyser/) La risposta breve Il pixel non è vietato. È un accesso al terminale del destinatario ai sensi dell'art. 122 del Codice: richiede il consenso, salvo le deroghe previste. Misurare le aperture di ciascuno richiede il consenso. Anche solo per smettere di scrivere a chi non apre. Il conteggio globale e anonimo resta possibile senza consenso. L'informativa è dovuta sempre. Per ogni pixel, qualunque sia lo scopo dell'email e anche quando il consenso non serve. ## Che cos'è un pixel, nel codice Un pixel di tracciamento è un'immagine minuscola, spesso trasparente, inserita nel corpo dell'email. Non è allegata al messaggio: viene richiesta a un server remoto nel momento in cui l'email viene aperta. Quella richiesta dice al mittente che il messaggio è stato aperto, quando, e da chi: l'indirizzo dell'immagine contiene di norma un identificativo proprio di ciascun destinatario. Il Garante lo scrive così: di regola i tracciatori sono univoci per singolo destinatario. Estratto dal codice sorgente di un'email — l'identificativo evidenziato è quello del destinatario ``` ``` Il Garante qualifica questa operazione come archiviazione e accesso a informazioni nel terminale del destinatario: l'inserimento del pixel, poi la rilevazione dell'apertura. È ciò che la fa rientrare nell'art. 122 del Codice, che recepisce l'art. 5, par. 3, della direttiva ePrivacy. Che si tratti di un'immagine e non di un cookie non cambia nulla. Un'email letta in modalità solo testo non carica il pixel. Ma il blocco delle immagini non è selettivo: non è una scelta offerta al destinatario sul solo tracciamento. ## La regola: l'art. 122 del Codice L'art. 122 pone un divieto generale di archiviare o accedere a informazioni nel terminale di un utente, salvo tre ipotesi: il consenso preventivo, informato, libero, specifico e inequivocabile; la sola trasmissione della comunicazione; un servizio espressamente richiesto. Il Garante precisa il rapporto con il GDPR: la direttiva ePrivacy, e quindi l'art. 122, è norma speciale e prevale sulle disposizioni più generali del Regolamento, che resta il quadro per tutto il resto — informativa, consenso, revoca, protezione dei dati fin dalla progettazione. Fuori dalle deroghe, chi vuole usare pixel nelle email deve acquisire prima il consenso dei destinatari. Il testo cita tre utilizzi tipici, tutti fondati sulla misura individuale dell'apertura. Richiedono il consenso, secondo il Garante - Misurare e analizzare il tasso di apertura di ciascuno per valutare e migliorare le campagne promozionali: oggetto, pertinenza, leggibilità. - Adattare la frequenza degli invii, o interromperli, in base all'interesse manifestato — ad esempio verso chi non apre dopo un certo numero di invii. - Dedurre gusti, interessi e preferenze per costruire profili commerciali, riutilizzabili anche altrove. Il secondo punto è quello che sorprende di più chi conosce la regola francese: in Italia, anche la misura individuale che serve solo a smettere di scrivere agli inattivi è indicata tra gli usi soggetti al consenso. ## I casi in cui il consenso non serve Il Garante lascia al titolare la valutazione del proprio caso, poi indica — «quali ad esempio», e «allo stato attuale delle conoscenze» — tre situazioni in cui si può beneficiare della deroga. L'elenco è presentato come esemplificativo, non come chiuso. ### Il conteggio statistico globale delle aperture Una statistica che misuri la percentuale complessiva di apertura dei messaggi, utile tra l'altro alla recapitabilità e alla lotta allo spam. Alle condizioni indicate - Tecniche di anonimizzazione tali da non consentire misurazioni personalizzate. - Il testo suggerisce un pixel identico per tutti i destinatari di una stessa campagna, e l'anonimizzazione degli altri dati tecnici: indirizzo IP, client di posta. Che cosa non copre - Qualsiasi misura individuale, anche a fini di recapitabilità. - Smettere di scrivere a un destinatario perché non apre. ### La sicurezza dell'autenticazione Misure di sicurezza che riguardano l'autenticazione dell'utente, il suo completamento o il suo aggiornamento: verificare che l'email sia aperta su un terminale noto per appartenere all'interessato. Alle condizioni indicate - Esempi citati: la conferma di attivazione di un account, la richiesta di cambio password, la risposta a una richiesta di esercizio dei diritti, portabilità compresa. Che