Articolo a cura di: Redazione - Studio Legale Calvello
Un’azienda che utilizza tracking pixel nelle newsletter e nelle comunicazioni commerciali può raccogliere più dati personali di quanto sia effettivamente necessario. Oltre a registrare l’apertura di un messaggio, il sistema può associare al destinatario identificativi univoci, indirizzi IP, informazioni sul dispositivo, orari di accesso e registrazioni conservate nei log dei server. Il problema riguarda quindi anche la progettazione tecnica del tracciamento: quali informazioni vengono acquisite, per quanto tempo rimangono disponibili e chi può consultarle.
Il principio di privacy by design e by default, previsto dall’articolo 25 del GDPR, impone di considerare la protezione dei dati fin dalla progettazione e di limitare, per impostazione predefinita, il trattamento a quanto necessario per ciascuna finalità. Per le imprese che utilizzano piattaforme di email marketing, CRM e servizi esterni, questo significa verificare concretamente identificativi, log, impostazioni di conservazione e possibilità di ridurre la raccolta. Quando tali verifiche non sono state effettuate, può essere opportuno un intervento del DPO o di un consulente privacy per valutare la configurazione adottata e le eventuali modifiche necessarie.
Tracking pixel nelle email: quali identificativi e informazioni vengono realmente raccolti
Il tracking pixel utilizzato nelle comunicazioni elettroniche consiste generalmente in una piccola immagine remota, spesso invisibile al destinatario, che viene richiamata quando il programma di posta carica il contenuto del messaggio. La richiesta raggiunge un server controllato direttamente dall’azienda oppure dal fornitore della piattaforma di invio. A seconda della configurazione, il sistema può registrare l’evento e collegarlo a una determinata comunicazione, campagna o persona.
Il primo elemento da verificare è l’identificativo associato al pixel. Molte piattaforme utilizzano un URL diverso per ciascun destinatario, contenente un codice che consente di ricondurre la richiesta a uno specifico indirizzo email. Anche quando il codice non contiene direttamente nome, cognome o indirizzo di posta, può costituire un dato personale se permette al titolare o al fornitore di identificare indirettamente l’interessato.
La distinzione è rilevante perché l’impiego di codici casuali, hash o identificativi pseudonimi non determina automaticamente l’anonimizzazione. Se l’azienda conserva una tabella che collega il codice all’anagrafica del cliente, oppure può ricostruire tale collegamento attraverso il CRM, le informazioni rimangono riconducibili a una persona identificabile. La pseudonimizzazione può ridurre determinati rischi, ma non sottrae di per sé il trattamento all’applicazione del GDPR.
Un secondo elemento riguarda i log tecnici generati dalla richiesta dell’immagine. Il server può registrare indirizzo IP, data e ora, percorso della risorsa richiesta, informazioni sul programma utilizzato e altri metadati. Non tutte queste informazioni sono necessariamente raccolte o conservate da ogni piattaforma: il contenuto effettivo dipende dall’architettura del servizio, dalle impostazioni applicate e dall’eventuale presenza di intermediari tecnologici, come CDN e proxy.
La verifica deve quindi distinguere i dati visualizzati nella dashboard commerciale da quelli effettivamente registrati nell’infrastruttura. Una piattaforma che mostra soltanto il numero complessivo delle aperture potrebbe comunque conservare, nei sistemi sottostanti, registrazioni tecniche più dettagliate. La disponibilità di statistiche aggregate nell’interfaccia non dimostra, da sola, che i dati originari siano anonimi o che non vengano conservati identificativi individuali.
Occorre considerare anche il funzionamento dei programmi di posta. Alcuni servizi caricano le immagini attraverso server intermedi o sistemi di protezione della privacy, rendendo meno attendibile l’associazione tra richiesta del pixel, indirizzo IP effettivo e apertura compiuta dalla persona. Ne consegue che raccogliere ulteriori metadati non assicura necessariamente una misurazione più precisa. Può invece aumentare la quantità di informazioni personali trattate senza un corrispondente beneficio per la finalità dichiarata.
Per un’impresa che invia migliaia di comunicazioni, il problema assume una dimensione organizzativa concreta: ogni campagna può generare registrazioni individuali che si accumulano nel tempo e possono essere correlate con altre informazioni presenti nei sistemi aziendali. Prima di utilizzare questi dati occorre stabilire quali siano realmente necessari, distinguendo la misurazione statistica delle campagne dal monitoraggio del comportamento dei singoli destinatari.
