Ultimo aggiornamento: ottobre 2026
Entro il 29 ottobre 2026 chi invia newsletter deve adeguarsi alle Linee guida del Garante sul tracking pixel: misurare le aperture del singolo iscritto richiede il consenso, salvo le eccezioni previste. Cambia anche il modo di leggere l’open rate, che registra il caricamento di un’immagine e non una lettura certa.
Che cosa cambia, da quando e per chi
Il provvedimento è del Garante per la protezione dei dati personali del 17 aprile 2026 ed è stato pubblicato nella Gazzetta Ufficiale n. 98 del 29 aprile 2026. Il termine per adeguarsi è di sei mesi dalla pubblicazione, quindi il 29 ottobre 2026. Le regole valgono per le e-mail con tracking pixel di qualsiasi tipo, promozionali o di servizio, e per qualsiasi mittente.
Secondo il Garante l’uso dei pixel rientra nell’articolo 122 del Codice privacy (decreto legislativo 30 giugno 2003, n. 196), che disciplina l’archiviazione di informazioni nel terminale dell’utente e l’accesso a quelle già archiviate. In linea generale è vietato, salvo che ricorra una delle condizioni previste dalla norma. Il consenso, che deve essere preventivo, libero, informato, specifico e inequivocabile, serve in particolare per misurare il comportamento del singolo destinatario, per esempio per profilarlo o per adattare gli invii alle sue aperture.
Il Garante indica tre casi in cui il consenso può non servire, a condizioni precise:
- Statistiche aggregate, deliverability e antispam. Il pixel deve servire solo a dati complessivi, con tecniche che impediscono di misurare il comportamento del singolo destinatario, per esempio un pixel uguale per tutti i destinatari di una campagna e dati anonimizzati.
- Sicurezza. Il pixel deve essere strettamente necessario per specifiche misure di sicurezza, come l’autenticazione dell’utente.
- Messaggi istituzionali o di servizio. Valgono solo quelli che il titolare ha l’obbligo giuridico di inviare e per cui è rilevante verificare che il destinatario ne abbia preso conoscenza, come modifiche contrattuali, incidenti di sicurezza, avvisi sul phishing o scadenze: non una newsletter istituzionale qualunque.
Non sono esenzioni automatiche: spetta al titolare del trattamento verificare caso per caso se i presupposti ci sono. In ogni caso, anche quando un’eccezione si applica, il destinatario va informato in anticipo dell’uso dei pixel, e il provvedimento avverte che senza informativa i dati non sono utilizzabili.
Perché il tracking pixel non misura una lettura certa
Un pixel di tracciamento è un’immagine invisibile, descritta dal Garante come «pari appunto a un solo pixel», che non sta nel testo dell’e-mail ma è ospitata su un server remoto. Quando il programma di posta la carica per mostrare il messaggio, il server registra l’apertura.
I sistemi di invio, compreso quello che usiamo in EDEMPG, permettono di attivare o disattivare il tracciamento delle aperture. Se è attivo, il sistema registra le aperture, calcola l’open rate e sa quale iscritto ha aperto; se è disattivato, quel dato non viene raccolto.
Il dato è fragile per ragioni tecniche. L’apertura registrata dipende dal caricamento automatico delle immagini, che può avvenire senza una lettura. Da iOS 15 Apple offre in Mail la funzione Mail Privacy Protection: per chi la attiva, i contenuti remoti vengono scaricati in privato e in background alla ricezione del messaggio e non alla sua lettura. Per questi iscritti un’apertura registrata indica un caricamento tecnico. Un fraintendimento che il nostro team incontra spesso è proprio trattare le aperture come un dato certo: è un’osservazione del team, non una statistica.
Anche il tipo di conteggio cambia il numero. Le aperture totali sommano tutte le aperture registrate, comprese quelle ripetute dello stesso iscritto: se una persona apre cinque volte la stessa e-mail, contano cinque aperture. Le aperture uniche contano ogni iscritto una sola volta. Guardare il numero più alto senza sapere quale dei due si sta leggendo porta a sovrastimare l’interesse, e il confronto tra campagne va fatto sempre sullo stesso tipo di conteggio.
Tracciamento dei clic e UTM: che cosa misurano e che cosa si perde
Il tracciamento dei clic è un’impostazione separata da quella delle aperture. Quando è attivo, il link della newsletter non porta subito alla pagina di destinazione: passa prima da un indirizzo del sistema di invio, che registra quale iscritto ha cliccato e su quale link, e poi reindirizza. Un clic richiede un gesto dell’utente, il caricamento di un’immagine no.
Le Linee guida del Garante non trattano il tracciamento dei clic con reindirizzamento, che è un meccanismo diverso dal pixel. Se per il singolo iscritto serva lo stesso consenso delle aperture, quindi, il provvedimento non lo dice. Secondo il Garante il GDPR resta applicabile per gli aspetti non coperti dalla disciplina e-Privacy.
