Tracking pixel nelle comunicazioni istituzionali: tra disciplina e-Privacy, Codice Privacy e obblighi di trasparenza per le amministrazioni pubbliche.
L’adozione di strumenti di tracciamento nelle comunicazioni e-Mail – in particolare i cosiddetti “tracking pixel” – è attenzionata dall’Autorità Garante per la protezione dei dati personali, che con il Provvedimento del 17 aprile 2026 – Linee Guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica [1] ha definito un quadro di regole dettagliato per tutti i soggetti, pubblici e privati, che impiegano tali tecnologie nelle proprie campagne comunicative.
Tale quadro si inserisce nel più ampio e pregresso provvedimento in tema di strumenti di tracciamento definito con il Provvedimento n. 231 Linee guida cookie e altri strumenti di tracciamento – 10 giugno 2021[2]. Le Amministrazioni Pubbliche in particolare, già tenute al rispetto del Reg. (UE) 2016/679, del D.lgs. n. 196/2003 e ss.mm.ii., nonché del disposto della Dir. 2002/58/CE, devono ora ripensare modelli di Newsletter, Direct E-mail Marketing istituzionali ed e-Mail di Servizio alla luce di obblighi rafforzati di informativa, consenso e controllo dell’utente interessato, nonché di specifiche cautele tecniche e organizzative.
Definizione tecnico-giuridica
Il Provvedimento qualifica i pixel di tracciamento (tracking pixel) nelle e-mail come immagini, spesso trasparenti e di dimensioni molto ridotte (pari 1×1 pixel), non direttamente contenute nel messaggio, bensì ospitate su server remoti, richiamando anche la definizione di cui al § 3.1 – Tracciamento di URL e Pixel delle Linee Guida EDPB 2/2023[3].
Dal punto di vista informatico, la comunicazione elettronica contiene un frammento di codice HTML che, al momento dell’apertura, richiama l’immagine dal server del mittente.
Più in generale l’uso di Pixel Tracking o Tag Pixel è un utile strumento di tracciamento anche per gli operatori di Siti Web e per i Search Engine Optimizer (S.E.O.), potendo raccogliere informazioni relative ad un dato Indirizzo IP, le visite associate a quell’IP e relativo utente, nonché profilare specifici percorsi di navigazione e produrre, tramite servizi specializzati, offerte commerciali e pubblicitarie mirate.
Ad ogni apertura del messaggio di posta elettronica, il codice HTML inserito nel corpo della e-mail attiva automaticamente una richiesta al server: l’immagine viene scaricata dal client di posta elettronica (app, webmail o browser) del destinatario, archiviata nella memoria del terminale e resa visibile – seppure in genere in modo impercettibile – nel corpo del messaggio.
Il processo si attiva solo se il destinatario ha abilitato il download delle immagini; nel caso di visualizzazione “solo testo” il pixel non viene scaricato e non è in grado di effettuare alcun tracciamento.
Dal punto di vista giuridico, il Garante sottolinea che i tracking pixel sono strumenti occulti e altamente invasivi, in quanto la loro presenza non è normalmente percepibile dall’utente e non ha valore informativo per il destinatario, ma consente al mittente o ai suoi partner di ottenere informazioni relative all’avvenuta apertura e consultazione dell’e-mail, all’indirizzo IP, al dispositivo utilizzato, al tempo di visualizzazione e al numero di aperture successive.
Nella prassi i tracciatori risultano univoci per singolo destinatario, grazie alla combinazione di parametri come identificativo del pixel, user ID, message ID, delivery ID e token di sicurezza, che vengono trasmessi al server nel momento in cui l’immagine viene richiesta.
Inquadramento normativodel Tracking Pixel nelle comunicazioni elettroniche
L’inserimento del pixel nel corpo dell’e-mail e la successiva lettura delle informazioni generate dal relativo download integrano la fattispecie di accesso al terminale disciplinata dall’art. 122 del Codice in materia di protezione dei dati personali, che recepisce l’art. 5, § 3 della Direttiva e-Privacy[4]. Il Garante evidenzia come tali operazioni si concretizzino attraverso archiviazione di informazioni nel terminale dell’utente (inserimento del pixel nella e-mail) ovvero nel successivo accesso a informazioni già archiviate (rilevazione, tramite il pixel, del comportamento dell’utente in termini di apertura e consultazione).
