Articolo a cura di: Redazione - Studio Legale Calvello
Un’azienda che invia newsletter a destinatari italiani e francesi deve verificare se i sistemi utilizzati per rilevare le aperture delle e-mail rispettano le indicazioni delle autorità competenti. Il problema riguarda soprattutto i tracking pixel, piccoli elementi incorporati nei messaggi che possono consentire di registrare l’apertura, associarla a un destinatario e raccogliere ulteriori informazioni tecniche. Le indicazioni del Garante Privacy italiano e della CNIL francese richiedono un esame coordinato, perché la conformità dell’invio commerciale non comporta automaticamente la liceità del monitoraggio delle aperture.
Per le imprese che operano nei due mercati, la questione è concreta: occorre stabilire quali regole applicare, come raccogliere e documentare gli eventuali consensi, se sia possibile mantenere un’unica piattaforma di invio e quali interventi effettuare sulle campagne già attive. Una configurazione inadeguata può esporre l’azienda a reclami, richieste delle autorità e contestazioni. Quando il sistema coinvolge più società, fornitori o database commerciali, una verifica legale e tecnica può essere necessaria per individuare le responsabilità e organizzare l’adeguamento.
Newsletter inviate in Italia e Francia: perché le indicazioni di Garante e CNIL devono essere confrontate
Il problema si presenta frequentemente nelle imprese italiane che vendono prodotti o servizi in Francia, nelle società francesi che intrattengono rapporti commerciali con clienti italiani e nei gruppi internazionali che gestiscono le campagne attraverso un unico CRM. Il reparto marketing può utilizzare lo stesso software, gli stessi modelli di messaggio e un database centralizzato, mentre i destinatari si trovano in Paesi diversi. Questa organizzazione rende necessario distinguere la liceità dell’invio della newsletter da quella delle tecnologie utilizzate per misurarne l’efficacia.
Il tracking pixel nelle e-mail è generalmente costituito da una risorsa remota, spesso un’immagine di dimensioni minime, che viene richiamata quando il programma di posta carica il contenuto del messaggio. Il relativo collegamento può contenere un identificativo associato al destinatario o alla campagna. Il server può così registrare informazioni sull’accesso alla risorsa, anche se il dato ottenuto non dimostra necessariamente che il destinatario abbia effettivamente letto il messaggio. Sistemi di protezione della posta, caricamenti automatici e altre funzionalità dei client possono alterare l’attendibilità delle statistiche.
Il Garante per la protezione dei dati personali ha affrontato specificamente il tema dei pixel di tracciamento nelle e-mail con il provvedimento n. 284/2026, al quale abbiamo dedicato un approfondimento sulle indicazioni del Garante relative a consenso, informativa e deroghe. Anche la Commission nationale de l’informatique et des libertés, comunemente indicata come CNIL, ha sviluppato indicazioni specifiche sui pixel di monitoraggio delle e-mail nell’ambito della disciplina francese sulla protezione dei dati e sulle tecnologie di tracciamento.
Il confronto tra le due autorità non può essere ridotto alla domanda se entrambe richiedano il consenso. Occorre verificare l’ambito di applicazione delle rispettive indicazioni, le condizioni per un eventuale esonero dal consenso, le caratteristiche tecniche del trattamento e le modalità con cui l’interessato può esercitare le proprie scelte. Anche la formulazione delle informazioni rese agli iscritti e il funzionamento delle preferenze di tracciamento devono essere esaminati in rapporto al sistema effettivamente utilizzato.
Un’impresa che dispone già del consenso all’invio di comunicazioni commerciali potrebbe, ad esempio, ritenere di poter registrare automaticamente ogni apertura. Questa conclusione non è necessariamente corretta: il consenso alla ricezione della newsletter e quello eventualmente richiesto per l’utilizzo dei pixel riguardano operazioni differenti. La circostanza che il destinatario abbia volontariamente fornito il proprio indirizzo e-mail non equivale a un’autorizzazione generale a monitorarne il comportamento.
