Articolo a cura di: Redazione - Studio Legale Calvello
Le aziende che utilizzano newsletter, piattaforme di e-mail marketing, CRM o sistemi di invio automatizzato devono verificare se i messaggi contengono tracking pixel capaci di rilevare l’apertura delle e-mail e raccogliere informazioni sui destinatari. Il problema riguarda anche le imprese che hanno affidato la gestione delle comunicazioni commerciali a un’agenzia esterna e non conoscono esattamente le funzionalità di tracciamento attivate dal fornitore.
Le indicazioni del Garante per la protezione dei dati personali richiedono di esaminare la finalità del monitoraggio, la base giuridica, le informazioni rese agli interessati e le caratteristiche tecniche del sistema utilizzato. Il consenso all’invio di una newsletter non autorizza automaticamente ogni forma di tracciamento delle aperture. Quando la configurazione non rispetta i requisiti applicabili, l’azienda deve individuare le modifiche necessarie, anche con il supporto del proprio DPO o di un professionista esperto in privacy aziendale.
Come capire se le e-mail aziendali utilizzano tracking pixel e quali controlli effettuare
Il primo controllo riguarda il funzionamento effettivo dei sistemi di invio. Un tracking pixel è generalmente una risorsa grafica incorporata nel messaggio, spesso invisibile al destinatario, che può generare una richiesta verso un server quando il programma di posta carica le immagini. La richiesta può consentire al gestore del sistema di registrare l’evento, associarlo a un identificativo e raccogliere ulteriori informazioni tecniche. Il risultato dipende dalla configurazione del servizio e dalle caratteristiche del programma di posta utilizzato dal destinatario.
Molte piattaforme di e-mail marketing attivano funzionalità denominate open tracking, email tracking, monitoraggio aperture o statistiche di apertura. L’azienda potrebbe quindi utilizzare strumenti di tracciamento senza averli espressamente richiesti, perché inclusi nelle impostazioni iniziali del software o configurati dall’agenzia incaricata delle campagne. La semplice presenza di una percentuale di apertura nel pannello statistico non permette, da sola, di stabilire quali dati siano raccolti e se il trattamento sia conforme alla normativa.
Occorre verificare concretamente se il sistema inserisce immagini remote con identificativi individuali, se registra gli eventi per singolo contatto, quali dati tecnici acquisisce e se le informazioni vengono successivamente utilizzate per segmentare i destinatari o attivare altre operazioni. Un report che presenta esclusivamente percentuali aggregate potrebbe infatti derivare da una raccolta iniziale di dati individuali. La forma aggregata del risultato non rende automaticamente anonimo il trattamento che lo ha prodotto.
Un ulteriore controllo riguarda le diverse tipologie di comunicazioni. Le newsletter promozionali, le e-mail commerciali inviate dal CRM, le conferme d’ordine e gli avvisi di servizio possono utilizzare lo stesso software, ma perseguire finalità differenti. Non è corretto presumere che ogni messaggio possa essere tracciato alle medesime condizioni. La verifica deve distinguere la finalità dell’invio da quella dell’eventuale rilevazione delle aperture, considerando anche la possibilità di disattivare il monitoraggio per determinate categorie di destinatari.
Per le imprese che affidano l’attività a un fornitore esterno, la verifica deve comprendere l’accesso alle impostazioni della piattaforma, la documentazione tecnica disponibile e le istruzioni impartite al soggetto incaricato. L’azienda deve sapere se il tracciamento è attivo, chi può consultare i dati, quali informazioni vengono conservate e se eventuali modifiche delle preferenze privacy sono effettivamente recepite dal sistema.
Il controllo tecnico assume particolare rilievo quando l’impresa utilizza più strumenti collegati, ad esempio un gestionale commerciale, una piattaforma newsletter e un servizio di marketing automation. In queste situazioni, disattivare il monitoraggio in una sola applicazione potrebbe non essere sufficiente, perché altri sistemi continuano a inserire risorse traccianti nei messaggi. Per approfondire le verifiche sulle funzionalità dei fornitori, abbiamo dedicato un’analisi alle piattaforme newsletter e ai controlli sui tracking pixel prima del loro utilizzo.