Di conseguenza, l’utilizzo dei tracking pixel rientra a pieno titolo nell’ambito applicativo della disciplina e-Privacy e, in particolare, del citato art. 122 che prevede – di regola – il divieto di archiviare informazioni nel terminale o di accedere a informazioni già archiviate senza il previo consenso informato dell’utente, salvo specifiche eccezioni legate alla mera trasmissione della comunicazione o all’erogazione di un servizio esplicitamente richiesto[5].
Il Provvedimento richiama, quale contesto sistematico, il Regolamento (UE) 2016/679 (G.D.P.R.), che resta applicabile come quadro generale per tutti i trattamenti di dati personali non disciplinati in via speciale dalla direttiva e-Privacy, nonché il considerando 30 G.D.P.R.[6], che riconosce l’impatto di identificativi online quali indirizzi IP e marcatori temporanei sulla possibilità di profilare e identificare le persone fisiche.
Natura dei dati e rischi per i diritti degli interessati
Pur non accedendo direttamente al contenuto testuale delle comunicazioni, i tracking pixel consentono al mittente di ottenere informazioni sull’interazione del destinatario con il messaggio: apertura, tempo di lettura, numero di riaperture, eventuale download di allegati, oltre a dati tecnici quali indirizzo IP, sistema operativo, tipo di client o browser.
Per la natura del Tracking Pixel, l’invisibilità dell’elemento di tracciamento, unita alla capacità di generare un flusso strutturato di dati comportamentali, porta il Garante a qualificare tali strumenti come marcatori particolarmente invasivi, il cui impiego non può avvenire all’insaputa dell’interessato senza violare il principio di correttezza e trasparenza sancito dall’art. 5, § 1, lett. a) G.D.P.R.
Il Provvedimento evidenzia che, soprattutto nel contesto di campagne massicce (e.g. newsletter di marketing o comunicazioni istituzionali ad ampie platee), l’utilizzo sistematico dei pixel può condurre alla profilazione dettagliata degli utenti, anche attraverso l’incrocio con altre basi dati, con effetti rilevanti sui diritti e le libertà fondamentali degli interessati.
Ambito soggettivo e tipologie di comunicazioni interessate
Le Linee Guida del Garante si rivolgono a tutti i soggetti, pubblici e privati, che a qualsiasi titolo intervengono nelle operazioni di utilizzo dei tracking pixel nelle e-mail: mittenti, fornitori di servizi di invio (piattaforme di emailing e marketing automation), fornitori di liste di distribuzione, provider della tecnologia di tracciamento, content creator e destinatari. Dal punto di vista delle tipologie di messaggi, il Provvedimento individua in particolare:
- Newsletter, ossia comunicazioni periodiche inviate ad elenchi di iscritti per finalità informative o editoriali;
- D.E.M. (Direct E-mail Marketing), con prevalente contenuto promozionale o commerciale;
- E-mail transazionali e messaggi automatici, connessi a specifiche azioni dell’utente (es. conferme registrazione, reset password, notifiche operative);
- E-mail di servizio o istituzionali, aventi contenuto funzionale a esigenze individuali o collettive, anche con rilievo pubblicistico che rientrino nell’obbligo legale di cui all’art. 6 § 1 lett. c) G.D.P.R. ovvero per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento di cui all’art 6 § 1 lett. e) G.D.P.R.
Le pubbliche amministrazioni rientrano a pieno nel perimetro soggettivo del Provvedimento sia quando agiscono quali mittenti diretti delle comunicazioni, sia quando si avvalgono di piattaforme o fornitori terzi (modello S.a.a.S.) per la gestione delle campagne e per il tracciamento delle performance.
Obblighi di informativa e trasparenza
Il Garante sottolinea che la ricezione di tracking pixel non riconoscibili, il cui impiego non sia reso noto alla persona, comporta una violazione del principio di correttezza e lealtà di cui all’art. 5, par. 1, lett. a) G.D.P.R., in quanto l’interessato non è posto nelle condizioni di esercitare un controllo effettivo sulle informazioni che lo riguardano.
