Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda invia una conferma d’ordine, una fattura, un avviso di sicurezza o una comunicazione relativa a un contratto. Il messaggio è necessario per gestire il rapporto con il cliente, ma il sistema utilizzato contiene un tracking pixel che permette di rilevare l’apertura dell’e-mail. Il fatto che la comunicazione sia di servizio o transazionale consente di utilizzare il pixel senza chiedere il consenso del destinatario?

La risposta dipende dalla funzione effettiva del tracciamento, dai dati raccolti e dalle condizioni previste dalla normativa applicabile. La necessità di inviare un’e-mail non rende automaticamente necessario monitorarne l’apertura. Un’impresa che utilizza piattaforme di e-commerce, gestionali, CRM o sistemi di notifiche automatiche deve quindi distinguere il trattamento necessario alla comunicazione da quello eventualmente aggiunto per misurare il comportamento del destinatario. Una valutazione errata può comportare violazioni della disciplina sulla protezione dei dati personali, reclami e contestazioni del Garante Privacy.

E-mail transazionali e tracking pixel: perché la natura del messaggio non basta a escludere il consenso

Le e-mail transazionali sono comunicazioni collegate a un’operazione, a un servizio richiesto o a un rapporto contrattuale. Rientrano in questa categoria, a seconda delle circostanze, le conferme d’acquisto, le comunicazioni sulla spedizione, gli avvisi relativi a un pagamento, le istruzioni per recuperare le credenziali di accesso e le notifiche riguardanti il funzionamento di un servizio digitale. Si distinguono dalle newsletter promozionali perché la loro finalità principale non consiste nell’inviare pubblicità.

Questa distinzione è rilevante per stabilire se l’azienda possa inviare legittimamente il messaggio, ma non risolve da sola il problema del tracking pixel. Il pixel è generalmente costituito da una risorsa remota incorporata nell’e-mail, spesso un’immagine di dimensioni minime, il cui caricamento può generare una richiesta verso un server. Attraverso identificativi associati al messaggio e informazioni tecniche relative alla richiesta, il sistema può registrare un evento di apertura e collegarlo a uno specifico destinatario.

Inviare una conferma d’ordine e registrare che il cliente l’ha aperta costituiscono operazioni distinte. La prima può essere necessaria per eseguire un contratto o adempiere a un obbligo giuridico; la seconda richiede una valutazione autonoma della finalità perseguita e delle condizioni che ne consentono l’utilizzo.

Consideriamo un’impresa che vende prodotti online. Dopo l’acquisto, il gestionale invia automaticamente al cliente una comunicazione contenente il numero dell’ordine e le informazioni sulla consegna. Il messaggio può essere inviato nell’ambito dell’esecuzione del contratto. Se la piattaforma aggiunge un pixel per conoscere l’orario di apertura, misurare il coinvolgimento del cliente o alimentare statistiche commerciali, occorre verificare separatamente la liceità di tale funzionalità.

Il problema diventa particolarmente delicato quando il tracciamento viene attivato automaticamente dal fornitore del software. L’azienda potrebbe ritenere di utilizzare soltanto un servizio di invio delle comunicazioni, mentre il sistema raccoglie anche dati individuali sulle aperture. La configurazione predefinita della piattaforma non costituisce una giustificazione giuridica del trattamento.

La stessa verifica è necessaria per le e-mail amministrative, gli avvisi di scadenza contrattuale, le comunicazioni relative agli abbonamenti e le notifiche di sicurezza. Non è sufficiente qualificare il messaggio come obbligatorio, tecnico o strettamente operativo: bisogna accertare se anche il monitoraggio dell’apertura sia effettivamente necessario alla specifica funzione dichiarata.

Per le aziende che utilizzano sistemi di invio automatizzati, abbiamo approfondito i controlli generali nell’articolo dedicato alla verifica dei tracking pixel nelle e-mail aziendali. Nel caso delle comunicazioni transazionali, la questione richiede un esame ulteriore: stabilire quando sia concretamente applicabile un’eccezione al consenso e quando, invece, il tracciamento debba essere disattivato o subordinato a una scelta valida del destinatario.

Quando è ammessa la deroga al consenso: necessità tecnica, GDPR e disciplina ePrivacy

Il riferimento normativo comprende il Regolamento (UE) 2016/679, il Codice Privacy e la disciplina europea sulla riservatezza delle comunicazioni elettroniche. Occorre distinguere due questioni: la base giuridica del trattamento dei dati personali ai sensi dell’articolo 6 GDPR e l’eventuale necessità di ottenere il consenso per le operazioni di accesso o memorizzazione di informazioni nelle apparecchiature terminali, quando ricadono nell’ambito della disciplina ePrivacy.

