Inviate email anche a destinatari in Francia? La regola francese, quella della CNIL, ha la sua pagina, tradotta in italiano: Pixel di tracciamento nelle email: la regola della CNIL, spiegata semplicemente
Pixel di tracciamento nelle email: le linee guida del Garante, spiegate
Con il provvedimento n. 284 del 17 aprile 2026, pubblicato in Gazzetta Ufficiale il 29 aprile, il Garante per la protezione dei dati personali ha adottato le prime linee guida dedicate ai pixel di tracciamento nelle email. Chi li usa ha sei mesi dalla pubblicazione per adeguarsi.
Questa pagina ne riassume il contenuto senza gergo: che cosa fa un pixel, quando serve il consenso, i casi in cui il Garante ritiene che non serva, e che cosa cambia rispetto alla Francia. Ogni affermazione rimanda al testo.
La risposta breve
Il pixel non è vietato.
È un accesso al terminale del destinatario ai sensi dell'art. 122 del Codice: richiede il consenso, salvo le deroghe previste.
Misurare le aperture di ciascuno richiede il consenso.
Anche solo per smettere di scrivere a chi non apre. Il conteggio globale e anonimo resta possibile senza consenso.
L'informativa è dovuta sempre.
Per ogni pixel, qualunque sia lo scopo dell'email e anche quando il consenso non serve.
Che cos'è un pixel, nel codice
Un pixel di tracciamento è un'immagine minuscola, spesso trasparente, inserita nel corpo dell'email. Non è allegata al messaggio: viene richiesta a un server remoto nel momento in cui l'email viene aperta.
Quella richiesta dice al mittente che il messaggio è stato aperto, quando, e da chi: l'indirizzo dell'immagine contiene di norma un identificativo proprio di ciascun destinatario. Il Garante lo scrive così: di regola i tracciatori sono univoci per singolo destinatario.
<!-- tracciamento apertura -->
<img src="https://mail.exemple-esp.com/o.gif?c=8412&u=a3f9d2e1c7&t=1755400981"
width="1" height="1" alt="" style="display:block;border:0" />Il Garante qualifica questa operazione come archiviazione e accesso a informazioni nel terminale del destinatario: l'inserimento del pixel, poi la rilevazione dell'apertura. È ciò che la fa rientrare nell'art. 122 del Codice, che recepisce l'art. 5, par. 3, della direttiva ePrivacy. Che si tratti di un'immagine e non di un cookie non cambia nulla.
Un'email letta in modalità solo testo non carica il pixel. Ma il blocco delle immagini non è selettivo: non è una scelta offerta al destinatario sul solo tracciamento.
La regola: l'art. 122 del Codice
L'art. 122 pone un divieto generale di archiviare o accedere a informazioni nel terminale di un utente, salvo tre ipotesi: il consenso preventivo, informato, libero, specifico e inequivocabile; la sola trasmissione della comunicazione; un servizio espressamente richiesto.
Il Garante precisa il rapporto con il GDPR: la direttiva ePrivacy, e quindi l'art. 122, è norma speciale e prevale sulle disposizioni più generali del Regolamento, che resta il quadro per tutto il resto — informativa, consenso, revoca, protezione dei dati fin dalla progettazione.
Fuori dalle deroghe, chi vuole usare pixel nelle email deve acquisire prima il consenso dei destinatari. Il testo cita tre utilizzi tipici, tutti fondati sulla misura individuale dell'apertura.
Richiedono il consenso, secondo il Garante
- Misurare e analizzare il tasso di apertura di ciascuno per valutare e migliorare le campagne promozionali: oggetto, pertinenza, leggibilità.
- Adattare la frequenza degli invii, o interromperli, in base all'interesse manifestato — ad esempio verso chi non apre dopo un certo numero di invii.
- Dedurre gusti, interessi e preferenze per costruire profili commerciali, riutilizzabili anche altrove.
