Se la tua azienda manda newsletter, DEM o email commerciali e sa quante persone le hanno aperte, stai usando un pixel di tracciamento. E hai tempo fino al 29 ottobre 2026 per metterlo in regola.
La scadenza arriva dalle Linee Guida del Garante per la protezione dei dati personali sui pixel di tracciamento nelle comunicazioni elettroniche. Il punto è semplice da enunciare e complicato da applicare: quel pixel, per la maggior parte degli usi, richiede il consenso preventivo di chi riceve l’email.
Otto settimane sembrano molte. Per un’azienda con un database clienti stratificato non lo sono.
Cos’è, in concreto, un pixel di tracciamento
È un’immagine invisibile, larga un pixel, inserita nel corpo dell’email. Quando il destinatario apre il messaggio, il programma di posta scarica quell’immagine da un server — e quel server registra che l’email è stata aperta, quando, da quale dispositivo e talvolta da quale indirizzo IP.
Nessuno lo chiama “pixel” nel proprio lavoro quotidiano. Lo si conosce come tasso di apertura: il numero che compare nella dashboard di Mailchimp, Klaviyo, Brevo, HubSpot o qualunque altra piattaforma di email marketing. Se vedi quel dato, il pixel c’è.
Cosa cambia
Fino a oggi molte aziende hanno trattato il tracciamento delle aperture come una funzione tecnica della piattaforma: attiva per impostazione predefinita, mai discussa, mai dichiarata.
Le Linee Guida chiariscono che quei pixel ricadono nella disciplina dell’articolo 122 del Codice Privacy — la stessa che regola i cookie. Significa che, salvo eccezioni, occorre il consenso prima che il pixel funzioni, non dopo. E il consenso deve essere specifico: un’autorizzazione generica “al trattamento dei dati per finalità di marketing” non basta, come il Garante ha ripetuto in più provvedimenti sanzionatori.
Le tre eccezioni
Non tutto richiede il consenso. Restano fuori:
- Le misurazioni statistiche aggregate, purché i dati siano effettivamente anonimizzati e non riconducibili al singolo destinatario.
- La sicurezza dei processi di autenticazione: verificare che un’email di conferma o di recupero password sia stata effettivamente recapitata.
- Le comunicazioni istituzionali e di servizio: conferme d’ordine, avvisi di spedizione, comunicazioni contrattuali.
Fuori da questi tre casi — quindi per marketing, retargeting, profilazione comportamentale, ottimizzazione delle campagne, punteggi di lead scoring — il consenso esplicito è necessario.
Vale la pena notare quanto sia stretto il perimetro delle eccezioni. “Misurazione statistica aggregata” non significa “guardo il tasso di apertura della campagna”: se la piattaforma registra quale contatto ha aperto e alimenta un profilo, non è aggregata, è individuale.
Chi deve occuparsene
Praticamente chiunque mandi email a una lista. Non è una questione di settore né di dimensione: riguarda l’e-commerce con la newsletter settimanale, lo studio professionale che manda aggiornamenti ai clienti, l’azienda B2B con le campagne di lead nurturing, l’associazione con la comunicazione ai soci.
Chi ha esternalizzato l’email marketing a un’agenzia non è per questo al riparo: il titolare del trattamento resta l’azienda, e la responsabilità di verificare la configurazione anche.
Cosa comporta adeguarsi, realisticamente
Non è un intervento da un pomeriggio. Il percorso tipico ha quattro passaggi:
- Mappare le piattaforme. Quante inviano email a nome dell’azienda? Nella nostra esperienza sono quasi sempre più di quante il marketing ricordi: la piattaforma principale, il CRM, il gestionale dell’e-commerce, gli strumenti di automazione, i moduli di contatto del sito.
- Separare i flussi. Le email di servizio e quelle di marketing vanno distinte, perché seguono regole diverse. Molte configurazioni le mescolano nello stesso invio.
- Riconfigurare il consenso. Il modulo di iscrizione deve raccogliere un consenso specifico e tracciabile, con data, ora, fonte e testo dell’informativa mostrata in quel momento. Serve anche decidere cosa fare del database esistente, raccolto con formule generiche.
- Riscrivere l’informativa e formare chi manda le email. È il passaggio che si rimanda sempre, ed è quello che il Garante guarda per primo quando arriva una segnalazione.
Per un’azienda con una base contatti stratificata su più anni e più strumenti, l’esperienza dice otto-dodici settimane. Chi comincia adesso arriva in tempo. Chi aspetta ottobre, no.
Il contesto: quanto siamo messi male, con i numeri
C’è una ragione se questa scadenza preoccupa poco e dovrebbe preoccupare molto.
Con il nostro Osservatorio Standards sulla Compliance Digitale abbiamo analizzato oltre 10.000 e-commerce italiani e 374 società quotate in Borsa. Il risultato: nella quasi totalità dei siti i cookie di profilazione vengono installati prima di qualsiasi consenso, e tra chi ha installato un cookie banner la quasi totalità continua comunque a depositare tracker prima della scelta dell’utente.
Tradotto: la maggior parte delle aziende italiane non ha ancora risolto il consenso sui cookie del proprio sito, che è una disciplina in vigore dal 2021. La stessa logica giuridica ora si applica alle email. È ragionevole aspettarsi che il divario si ripeta.
Non lo scriviamo per allarmare. Lo scriviamo perché, in un mercato in cui quasi nessuno è in regola, esserlo diventa un elemento di distinzione verso clienti e partner — oltre che il modo di evitare una sanzione.
Da dove partire
Tre domande, oggi, senza bisogno di un consulente:
- Quante piattaforme mandano email a nome della tua azienda? Se non sai rispondere subito, è il primo problema.
- Il modulo di iscrizione alla newsletter consente di scegliere cosa ricevere, o è una casella unica?
- Per ogni contatto in lista, esiste prova di quando e come ha dato il consenso?
Se anche una sola risposta è incerta, la struttura del consenso va rivista prima del 29 ottobre.
Approfondimenti
Non sai da quante piattaforme partono le email della tua azienda? Scrivici — facciamo il punto insieme e ti diciamo cosa serve davvero, con i tempi reali.