I gestori delle piattaforme, i fornitori di servizi o anche semplici intermediari utilizzano strumenti di tracciamento o di acquisizione di informazioni sui comportamenti degli utenti e sulle loro modalità di fruizione dei servizi, specie nell’ambiente online.

In questo ambito è indispensabile che la persona eserciti un controllo sulle informazioni che la riguardano, specie con riferimento a trattamenti effettuati attraverso le diverse tipologie degli strumenti di tracciamento.

Cookie, fingerprinting, web beacon, script, javascript, mouseflow, widget etc., sono ampiamente diffusi nelle comunicazioni elettroniche e agiscono, o possono agirecome strumenti occulti, non identificabili dall’interessato e, pertanto, connotati da una maggiore invasività.

Tra essi devono essere annoverati i pixel di tracciamento, o tracking pixel, nei messaggi di posta elettronica: si tratta di immagini, spesso trasparenti e di dimensioni molto ridotte, pari appunto a n solo pixel, non direttamente contenute nell’e-mail in questione, ma ospitate su server remoti.

Al momento dell’apertura del messaggio di posta elettronica da parte del destinatario, che sia la prima o anche le eventuali aperture successive, un codice HTML inserito nel messaggio aziona in automatico un comando che inoltra una richiesta al server del mittente. In risposta a questa richiesta, l’immagine viene scaricata dal client di posta elettronica del destinatario (un software specifico o un browser) e archiviata nella memoria del terminale dell’interessato per essere “esposta” nel corpo della e-mail.

Il processo che porta a tale visualizzazione consente al mittente del messaggio o a uno dei suoi partner di ottenere informazioni relative alla avvenuta apertura di un’e-mail da parte di un utente specifico o in un contesto specifico, ivi comprese eventualmente informazioni ulteriori che possono ricavarsi dall’indirizzo IP del destinatario, relative al tipo di dispositivo utilizzato, al tempo di consultazione del messaggio e al numero di aperture successive della stessa e-mail.

Le informazioni così ottenute fanno riferimento ad attività specifiche compiute da un soggetto individuato e dunque costituiscono dati personali soggetti alla normativa del GDPR e del Codice della protezione dati.

Dunque, aziende, piattaforme e qualsiasi soggetto che intenda utilizzare i tracking pixel sono tenuti ad acquisire preventivamente un consenso al trattamento dei dati personali informato, libero, specifico e inequivocabile e specificare che l’interessato ha in qualsiasi momento la facoltà di revocare il consenso.

Qualsiasi attività di misurazione effettuata nello specifico su un soggetto identificabile necessita il preventivo consenso a maggior ragione se svolta con attività diretta a fini di marketing.

Il consenso può non essere necessario quando il pixel è utilizzato esclusivamente per ottenere statistiche complessive ed aggregate, per contrastare lo spam purché siano adottate tecniche che impediscano di misurare il comportamento del singolo destinatario. Stesse considerazioni in tema di sicurezza: il consenso può non essere richiesto quando il pixel è strettamente necessario per adottare specifiche misure di sicurezza.

Per le comunicazioni istituzionali o di servizio il consenso può non essere necessario se il titolare è tenuto ad inviarle quando è rilevante verificarne l’effettiva presa di conoscenza come ad esempio per le  comunicazioni obbligatorie relative a modifiche contrattuali, frodi, scadenze ed adempimenti, obbligatori.

Il titolare, in virtù del principio di responsabilizzazione, dovrà verificare nel concreto l’esistenza dei presupposti per utilizzare i tracking pixel senza acquisire il consenso.

In calce il testo completo del provvedimento del Garante della Privacy 17 aprile 2026