Privacy by design e minimizzazione: come configurare identificativi, log e tempi di conservazione
L’articolo 5, paragrafo 1, lettera c), del Regolamento (UE) 2016/679 stabilisce che i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità del trattamento. L’articolo 25 richiede al titolare di applicare misure tecniche e organizzative appropriate, tenendo conto della natura del trattamento, dei rischi, dello stato dell’arte e degli altri elementi previsti dalla norma. La privacy by design non si esaurisce quindi nell’informativa o nella raccolta del consenso, ma riguarda le caratteristiche concrete del sistema utilizzato.
Nel caso dei tracking pixel, la prima decisione consiste nell’individuare la finalità effettiva della raccolta. Se l’azienda intende conoscere soltanto l’andamento complessivo di una newsletter, deve valutare se siano necessari identificativi persistenti, cronologie individuali e registrazioni dettagliate degli accessi. Se invece intende collegare le aperture ai singoli clienti, il trattamento assume caratteristiche diverse e richiede una specifica valutazione della liceità, della proporzionalità e dei rischi.
La minimizzazione può tradursi nella disattivazione delle funzioni di monitoraggio individuale non necessarie, nella riduzione dei metadati acquisiti, nell’eventuale mascheramento degli indirizzi IP e nella limitazione della granularità delle informazioni conservate. Quando tecnicamente possibile e coerente con la finalità, l’azienda può valutare sistemi che producano statistiche aggregate senza mantenere indefinitamente lo storico delle attività attribuibili ai destinatari.
Queste misure non devono però essere confuse con una generale autorizzazione al tracciamento. La riduzione dei dati raccolti non sostituisce la verifica della base giuridica né degli eventuali requisiti di consenso applicabili ai tracking pixel. Le questioni relative al consenso e alle possibili deroghe richiedono un esame distinto, anche alla luce della disciplina sulle comunicazioni elettroniche e delle indicazioni dell’autorità di controllo. Abbiamo approfondito tali aspetti nell’articolo dedicato al consenso ai tracking pixel nelle email.
Un ulteriore controllo riguarda la conservazione dei log. L’azienda deve conoscere quali registrazioni vengono mantenute dal proprio server, dalla piattaforma di email marketing e dagli eventuali fornitori infrastrutturali. Non è sufficiente stabilire un termine di conservazione per i dati presenti nel CRM se gli stessi identificativi continuano a essere disponibili nei log applicativi, negli archivi esportati o nei sistemi di backup.
Il GDPR non prevede un termine unico di conservazione applicabile indistintamente a tutti i log dei tracking pixel. Il periodo deve essere determinato in relazione alle finalità effettive, tenendo conto delle eventuali esigenze tecniche e di sicurezza, e documentato secondo il principio di limitazione della conservazione. Quando la finalità originaria si esaurisce, occorre valutare la cancellazione dei dati individuali oppure una loro effettiva anonimizzazione, verificando che non rimangano collegamenti idonei a ricostruire l’identità dei destinatari.
La configurazione deve essere esaminata anche rispetto agli accessi. Le informazioni raccolte potrebbero essere consultabili dal personale marketing, dagli amministratori IT, dall’agenzia incaricata delle campagne e dal fornitore del software. Per ciascuna figura occorre verificare quali dati siano realmente necessari e applicare autorizzazioni coerenti con le mansioni, evitando che l’accesso a statistiche generali comporti automaticamente la disponibilità di informazioni individuali dettagliate.
Particolare attenzione merita il rapporto con i fornitori esterni. Quando la piattaforma tratta dati personali per conto dell’impresa, devono essere verificati il relativo inquadramento giuridico, le istruzioni documentate e gli accordi previsti dall’articolo 28 GDPR, ove applicabile. Le verifiche devono comprendere anche le caratteristiche tecniche del servizio: dati registrati automaticamente, possibilità di disabilitare funzioni non necessarie, tempi di conservazione, cancellazione, accessi e ricorso a ulteriori fornitori.
La documentazione di queste scelte permette all’azienda di dimostrare di aver valutato il trattamento prima dell’attivazione e di aver adottato misure proporzionate ai rischi. Quando la piattaforma non consente di controllare identificativi, log o conservazione, occorre valutare se le limitazioni tecniche siano compatibili con le finalità perseguite oppure se sia necessario modificare la configurazione o il servizio utilizzato.
Obblighi GDPR, controlli aziendali e responsabilità nella gestione dei tracking pixel
La corretta configurazione dei tracking pixel richiede che l’azienda sia in grado di ricostruire il percorso dei dati personali, dalla richiesta iniziale dell’immagine fino alla loro eventuale cancellazione. Questo controllo interessa il titolare del trattamento anche quando la tecnologia è fornita da una piattaforma esterna e viene gestita operativamente dall’ufficio marketing o da un’agenzia. L’affidamento del servizio a un fornitore non esonera il titolare dalle responsabilità che il GDPR gli attribuisce, comprese quelle relative alla scelta delle misure appropriate e alla verifica del trattamento.