Quali verifiche giuridiche servono su consenso, informative, fornitori e documentazione GDPR
Una volta individuati i sistemi di tracciamento, l’azienda deve verificare se il trattamento dei dati personali rispetta il Regolamento (UE) 2016/679, il Codice Privacy e le indicazioni applicabili del Garante. L’analisi non può fermarsi alla presenza di una generica informativa privacy o alla circostanza che il destinatario abbia accettato di ricevere comunicazioni commerciali. Occorre identificare la specifica finalità della rilevazione delle aperture e il presupposto giuridico che ne consente lo svolgimento.
Il trattamento mediante tracking pixel può coinvolgere le disposizioni relative all’accesso a informazioni presenti nell’apparecchiatura terminale dell’utente, oltre alle regole generali sulla protezione dei dati personali. L’articolo 122 del Codice Privacy disciplina l’archiviazione di informazioni e l’accesso a quelle già archiviate nel terminale, prevedendo il consenso salve le eccezioni applicabili. La qualificazione del sistema richiede di considerare il suo concreto funzionamento tecnico, senza presumere che tutti i meccanismi di rilevazione delle aperture siano identici.
Quando il consenso è necessario, deve essere acquisito prima del trattamento, essere specifico, informato, libero e documentabile. L’impresa deve verificare che le scelte espresse dal destinatario siano effettivamente rispettate dal software. Non basta predisporre una casella nel modulo di iscrizione se il sistema continua a registrare le aperture anche per chi non ha autorizzato il monitoraggio. Le modalità di raccolta e gestione sono approfondite nel nostro articolo sul consenso ai tracking pixel nelle e-mail.
La verifica deve comprendere anche le informative rese agli interessati. L’azienda deve accertare che siano descritte in modo comprensibile le finalità del tracciamento, le categorie di dati trattati, la base giuridica, i soggetti coinvolti, i tempi di conservazione e le modalità di esercizio dei diritti. Le informazioni devono corrispondere alle operazioni realmente effettuate. Un’informativa che menziona genericamente l’utilizzo di strumenti statistici potrebbe risultare insufficiente quando il sistema permette di ricostruire le aperture riferibili a singoli destinatari.
Un altro profilo riguarda i rapporti contrattuali con i fornitori. Se la piattaforma newsletter o l’agenzia marketing tratta dati personali per conto dell’impresa, occorre verificare la corretta qualificazione dei ruoli e, quando ricorrono i presupposti, la presenza di un accordo conforme all’articolo 28 GDPR. Il contratto deve essere coerente con le operazioni effettivamente affidate, comprese le eventuali attività di monitoraggio. Devono essere esaminati anche i subfornitori, i luoghi di trattamento e gli eventuali trasferimenti di dati personali verso Paesi terzi.
La documentazione interna deve riflettere il funzionamento effettivo del sistema. L’azienda deve valutare se aggiornare il registro delle attività di trattamento, le istruzioni agli autorizzati, le procedure di gestione delle preferenze e le misure di sicurezza. La necessità di una valutazione d’impatto ai sensi dell’articolo 35 GDPR non discende automaticamente dall’impiego di un tracking pixel, ma deve essere esaminata quando le caratteristiche complessive del trattamento possono comportare un rischio elevato per i diritti e le libertà delle persone fisiche.
Il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, GDPR impone al titolare di essere in grado di dimostrare il rispetto dei principi applicabili. Per questo motivo, la verifica dovrebbe lasciare una documentazione delle funzionalità esaminate, delle decisioni assunte, delle configurazioni adottate e delle eventuali misure correttive. Una dichiarazione generica del fornitore secondo cui la piattaforma è conforme al GDPR non sostituisce la valutazione che compete all’azienda.
Responsabilità aziendali, rischi di contestazione e interventi correttivi sui tracking pixel
Quando una verifica interna accerta che le e-mail aziendali utilizzano tracking pixel senza rispettare i requisiti applicabili, il titolare del trattamento deve valutare tempestivamente le misure correttive. La presenza di una funzionalità di monitoraggio non determina automaticamente una violazione del GDPR, ma l’utilizzo di strumenti che raccolgono informazioni sui destinatari senza un valido presupposto giuridico può esporre l’impresa a contestazioni da parte del Garante Privacy. La valutazione deve considerare il funzionamento del sistema, le finalità perseguite, le informazioni fornite agli interessati e le modalità con cui sono state gestite le loro scelte.
