Articolo a cura di: Redazione - Studio Legale Calvello
Un’azienda che invia newsletter o comunicazioni commerciali può utilizzare, anche senza esserne pienamente consapevole, strumenti che rilevano quando un destinatario apre un’e-mail. Molte piattaforme di email marketing inseriscono automaticamente piccoli elementi grafici invisibili, denominati tracking pixel, che consentono di raccogliere informazioni sulle aperture e, secondo la configurazione adottata, di associarle a singoli contatti. Il problema riguarda la liceità del tracciamento: il consenso prestato per ricevere una newsletter non autorizza automaticamente qualsiasi forma di monitoraggio del comportamento del destinatario.
Le indicazioni del Garante per la protezione dei dati personali impongono alle imprese di valutare le finalità effettive del tracciamento, le informazioni raccolte e le condizioni che rendono lecito il trattamento. Quando è necessario il consenso, occorre acquisirlo prima dell’attivazione del pixel, documentarlo e consentirne la revoca. Per le aziende che utilizzano database commerciali, CRM e piattaforme di automazione, la questione richiede quindi una verifica sia giuridica sia tecnica, soprattutto quando il sistema di tracciamento è già operativo.
Quando il consenso ai tracking pixel nelle e-mail è necessario
I tracking pixel sono generalmente costituiti da immagini di dimensioni minime, spesso pari a un solo pixel, caricate da un server remoto quando il programma di posta elettronica visualizza il messaggio. La richiesta al server può consentire di rilevare l’apertura dell’e-mail e raccogliere informazioni tecniche, tra cui l’indirizzo IP, l’orario della richiesta e altri dati dipendenti dal funzionamento del sistema. Se il pixel è associato a un identificativo univoco, l’azienda può collegare l’evento a uno specifico destinatario.
Il fatto che il destinatario non veda materialmente il pixel non rende irrilevante il trattamento. Al contrario, la raccolta di informazioni mediante elementi invisibili richiede particolare attenzione alla trasparenza e alla base giuridica. Occorre distinguere il trattamento dell’indirizzo e-mail necessario per inviare una comunicazione dal trattamento ulteriore finalizzato a sapere se, quando e in quali circostanze il messaggio sia stato aperto.
Per comprendere quando sia necessario acquisire il consenso, dobbiamo considerare congiuntamente il Regolamento (UE) 2016/679, il Codice Privacy e la disciplina relativa all’accesso alle informazioni presenti nelle apparecchiature terminali degli utenti. L’articolo 122 del D.Lgs. 196/2003, in attuazione della disciplina europea ePrivacy, prevede specifiche condizioni per l’archiviazione di informazioni o l’accesso a informazioni già archiviate nel terminale. Quando una tecnologia di tracciamento rientra in questo ambito, il consenso preventivo costituisce la regola, salve le deroghe normativamente previste.
Non è quindi corretto ritenere che l’azienda possa utilizzare liberamente un tracking pixel soltanto perché dispone già di una base giuridica per inviare la newsletter. Allo stesso modo, il legittimo interesse previsto dall’articolo 6, paragrafo 1, lettera f), GDPR non può essere utilizzato per superare un obbligo di consenso imposto dalla disciplina ePrivacy. La valutazione della base giuridica del trattamento dei dati personali rimane distinta dalla verifica delle condizioni per l’impiego della tecnologia sul terminale del destinatario.
Nelle newsletter promozionali, il tracciamento individuale delle aperture viene frequentemente utilizzato per misurare l’interesse dei destinatari, valutare l’efficacia delle campagne e organizzare successivi invii. Quando queste operazioni richiedono il consenso, l’azienda deve poter dimostrare che il destinatario abbia ricevuto informazioni adeguate e manifestato una volontà valida rispetto alle finalità effettivamente perseguite. Non è sufficiente richiamare genericamente l’esistenza di statistiche commerciali o inserire una clausola poco comprensibile nell’informativa.
Una questione diversa riguarda i sistemi impiegati esclusivamente per esigenze tecniche strettamente necessarie alla trasmissione della comunicazione o all’erogazione di un servizio espressamente richiesto. L’eventuale applicabilità di una deroga deve essere verificata rispetto alla concreta funzione del pixel e ai requisiti previsti dalla normativa. La semplice qualificazione del tracciamento come tecnico, statistico o funzionale non basta a escludere l’obbligo di consenso. Per questa ragione, nelle nostre valutazioni distinguiamo sempre la finalità dichiarata dall’azienda dalle operazioni realmente effettuate dalla piattaforma.