L’articolo 122 del Codice Privacy, che recepisce le disposizioni europee in materia, contempla specifiche eccezioni al consenso per determinate operazioni tecniche, tra cui quelle strettamente necessarie alla trasmissione di una comunicazione su una rete elettronica o alla fornitura di un servizio esplicitamente richiesto dall’utente, alle condizioni stabilite dalla legge.

Queste eccezioni non costituiscono un’autorizzazione generale a inserire tracking pixel nelle e-mail transazionali. Prima di invocarle, occorre verificare che la concreta tecnologia utilizzata rientri nell’ambito della disciplina e che siano soddisfatti i requisiti della specifica eccezione. La qualificazione del messaggio come comunicazione di servizio non è, da sola, sufficiente.

Un pixel destinato esclusivamente a rilevare quando il cliente apre una fattura non diventa tecnicamente necessario soltanto perché l’invio della fattura è obbligatorio. Analogamente, la possibilità di misurare il numero delle aperture, controllare l’efficacia delle comunicazioni o migliorare i report aziendali non dimostra che il monitoraggio sia indispensabile per fornire il servizio richiesto.

Occorre prestare attenzione anche all’utilizzo del legittimo interesse previsto dall’articolo 6, paragrafo 1, lettera f), GDPR. Tale base giuridica richiede una valutazione della necessità del trattamento e un bilanciamento con i diritti e le libertà degli interessati. Il legittimo interesse non può essere utilizzato per superare un obbligo di consenso eventualmente imposto dalla disciplina ePrivacy. Le due verifiche devono rimanere distinte.

Per esempio, un’azienda potrebbe avere un interesse organizzativo a verificare che una comunicazione relativa alla sicurezza di un account sia stata ricevuta. Questo interesse non dimostra automaticamente che sia lecito inserire un identificativo individuale per monitorare l’apertura del messaggio. Occorre valutare se la finalità possa essere raggiunta mediante strumenti meno invasivi, come i log di trasmissione, gli esiti tecnici di consegna o una conferma espressa dell’utente quando realmente necessaria.

È altrettanto importante non confondere la consegna del messaggio con la sua lettura. I sistemi di posta elettronica possono registrare informazioni sull’accettazione e sulla consegna tecnica, mentre il caricamento di un pixel non dimostra necessariamente che il destinatario abbia effettivamente letto e compreso il contenuto. Il blocco delle immagini remote, i sistemi di protezione della privacy e il precaricamento automatico delle risorse possono alterare le statistiche di apertura.

Quando l’azienda ritiene applicabile una deroga al consenso, deve poter documentare il ragionamento seguito, le caratteristiche della tecnologia, le finalità perseguite e le ragioni per cui il trattamento risulta necessario nelle circostanze concrete. Restano da rispettare gli obblighi GDPR applicabili, compresi quelli relativi alla trasparenza, alla minimizzazione dei dati, alla conservazione e alla sicurezza.

Per una valutazione corretta occorre quindi esaminare il funzionamento effettivo della piattaforma, anziché limitarsi alla denominazione commerciale della funzionalità. Il controllo deve riguardare quali dati vengono trasmessi, se l’apertura è associata a un destinatario identificabile, chi riceve le informazioni e se queste vengono successivamente utilizzate per finalità ulteriori. È su tali elementi che si fonda la distinzione tra un trattamento tecnicamente giustificato e un monitoraggio che richiede condizioni diverse di liceità.

Obblighi dell’azienda, controlli sui fornitori e rischi del tracciamento non autorizzato

Quando un’impresa utilizza tracking pixel nelle e-mail di servizio e transazionali, la verifica della liceità deve riguardare l’intero processo di trattamento. Non basta accertare che il messaggio venga inviato per una finalità contrattuale o amministrativa: occorre comprendere quali informazioni siano raccolte attraverso il pixel, chi possa accedervi, per quanto tempo vengano conservate e se siano utilizzate anche per attività commerciali o di profilazione.

Il primo controllo riguarda la configurazione della piattaforma. Molti sistemi di invio automatizzato consentono di attivare statistiche sulle aperture, associare eventi ai singoli destinatari e trasferire queste informazioni al CRM aziendale. Se il tracciamento è abilitato automaticamente, l’azienda deve verificare se sia realmente necessario e se sussistano le condizioni giuridiche per utilizzarlo. La circostanza che una funzione sia inclusa nel servizio acquistato non ne rende automaticamente lecito l’impiego.