Un’altra difficoltà riguarda l’applicazione territoriale delle norme. Il Regolamento (UE) 2016/679 stabilisce un quadro comune, ma la disciplina relativa all’accesso alle informazioni nei terminali e alle tecnologie di tracciamento trova applicazione anche attraverso le disposizioni nazionali che recepiscono la direttiva ePrivacy. In Italia assume rilievo l’articolo 122 del Codice Privacy; in Francia occorre considerare l’articolo 82 della Loi Informatique et Libertés. Non è quindi sufficiente applicare automaticamente la disciplina del Paese in cui si trova la sede amministrativa dell’azienda.
La localizzazione dei destinatari, lo stabilimento del titolare, l’organizzazione del trattamento e la concreta tecnologia impiegata sono elementi da valutare. Anche il meccanismo dello sportello unico previsto dal GDPR non consente di presumere che ogni questione relativa ai pixel sia disciplinata esclusivamente dalle indicazioni dell’autorità capofila. Per questo, nelle campagne transfrontaliere, noi riteniamo opportuno partire da una ricostruzione delle operazioni tecniche e dei rapporti giuridici coinvolti, prima di decidere quale configurazione adottare.
Consenso, deroghe e informative: quali differenze verificare tra disciplina italiana e francese
Il primo controllo riguarda la funzione effettiva del pixel. Un conto è utilizzare un identificativo individuale per sapere quali destinatari hanno aperto una comunicazione, un altro è raccogliere dati tecnici strettamente limitati a una finalità che possa eventualmente rientrare in una specifica eccezione normativa. La denominazione attribuita dal fornitore alla funzionalità, come “statistiche”, “reporting” o “analisi delle campagne”, non determina da sola il regime giuridico applicabile.
Nel quadro italiano, il provvedimento n. 284/2026 del Garante costituisce il riferimento specifico per valutare il trattamento effettuato attraverso i tracking pixel nelle e-mail. Il principio da considerare è che il monitoraggio individuale delle aperture non può essere considerato automaticamente necessario per inviare una newsletter. L’eventuale applicabilità di deroghe deve essere verificata rispetto alle condizioni indicate dalla disciplina e dall’autorità, senza estenderle indiscriminatamente a qualsiasi attività statistica.
La CNIL affronta il problema nel quadro dell’articolo 82 della normativa francese, che disciplina le operazioni di accesso o registrazione di informazioni nelle apparecchiature terminali. Anche in questo caso è necessario distinguere le operazioni soggette a consenso dalle ipotesi che possono beneficiare di un’esenzione. Le indicazioni francesi devono essere esaminate nella loro formulazione e versione applicabile, senza presumere che le condizioni previste per determinati strumenti di misurazione dell’audience dei siti web possano essere trasferite automaticamente ai pixel delle e-mail.
Per un’impresa presente in entrambi i Paesi, la scelta più delicata riguarda spesso la progettazione di un sistema di raccolta e gestione delle preferenze compatibile con le disposizioni applicabili ai diversi destinatari. Una soluzione organizzativa può consistere nell’adottare una configurazione uniforme particolarmente prudente, purché rispetti tutte le condizioni richieste. In altri casi può essere necessario differenziare le modalità di trattamento in funzione delle campagne o dei mercati interessati. Non esiste una regola generale che imponga sempre due piattaforme separate o che renda automaticamente sufficiente un unico modulo di consenso.
L’informativa deve descrivere in modo comprensibile le operazioni effettivamente svolte, le finalità perseguite e gli altri elementi richiesti dalla normativa. Se il pixel consente di associare l’apertura a un contatto identificato, non sarebbe corretto descrivere indistintamente il trattamento come una semplice rilevazione anonima del numero complessivo di messaggi aperti. La questione deve essere affrontata anche quando il fornitore presenta soltanto report aggregati, perché occorre verificare quali informazioni vengano raccolte e conservate a monte.
La documentazione destinata ai contatti italiani e francesi può richiedere adattamenti linguistici e giuridici. La traduzione letterale di un’informativa italiana non è necessariamente sufficiente per rappresentare correttamente le condizioni del trattamento in Francia. Abbiamo approfondito separatamente quali informazioni inserire nelle informative relative ai tracking pixel; nel caso delle campagne transfrontaliere, tali informazioni devono essere coordinate con le disposizioni applicabili nei Paesi interessati.