Le Linee Guida richiamano dunque la necessità che l’impiego dei pixel nelle e-mail sia preventivamente reso noto al destinatario, quale che sia la natura della comunicazione o la tipologia di mittente. A tal fine, l’Autorità consente il ricorso a informative multilivello e multicanale, purché rispettino i requisiti di chiarezza, comprensibilità ed efficacia richiesti dagli artt. 12-14 G.D.P.R.
In particolare, l’informativa può essere:
- inserita in forma sintetica nel modulo di raccolta dell’indirizzo e-mail, con rinvio tramite link ad una sezione più dettagliata (es. privacy policy o cookie policy);
- veicolata anche tramite canali ulteriori (video, pop-up, chatbot, assistenti virtuali, telefonate), sfruttando i diversi punti di contatto tra titolare e interessato.
Nel caso di trattamenti già in corso alla data di entrata in vigore delle Linee Guida, il Garante ritiene ammissibile l’utilizzo del primo invio utile di comunicazione – o del primo momento di discontinuità nella relazione – per aggiornare l’informativa e rendere note le modalità di tracciamento adottate, nonché i diritti di revoca e opposizione dell’interessato.
Presupposto giuridico: consenso e relative deroghe
L’applicabilità dell’art. 122 Codice determina, per l’uso dei tracking pixel, un divieto tendenziale di trattamento in assenza del consenso dell’utente, salvo che ricorrano specifiche ipotesi di deroga. L’archiviazione di informazioni nel terminale o l’accesso a informazioni già archiviate è consentita solo se:
- l’utente ha espresso consenso preventivo, libero, specifico e informato ai sensi dell’art. 6 § 1 lett. a) del G.D.P.R.[7];
- l’operazione è strettamente necessaria per effettuare la trasmissione della comunicazione su una rete di comunicazione elettronica;
- l’operazione è strettamente necessaria alla fornitura di un servizio della società dell’informazione esplicitamente richiesto dall’utente e, quindi, possa applicarsi l’art. 6 § 1 lett. b) G.D.P.R. ossia “l’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso”;
Il Provvedimento individua alcune fattispecie esemplificative in cui può operare una deroga al consenso, tra cui:
- impiego di pixel per conteggi statistici anonimizzati del tasso globale di apertura delle e-mail, funzionali a migliorare la deliverability e contrastare lo spam, a condizione di utilizzare pixel non univoci per singolo destinatario e tecniche di anonimizzazione dei dati tecnici (es. I.P.);
- utilizzo di pixel per misure di sicurezza nel processo di autenticazione o gestione di account (es. conferma di attivazione, reset password, gestione richieste di esercizio dei diritti privacy), in quanto funzionali all’erogazione del servizio richiesto dall’utente;
- inserimento di pixel in messaggi istituzionali o di servizio che il titolare è tenuto ad inoltrare in forza di obbligo giuridico (es. obblighi di comunicazione bancaria, avvisi obbligatori della P.A., notifiche incidenti di sicurezza, campagne informative istituzionali), quando il tracciamento dell’avvenuta lettura è necessario per garantire l’effettiva conoscenza da parte del destinatario.
Al di fuori di tali ipotesi, l’inserimento di tracking pixel nelle e-mail richiede l’acquisizione di un consenso specifico, così come dovrebbe richiederlo nella navigazione tramite pagine web istituzionali o comunque correlate alla titolarità di chi raccoglie il dato del navigante (adeguando conseguentemente le “cookie policies” laddove regolamentino l’utilizzo complessivo di strumenti di tracciamento in senso lato).
Acquisizione e gestione del consenso (Newsletter e D.E.M.)