Un primo problema riguarda la documentazione. L’impresa deve verificare se il tracciamento sia correttamente rappresentato nel registro delle attività di trattamento, quando previsto, e se le informazioni rese agli interessati descrivano in modo adeguato le finalità, le categorie di dati raccolti, i destinatari e i periodi di conservazione. La documentazione deve corrispondere al funzionamento effettivo della tecnologia: un’informativa che menziona genericamente statistiche sulle newsletter potrebbe risultare insufficiente se il sistema conserva identificativi individuali e cronologie dettagliate delle aperture.
La valutazione deve comprendere anche l’eventuale necessità di una DPIA ai sensi dell’articolo 35 GDPR. L’utilizzo di un tracking pixel non comporta automaticamente l’obbligo di effettuare una valutazione d’impatto, ma questa può essere necessaria quando il trattamento, considerate natura, ambito, contesto e finalità, presenta un rischio elevato per i diritti e le libertà delle persone fisiche. La correlazione sistematica di dati provenienti da più fonti, il monitoraggio su larga scala e l’impiego di informazioni particolarmente delicate possono incidere sulla valutazione.
Per quanto riguarda i controlli tecnici, riteniamo opportuno verificare non soltanto le impostazioni disponibili nell’interfaccia della piattaforma, ma anche le informazioni che il fornitore rende disponibili sul funzionamento dei propri sistemi. La verifica dovrebbe accertare se gli identificativi siano persistenti, se gli indirizzi IP vengano conservati integralmente, quali log siano prodotti, chi possa consultarli e se siano previste procedure di cancellazione o anonimizzazione. Le dichiarazioni contrattuali del fornitore devono essere confrontate, per quanto possibile, con la configurazione effettivamente adottata.
Il coinvolgimento del DPO, quando nominato, consente di sottoporre queste scelte a una valutazione indipendente rispetto alle esigenze operative del marketing. Il responsabile della protezione dei dati può fornire consulenza sugli obblighi applicabili, sorvegliare l’osservanza del GDPR e formulare indicazioni sulle misure da adottare. Le decisioni sulle finalità e sui mezzi del trattamento rimangono però in capo al titolare. Per approfondire il ruolo di controllo, rinviamo al nostro articolo sull’audit privacy del DPO esterno e sulle verifiche da effettuare in azienda.
Le criticità possono emergere anche quando il sistema è già operativo da tempo. Una modifica della piattaforma, l’attivazione di nuove funzionalità oppure l’integrazione con un CRM possono determinare una raccolta di dati più ampia rispetto a quella inizialmente valutata. In questi casi l’azienda dovrebbe riesaminare la configurazione, verificare la liceità dei trattamenti effettivamente svolti e intervenire sui dati conservati, considerando anche gli eventuali obblighi di gestione delle richieste degli interessati.
Quando vengono riscontrate carenze nella minimizzazione o nella conservazione, la risposta non dovrebbe limitarsi a modificare l’informativa. Occorre individuare la causa tecnica, valutare se sospendere o disabilitare determinate funzionalità, correggere le impostazioni e documentare le decisioni assunte. Se i dati sono già stati raccolti in misura eccedente, deve essere esaminata anche la loro ulteriore conservazione e l’eventuale necessità di cancellarli. L’intervento può richiedere il coordinamento tra direzione aziendale, responsabili IT, marketing, DPO e fornitori.
La mancata applicazione dei principi di minimizzazione e protezione dei dati fin dalla progettazione può assumere rilievo nell’ambito di un controllo del Garante per la protezione dei dati personali. Le conseguenze dipendono dalla natura della violazione, dalle circostanze concrete e dai criteri previsti dall’articolo 83 GDPR. Non ogni irregolarità tecnica determina automaticamente una sanzione, ma l’impresa deve poter dimostrare di aver effettuato valutazioni appropriate e di aver adottato misure coerenti con i rischi del trattamento.
In presenza di una contestazione, assumono rilievo la documentazione delle scelte progettuali, le istruzioni impartite ai fornitori, le verifiche periodiche e gli interventi correttivi effettuati. Un sistema tecnicamente funzionante non è necessariamente conforme alla normativa sulla protezione dei dati personali. Per questo, quando emergono dubbi sulla raccolta degli identificativi o sulla conservazione dei log, può essere necessario un audit GDPR mirato ai tracking pixel, con una valutazione congiunta degli aspetti giuridici e delle caratteristiche tecniche della piattaforma.
