Dal 29 ottobre 2026 chi manda email di marketing in Italia deve dire chiaramente ai destinatari che quelle email contengono un pixel di tracciamento, spiegare a cosa serve e lasciare a ciascuno la possibilità di disattivarlo in qualsiasi momento. Lo stabiliscono le linee guida del Garante privacy sui tracking pixel, in vigore dall'8 ottobre: sei mesi di adeguamento sono finiti, e nel secondo semestre il Garante ha messo il tema tra le sue attività ispettive.

Per chi fa email marketing è una notizia che tocca il cuore del lavoro. Tasso di apertura, lead scoring, sequenze automatiche che partono quando qualcuno apre la terza email: molto di questo si regge su un'immagine di un pixel che il destinatario non vede. Qui spieghiamo cosa cambia in pratica, cosa si può ancora misurare per chi disattiva il tracciamento, e come raccogliere il consenso al marketing nei momenti in cui il cliente è davvero disposto a darlo.

Aperture e clic: come si misura oggi una campagna email

Ogni piattaforma di email marketing inserisce in fondo al messaggio un'immagine minuscola, spesso dello stesso colore dello sfondo, ospitata su un server remoto. Quando il destinatario apre l'email e il client scarica le immagini, parte una richiesta verso quel server. Da lì arrivano l'apertura, l'ora, il numero di aperture, l'indirizzo IP e il dispositivo. Se il pixel è diverso per ogni destinatario, tutto questo si lega a una persona precisa.

I clic funzionano in modo simile. I link dell'email non puntano direttamente alla pagina di destinazione: passano da un indirizzo della piattaforma che registra chi ha cliccato, poi rimanda alla pagina. Aperture e clic insieme alimentano quasi tutto quello che chiamiamo marketing automation: il punteggio dei lead, le sequenze che partono dopo un'apertura, la frequenza di invio che si adatta a chi legge poco, i segmenti "interessati a" costruiti sui link cliccati.

Il Garante considera il pixel invasivo proprio perché lavora senza che il destinatario se ne accorga. Non legge il contenuto dell'email, ma può rivelare se è stata aperta, quante volte e da dove. Per questo ha inquadrato il caricamento del pixel come accesso al dispositivo dell'utente, regolato dall'articolo 122 del Codice privacy, con il GDPR a fare da cornice su trasparenza, consenso e responsabilità del titolare.

Cosa chiedono le linee guida

Il provvedimento è il n. 284 del 17 aprile 2026, pubblicato in Gazzetta Ufficiale il 29 aprile. Le aziende avevano sei mesi per adeguarsi, e la scadenza è il 29 ottobre. Il punto di partenza è la trasparenza: il destinatario va informato prima, in modo chiaro, che nelle email c'è un pixel. Se il pixel serve a seguire il comportamento del singolo destinatario, per adattare le campagne o costruire un profilo commerciale, il Garante lo lega al consenso.

Il Garante prevede tre casi in cui il pixel si può usare senza consenso:

  • Statistiche aggregate. Il tasso di apertura complessivo di una campagna, la deliverability e l'antispam. Vale solo se il pixel è identico per tutti i destinatari e se i dati tecnici, come l'indirizzo IP, sono resi anonimi.
  • Sicurezza. Quando il pixel è strettamente necessario, per esempio per confermare l'attivazione di un account o un cambio password.
  • Comunicazioni di servizio o istituzionali. Quelle in cui sapere che il messaggio è stato letto ha un senso, come modifiche contrattuali, incidenti di sicurezza, avvisi di frode e scadenze.

Se si usa un'eccezione, tocca al titolare verificare che si applichi davvero ed essere in grado di dimostrarlo.

Sul consenso il Garante è più pragmatico di quanto si temesse. Per le email promozionali il consenso al pixel può stare dentro il consenso generale a ricevere comunicazioni commerciali, a patto che la richiesta sia neutra e non forzata. Il momento migliore per chiederlo è quando si raccoglie l'indirizzo email, dopo aver dato l'informativa.