cosa non copre - Le email transazionali in quanto tali: rientrano solo se il loro caso è questo o il successivo. ### I messaggi istituzionali o di servizio dovuti per legge Messaggi che il titolare ha l'obbligo giuridico di inviare, e per i quali conta che il destinatario ne prenda effettivamente visione — in ambito bancario, o nell'attività istituzionale di un ente pubblico. Alle condizioni indicate - Esempi citati: prevenzione di phishing o frodi a fronte di minacce specifiche, modifiche contrattuali o organizzative di eventi in programma, condizioni del servizio, informative sul trattamento dei dati, notifiche di incidenti di sicurezza, campagne informative istituzionali, promemoria di scadenze contrattuali o contributive. Che cosa non copre - Un messaggio che il titolare non è tenuto per legge a inviare. La giustificazione comune ai tre casi, secondo il Garante: l'informazione tratta dal pixel serve a rendere il servizio più efficace a beneficio dell'interessato stesso. ## Informare sempre, anche quando il consenso non serve È il punto più largo del testo. L'uso di pixel deve essere reso noto preventivamente al destinatario, qualunque sia lo scopo della comunicazione e qualunque sia il mittente — quindi anche nei tre casi senza consenso. Il Garante aggiunge che i dati raccolti senza informativa non sono utilizzabili. ### A più livelli Una forma sintetica nel modulo in cui si raccoglie l'indirizzo, e un link a un'informativa completa, eventualmente nella cookie policy. ### Sul canale che si usa Il testo ammette altri canali: video, pop-up, voce, assistenti virtuali, telefono, chatbot. ### Chiara e completa La verifica spetta al titolare, secondo il principio di responsabilizzazione dell'art. 5, par. 2, del GDPR. ## Raccogliere e revocare il consenso Quando il consenso è necessario, le linee guida indicano come chiederlo. Eccolo nell'ordine in cui lo si incontra. 1. 1 Chiederlo al momento della raccolta dell'indirizzo Per i nuovi trattamenti, preferibilmente nello stesso momento in cui si acquisisce l'indirizzo email, dopo l'informativa. Mantenere il pixel occulto non è una modalità che il testo ammette. 2. 2 Un solo consenso può bastare In linea di principio, il consenso al pixel può essere compreso in quello, più generale, alla ricezione delle comunicazioni promozionali — per evitare l'affaticamento da consenso. A una condizione: che la richiesta sia formulata in modo neutro e privo di forzature. 3. 3 Rifiutare il tracciamento non limita il servizio Nessun incentivo a accettare, e nessuna limitazione del servizio per chi rifiuta il tracciamento. 4. 4 Una revoca anche parziale Il destinatario deve poter revocare tutto — e non ricevere più email — oppure solo il tracciamento, continuando a ricevere le email senza pixel. 5. 5 In ogni email, un accesso visibile Il testo suggerisce un'icona standardizzata o un link nel footer verso un'area in cui scegliere tra disiscrizione e arresto dei soli pixel. 6. 6 Registrare ogni scelta Tutte le scelte dell'interessato devono essere debitamente registrate dal titolare, che deve poter dimostrare il consenso (art. 7, par. 1, del GDPR). ## Progettare il pixel: che cosa suggerisce il Garante In applicazione dell'art. 25 del GDPR, il testo non impone ma ritiene opportuno suggerire tre accorgimenti tecnici. Tre suggerimenti - Un identificativo inintelligibile e non sequenziale associato all'indirizzo del destinatario. - La corrispondenza tra identificativo e indirizzo conservata in uno strato interno e separato della piattaforma. - Nessun indirizzo email nella richiesta del pixel. ## Chi è interessato Tutti i soggetti, privati o pubblici, che a qualsiasi titolo usano pixel di tracciamento. Il testo si rivolge espressamente ai fornitori di servizi della società dell'informazione, ai fornitori di posta elettronica e ai gestori di piattaforme di invio massivo. ### Il mittente Decide di usare il pixel e ne stabilisce le finalità, anche quando ne affida la gestione ad altri. ### La piattaforma di invio Spesso in modalità SaaS, agisce «generalmente» su mandato e secondo le istruzioni del mittente. Il testo non la qualifica una volta per tutte: il ruolo si valuta caso per caso. ### Chi noleggia liste Invia alle proprie liste per conto di un committente, ed è citato tra i soggetti coinvolti. ### Chi fornisce la tecnologia di tracciamento Può assumere un ruolo proprio se partecipa alle decisioni sul trattamento. Ciascuno qualifica il proprio ruolo, e l'eventuale contitolarità (art. 26 del GDPR). ## Le date da ricordare Le linee guida arrivano dopo quelle del 2021 sui cookie e dopo due ispezioni conoscitive condotte dal Garante nel settore. 