Un problema frequente riguarda le piattaforme che registrano automaticamente le aperture delle newsletter e associano gli eventi ai singoli indirizzi e-mail. Se il monitoraggio richiede il consenso e questo non è stato acquisito validamente, l’azienda deve intervenire sulla configurazione del servizio, evitando che il trattamento prosegua nelle medesime condizioni. La correzione può richiedere la disattivazione dei pixel, la separazione delle preferenze relative alla newsletter da quelle riguardanti il tracciamento oppure la modifica delle procedure di invio. La semplice modifica dell’informativa privacy non regolarizza retroattivamente un trattamento effettuato senza i necessari presupposti.
La verifica deve estendersi ai dati già raccolti. Occorre individuare quali informazioni siano state registrate, per quanto tempo siano state conservate, se siano state comunicate a fornitori e se abbiano alimentato ulteriori attività, come la segmentazione commerciale o l’attivazione di campagne automatizzate. La decisione sull’eventuale cancellazione dei dati deve essere assunta considerando la liceità del trattamento, le finalità originarie e gli obblighi applicabili. Non è sufficiente disattivare il tracciamento futuro lasciando inesaminate le informazioni precedentemente acquisite.
Particolare attenzione richiedono le piattaforme collegate al CRM aziendale. Un destinatario potrebbe aver revocato il consenso al monitoraggio delle aperture, mentre un’automazione continua a utilizzare le informazioni precedentemente registrate o riattiva il tracciamento durante una successiva campagna. L’azienda deve quindi verificare che le preferenze siano correttamente sincronizzate tra i sistemi e che le istruzioni impartite ai fornitori siano effettivamente applicate. Per gli aspetti organizzativi relativi alla gestione delle revoche abbiamo approfondito il problema nell’articolo dedicato alla revoca del tracciamento senza rinunciare alla newsletter.
Il titolare deve inoltre valutare il rischio derivante da eventuali reclami dei destinatari. Una richiesta di accesso ai dati personali potrebbe riguardare anche le informazioni registrate attraverso i tracking pixel, comprese quelle riferibili alle aperture dei messaggi. L’impresa deve essere in grado di individuare i dati effettivamente trattati e rispondere nei termini previsti dal GDPR. Se riceve una richiesta di informazioni dal Garante, deve poter ricostruire le caratteristiche del trattamento e documentare le valutazioni effettuate.
Le conseguenze di una violazione dipendono dalle disposizioni concretamente inosservate e dalle circostanze del caso. Il GDPR prevede, all’articolo 83, sanzioni amministrative pecuniarie graduate secondo diversi criteri, tra cui natura, gravità e durata della violazione, carattere doloso o colposo della condotta, categorie di dati interessati e misure adottate per attenuarne le conseguenze. Non ogni irregolarità comporta necessariamente una sanzione pecuniaria, ma il Garante può esercitare i poteri correttivi previsti dall’articolo 58 del Regolamento, comprese le prescrizioni dirette a rendere conforme il trattamento.
Per le aziende che utilizzano stabilmente strumenti di e-mail marketing, la gestione del problema richiede il coordinamento tra direzione, ufficio marketing, responsabili IT e soggetti incaricati della privacy. Il DPO, quando nominato, svolge le funzioni di consulenza e sorveglianza previste dall’articolo 39 GDPR, senza sostituirsi al titolare nelle decisioni sul trattamento. Un audit documentato permette di individuare le non conformità, attribuire le attività correttive e verificare che le modifiche siano state effettivamente applicate. La necessità di un’assistenza legale specialistica diventa particolarmente concreta quando emergono trattamenti già effettuati senza adeguata base giuridica, contestazioni dei destinatari o difficoltà nel ricostruire le operazioni svolte dai fornitori.
Consideriamo il caso di una società commerciale che utilizza da diversi anni una piattaforma newsletter collegata al proprio CRM. Il reparto marketing consulta regolarmente le statistiche di apertura delle campagne e utilizza i dati per valutare l’interesse dei clienti. Durante una verifica della documentazione privacy emerge che il sistema registra gli eventi associandoli ai singoli destinatari, mentre il modulo di iscrizione contiene soltanto il consenso alla ricezione delle comunicazioni promozionali.
La società deve anzitutto ricostruire le caratteristiche tecniche del monitoraggio, verificare le impostazioni della piattaforma e distinguere le finalità di invio delle comunicazioni da quelle di tracciamento. L’analisi riguarda anche i contatti già presenti nel database, le informazioni conservate e gli accordi con il fornitore del servizio. L’aspetto più delicato consiste nel verificare se il sistema consenta di rispettare le diverse preferenze dei destinatari senza interrompere necessariamente l’invio delle newsletter.