Un ulteriore elemento riguarda la possibilità di rifiutare o revocare il consenso al monitoraggio senza dover necessariamente rinunciare alla newsletter. Se il tracciamento non è indispensabile alla prestazione richiesta, l’azienda deve evitare di subordinare impropriamente la ricezione dei messaggi all’accettazione del pixel. Il sistema deve anche essere tecnicamente in grado di rispettare la scelta dell’interessato: non basta registrare la revoca nel database se il software continua a inserire identificativi di tracciamento nelle comunicazioni successive.
Per le liste già utilizzate in Italia e Francia occorre verificare come siano stati acquisiti i consensi, quali informazioni siano state rese al momento dell’iscrizione e se esistano prove documentali adeguate. Un consenso raccolto anni prima per ricevere offerte commerciali non può essere considerato, senza ulteriori verifiche, una base sufficiente per tutte le successive attività di monitoraggio. Le indicazioni delle autorità e gli eventuali termini di adeguamento devono essere esaminati separatamente, considerando la data di applicazione e il contenuto effettivo dei rispettivi atti.
La gestione delle preferenze richiede infine un coordinamento tra piattaforma newsletter, CRM e sistemi di automazione. Se un destinatario francese revoca il consenso al tracking ma rimane iscritto alle comunicazioni, l’azienda deve poter mantenere distinta la sua posizione rispetto a quella di un destinatario che ha chiesto la cancellazione dalla mailing list. Lo stesso vale per i contatti italiani. Questa distinzione giuridica deve tradursi in una configurazione tecnica verificabile, soprattutto quando le campagne vengono gestite da un’agenzia esterna o da più società appartenenti allo stesso gruppo.
Quando un’impresa utilizza la stessa piattaforma per inviare newsletter in Italia e Francia, l’adeguamento alle indicazioni del Garante Privacy e della CNIL richiede una verifica che coinvolga le impostazioni tecniche, i rapporti con i fornitori e la documentazione del trattamento. Il titolare deve conoscere quali informazioni vengono raccolte attraverso i pixel, chi vi accede, per quanto tempo sono conservate e se vengono utilizzate per finalità ulteriori rispetto alla misurazione delle aperture.
Il primo intervento consiste nell’esaminare le impostazioni della piattaforma di email marketing. Alcuni servizi attivano automaticamente il monitoraggio delle aperture, mentre altri permettono di disabilitarlo per singole campagne o categorie di destinatari. Occorre accertare se il software consenta di distinguere gli iscritti che hanno autorizzato il tracciamento da quelli che hanno acconsentito soltanto alla ricezione delle comunicazioni. Questa possibilità assume particolare rilievo quando l’azienda gestisce un database comune di contatti italiani e francesi.
La presenza di un’opzione per disattivare il tracking non è sufficiente, da sola, a dimostrare la conformità. È necessario verificare se il pixel venga effettivamente escluso dal messaggio destinato a chi non ha prestato il consenso, quando richiesto, e se la preferenza rimanga valida anche nelle campagne successive. Il controllo deve comprendere gli invii automatici, le sequenze commerciali e le integrazioni con il CRM. Un aggiornamento della piattaforma o una modifica delle impostazioni potrebbe infatti riattivare funzionalità precedentemente disabilitate.
Un secondo profilo riguarda la responsabilità del titolare del trattamento e dei fornitori di servizi newsletter. Quando la piattaforma opera come responsabile del trattamento, il rapporto deve essere disciplinato secondo l’articolo 28 del GDPR. Il contratto deve essere coerente con le operazioni concretamente effettuate e con le istruzioni impartite dall’azienda. Se il fornitore determina autonomamente ulteriori finalità o utilizza i dati per proprie attività, occorre verificare la corretta qualificazione dei ruoli, senza presumere che ogni operazione rientri automaticamente nella responsabilità per conto del cliente.