Per le newsletter e le comunicazioni di Direct E-mail Marketing, il Garante chiarisce che il consenso all’uso dei tracking pixel può essere ricompreso nel consenso alla ricezione delle comunicazioni promozionali, purché l’informativa descriva chiaramente la presenza di tali strumenti, le finalità di monitoraggio e i meccanismi di revoca. Al momento della raccolta dell’indirizzo e-mail, il Titolare dovrebbe, quindi:
- informare l’interessato del fatto che le comunicazioni potranno contenere pixel di tracciamento per misurare aperture, interazioni e performance;
- prevedere una richiesta di consenso unica, che includa tanto la ricezione delle comunicazioni quanto il tracciamento mediante pixel, evitando richieste ridondanti che aumentano il rischio di consent fatigue.
Il consenso deve comunque restare libero e revocabile in ogni momento. Le Linee Guida raccomandano l’implementazione di meccanismi granulari di revoca, che consentano all’utente di disiscriversi totalmente dalle comunicazioni (revoca del consenso alla ricezione delle e-mail) o, in alternativa, revocare solo il tracciamento, continuando a ricevere le comunicazioni prive di tracking pixel. Tali opzioni dovrebbero essere accessibili tramite un link o icona standardizzata nel footer di ciascun messaggio, che rimandi ad un’area dedicata alla gestione delle preferenze e dei consensi.
Pixel di tracciamento e ruolo della P.A.
Nel caso delle pubbliche amministrazioni, l’utilizzo di tracking pixel nelle comunicazioni istituzionali pone una duplice esigenza:
- garantire il rispetto del principio di legalità e di trasparenza amministrativa, assicurando che i cittadini siano informati dell’uso di tali tecnologie e possano esercitare i propri diritti;
- bilanciare gli obiettivi di efficienza e misurazione dell’efficacia delle campagne comunicative con la necessità di minimizzare l’invasività degli strumenti di tracciamento.
In termini operativi, le P.A. che utilizzano piattaforme di invio massivo dovrebbero mappare i flussi di dati generati dai tracking pixel, individuando titolari e responsabili del trattamento ai sensi degli artt. 4, 24 e 28 G.D.P.R., nonché integrare le informative privacy istituzionali con specifici riferimenti all’impiego di pixel nelle newsletter o in altre comunicazioni digitali. Andrebbero, infine, adottate, ove possibile, soluzioni tecniche meno invasive (es. statistiche aggregate basate su pixel non univoci, che applichino idonee misure di anonimizzazione dell’I.P. dell’utente)[8] quando gli obiettivi istituzionali possono essere raggiunti senza tracciamento puntuale dei singoli destinatari.
In presenza di processi strutturati di digital marketing (es. campagne di comunicazione su larga scala con profilazione per cluster), è opportuno valutare la necessità di una Valutazione d’Impatto sulla Protezione dei Dati (D.P.I.A.) ex art. 35 G.D.P.R., in coerenza con gli orientamenti del Garante e del Comitato europeo per la protezione dei dati.
Collegamento con le Linee guida cookie e altri strumenti di tracciamento
Il Provvedimento richiama espressamente le Linee guida cookie e altri strumenti di tracciamento del 10 giugno 2021, chiarendo che i tracking pixel nelle e-mail devono essere considerati, sotto il profilo funzionale, strumenti analoghi ai cookie e ad altre tecnologie di tracciamento online che grazie al concetto di correlabilità di dati tecnici possono portare alla ricostruzione di dati personali e profili utente[9].
Ciò comporta che i principi già individuati per la gestione dei cookie – in particolare in tema di informativa stratificata, acquisizione del consenso mediante banner, revoca agevole e limitazione dei trattamenti di profilazione – rappresentano un riferimento interpretativo coerente anche per le pratiche di tracciamento via e-mail, pur con le dovute differenze legate al diverso canale tecnologico.
