Digital marketing |
|
Francesca Pietrobon
Se gestisci campagne email, il tasso di apertura (Open Rate) è probabilmente uno dei primi numeri che guardi. Con il provvedimento n. 284 del 17 aprile 2026, il Garante ha stabilito che i pixel di tracciamento — che misurano le aperture e alimentano flussi come i Sunset Flow, per la riattivazione degli inattivi — non potranno più essere considerati uno standard tecnico delle piattaforme: per usarli servono il consenso e, soprattutto, la possibilità per l'utente di revocarlo in modo granulare. Il termine per adeguarsi è il 28 ottobre 2026.
Profilare gli iscritti in base ai loro comportamenti ha sempre richiesto una base giuridica, il GDPR lo prevede da anni. La novità riguarda il pixel in quanto tale, il cui semplice caricamente ora rientra nella stessa disciplina dei cookie (art. 122 del Codice Privacy, di derivazione ePrivacy).
Le Linee Guida sono le prime in Italia dedicate specificamente a questo tema e si inseriscono in un percorso europeo più ampio, avviato poche settimane prima anche dall'autorità francese (CNIL, Commission Nationale de l'Informatique et des Libertés).
Cosa sono i tracking pixel
Un tracking pixel è un piccolo elemento grafico invisibile — un'immagine di dimensioni minime — inserito all'interno di un'email. Quando il destinatario apre il messaggio e le immagini vengono caricate, il pixel viene richiamato da un server remoto e consente al mittente di raccogliere alcune informazioni: se e quando l'email è stata aperta, quali link sono stati cliccati, ma anche dati tecnici come l'indirizzo IP o il tipo di dispositivo.
Il caricamento del pixel comporta un accesso al terminale del destinatario e alle informazioni che vi si trovano: per questo il Garante lo qualifica come operazione di tracciamento assimilabile ai cookie, assoggettata all'art. 122 del Codice Privacy. La conseguenza è che il consenso si rende necessario per l'atto stesso del tracciamento, e non soltanto quando i dati raccolti vengono poi usati per costruire profili.
Nella pratica più comune questi pixel sono associati in modo univoco al singolo destinatario, rendendo possibile un tracciamento puntuale e personalizzato del comportamento. Questa capacità di raccogliere informazioni riconducibili alla persona li rende rilevanti sul piano della privacy.
Tracking pixel, modalità di consenso preventivo e revoca granulare
Cosa cambia dunque, in concreto, per chi fa email marketing? Nei casi ordinari — campagne promozionali con analisi individualizzata delle aperture, profilazione degli interessi, adattamento della frequenza degli invii in base ai tassi di apertura — l'utilizzo dei tracking pixel richiede ora un consenso preventivo, libero, specifico e inequivocabile.
Qui però il Garante introduce una semplificazione pratica importante. Il consenso al tracciamento tramite pixel può essere ricompreso nel più generale consenso alla ricezione delle comunicazioni promozionali: non è obbligatorio raccogliere due consensi separati con due caselle distinte. L'obiettivo è evitare le richieste plurime che generano consent fatigue.
La semplificazione, però, è vincolata a delle condizioni precise. L'utente deve essere pienamente informato del fatto che le comunicazioni conterranno pixel di tracciamento. L'obbligo di informativa inoltre vale sempre, a prescindere dalla base giuridica. Anche quando il pixel ricade in una deroga e il consenso non serve (es. statistiche aggregate e anonimizzate; sicurezza e autenticazione; comunicazioni obbligatorie o di interesse pubblico), il destinatario va comunque informato dell'esistenza del tracciamento. Un trattamento all'insaputa dell'utente è contrario al principio di correttezza, punto su cui il Garante insiste in modo particolare.
La novità più importante introdotta dal provvedimento è l'introduzione della revoca granulare del consenso. L'utente non deve poter scegliere soltanto tra ricevere o non ricevere le email: deve poter scegliere anche tra accettare o rifiutare il solo tracciamento, continuando a ricevere le comunicazioni desiderate ma prive di pixel.