La questione diventa più complessa quando interviene un’agenzia marketing incaricata di predisporre le campagne. L’impresa potrebbe affidarle la gestione operativa degli invii, ma ciò non comporta il trasferimento automatico degli obblighi che competono al titolare. È quindi necessario stabilire chi decide l’attivazione dei pixel, chi gestisce i consensi e chi verifica le impostazioni prima dell’invio. Abbiamo approfondito questi aspetti nell’articolo dedicato alle responsabilità dell’azienda, dell’agenzia marketing e della piattaforma nella gestione dei tracking pixel.
Per le campagne internazionali occorre considerare anche la localizzazione dei fornitori e degli eventuali sub-responsabili. Se i dati raccolti attraverso i pixel sono trasferiti verso Paesi esterni allo Spazio economico europeo, l’azienda deve verificare l’esistenza di un valido presupposto per il trasferimento e delle eventuali garanzie richieste dal capo V del GDPR. Il fatto che il software venga commercializzato in Europa o disponga di un’interfaccia in lingua italiana o francese non chiarisce necessariamente dove siano trattati i dati.
La documentazione interna deve rappresentare correttamente il trattamento. Il registro delle attività, quando previsto, deve comprendere le informazioni pertinenti alle operazioni di marketing e monitoraggio. Devono essere valutati i tempi di conservazione dei dati individuali e l’eventuale utilizzo delle aperture per segmentare i destinatari o alimentare sistemi di profilazione. Una valutazione d’impatto ai sensi dell’articolo 35 del GDPR è necessaria quando il trattamento presenta un rischio elevato per i diritti e le libertà delle persone fisiche, secondo i criteri normativi applicabili; non costituisce invece un adempimento automaticamente obbligatorio per qualsiasi newsletter contenente pixel.
Il DPO, quando nominato, deve essere coinvolto secondo le funzioni attribuitegli dagli articoli 38 e 39 del GDPR, fornendo consulenza e sorvegliando l’osservanza della normativa. Le decisioni sulle finalità e sui mezzi del trattamento rimangono di competenza del titolare. Nelle organizzazioni con più società o sedi operative, la verifica può richiedere il coordinamento tra ufficio marketing, responsabili IT, funzione legale e referenti privacy dei diversi Paesi.
Quanto ai rischi, una violazione delle disposizioni applicabili ai pixel può determinare reclami, richieste di informazioni, provvedimenti correttivi e, nei casi previsti, sanzioni amministrative. La valutazione delle conseguenze deve distinguere le violazioni della disciplina nazionale di recepimento della direttiva ePrivacy da quelle del GDPR, considerando la competenza dell’autorità e il regime sanzionatorio concretamente applicabile. Non ogni irregolarità comporta automaticamente una sanzione, né è corretto presumere che l’invio verso due Paesi determini necessariamente due procedimenti distinti.
Quando emergono carenze, l’azienda dovrebbe documentare le verifiche svolte, individuare i trattamenti interessati e adottare misure proporzionate. Nei casi in cui non sia possibile dimostrare la liceità del monitoraggio, può essere necessario sospendere la funzionalità di tracciamento fino al completamento dell’adeguamento, valutando separatamente la possibilità di proseguire l’invio delle newsletter. La conservazione delle evidenze relative alle decisioni adottate consente di ricostruire l’attività svolta anche in occasione di eventuali controlli.
Consideriamo il caso di una società italiana che commercializza prodotti in entrambi i Paesi e utilizza un’unica piattaforma per le newsletter. Il reparto marketing ha attivato il monitoraggio delle aperture per tutti i contatti, mentre il modulo di iscrizione raccoglie soltanto il consenso alle comunicazioni promozionali. L’azienda intende verificare la propria posizione rispetto alle indicazioni del Garante italiano e della CNIL francese.
In una situazione di questo tipo, il nostro intervento partirebbe dall’esame dei moduli di iscrizione, delle informative, delle impostazioni del software e dei contratti con i fornitori. La maggiore attenzione sarebbe rivolta alla possibilità di distinguere tecnicamente il consenso alla newsletter dall’eventuale consenso al tracciamento, mantenendo tale distinzione anche per i contatti già presenti nel database.