Come raccogliere un consenso valido per il tracciamento delle aperture
Quando il consenso è necessario, la sua raccolta deve rispettare i requisiti stabiliti dagli articoli 4, punto 11, e 7 del GDPR: deve essere libero, specifico, informato e manifestato attraverso un’azione positiva inequivocabile. Per un’impresa che utilizza moduli di iscrizione alle newsletter, questo significa predisporre un percorso nel quale il destinatario possa comprendere che, oltre a ricevere le comunicazioni, potrà essere effettuato un monitoraggio delle aperture mediante tracking pixel.
Il primo aspetto riguarda il rapporto tra consenso all’invio delle comunicazioni commerciali e consenso al tracciamento. Non esiste una regola secondo cui debbano sempre essere raccolti due consensi materialmente distinti per qualsiasi newsletter. Occorre verificare se le finalità siano sufficientemente determinate, omogenee e adeguatamente rappresentate all’interessato, oppure se il tracciamento costituisca un trattamento ulteriore che richiede una scelta autonoma. L’impiego dei dati di apertura per costruire profili individuali, attribuire punteggi commerciali o attivare campagne personalizzate può rendere necessaria una valutazione distinta rispetto alla semplice misurazione delle prestazioni degli invii.
La soluzione organizzativa non può quindi essere individuata contando le caselle presenti nel modulo. Una checkbox separata può essere appropriata quando occorre consentire all’interessato di scegliere autonomamente se autorizzare il monitoraggio. In altri casi, la valutazione deve riguardare la possibilità di formulare un consenso sufficientemente specifico per le operazioni effettivamente previste. Ciò che conta è evitare che il destinatario sia indotto ad accettare trattamenti ulteriori senza comprenderne la portata o senza disporre della libertà di scelta richiesta dalla normativa.
Le caselle di consenso non devono essere preselezionate e l’eventuale accettazione deve derivare da un comportamento attivo. L’informazione resa accanto al modulo deve essere chiara e collegata a un’informativa accessibile, nella quale siano descritte le finalità del tracciamento, le categorie di dati raccolti, i soggetti coinvolti e le modalità di esercizio dei diritti. Per gli aspetti relativi al contenuto delle comunicazioni informative, abbiamo predisposto anche un approfondimento su cosa indicare nell’informativa sui tracking pixel nei moduli e nelle e-mail.
Un’ulteriore verifica riguarda il momento in cui il consenso viene acquisito. Il pixel soggetto a consenso non deve iniziare a operare prima che l’interessato abbia espresso una scelta valida. L’azienda deve pertanto controllare che la piattaforma newsletter consenta di gestire correttamente i contatti che hanno autorizzato il tracciamento e quelli per i quali tale autorizzazione manca. La sola presenza di una casella nel sito web non risolve il problema se il software continua a inserire automaticamente pixel identificativi in tutte le comunicazioni inviate.
La prova del consenso deve essere conservata in modo da permettere al titolare del trattamento di dimostrare le condizioni nelle quali è stato raccolto. A seconda dell’architettura utilizzata, possono assumere rilievo la versione dell’informativa, il testo sottoposto all’interessato, la data della manifestazione di volontà e la registrazione delle preferenze. Il double opt-in, spesso utilizzato per verificare la disponibilità dell’indirizzo e-mail, non costituisce da solo una prova sufficiente dell’autorizzazione al tracciamento se il percorso di iscrizione non ha contemplato adeguatamente questa finalità.
La raccolta del consenso deve infine essere progettata considerando la sua successiva gestione. L’articolo 7, paragrafo 3, GDPR riconosce all’interessato il diritto di revocare il consenso in qualsiasi momento, con modalità agevoli quanto quelle previste per prestarlo. Se il sistema consente di continuare a ricevere la newsletter senza essere monitorati, tale possibilità deve trovare corrispondenza nelle configurazioni tecniche e nelle preferenze registrate. Le modalità organizzative della revoca sono approfondite nell’articolo dedicato a come revocare il tracciamento senza rinunciare alla newsletter.
Obblighi dell’azienda, controlli sul consenso e responsabilità per il tracciamento delle e-mail
La raccolta del consenso rappresenta soltanto una parte degli adempimenti necessari per utilizzare correttamente i tracking pixel. L’azienda deve verificare che le scelte espresse dai destinatari siano effettivamente rispettate dalla piattaforma di invio, che le operazioni di trattamento siano documentate e che il sistema non raccolga informazioni ulteriori rispetto a quelle dichiarate. Un consenso formalmente corretto può risultare insufficiente se la configurazione tecnica del servizio non corrisponde alle condizioni comunicate all’interessato.