Il secondo punto è quello che sorprende di più chi conosce la regola francese: in Italia, anche la misura individuale che serve solo a smettere di scrivere agli inattivi è indicata tra gli usi soggetti al consenso.
I casi in cui il consenso non serve
Il Garante lascia al titolare la valutazione del proprio caso, poi indica — «quali ad esempio», e «allo stato attuale delle conoscenze» — tre situazioni in cui si può beneficiare della deroga. L'elenco è presentato come esemplificativo, non come chiuso.
Il conteggio statistico globale delle aperture
Una statistica che misuri la percentuale complessiva di apertura dei messaggi, utile tra l'altro alla recapitabilità e alla lotta allo spam.
Alle condizioni indicate
- Tecniche di anonimizzazione tali da non consentire misurazioni personalizzate.
- Il testo suggerisce un pixel identico per tutti i destinatari di una stessa campagna, e l'anonimizzazione degli altri dati tecnici: indirizzo IP, client di posta.
Che cosa non copre
- Qualsiasi misura individuale, anche a fini di recapitabilità.
- Smettere di scrivere a un destinatario perché non apre.
La sicurezza dell'autenticazione
Misure di sicurezza che riguardano l'autenticazione dell'utente, il suo completamento o il suo aggiornamento: verificare che l'email sia aperta su un terminale noto per appartenere all'interessato.
Alle condizioni indicate
- Esempi citati: la conferma di attivazione di un account, la richiesta di cambio password, la risposta a una richiesta di esercizio dei diritti, portabilità compresa.
Che cosa non copre
- Le email transazionali in quanto tali: rientrano solo se il loro caso è questo o il successivo.
I messaggi istituzionali o di servizio dovuti per legge
Messaggi che il titolare ha l'obbligo giuridico di inviare, e per i quali conta che il destinatario ne prenda effettivamente visione — in ambito bancario, o nell'attività istituzionale di un ente pubblico.
Alle condizioni indicate
- Esempi citati: prevenzione di phishing o frodi a fronte di minacce specifiche, modifiche contrattuali o organizzative di eventi in programma, condizioni del servizio, informative sul trattamento dei dati, notifiche di incidenti di sicurezza, campagne informative istituzionali, promemoria di scadenze contrattuali o contributive.
Che cosa non copre
- Un messaggio che il titolare non è tenuto per legge a inviare.
La giustificazione comune ai tre casi, secondo il Garante: l'informazione tratta dal pixel serve a rendere il servizio più efficace a beneficio dell'interessato stesso.
Informare sempre, anche quando il consenso non serve
È il punto più largo del testo. L'uso di pixel deve essere reso noto preventivamente al destinatario, qualunque sia lo scopo della comunicazione e qualunque sia il mittente — quindi anche nei tre casi senza consenso. Il Garante aggiunge che i dati raccolti senza informativa non sono utilizzabili.
A più livelli
Una forma sintetica nel modulo in cui si raccoglie l'indirizzo, e un link a un'informativa completa, eventualmente nella cookie policy.
Sul canale che si usa
Il testo ammette altri canali: video, pop-up, voce, assistenti virtuali, telefono, chatbot.
Chiara e completa
La verifica spetta al titolare, secondo il principio di responsabilizzazione dell'art. 5, par. 2, del GDPR.
Raccogliere e revocare il consenso
Quando il consenso è necessario, le linee guida indicano come chiederlo. Eccolo nell'ordine in cui lo si incontra.
-
1
Chiederlo al momento della raccolta dell'indirizzo
Per i nuovi trattamenti, preferibilmente nello stesso momento in cui si acquisisce l'indirizzo email, dopo l'informativa. Mantenere il pixel occulto non è una modalità che il testo ammette.
-
2
Un solo consenso può bastare
In linea di principio, il consenso al pixel può essere compreso in quello, più generale, alla ricezione delle comunicazioni promozionali — per evitare l'affaticamento da consenso. A una condizione: che la richiesta sia formulata in modo neutro e privo di forzature.