La riorganizzazione potrebbe prevedere la revisione delle informative, la modifica dei moduli di raccolta delle preferenze e la disattivazione dei pixel per i destinatari rispetto ai quali non sussistano le condizioni necessarie per il trattamento. Sarebbe inoltre opportuno effettuare invii di prova per verificare che le impostazioni producano gli effetti previsti. La soluzione concreta dipenderebbe dalle caratteristiche della piattaforma, dalle finalità perseguite e dalle disposizioni applicabili nei due Paesi.
La sede italiana dell’impresa non consente di escludere automaticamente l’applicazione della disciplina francese. Occorre verificare le caratteristiche del trattamento, i destinatari, gli stabilimenti coinvolti e le disposizioni nazionali applicabili ai sistemi di tracciamento. Il GDPR costituisce il quadro europeo comune, ma le regole sui pixel devono essere esaminate anche alla luce della disciplina ePrivacy e delle indicazioni delle autorità competenti.
Un sistema comune di raccolta delle preferenze può essere utilizzato se rispetta le condizioni applicabili nei due Paesi. Occorre distinguere il consenso all’invio delle comunicazioni commerciali da quello eventualmente necessario per il monitoraggio delle aperture. La formulazione del modulo, le informazioni rese e la possibilità di revocare separatamente il consenso al tracciamento devono essere coerenti con le operazioni effettivamente svolte.
No. La presentazione di risultati aggregati non dimostra, da sola, che il trattamento sia esente dal consenso. È necessario verificare se il sistema raccolga inizialmente dati individuali, utilizzi identificativi associati ai destinatari o conservi informazioni che consentano di ricostruire il comportamento dei singoli iscritti. Le eventuali deroghe devono essere valutate secondo le condizioni previste dalla normativa applicabile e dalle indicazioni del Garante e della CNIL.
Non necessariamente. Quando l’invio della newsletter dispone di un autonomo presupposto di liceità e il tracciamento non è indispensabile alla comunicazione, la revoca del consenso ai pixel non comporta automaticamente la cessazione degli invii. L’azienda deve però disporre di una piattaforma capace di rispettare la scelta del destinatario, evitando che il monitoraggio venga riattivato nelle campagne successive. La distinzione tra le due preferenze deve essere mantenuta anche nelle integrazioni con il CRM.
Il titolare del trattamento deve verificare la liceità delle operazioni effettuate attraverso gli strumenti utilizzati dall’azienda. L’attivazione automatica dei pixel da parte del fornitore non esclude le responsabilità del titolare. Occorre comunque esaminare i ruoli concretamente assunti dalla piattaforma, dall’eventuale agenzia marketing e dalle altre società coinvolte. La ripartizione delle responsabilità dipende dalle decisioni sulle finalità e sui mezzi del trattamento, dai contratti e dalle attività effettivamente svolte.
Le aziende che inviano newsletter in Italia e Francia devono poter dimostrare di avere valutato correttamente le regole applicabili ai tracking pixel, le modalità di raccolta dei consensi e il funzionamento delle piattaforme utilizzate. Quando le campagne coinvolgono database condivisi, fornitori esterni o sistemi di automazione, la verifica deve comprendere anche i rapporti contrattuali e la documentazione privacy.
Noi dello Studio Legale Calvello dell’Avvocato Claudio Calvello assistiamo le imprese nella valutazione della conformità GDPR delle attività di email marketing, nell’esame delle indicazioni delle autorità di controllo e nella predisposizione degli interventi giuridici e organizzativi necessari. Possiamo affiancare la direzione aziendale, il reparto marketing, i responsabili IT e il DPO nella verifica dei sistemi di tracciamento, nella revisione delle informative e nella gestione delle eventuali criticità.
Per richiedere una valutazione della propria situazione aziendale è possibile utilizzare la pagina dedicata alla consulenza privacy e compliance aziendale dello Studio Legale Calvello, descrivendo le piattaforme utilizzate, i mercati interessati e le problematiche riscontrate.