La revoca invece deve essere granulare. Il destinatario deve poter scegliere tra due strade: smettere di ricevere tutto, oppure continuare a ricevere le email senza pixel. Il Garante suggerisce un link o un'icona riconoscibile in ogni email che porti a un'area preferenze. Rifiutare il tracciamento non può limitare l'accesso al servizio, e le scelte vanno registrate per dimostrare la conformità.

Cosa fare, in concreto

Per chi ha già una lista di iscritti con consenso al marketing, l'adeguamento si riduce a due passi. Il primo è l'informativa: va aggiornata indicando che le email contengono un pixel, se è generico (uguale per tutti, per le statistiche di campagna) o personalizzato, e cosa si fa con i dati raccolti dal pixel personalizzato. Il secondo è la gestione delle preferenze: gli iscritti vanno informati che esiste un'area dove possono togliere il tracciamento in ogni momento, e il link a quell'area deve stare in calce a ogni email. Chi non lo toglie continua a essere tracciato. Il tracciamento funziona quindi in opt-out, dentro un consenso al marketing che resta opt-in.

Diverso è il caso di chi non ha mai dato il consenso al marketing: per ricevere le email promozionali e per essere tracciato con il pixel personalizzato deve dare il consenso prima, in entrambi i casi.

C'è anche un'indicazione tecnica. Il Garante suggerisce di non far viaggiare l'indirizzo email nella richiesta del pixel, ma un identificativo non leggibile e non sequenziale, collegato all'indirizzo in un ambiente separato della piattaforma. È una domanda precisa da fare al proprio fornitore di email marketing, insieme a un'altra: la piattaforma permette di disattivare il pixel per i singoli contatti che lo revocano?

Le piattaforme si stanno muovendo. MailUp, per esempio, ha pubblicato una guida operativa: si attiva una casella dedicata al tracciamento nel Centro Preferenze e si aggiunge un link al Centro Preferenze nel footer di ogni email commerciale. Chi revoca il tracciamento continua a ricevere le email, con un tracciamento solo anonimo. La stessa guida segna però come ancora in sviluppo alcune funzioni utili a dimostrare la conformità: il registro delle modifiche alle preferenze, l'anonimizzazione automatica dell'IP per chi revoca, i filtri di segmentazione per stato del tracciamento. Prima del 29 ottobre conviene verificare cosa offre davvero la propria piattaforma oggi, non quello che è annunciato.

Se il cliente disattiva il tracciamento

Un contatto che disattiva il tracciamento non è un contatto perso. Può continuare a ricevere le tue email, se ha dato il consenso al marketing. Quello che perdi è la lettura del suo comportamento individuale. E qui conviene ricordare una cosa che chi fa email marketing sa già: dal 2021 Apple Mail precarica le immagini delle email per proteggere la privacy degli utenti, e da allora il tasso di apertura è un numero meno affidabile di quanto sembri. Il 29 ottobre è un buon momento per smettere di costruirci sopra le decisioni.

La prima alternativa è tenere le statistiche aggregate. Con un pixel identico per tutta la campagna e i dati tecnici anonimizzati sai ancora quante persone hanno aperto, e puoi confrontare oggetto, orario e contenuto tra un invio e l'altro. Non sai chi, ma per ottimizzare una campagna spesso basta.

La seconda è spostare la misura dove il cliente compie un'azione che sceglie lui. Una risposta all'email, una richiesta di preventivo, un modulo compilato, una telefonata al numero indicato nel messaggio. Sono segnali più forti di un'apertura e non nascono da un tracciamento invisibile. Un link con parametri di campagna uguali per tutti i destinatari ti dice anche quale invio ha portato traffico al sito, dove poi vale il consenso raccolto dal banner cookie.

La terza è chiedere invece di dedurre. Un centro preferenze dove il cliente indica argomenti, frequenza e canale ti dà informazioni che il pixel poteva solo intuire. Il segmento "interessato all'assistenza post-vendita" costruito su una dichiarazione del cliente vale più di quello costruito su due clic.

L'ultima è la più trascurata: usare il canale in cui il cliente si fa vivo da solo. Chi chiama il numero verde, chi chiede di essere richiamato, chi risponde a un messaggio sta già dicendo quello che le metriche di apertura cercavano di indovinare. Se quelle interazioni finiscono nel CRM, il lead scoring ha una base più solida di prima.