Il collegamento sistematico con il quadro e-Privacy è ulteriormente confermato dal rinvio alle Linee Guida EDPB 2/2023 sul perimetro tecnico dell’art. 5, par. 3, della direttiva 2002/58/CE, che includono espressamente le tecnologie di web beacon ed e-mail tracking tra gli strumenti soggetti alla disciplina di consenso.[10]
Conclusioni operative
Alla luce delle Linee Guida del 17 aprile 2026, le amministrazioni pubbliche che utilizzano newsletter, mailing list o piattaforme di invio massivo di comunicazioni, nonché che utilizzino tracking pixel nell’ambito delle comunicazioni interne al personale dipendente, dovrebbero:
- censire l’uso di tracking pixel nei propri sistemi di invio e nelle piattaforme di terzi, verificando le impostazioni di default e le opzioni di disattivazione o anonimizzazione;
- aggiornare le informative privacy e i moduli di iscrizione alle newsletter, esplicitando la presenza di pixel di tracciamento, le rispettive finalità e i diritti dell’interessato, nonché l’eventuale inclusione del consenso al tracciamento in quello alla ricezione delle comunicazioni;
- valutare, caso per caso, se l’uso dei pixel rientri in una delle deroghe al consenso previste dall’art. 122 Codice (sicurezza, trasmissione, obbligo giuridico di invio di messaggi istituzionali) o richieda un consenso specifico;
- implementare meccanismi di revoca granulare, che consentano al cittadino di disabilitare il tracciamento mantenendo la ricezione delle comunicazioni;
- predisporre, ove i volumi e la granularità del tracciamento lo richiedano, una D.P.I.A. e un set di misure di privacy by design e by default, in coerenza con l’art. 25 G.D.P.R. e con le Linee guida del Garante sui cookie e sulle tecnologie di tracciamento.
In questo quadro, il tracking pixel emerge come componente tecnica apparentemente minimale (un singolo punto grafico), ma ad elevata densità informativa, la cui corretta gestione richiede una piena consapevolezza degli impatti sui diritti delle persone e una governance integrata tra disciplina e-Privacy, G.D.P.R. e regolazione settoriale delle comunicazioni elettroniche.
A cura di Dott. Edoardo Eucalipto
[1] Cfr. Linee Guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica – 17 aprile 2021, Registro dei provvedimenti n. 284 del 17 aprile 2026, in corso di pubblicazione in G.U., in https://www.garanteprivacy.it/;
[2] Cfr. Linee guida cookie e altri strumenti di tracciamento – 10 giugno 2021, G.U. n. 163, 9 luglio 2021, in https://www.garanteprivacy.it/;
[3] Cfr. cit. § 3.1 dove si definisce “[u]n pixel di tracciamento – come – collegamento ipertestuale a una risorsa, di solito un file di immagine, integrato in un contenuto come un sito web o un messaggio di posta elettronica. Questo pixel di solito non persegue alcun obiettivo connesso al contenuto richiesto stesso; il suo unico scopo è quello di stabilire automaticamente una comunicazione da parte del cliente al paese ospitante del pixel, che altrimenti non si sarebbe verificata. Tuttavia, questo non è sistematico e i pixel di tracciamento possono essere creati anche aggiungendo informazioni supplementari alle immagini di caricamento dei collegamenti ipertestuali che sono rilevanti per il contenuto visualizzato dall’utente”; Orientamenti 2/2023 sull’ambito di applicazione tecnico dell’articolo 5, paragrafo 3, della direttiva e-privacy adottati dall’European Data Protection Board (E.D.P.B.), in versione 2.0, il 7 ottobre 2024, in https://www.edpb.europa.eu/.