Consideriamo il caso ipotetico di una società commerciale che utilizza da diversi anni una piattaforma per inviare newsletter ai propri clienti. L’ufficio marketing consulta soltanto le statistiche complessive delle campagne e ritiene che il trattamento sia limitato al conteggio delle aperture. Durante una verifica della configurazione emerge però che ogni messaggio contiene un identificativo univoco collegato al destinatario e che il sistema conserva registrazioni individuali, comprensive di date, orari e ulteriori metadati tecnici.
L’azienda richiede una valutazione privacy per comprendere se tutte queste informazioni siano necessarie. L’esame riguarda le finalità dichiarate, le impostazioni della piattaforma, i rapporti con il fornitore e i periodi di conservazione. La questione più delicata consiste nel distinguere i dati effettivamente utilizzati dal marketing da quelli raccolti automaticamente dall’infrastruttura, senza che l’impresa ne abbia piena consapevolezza.
La riorganizzazione ipotizzata prevede la verifica delle funzioni di tracciamento individuale, la riduzione dei metadati non necessari, la definizione di tempi di conservazione coerenti con le finalità e l’aggiornamento della documentazione privacy. Dove la piattaforma non permette modifiche sufficienti, viene valutata una soluzione tecnica alternativa. L’esempio mostra perché la minimizzazione deve essere verificata sul funzionamento reale del sistema e non soltanto sulle informazioni disponibili nei report commerciali.
Domande frequenti su tracking pixel, identificativi e minimizzazione dei dati
Un identificativo casuale utilizzato nel tracking pixel è un dato personale?
Può esserlo. Se il codice permette all’azienda o al fornitore di risalire direttamente o indirettamente al destinatario, rientra nella nozione di dato personale prevista dall’articolo 4 GDPR. L’assenza del nome o dell’indirizzo email all’interno dell’identificativo non comporta automaticamente l’anonimizzazione.
Non esiste un obbligo generale di conservare l’indirizzo IP per misurare le aperture delle newsletter. Occorre verificare se il dato sia effettivamente necessario per una finalità lecita e specifica, distinguendo le esigenze statistiche da eventuali esigenze tecniche o di sicurezza. La sua registrazione automatica nei log deve essere considerata nella valutazione della minimizzazione.
Le statistiche aggregate rendono automaticamente conforme il tracking pixel?
No. La visualizzazione di dati aggregati non dimostra che la piattaforma non raccolga o conservi informazioni individuali. Occorre verificare i dati originari, gli identificativi utilizzati e la possibilità di ricondurre gli eventi ai destinatari. Anche un sistema che produce statistiche anonime deve essere esaminato rispetto alle modalità con cui acquisisce inizialmente le informazioni.
Quanto tempo possono essere conservati i log generati dai tracking pixel?
Il GDPR non stabilisce un periodo unico per tutti i log di tracciamento delle email. Il titolare deve definire tempi proporzionati alle finalità del trattamento e verificare che siano applicati anche ai sistemi del fornitore, agli archivi e alle copie eventualmente conservate. La durata deve essere giustificabile e documentata.
Quando è opportuno richiedere un audit privacy sui tracking pixel?
Una verifica professionale può essere opportuna quando l’azienda non conosce esattamente quali dati vengano raccolti, utilizza identificativi persistenti, conserva log senza termini definiti oppure integra la piattaforma newsletter con altri sistemi aziendali. L’audit può essere utile anche prima dell’attivazione di una nuova soluzione o quando emergono dubbi sulla conformità delle impostazioni esistenti.
Consulenza legale per verificare tracking pixel, privacy by design e conformità GDPR aziendale
La conformità dei tracking pixel richiede una valutazione concreta delle informazioni raccolte, degli identificativi utilizzati, dei log conservati e delle misure di minimizzazione applicate. Quando questi elementi non sono stati verificati, l’azienda può trovarsi a trattare dati personali ulteriori rispetto a quelli necessari per le proprie finalità.
Come Studio Legale Calvello, assistiamo le imprese nella valutazione giuridica dei sistemi di tracciamento, nella verifica della documentazione GDPR e nell’individuazione degli interventi organizzativi e contrattuali necessari, anche attraverso il coordinamento con i responsabili tecnici e i fornitori delle piattaforme.
Per richiedere una valutazione della configurazione dei tracking pixel o un audit privacy mirato, è possibile contattare lo Studio Legale Calvello per una consulenza in materia di privacy e compliance aziendale.