Il primo controllo riguarda il funzionamento concreto del software di email marketing. Molte piattaforme consentono di attivare automaticamente il monitoraggio delle aperture per tutte le campagne, senza distinguere i destinatari che hanno autorizzato il tracciamento da quelli che non lo hanno fatto. L’impresa deve quindi verificare se il sistema permette di escludere i pixel per determinati contatti, conservare le preferenze e impedire che successive modifiche delle impostazioni riattivino trattamenti non autorizzati. Quando vengono utilizzati più strumenti, come un CRM collegato a una piattaforma newsletter, occorre accertare che le informazioni relative al consenso siano coerenti e correttamente sincronizzate.
Particolare attenzione merita la documentazione del trattamento. In applicazione del principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, GDPR, il titolare deve poter dimostrare la liceità delle operazioni effettuate. Per il tracciamento delle e-mail, ciò comporta la necessità di conservare evidenze attendibili delle scelte espresse dagli interessati, verificare la corretta descrizione delle finalità e valutare l’aggiornamento del registro delle attività di trattamento, quando applicabile. Devono essere definiti anche i tempi di conservazione dei dati sulle aperture, evitando che informazioni individuali rimangano disponibili senza una giustificazione coerente con le finalità perseguite.
Quando il servizio è affidato a un fornitore esterno che tratta dati personali per conto dell’azienda, occorre verificare il rapporto ai sensi dell’articolo 28 GDPR, le istruzioni impartite e le garanzie contrattuali. Non basta che il fornitore dichiari genericamente la conformità della propria piattaforma: il titolare deve conoscere quali dati vengono raccolti, per quali finalità, dove sono trattati e quali controlli tecnici sono effettivamente disponibili. L’eventuale trasferimento di dati personali verso Paesi terzi richiede ulteriori verifiche secondo le disposizioni del Capo V del GDPR.
La responsabilità dell’azienda non viene meno quando il tracking pixel è inserito automaticamente dal software o configurato da un’agenzia esterna. La ripartizione delle responsabilità dipende dai ruoli effettivamente assunti dai soggetti coinvolti e dalle decisioni relative alle finalità e ai mezzi del trattamento. Il titolare deve comunque verificare la liceità delle attività svolte per proprio conto. Per un controllo preliminare delle impostazioni e dei trattamenti abbiamo predisposto l’approfondimento Tracking pixel nelle e-mail aziendali: cosa verificare per essere in regola.
Se il tracciamento viene effettuato in violazione della normativa, possono emergere contestazioni relative alla mancanza di una valida base giuridica, all’insufficiente trasparenza, alla raccolta non autorizzata di informazioni o alla mancata osservanza delle preferenze degli interessati. Le conseguenze dipendono dalla violazione concretamente accertata, dalla disciplina applicabile e dalle circostanze del caso. Il GDPR prevede, nei casi contemplati dall’articolo 83, sanzioni amministrative pecuniarie la cui determinazione richiede una valutazione dei criteri normativi; non ogni irregolarità comporta automaticamente l’applicazione della sanzione massima.
Quando l’impresa scopre di avere utilizzato tracking pixel senza aver verificato adeguatamente i consensi, è opportuno esaminare tempestivamente le configurazioni, le finalità perseguite e la documentazione disponibile. Può essere necessario sospendere determinate funzioni, correggere i moduli di raccolta del consenso o modificare le modalità di invio. Acquisire oggi un consenso non rende automaticamente leciti i trattamenti eventualmente effettuati in passato senza i necessari presupposti. La gestione dei contatti già presenti nel database richiede una valutazione specifica, approfondita nell’articolo Newsletter già attive e tracking pixel: come gestire vecchi contatti e consensi.
Consideriamo il caso esemplificativo di una società commerciale che utilizza un modulo sul proprio sito per raccogliere iscrizioni alla newsletter. Il modulo prevede una casella di consenso all’invio di comunicazioni promozionali, mentre la piattaforma di email marketing registra automaticamente le aperture dei messaggi e associa le informazioni ai singoli destinatari. La società utilizza questi dati per valutare l’interesse dei contatti, senza aver verificato se le informazioni fornite durante l’iscrizione descrivano adeguatamente il monitoraggio.