-
3
Rifiutare il tracciamento non limita il servizio
Nessun incentivo a accettare, e nessuna limitazione del servizio per chi rifiuta il tracciamento.
-
4
Una revoca anche parziale
Il destinatario deve poter revocare tutto — e non ricevere più email — oppure solo il tracciamento, continuando a ricevere le email senza pixel.
-
5
In ogni email, un accesso visibile
Il testo suggerisce un'icona standardizzata o un link nel footer verso un'area in cui scegliere tra disiscrizione e arresto dei soli pixel.
-
6
Registrare ogni scelta
Tutte le scelte dell'interessato devono essere debitamente registrate dal titolare, che deve poter dimostrare il consenso (art. 7, par. 1, del GDPR).
Progettare il pixel: che cosa suggerisce il Garante
In applicazione dell'art. 25 del GDPR, il testo non impone ma ritiene opportuno suggerire tre accorgimenti tecnici.
Tre suggerimenti
- Un identificativo inintelligibile e non sequenziale associato all'indirizzo del destinatario.
- La corrispondenza tra identificativo e indirizzo conservata in uno strato interno e separato della piattaforma.
- Nessun indirizzo email nella richiesta del pixel.
Chi è interessato
Tutti i soggetti, privati o pubblici, che a qualsiasi titolo usano pixel di tracciamento. Il testo si rivolge espressamente ai fornitori di servizi della società dell'informazione, ai fornitori di posta elettronica e ai gestori di piattaforme di invio massivo.
Il mittente
Decide di usare il pixel e ne stabilisce le finalità, anche quando ne affida la gestione ad altri.
La piattaforma di invio
Spesso in modalità SaaS, agisce «generalmente» su mandato e secondo le istruzioni del mittente. Il testo non la qualifica una volta per tutte: il ruolo si valuta caso per caso.
Chi noleggia liste
Invia alle proprie liste per conto di un committente, ed è citato tra i soggetti coinvolti.
Chi fornisce la tecnologia di tracciamento
Può assumere un ruolo proprio se partecipa alle decisioni sul trattamento. Ciascuno qualifica il proprio ruolo, e l'eventuale contitolarità (art. 26 del GDPR).
Le date da ricordare
Le linee guida arrivano dopo quelle del 2021 sui cookie e dopo due ispezioni conoscitive condotte dal Garante nel settore.
-
2021
Il precedente
Linee guida cookie e altri strumenti di tracciamento
Provvedimento n. 231 del 10 giugno 2021. Le nuove linee guida vi rinviano per le modalità dell'informativa e del consenso.
-
2025 — 2026
Le ispezioni
Due accertamenti conoscitivi
Dal 6 all'8 ottobre 2025 presso un fornitore di posta elettronica, dal 9 all'11 febbraio 2026 presso una piattaforma di marketing automation.
-
17 aprile 2026
L'adozione
Provvedimento n. 284
Il comunicato stampa del Garante è del 21 aprile 2026.
-
29 aprile 2026
La pubblicazione
Gazzetta Ufficiale, Serie Generale n. 98
Da questa data decorre il termine di sei mesi per adeguarsi.
-
29 ottobre 2026
Fine del termine
Sei mesi dalla pubblicazione
Il testo non scrive una data di calendario: questa è il calcolo di sei mesi dal 29 aprile.
E per i trattamenti già in corso?
Il Garante prevede un regime transitorio, applicabile solo ai trattamenti già in corso e destinato a esaurirsi progressivamente. Chi invia già email commerciali con pixel deve informare i destinatari con il primo messaggio utile, o al primo momento di discontinuità, e mettere a disposizione — con la massima visibilità — un meccanismo di revoca, anche parziale, sul modello descritto sopra.
Per queste basi il testo non chiede di raccogliere un nuovo consenso preventivo. Chi rifiuta il tracciamento conserva pieno accesso al servizio.