[4] Cfr. Art. 5 § 3 – Riservatezza delle Comunicazioni “[…] Gli Stati membri assicurano che l’uso di reti di comunicazione elettronica per archiviare informazioni o per avere accesso a informazioni archiviate nell’apparecchio terminale di un abbonato o di un utente sia consentito unicamente a condizione che l’abbonato o l’utente interessato sia stato informato in modo chiaro e completo, tra l’altro, sugli scopi del tratta mento in conformità della direttiva 95/46/CE e che gli sia offerta la possibilità di rifiutare tale trattamento da parte del responsabile del trattamento. Ciò non impedisce l’eventuale memorizzazione tecnica o l’accesso al solo fine di effettuare o facilitare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria a fornire un servizio della società dell’informazione esplicitamente richiesto dall’abbonato o dall’utente”; Direttiva 2002/58/CE del Parlamento Europeo e del Consiglio del 12 luglio 2002, in G.U.C.E n. L 201/37, del 31 luglio 2002, in https://eur-lex.europa.eu/;
[5] Cfr. Art. 122 – Informazioni raccolte nei riguardi del contraente o dell’utente “L’archiviazione delle informazioni nell’apparecchio terminale di un contraente o di un utente o l’accesso a informazioni già archiviate sono consentiti unicamente a condizione che il contraente o l’utente abbia espresso il proprio consenso dopo essere stato informato con modalità semplificate. Ciò non vieta l’eventuale archiviazione tecnica o l’accesso alle informazioni già archiviate se finalizzati unicamente ad effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell’informazione esplicitamente richiesto dal contraente o dall’utente a erogare tale servizio.[…] Salvo quanto previsto dal comma 1, è vietato l’uso di una rete di comunicazione elettronica per accedere a informazioni archiviate nell’apparecchio terminale di un contraente o di un utente, per archiviare informazioni o per monitorare le operazioni dell’utente”; Codice in Materia di Protezione dei Dati Personali, D.lgs. n. 196, del 30 giugno 2003, e ss.mm.ii., entrata in vigore con G.U. n. 174 del 29 luglio 2003, Suppl. Ord. n. 123, in https://www.normattiva.it/;
[6] Cfr. Con. 30 “Le persone fisiche possono essere associate a identificativi online prodotti dai dispositivi, dalle applicazioni, dagli strumenti e dai protocolli utilizzati, quali gli indirizzi IP, marcatori temporanei (cookies) o identificativi di altro tipo, quali i tag di identificazione a radiofrequenza. Tali identificativi possono lasciare tracce che, in particolare se combinate con identificativi univoci e altre informazioni ricevute dai server, possono essere utilizzate per creare profili delle persone fisiche e identificarle”; Reg. (UE) n. 206/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016, in G.U.U.E. n. L 119/1, del 4 maggio 2016, in https://eur-lex.europa.eu/
[7] Secondo le condizioni di cui all’art. 7 – Condizioni per il consenso, correlate ai consideranda 42 e 43 del G.D.P.R., specialmente “[…] il titolare del trattamento deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso al trattamento dei propri dati personali. […] L’interessato ha il diritto di revocare il proprio consenso in qualsiasi momento. La revoca del consenso non pregiudica la liceità del trattamento basata sul consenso prima della revoca. Prima di prestare il proprio consenso, l’interessato è informato di ciò. Il consenso è revocato con la stessa facilità con cui è accordato […]”;
[8] Vd. Sulle tecniche di anonimizzazione, rispetto agli specifici rischi di individuabilità, correlabilità, deducibilità del dato personale originale, il Parere del Working Party art. 29 (WP29) n. 05/2024, del 10 aprile 2014, in http://ec.europa.eu/justice/;
[9] Cfr. anche la risalente Request for Comments 6973, dell’Internet Architecture Board (I.A.B.), sul generale “device fingerprinting” quale strumento di raccolta di dati personali in violazione della normativa latu sensu privacy, che definisce definisce una “fingerprint come “una serie di informazioni che identificano un dispositivo o un’istanza applicativa” Cooper, 2013. Privacy Considerations for Internet Protocols. http://tools.ietf.org/html/rfc6973; anche in Parere 9/2014 sull’applicazione della direttiva 2002/58/CE al device fingerprinting, WP29, del 25 novembre 2014, dove attraverso il concetto di correlabilità di dati riferibili a utenti, user agents o dispositivi è possibile risalire al dato personale (e.g. configurazione di un programma utente/dispositivo, dati esposti tramite l’uso di protocolli di comunicazione di rete, informazioni relative ai CSS (Cascading Style Sheets, fogli di stile a cascata), oggetti JavaScript (ad esempio documento, finestra, schermo, navigatore, data e lingua) informazioni relative all’intestazione HTTP (ad esempio, il numero di bit di informazioni nella stringa del programma utente, l’ordine delle intestazioni HTTP, variazione dell’intestazione HTTP a seconda del tipo di richiesta) informazioni relative al clock (ad esempio, sfasamento del clock (clock skew) e errore del clock), caratteri installati – google.fonts, l’utilizzo di interfacce per programmi applicativi (Application Programming Interfaces, API) interne esposte dal programma utente/dispositivo, etc.);
[10] Cfr. precedente nota n. 3.