Occorre distinguere le informazioni necessarie alla gestione tecnica dell’invio dai dati utilizzati per monitorare il comportamento del destinatario. I log che documentano l’accettazione del messaggio da parte del server, gli eventuali errori di recapito e le informazioni indispensabili alla sicurezza del sistema rispondono a esigenze diverse rispetto alla registrazione individuale delle aperture. Anche quando il monitoraggio viene presentato come uno strumento per migliorare l’affidabilità del servizio, è necessario verificare quale funzione svolga concretamente e se esistano alternative meno invasive.

Un secondo controllo riguarda la documentazione privacy. Se il tracking comporta un trattamento di dati personali, l’azienda deve individuare una base giuridica appropriata, definire le finalità e rispettare gli obblighi di trasparenza. Quando il trattamento rientra anche nella disciplina ePrivacy, occorre verificare separatamente se sia richiesto il consenso o se ricorrano effettivamente le condizioni di una specifica eccezione. La semplice indicazione del tracciamento nell’informativa non sostituisce il consenso quando questo è necessario.

Le informazioni raccolte attraverso i pixel possono comprendere identificativi del messaggio, indirizzi IP, dati tecnici relativi alla richiesta e riferimenti che consentono di associare l’evento a un cliente. Il trattamento deve rispettare i principi di minimizzazione e limitazione della conservazione previsti dall’articolo 5 GDPR. Non è quindi giustificato conservare indefinitamente la cronologia delle aperture soltanto perché la piattaforma permette di farlo.

Per quanto riguarda i fornitori, il titolare del trattamento deve verificare il ruolo effettivamente svolto dalla piattaforma e la ripartizione delle responsabilità. Quando il fornitore tratta dati personali per conto dell’azienda, occorre disciplinare il rapporto secondo l’articolo 28 GDPR, verificando anche le istruzioni impartite, gli eventuali sub-responsabili e le misure di sicurezza. Se i dati vengono trasferiti verso Paesi esterni allo Spazio economico europeo, devono essere esaminate le condizioni previste dal Capo V del GDPR.

Particolare attenzione merita il caso in cui le informazioni sulle aperture vengano riutilizzate per finalità ulteriori. Un sistema inizialmente configurato per inviare notifiche contrattuali potrebbe alimentare automaticamente segmentazioni commerciali, valutazioni del coinvolgimento dei clienti o campagne successive. In queste circostanze, la finalità originaria del messaggio non giustifica automaticamente il trattamento successivo. La liceità deve essere verificata anche rispetto al riutilizzo dei dati.

Per le aziende che intendono ridurre il rischio di trattamenti eccedenti, abbiamo approfondito le misure tecniche e organizzative nell’articolo dedicato a tracking pixel e privacy by design: identificativi, log e minimizzazione dei dati. La corretta configurazione deve essere accompagnata da una valutazione documentata delle finalità e delle condizioni di utilizzo.

La responsabilità della verifica non può essere trasferita integralmente al fornitore informatico. Il titolare deve poter dimostrare di avere valutato il trattamento, impartito istruzioni appropriate e adottato misure coerenti con il rischio. Quando è stato nominato un DPO, quest’ultimo può fornire consulenza e sorvegliare l’osservanza della disciplina, ferma restando la responsabilità del titolare per le decisioni relative alle finalità e ai mezzi del trattamento.

Se emerge che i tracking pixel sono stati utilizzati senza le condizioni richieste dalla normativa, l’azienda deve valutare tempestivamente la sospensione della funzionalità, la correzione delle configurazioni e la gestione dei dati già raccolti. Occorre anche verificare se siano necessarie ulteriori iniziative in relazione alle informazioni fornite agli interessati e all’esercizio dei loro diritti. L’irregolarità può esporre l’impresa a reclami, accertamenti e provvedimenti del Garante Privacy, ma le conseguenze dipendono dalle caratteristiche concrete della violazione.

La gestione di eventuali richieste dell’Autorità richiede particolare attenzione alla documentazione tecnica e giuridica disponibile. Le imprese che devono affrontare verifiche o contestazioni possono approfondire le modalità di intervento nell’articolo dedicato alla richiesta di informazioni del Garante Privacy e agli obblighi di risposta dell’azienda.