Che cosa cambia rispetto alla Francia
La CNIL ha pubblicato la propria raccomandazione un mese prima, il 14 aprile 2026. I due testi partono dalla stessa norma europea e arrivano a conclusioni diverse su punti concreti. Solo le differenze che si leggono nei due testi.
| Punto | Garante (Italia) | CNIL (Francia) |
|---|---|---|
| Smettere di scrivere agli inattivi | Consenso richiesto per la misura individuale; senza consenso solo il conteggio globale anonimo. | Esenzione per la misura individuale di recapitabilità, limitata in linea di principio alla data dell'ultima apertura. |
| Email transazionali | Nessuna deroga in quanto tali: solo sicurezza dell'autenticazione o invio dovuto per legge. | Esenzioni aperte alle email richieste o legate a un servizio richiesto. |
| Link tracciati | Non trattati dalle linee guida. | Trattati: soggetti alla stessa regola, salvo i link che servono alla revoca o alla sicurezza. |
| Informativa | Dovuta per ogni pixel, anche senza consenso. | Raccomandata per trasparenza per i pixel esentati. |
| Basi esistenti | Informativa al primo invio utile e revoca anche parziale; sei mesi per adeguarsi. | Informare entro tre mesi per consentire l'opposizione. |
Che cosa contengono davvero le vostre email?
L'audit gratuito legge un vostro invio come lo riceve un destinatario e mostra i pixel e i link tracciati che contiene, con l'estratto di codice che li documenta. Non stabilisce se siete in regola: mostra che cosa c'è.
Domande frequenti
Le domande che si pongono più spesso, con la risposta come risulta dal testo. Quando il testo non risponde, lo diciamo.
I pixel di tracciamento sono vietati in Italia?
Serve un consenso distinto da quello al marketing?
Posso ancora conoscere il mio tasso di apertura?
Posso smettere di scrivere a chi non apre, senza consenso?
Le email transazionali sono escluse?
Devo informare anche quando il consenso non serve?
Entro quando bisogna adeguarsi?
E i contatti già in base?
Il tracciamento dei clic è coperto?
La mia piattaforma di invio è responsabile al posto mio?
Quali sanzioni sono previste?
La stessa domanda, in altri Paesi
Il pixel è lo stesso ovunque; i testi che lo regolano no. Ogni pagina è scritta nella lingua del proprio Paese, a partire dai testi della propria autorità.
-
France · CNIL
Pixels de suivi dans les emails : la règle CNIL, expliquée simplement -
United Kingdom · ICO
Tracking pixels in emails: what PECR and the ICO require, explained -
Deutschland · § 25 TDDDG
Zählpixel in E-Mails: Was § 25 TDDDG verlangt, verständlich erklärt -
España · AEPD
Píxeles de seguimiento en el correo electrónico: lo que exigen la LSSI y la AEPD
Fonti
Tutto ciò che precede è tratto dai testi seguenti. I link portano alle pubblicazioni originali, per leggere di persona invece di fidarsi di noi.
-
Linee Guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica
Garante per la protezione dei dati personali, provvedimento n. 284 del 17 aprile 2026, Gazzetta Ufficiale Serie Generale n. 98 del 29 aprile 2026.
-
Tracking pixel nelle email: pubblicate le linee guida del Garante privacy
Garante per la protezione dei dati personali, comunicato stampa del 21 aprile 2026.
-
Codice in materia di protezione dei dati personali
D.lgs. 30 giugno 2003, n. 196, testo coordinato: artt. 122, 130, 154-bis e 166.
-
Linee guida cookie e altri strumenti di tracciamento
Garante, provvedimento n. 231 del 10 giugno 2021.
-
Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive
Comitato europeo per la protezione dei dati, versione 2.0 del 7 ottobre 2024.
-
Recommandation relative aux pixels de suivi dans les courriers électroniques
CNIL (Francia), deliberazione n. 2026-042 del 12 marzo 2026.
Questa pagina è una presentazione divulgativa redatta a partire dai testi citati. Non costituisce un parere legale né una posizione del Garante. Per l'applicazione al vostro caso, rivolgetevi al vostro DPO o a un consulente.