1. 2021 Il precedente Linee guida cookie e altri strumenti di tracciamento Provvedimento n. 231 del 10 giugno 2021. Le nuove linee guida vi rinviano per le modalità dell'informativa e del consenso. 2. 2025 — 2026 Le ispezioni Due accertamenti conoscitivi Dal 6 all'8 ottobre 2025 presso un fornitore di posta elettronica, dal 9 all'11 febbraio 2026 presso una piattaforma di marketing automation. 3. 17 aprile 2026 L'adozione Provvedimento n. 284 Il comunicato stampa del Garante è del 21 aprile 2026. 4. 29 aprile 2026 La pubblicazione Gazzetta Ufficiale, Serie Generale n. 98 Da questa data decorre il termine di sei mesi per adeguarsi. 5. 29 ottobre 2026 Fine del termine Sei mesi dalla pubblicazione Il testo non scrive una data di calendario: questa è il calcolo di sei mesi dal 29 aprile. ### E per i trattamenti già in corso? Il Garante prevede un regime transitorio, applicabile solo ai trattamenti già in corso e destinato a esaurirsi progressivamente. Chi invia già email commerciali con pixel deve informare i destinatari con il primo messaggio utile, o al primo momento di discontinuità, e mettere a disposizione — con la massima visibilità — un meccanismo di revoca, anche parziale, sul modello descritto sopra. Per queste basi il testo non chiede di raccogliere un nuovo consenso preventivo. Chi rifiuta il tracciamento conserva pieno accesso al servizio. ## Che cosa cambia rispetto alla Francia La CNIL ha pubblicato la propria raccomandazione un mese prima, il 14 aprile 2026. I due testi partono dalla stessa norma europea e arrivano a conclusioni diverse su punti concreti. Solo le differenze che si leggono nei due testi. | Punto | Garante (Italia) | CNIL (Francia) | | --- | --- | --- | | Smettere di scrivere agli inattivi | Consenso richiesto per la misura individuale; senza consenso solo il conteggio globale anonimo. | Esenzione per la misura individuale di recapitabilità, limitata in linea di principio alla data dell'ultima apertura. | | Email transazionali | Nessuna deroga in quanto tali: solo sicurezza dell'autenticazione o invio dovuto per legge. | Esenzioni aperte alle email richieste o legate a un servizio richiesto. | | Link tracciati | Non trattati dalle linee guida. | Trattati: soggetti alla stessa regola, salvo i link che servono alla revoca o alla sicurezza. | | Informativa | Dovuta per ogni pixel, anche senza consenso. | Raccomandata per trasparenza per i pixel esentati. | | Basi esistenti | Informativa al primo invio utile e revoca anche parziale; sei mesi per adeguarsi. | Informare entro tre mesi per consentire l'opposizione. | Che cosa contengono davvero le vostre email? L'audit gratuito legge un vostro invio come lo riceve un destinatario e mostra i pixel e i link tracciati che contiene, con l'estratto di codice che li documenta. Non stabilisce se siete in regola: mostra che cosa c'è. [Analizzare un'email](https://postmetry.com/it/analyser/) ## Domande frequenti Le domande che si pongono più spesso, con la risposta come risulta dal testo. Quando il testo non risponde, lo diciamo. ### I pixel di tracciamento sono vietati in Italia? No. L'art. 122 del Codice vieta di accedere al terminale del destinatario senza consenso, salvo deroghe: il pixel resta utilizzabile con il consenso, o senza nei casi che il Garante indica — conteggio globale anonimo, sicurezza dell'autenticazione, messaggi dovuti per legge. ### Serve un consenso distinto da quello al marketing? Non necessariamente. In linea di principio il consenso al pixel può essere compreso in quello alle comunicazioni promozionali, se la richiesta è formulata in modo neutro. Il destinatario deve però poter revocare solo il tracciamento, continuando a ricevere le email. ### Posso ancora conoscere il mio tasso di apertura? Sì, a livello globale e anonimo: il testo suggerisce un pixel identico per tutti i destinatari di una stessa campagna e l'anonimizzazione di indirizzo IP e client. È la misura dell'apertura di ciascuno che richiede il consenso. ### Posso smettere di scrivere a chi non apre, senza consenso? Il Garante cita l'adattamento o l'interruzione degli