Esempio pratico: tracking pixel attivato automaticamente nelle conferme d’ordine

Consideriamo il caso ipotetico di una società di commercio elettronico che utilizza una piattaforma per inviare conferme d’ordine, aggiornamenti sulle spedizioni e comunicazioni relative ai pagamenti. Durante una verifica privacy emerge che il sistema registra automaticamente le aperture delle e-mail e associa gli eventi ai profili dei clienti, pur non essendo tale monitoraggio necessario alla gestione degli ordini.

La questione richiede di distinguere le funzionalità indispensabili all’invio delle comunicazioni da quelle utilizzate per produrre statistiche individuali. In una situazione di questo tipo, la nostra attività professionale consisterebbe nell’esaminare le configurazioni del servizio, le finalità effettive del trattamento, la documentazione contrattuale con il fornitore e le informazioni rese ai destinatari. Una particolare attenzione andrebbe riservata all’eventuale trasferimento automatico dei dati di apertura al CRM commerciale.

Qualora non risultassero soddisfatte le condizioni per utilizzare il tracciamento senza consenso, sarebbe necessario valutare la disattivazione dei pixel nelle comunicazioni interessate e la riorganizzazione delle relative procedure. L’obiettivo sarebbe consentire all’azienda di continuare a inviare le e-mail necessarie al rapporto contrattuale, evitando che a tale attività si accompagnino trattamenti ulteriori privi di adeguata giustificazione.

Domande frequenti sui tracking pixel nelle e-mail transazionali

1. Un’azienda può inserire tracking pixel nelle conferme d’ordine senza consenso?

Non automaticamente. La conferma d’ordine può essere necessaria per l’esecuzione del contratto, ma il monitoraggio dell’apertura costituisce una funzione distinta. Occorre verificare la tecnologia utilizzata, la finalità del tracciamento e l’eventuale applicabilità delle eccezioni previste dalla disciplina ePrivacy.

2. Il legittimo interesse permette di tracciare le aperture delle e-mail di servizio?

Il legittimo interesse può costituire una base giuridica per determinati trattamenti di dati personali, quando ne ricorrono i presupposti. Non consente però di superare un obbligo di consenso previsto dalla disciplina ePrivacy. Le condizioni applicabili devono essere valutate separatamente.

3. È necessario il consenso per utilizzare un pixel che verifica la consegna di un’e-mail?

Dipende dal funzionamento concreto dello strumento. Occorre distinguere i log tecnici di trasmissione dal monitoraggio dell’apertura mediante risorse remote. La denominazione della funzionalità non basta a dimostrare che il pixel sia strettamente necessario alla consegna della comunicazione.

4. Se il fornitore attiva automaticamente il tracking pixel, chi risponde della violazione?

La ripartizione delle responsabilità dipende dai ruoli effettivi dei soggetti coinvolti e dalle operazioni compiute. Il titolare deve verificare il trattamento svolto per suo conto e impartire istruzioni adeguate. Il fornitore risponde degli obblighi che gli competono in base al GDPR e alla propria qualificazione giuridica.

5. Cosa deve fare un’azienda che scopre di tracciare le e-mail transazionali senza aver verificato il consenso?

Deve accertare quali dati siano stati raccolti, per quali finalità e in base a quali condizioni giuridiche. Se il trattamento risulta privo dei requisiti necessari, occorre valutare la sospensione del tracciamento, la correzione delle impostazioni, la gestione dei dati già acquisiti e gli eventuali ulteriori adempimenti. È opportuno documentare le verifiche e le decisioni adottate.

Consulenza legale per verificare la liceità dei tracking pixel nelle e-mail aziendali

Le imprese che utilizzano e-mail di servizio, notifiche automatiche e comunicazioni transazionali devono poter distinguere le funzionalità necessarie al rapporto con il cliente dai sistemi di monitoraggio delle aperture. La verifica richiede un esame delle configurazioni tecniche, delle finalità del trattamento e delle condizioni previste dal GDPR e dalla disciplina ePrivacy.

Come Studio Legale Calvello assistiamo le aziende nella valutazione della liceità dei tracking pixel, nell’analisi dei rapporti con i fornitori e nell’adeguamento delle procedure privacy. Interveniamo anche quando il tracciamento è già attivo e occorre verificare eventuali irregolarità, reclami o contestazioni.

Per richiedere una valutazione della situazione aziendale è possibile utilizzare la pagina dedicata alla consulenza privacy e compliance aziendale dello Studio Legale Calvello.