Una possibile modalità di intervento prevede la sospensione delle funzionalità di tracciamento prive dei necessari presupposti, la revisione delle informative e delle procedure di consenso, la verifica dei dati precedentemente raccolti e la documentazione delle modifiche tecniche. La società può così riorganizzare il sistema di comunicazione sulla base di una valutazione specifica dei trattamenti effettivamente svolti. Si tratta di un esempio illustrativo, non riferito a un incarico professionale documentato, e le misure concretamente necessarie dipendono dalle caratteristiche del servizio utilizzato.
FAQ: domande frequenti sulla verifica dei tracking pixel nelle e-mail aziendali
Come può un’azienda verificare se le proprie e-mail contengono tracking pixel?
Occorre esaminare le impostazioni della piattaforma newsletter, del CRM e degli eventuali sistemi di marketing automation, verificando se i messaggi incorporano risorse remote utilizzate per registrare le aperture. Il controllo deve accertare quali dati vengono raccolti, se sono associabili ai singoli destinatari e quali finalità vengono perseguite. La presenza di statistiche aggregate non esclude che il sistema abbia precedentemente trattato dati personali individuali.
Non necessariamente. Il consenso alla ricezione di comunicazioni commerciali non comprende automaticamente il monitoraggio delle aperture. Occorre verificare la finalità del tracciamento, le disposizioni applicabili e l’eventuale necessità di un consenso specifico. Quando il consenso è richiesto, l’azienda deve poter dimostrare che sia stato validamente acquisito e che il sistema rispetti le preferenze espresse dal destinatario.
Chi risponde se i tracking pixel sono stati attivati dall’agenzia marketing?
L’affidamento delle campagne a un fornitore esterno non esonera automaticamente l’azienda dalle responsabilità che le competono come titolare del trattamento. Occorre verificare i ruoli privacy, gli accordi contrattuali, le istruzioni impartite e le operazioni effettivamente svolte. Anche l’agenzia o il fornitore possono assumere responsabilità proprie in relazione alla qualificazione giuridica del loro ruolo e alle condotte concretamente tenute.
Che cosa deve fare un’azienda se scopre di aver tracciato le aperture senza un consenso valido?
Deve accertare anzitutto se il trattamento richiedesse effettivamente il consenso e se esistessero altri presupposti normativi applicabili. Quando emerge una violazione, occorre interrompere o modificare le operazioni non conformi, esaminare i dati già raccolti, valutare gli eventuali obblighi conseguenti e documentare le misure correttive. La raccolta successiva di nuovi consensi non rende automaticamente leciti i trattamenti precedentemente effettuati.
Quando è opportuno richiedere un audit GDPR sui tracking pixel?
Una verifica professionale è particolarmente indicata quando l’azienda utilizza più piattaforme collegate, dispone di database di contatti raccolti nel corso degli anni, non conosce le impostazioni di tracciamento attive oppure ha ricevuto reclami o richieste di chiarimento. L’audit consente di esaminare congiuntamente gli aspetti tecnici, le basi giuridiche, la documentazione privacy e i rapporti con i fornitori, individuando gli interventi necessari in relazione al caso concreto.
Verifica della conformità dei tracking pixel: consulenza legale GDPR per aziende
Le aziende che utilizzano newsletter, CRM e sistemi di e-mail marketing devono poter ricostruire le modalità con cui vengono rilevate le aperture dei messaggi e dimostrare che il trattamento dei dati personali avviene nel rispetto delle disposizioni applicabili. Quando emergono configurazioni non verificate, consensi insufficienti, informative incomplete o difficoltà nella gestione dei fornitori, è opportuno procedere con una valutazione giuridica e organizzativa specifica.
Presso lo Studio Legale Calvello dell’Avvocato Claudio Calvello assistiamo le imprese nella verifica della conformità GDPR dei sistemi di tracciamento delle e-mail, nell’esame della documentazione privacy, nella valutazione delle responsabilità e nell’individuazione degli interventi correttivi. Possiamo affiancare la direzione aziendale, i responsabili IT e marketing e il DPO nelle attività di audit e nei rapporti con i fornitori, nonché fornire assistenza in presenza di contestazioni o richieste del Garante Privacy.
Per sottoporre alla nostra attenzione il sistema di invio utilizzato dall’azienda e valutare le verifiche necessarie, è possibile richiedere una consulenza legale in materia di privacy e compliance aziendale.