Le UTM sono parametri come utm_source, utm_medium e utm_campaign che si aggiungono ai link. Secondo la documentazione di Google Analytics, aggiungerli agli URL di destinazione permette di vedere nel report sull’acquisizione del traffico quali campagne generano visite. Lavorano sul link e non sulla piattaforma di invio, quindi si possono affiancare al tracciamento della piattaforma oppure usare da sole.
Usate da sole, le UTM sono un compromesso e non una scelta giusta o sbagliata: guadagni la lettura di ciò che succede sul sito dopo il clic, ma perdi l’open rate e il dato su quale iscritto ha cliccato, e la reportistica sulla newsletter diventa più debole.
Disiscrizione, cancellazione e consensi: che cosa cambia per chi riceve
Disiscriversi da una newsletter e chiedere la cancellazione dei propri dati sono due cose diverse, anche se spesso vengono confuse. La disiscrizione interrompe l’invio: chi si disiscrive non riceve più la newsletter. La cancellazione riguarda la rimozione dei dati personali ed è un diritto distinto.
Il GDPR, cioè il Regolamento (UE) 2016/679, riconosce all’interessato il diritto di revocare il consenso in qualsiasi momento (articolo 7, paragrafo 3) e di opporsi in qualsiasi momento al trattamento per finalità di marketing diretto (articolo 21). In pratica la disiscrizione è lo strumento con cui di norma si esercitano questi diritti. L’articolo 17 riguarda invece la cancellazione, che si ottiene quando ricorre uno dei motivi previsti, con le eccezioni indicate dallo stesso articolo: non è un diritto incondizionato.
Per i pixel, le Linee guida chiedono che la revoca sia granulare. Il destinatario deve poter cessare soltanto la ricezione dei tracking pixel, per esempio con un’icona o un link nel footer, oppure smettere di ricevere le comunicazioni. Chi rifiuta il tracciamento deve poter continuare a fruire del servizio, e le scelte vanno registrate.
Come leggere un report e che cosa fare con le liste già attive
Per le liste esistenti il Garante prevede un regime transitorio: l’informativa sull’uso dei pixel va fornita al primo invio utile o al primo momento di discontinuità nel rapporto con il destinatario, insieme a un meccanismo di revoca, anche granulare. Il termine del 29 ottobre 2026 vale anche per loro.
Prima di giudicare l’esito di un invio, controlla in quest’ordine:
- quale tracciamento era attivo: aperture, clic o entrambi;
- se per le aperture ricorre una delle eccezioni, con le sue condizioni (per esempio un pixel uguale per tutti), oppure se serve il consenso;
- se il numero che guardi è un totale o un valore unico;
- se una parte del pubblico usa Apple Mail con la protezione attiva: in quel caso le aperture registrate non indicano letture.
Se usi le UTM al posto del tracciamento della piattaforma, ricorda che perdi la visibilità sul singolo iscritto. Questo articolo riporta le regole del Garante e non è consulenza legale: la verifica caso per caso spetta al titolare del trattamento. Se vuoi collegare i dati della newsletter a quelli delle altre campagne online, trovi i nostri servizi nella pagina sulle campagne pubblicitarie online di EDEMPG.
Domande frequenti
Il tracking pixel funziona allo stesso modo su tutte le caselle di posta?
No. Il meccanismo dipende dal caricamento automatico delle immagini, che varia da client a client. Da iOS 15 Apple offre la funzione Mail Privacy Protection: per chi la attiva, i contenuti remoti vengono scaricati in privato e in background alla ricezione del messaggio, quindi un’apertura registrata non indica una lettura.
Conviene disattivare il tracciamento delle aperture?
Dipende dal dato che ti serve. Secondo le Linee guida del Garante del 17 aprile 2026, l’uso dei tracking pixel è in linea generale vietato dall’articolo 122 del Codice privacy. Per misurare il comportamento del singolo destinatario serve il consenso preventivo; per le statistiche aggregate può non servire, ma con tecniche che impediscono di misurare il singolo, come un pixel uguale per tutti. In ogni caso il destinatario va informato in anticipo dell’uso dei pixel. Il termine per adeguarsi è il 29 ottobre 2026.
Le UTM sostituiscono il tracciamento della piattaforma di invio?
No, sono cose diverse. Le UTM sono parametri che si aggiungono ai link e permettono a uno strumento di analisi web di attribuire le visite a una campagna. Si possono affiancare al tracciamento della piattaforma o usare da sole; in questo caso si perdono l’open rate e il dato su quale iscritto ha cliccato.
Il tracciamento dei clic per singolo iscritto richiede lo stesso consenso delle aperture?
Il provvedimento del Garante del 17 aprile 2026 non lo dice: riguarda i tracking pixel nelle e-mail e non menziona il tracciamento dei clic con reindirizzamento, che è un meccanismo diverso. Secondo il Garante il GDPR resta applicabile per gli aspetti non coperti dalla disciplina e-Privacy.
Disiscriversi da una newsletter cancella anche i miei dati?
No, sono due cose diverse. La disiscrizione interrompe l’invio delle comunicazioni; la cancellazione dei dati è un diritto distinto, riconosciuto dall’articolo 17 del GDPR quando ricorre uno dei motivi previsti, e va richiesta separatamente.