invii in base all'interesse manifestato tra gli usi che richiedono il consenso, perché presuppone una misura individuale. È una differenza netta rispetto alla raccomandazione francese. ### Le email transazionali sono escluse? Non in quanto tali. Un'email transazionale può rientrare in una deroga solo se riguarda la sicurezza dell'autenticazione — attivazione di un account, cambio password — o se è un messaggio che il titolare è tenuto per legge a inviare. ### Devo informare anche quando il consenso non serve? Sì. L'informativa è dovuta per ogni pixel, qualunque sia lo scopo dell'email e il tipo di mittente. Secondo il Garante, i dati raccolti senza informativa non sono utilizzabili. ### Entro quando bisogna adeguarsi? Il testo concede sei mesi dalla pubblicazione in Gazzetta Ufficiale, avvenuta il 29 aprile 2026: il termine cade quindi il 29 ottobre 2026. È un calcolo, perché il provvedimento non scrive una data di calendario. ### E i contatti già in base? Per i trattamenti già in corso vale un regime transitorio: informare con il primo messaggio utile e offrire una revoca anche parziale, ben visibile. Il testo non chiede di raccogliere un nuovo consenso preventivo per queste basi. ### Il tracciamento dei clic è coperto? Le linee guida non lo trattano: riguardano l'evento di apertura dell'email. Il testo non dice come valutare i link tracciati, e questa pagina non lo dice al posto suo. ### La mia piattaforma di invio è responsabile al posto mio? Il mittente decide l'uso del pixel e le sue finalità, anche quando ne delega la gestione. La piattaforma agisce generalmente su sue istruzioni; il testo chiede a ciascuno di qualificare il proprio ruolo, e l'eventuale contitolarità, caso per caso. ### Quali sanzioni sono previste? Le linee guida non ne citano. È il Codice che rinvia: l'art. 166, comma 2, sottopone la violazione dell'art. 122 alla sanzione amministrativa dell'art. 83, par. 5, del GDPR — fino a 20 milioni di euro o al 4 % del fatturato mondiale annuo. ## La stessa domanda, in altri Paesi Il pixel è lo stesso ovunque; i testi che lo regolano no. Ogni pagina è scritta nella lingua del proprio Paese, a partire dai testi della propria autorità. - France · CNIL [Pixels de suivi dans les emails : la règle CNIL, expliquée simplement](https://postmetry.com/fr/pixels-cnil/) - United Kingdom · ICO [Tracking pixels in emails: what PECR and the ICO require, explained](https://postmetry.com/en/pixels-ico/) - Deutschland · § 25 TDDDG [Zählpixel in E-Mails: Was § 25 TDDDG verlangt, verständlich erklärt](https://postmetry.com/de/pixels-tdddg/) - España · AEPD [Píxeles de seguimiento en el correo electrónico: lo que exigen la LSSI y la AEPD](https://postmetry.com/es/pixels-aepd/) ## Fonti Tutto ciò che precede è tratto dai testi seguenti. I link portano alle pubblicazioni originali, per leggere di persona invece di fidarsi di noi. - [Linee Guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10241943) Garante per la protezione dei dati personali, provvedimento n. 284 del 17 aprile 2026, Gazzetta Ufficiale Serie Generale n. 98 del 29 aprile 2026. - [Tracking pixel nelle email: pubblicate le linee guida del Garante privacy](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10241977) Garante per la protezione dei dati personali, comunicato stampa del 21 aprile 2026. - [Codice in materia di protezione dei dati personali](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9042678) D.lgs. 30 giugno 2003, n. 196, testo coordinato: artt. 122, 130, 154-bis e 166. - [Linee guida cookie e altri strumenti di tracciamento](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9677876) Garante, provvedimento n. 231 del 10 giugno 2021. - [Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive](https://www.edpb.europa.eu/documents/guideline/guidelines-22023-on-technical-scope-of-art-53-of-eprivacy-directive_en) Comitato europeo per la protezione dei dati, versione 2.0 del 7 ottobre 2024. - [Recommandation relative aux pixels de suivi dans les courriers électroniques](https://www.cnil.fr/fr/recommandation-pixel-suivi-courriels) CNIL (Francia), deliberazione n. 2026-042 del 12 marzo 2026. Questa pagina è una presentazione divulgativa redatta a partire dai testi citati. Non costituisce un parere legale né una posizione del Garante. Per l'applicazione al vostro caso, rivolgetevi al vostro DPO o a un consulente.