Email, tracking e privacy: cosa rischiano le aziende
La scadenza fissata per il tracking
Mancano ormai pochissimi giorni al termine perentorio fissato dal Garante per la protezione dei dati personali sul tracking tramite pixel nelle comunicazioni email. Il provvedimento adottato il 17 aprile 2026, pubblicato in Gazzetta Ufficiale il 29 aprile, ha definito le linee guida sull’uso dei sistemi di tracking email, concedendo sei mesi per mettersi in regola. La misura coinvolge newsletter, DEM, automazioni CRM ed email di servizio. Le aziende che non hanno ancora completato il censimento per le proprie attività di tracking si trovano in forte ritardo, specialmente considerando le scadenze analoghe previste da altre autorità europee come la CNIL francese per il tracking digitale.
Il funzionamento del tracking e il consenso
Per comprendere la portata delle regole sul tracking, occorre definire il tracking pixel: un’immagine trasparente di un solo pixel che richiede dati a un server remoto all’apertura dell’email. Questa tecnica di tracking consente di verificare aperture, orari, dispositivi e indirizzi IP senza che il destinatario ne sia consapevole. Per il Garante, il tracking email ricade sotto l’art. 122 del Codice privacy: l’attivazione delle opzioni di tracking equivale all’accesso al terminale dell’utente, rendendo il tracking vietato in assenza di un consenso preventivo espresso e documentato.
Informativa e consenso nel tracking email
L’informativa sul tracking è sempre obbligatoria per qualunque tipologia di messaggio e mittente. Tale informativa sul tracking deve chiarire le finalità del tracking, la durata di conservazione dei dati e le modalità di revoca. Il consenso per il tracking non è richiesto solo per tracking statistico anonimizzato, tracking per motivi di sicurezza o tracking funzionale a comunicazioni obbligatorie per legge. Fuori da queste eccezioni, ogni tracking commerciale o di profilazione richiede un consenso specifico. Per un tracking conforme, le aziende devono garantire nel footer una gestione del tracking granulare: disiscrizione totale o disattivazione del solo tracking.
Il regime transitorio del tracking e i controlli
Per i processi di tracking già avviati, è previsto un regime transitorio: l’informativa sul tracking va fornita al primo invio utile mettendo a disposizione la disattivazione del tracking. Le misure di privacy by design sul tracking devono evitare di veicolare dati personali nelle richieste. L’attività ispettiva del Garante include la verifica sul tracking improprio, con sanzioni sul tracking illecito fino a 20 milioni di euro o al 4% del fatturato mondiale. La responsabilità sul tracking resta in capo al titolare del trattamento, anche se gli strumenti di tracking sono forniti da piattaforme esterne di email marketing.
La checklist operativa per il tracking
Per assicurare un tracking conforme entro il 29 ottobre, è necessario implementare i seguenti passaggi sul tracking:
- Mappatura dei flussi di tracking: verificare tutti gli invii per individuare ogni tracking pixel e identificare le tipologie di dati raccolti tramite tracking.
- Classificazione dei sistemi di tracking: distinguere ogni tracking esente da quello soggetto a consenso preventivo.
- Revoca del tracking: accertarsi che la piattaforma consenta di disattivare il tracking lasciando attivo l’invio dei messaggi.
- Adeguamento informativa tracking: inserire una sezione sul tracking nelle informative e nei moduli di iscrizione.
- Notifica ai clienti sul tracking: informare gli iscritti esistenti circa le modalità di tracking prima del termine del 29 ottobre.
- Verifica fornitori di tracking: revisionare i contratti delle piattaforme che forniscono servizi di tracking.