In concreto, ogni email dovrà contenere — tipicamente nel footer — un link verso un'area dedicata all'esercizio dei diritti, in cui l'utente possa optare per la disiscrizione completa oppure per la sola cessazione del tracciamento. Le due opzioni — stop al tracciamento e disiscrizione — devono avere pari dignità e pari visibilità. Chi sceglie di non essere tracciato non può subire alcuna limitazione del servizio ricevuto. Non è ammesso, quindi, degradare l'esperienza o negare contenuti a chi rifiuta il pixel.
Ovviamente, le Linee Guida si rivolgono agli stessi fornitori di tecnologie di email marketing, ribadendo i principi di privacy by design e by default: le piattaforme devono evitare configurazioni predefinite che attivano il tracciamento senza base giuridica e offrire opzioni granulari, adattabili alle scelte dei singoli utenti.
Le tempistiche: la scadenza e i due regimi
I mittenti hanno tempo fino al 28 ottobre 2026 per conformarsi.
Contatti raccolti prima del 29 aprile 2026 — regime transitorio (opt-out)
I contatti già presenti in database prima della soglia rientrano nel regime transitorio previsto dal Garante, che funziona sulla base dell'opt-out. In concreto: il tracciamento può proseguire durante il periodo di adeguamento, a due condizioni. La prima è informare ciascun contatto sulle proprie pratiche di tracciamento, in occasione della successiva interazione significativa. La seconda è mettere a disposizione un meccanismo di revoca.
Il meccanismo di revoca deve offrire due opzioni di pari visibilità: interrompere il solo tracciamento (continuando a ricevere le email) oppure annullare completamente l'iscrizione.
I contatti che ricevono l'informativa e non revocano possono continuare a essere tracciati anche dopo il 28 ottobre 2026.
Contatti raccolti dal 29 aprile 2026 in poi — consenso preventivo (opt-in)
I contatti raccolti tra il 29 aprile e il 28 ottobre 2026 non beneficiano del regime transitorio e richiedono un consenso esplicito (opt-in) prima di poter essere tracciati. Per questi contatti il tracciamento va disattivato fin dal momento della raccolta, e riattivato solo dopo aver ottenuto il consenso.
Per i contatti raccolti dopo il 28 ottobre 2026, il consenso al tracciamento deve essere acquisito al momento dell'iscrizione, prima dell'invio di qualsiasi email tracciata.
A regime, quindi, il consenso al tracciamento va trattato come una scelta autonoma e sempre reversibile: un opt-out sempre presente, esattamente come il link di disiscrizione, accessibile in ogni email.
L'impatto su metriche e automation
Cosa cambierà per chi gestisce campagne di Email Marketing e Automation? Il primo effetto sarà il progressivo declino dell'Open Rate come indicatore affidabile: già eroso dai sistemi di protezione della privacy dei client di posta, con queste regole diventa una metrica sempre meno significativa.
Un capitolo più delicato riguarda le automation del CRM. Molti flussi si basano oggi proprio sui dati di apertura. Se questi diventano incerti o non consentiti, quei trigger vanno ripensati: non più attivati su eventi passivi e invisibili, ma su azioni esplicite compiute dall'utente.
In Arkomedia affianchiamo PMI ed e-commerce nella progettazione e nella gestione delle strategie di email marketing. Se stai cercando un partner che ti supporti nell'adeguamento a queste nuove regole, contattaci senza impegno.
Le informazioni contenute in questo articolo hanno finalità puramente divulgativa e informativa e riflettono il quadro normativo alla data di pubblicazione. Non costituiscono un parere legale né sostituiscono una consulenza professionale. Per valutazioni relative alla propria specifica situazione si raccomanda di rivolgersi a un consulente legale o al proprio DPO.