Nel corso di una verifica della conformità GDPR, esaminiamo il percorso di iscrizione, il contenuto dell’informativa, le finalità del tracciamento e le impostazioni della piattaforma. L’aspetto più delicato consiste nello stabilire se il consenso già raccolto possa comprendere legittimamente le operazioni effettuate oppure se occorra una manifestazione di volontà distinta. Verifichiamo anche la possibilità tecnica di disabilitare il pixel per i contatti privi di un consenso valido.
La riorganizzazione può richiedere una modifica dei testi utilizzati nei moduli, l’aggiornamento delle procedure interne e una diversa configurazione degli invii. Per i contatti già acquisiti viene effettuata una valutazione separata, senza presumere che il consenso alla newsletter autorizzi automaticamente ogni successiva attività di monitoraggio. L’obiettivo dell’intervento è rendere coerenti le informazioni fornite agli interessati, le scelte registrate e il funzionamento effettivo del sistema.
Domande frequenti sul consenso ai tracking pixel nelle e-mail
Non necessariamente. Occorre verificare quali finalità siano state comunicate al destinatario e quali operazioni siano effettivamente svolte. Il consenso all’invio di comunicazioni promozionali non autorizza automaticamente qualsiasi attività di tracciamento. La possibilità di utilizzare un consenso unico dipende dalla specificità delle finalità, dalla trasparenza delle informazioni e dalle condizioni previste dalla normativa applicabile.
È obbligatorio inserire una checkbox separata per i tracking pixel?
Non in ogni situazione. La normativa richiede un consenso valido per le finalità che lo necessitano, ma non impone indistintamente una casella autonoma per qualsiasi funzione di tracciamento. Una scelta separata può essere necessaria quando il monitoraggio persegue finalità ulteriori e distinguibili, soprattutto se i dati vengono utilizzati per profilazione o attività commerciali personalizzate. La configurazione del modulo deve essere valutata rispetto ai trattamenti concretamente effettuati.
Il double opt-in è sufficiente per dimostrare il consenso ai tracking pixel?
No, se la procedura si limita a confermare la disponibilità dell’indirizzo e-mail o la volontà di iscriversi alla newsletter. Il double opt-in può contribuire alla documentazione del consenso, ma non sostituisce l’obbligo di informare correttamente l’interessato sulle finalità del tracciamento. L’azienda deve poter dimostrare anche quali informazioni siano state fornite e quale scelta sia stata effettivamente espressa.
Un’azienda può utilizzare il legittimo interesse per tracciare le aperture delle e-mail?
Il legittimo interesse non può sostituire il consenso quando quest’ultimo è richiesto dalla disciplina applicabile all’accesso alle informazioni presenti nel terminale dell’utente. Occorre distinguere le condizioni per l’utilizzo della tecnologia dalla base giuridica del successivo trattamento dei dati personali. La sola esigenza aziendale di misurare l’efficacia delle campagne non costituisce una deroga automatica all’obbligo di consenso.
Quali conseguenze rischia un’azienda che utilizza tracking pixel senza un consenso valido?
L’impresa può essere esposta a reclami degli interessati, accertamenti del Garante Privacy e provvedimenti correttivi o sanzionatori, secondo la violazione effettivamente riscontrata. La valutazione dipende dalle caratteristiche del tracciamento, dalle informazioni raccolte, dalle finalità perseguite e dalle misure adottate dal titolare. Quando emerge una possibile irregolarità, è opportuno verificare tempestivamente il sistema e individuare gli interventi necessari, senza presumere che una successiva modifica del modulo di iscrizione regolarizzi automaticamente i trattamenti precedenti.
Consulenza legale per verificare e adeguare il consenso ai tracking pixel aziendali
Per un’azienda che utilizza newsletter, CRM o piattaforme di email marketing, la corretta raccolta del consenso ai tracking pixel richiede coerenza tra informativa, moduli di iscrizione, preferenze dei destinatari e configurazione tecnica degli strumenti. Le criticità possono emergere anche quando il sistema è operativo da anni o quando il tracciamento viene gestito da un fornitore esterno.
Come Studio Legale Calvello assistiamo le imprese nella valutazione della liceità dei trattamenti, nella revisione delle modalità di raccolta del consenso e nella verifica degli adempimenti GDPR connessi al monitoraggio delle comunicazioni elettroniche. Interveniamo anche quando occorre esaminare consensi già acquisiti, correggere procedure esistenti o affrontare contestazioni relative al tracciamento.
Per sottoporci la situazione della vostra azienda e valutare gli interventi necessari, potete richiedere una consulenza legale in materia di privacy e compliance aziendale allo Studio Legale Calvello.