Come ottenere il consenso senza affidarsi a un'email che nessuno clicca

Con questa impostazione non serve mandare email per chiedere il permesso di tracciare le aperture. Il consenso che conta è quello al marketing, raccolto con un'informativa che parla anche del pixel, ed è quello che va raccolto bene. E c'è un limite preciso: le linee guida del Garante del 2013 sul contrasto allo spam escludono che si possa chiedere il consenso al marketing con un primo messaggio inviato a chi non l'ha mai dato. Il consenso si raccoglie meglio nei momenti in cui il cliente sta già facendo qualcosa con te, e il Garante stesso indica come momento preferibile quello in cui si raccoglie l'indirizzo.

Momento Come chiederlo Come documentarlo
Iscrizione alla newsletter, registrazione, checkout Una casella non preselezionata con testo chiaro che includa il tracciamento delle aperture, informativa a due livelli Data, ora, testo mostrato, conferma con doppio opt-in
Area clienti e centro preferenze Una sezione dove il cliente sceglie argomenti, frequenza e se attivare il tracciamento Log delle modifiche legato al profilo
Chiamata al servizio clienti L'operatore, a fine chiamata risolta, propone l'iscrizione con una formula breve e standard Nota nel CRM con data, ora, operatore e formula letta; se la chiamata è registrata, va detto prima
Richiesta di richiamata o di preventivo Una casella sul modulo, separata dal consenso a essere ricontattati per quella richiesta Come per i moduli di iscrizione
Messaggi di servizio già previsti (conferma ordine, chiusura ticket) Un link al centro preferenze, senza testo promozionale Il consenso si registra nel centro preferenze, non nel messaggio
Fiere, eventi, punti vendita QR code che porta al modulo di iscrizione Come per i moduli di iscrizione

Il momento giusto. Subito dopo un problema risolto. Il cliente ha appena ricevuto aiuto, l'operatore ha la sua attenzione, e la proposta arriva come continuazione di un servizio. Serve una formula preparata in anticipo con il DPO, uguale per tutti gli operatori, e un campo nel CRM dove registrarla.

Qualunque sia il canale, valgono le regole del Garante: richiesta neutra, nessuna casella già spuntata, nessuna pressione, e il servizio non può dipendere dal sì. Puoi invece spiegare con onestà cosa ci guadagna il cliente, per esempio meno email e solo sui temi che gli interessano. Un esempio di testo per la casella, da validare con il proprio consulente privacy:

Voglio ricevere novità e offerte via email. Per inviarmi solo contenuti utili, [nome azienda] può rilevare se apro le email. Posso disattivare questa rilevazione in qualsiasi momento senza cancellarmi.

Dove entra GlooboBiz

Il pixel prova a capire dall'esterno se un cliente è interessato. Una telefonata lo dice e basta. Chi chiama il numero verde dopo aver letto una newsletter, chi compila un modulo per farsi richiamare, chi accetta l'iscrizione alla fine di una chiamata di assistenza ha fatto una scelta, e lo sa.

Per le aziende che mettono l'assistenza clienti al centro, il 29 ottobre è l'occasione per rimettere in fila i canali. L'email resta utile per informare. Il telefono diventa il punto in cui si raccoglie il consenso, si capiscono gli interessi e si costruisce il dato che finisce nel CRM. Lo stesso vale per l'outbound: richiamare chi ha chiesto di essere richiamato è il modo più pulito di fare marketing telefonico.

In GlooboBiz lavoriamo così con i nostri clienti: come un ufficio marketing a disposizione, più che come un fornitore di linee. Possiamo aiutarti a rivedere i flussi in cui oggi conta l'apertura di un'email, a decidere dove il numero verde e il centralino possono prendere il loro posto, e a preparare con il tuo team la formula da usare al telefono. Se vuoi parlarne, chiamaci all'800.89.88.87.

Note: fonti e avvertenze

Questo articolo ha uno scopo informativo e non sostituisce una consulenza legale. Prima di modificare informative e flussi di invio, verifica le scelte con il tuo consulente privacy o DPO.