Articolo a cura di: Redazione - Studio Legale Calvello
Un’azienda che invia newsletter da anni può disporre di migliaia di contatti regolarmente acquisiti, ma non avere mai verificato se il consenso originario copra anche il monitoraggio delle aperture mediante tracking pixel. Le indicazioni del Garante Privacy impongono di esaminare questa situazione distinguendo il diritto di continuare a inviare le comunicazioni dalla possibilità di tracciare il comportamento dei destinatari. Un consenso valido per ricevere una newsletter non autorizza automaticamente qualsiasi forma di tracciamento, mentre la presenza di vecchi iscritti non comporta necessariamente l’obbligo di cancellare il database o interrompere tutte le campagne. Per le imprese che utilizzano mailing list storiche, il problema consiste nel verificare le condizioni originarie di iscrizione, aggiornare le informazioni fornite agli interessati e decidere come gestire i contatti per i quali manca un’autorizzazione adeguata al monitoraggio.
Newsletter già attive: perché i vecchi consensi possono non essere sufficienti per i tracking pixel
Molte imprese hanno costruito il proprio database di email marketing attraverso moduli presenti sul sito aziendale, richieste di informazioni, registrazioni a eventi, acquisti online o rapporti commerciali consolidati. Nel tempo, questi contatti sono stati trasferiti tra piattaforme differenti, utilizzati per campagne periodiche e talvolta associati a sistemi automatici che registrano le aperture dei messaggi. Il problema emerge quando l’azienda scopre che il software impiegato inserisce nelle newsletter un’immagine invisibile, generalmente associata a un identificativo, attraverso la quale vengono raccolte informazioni sulle interazioni del destinatario.
Il Garante per la protezione dei dati personali, nelle Linee guida del 17 aprile 2026 sull’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica, ha chiarito che questi strumenti rientrano nell’ambito applicativo dell’articolo 122 del Codice Privacy. La disciplina riguarda l’archiviazione di informazioni nel terminale dell’utente e l’accesso a informazioni già archiviate, e si applica insieme alle disposizioni pertinenti del Regolamento (UE) 2016/679. Il fatto che il destinatario abbia volontariamente fornito il proprio indirizzo email non elimina quindi la necessità di verificare la liceità delle successive operazioni di monitoraggio.
La prima distinzione riguarda il consenso alla ricezione delle comunicazioni e quello relativo all’impiego dei tracking pixel. Le Linee guida ammettono, in linea di principio, che il consenso al tracciamento possa essere ricompreso nel consenso più generale alle comunicazioni promozionali. Questa possibilità presuppone però che l’interessato sia stato informato adeguatamente dell’utilizzo dei pixel e delle relative finalità e che la manifestazione di volontà soddisfi i requisiti di libertà, specificità e consapevolezza. Non è dunque corretto sostenere che ogni azienda debba necessariamente raccogliere due consensi distinti, così come non sarebbe corretto considerare sufficiente una vecchia autorizzazione formulata senza alcun riferimento al monitoraggio delle interazioni.
Si pensi a un modulo di iscrizione utilizzato diversi anni prima, nel quale l’utente abbia selezionato una casella accompagnata dalla sola dicitura «Desidero ricevere aggiornamenti e comunicazioni commerciali». Se l’informativa allora disponibile non spiegava che le email sarebbero state monitorate attraverso identificativi individuali, quel consenso non può essere considerato automaticamente idoneo a legittimare anche il tracciamento delle aperture. La verifica deve riguardare il contenuto effettivo dell’informativa, le finalità dichiarate, la configurazione del sistema e le informazioni che l’azienda è in grado di documentare.
Una situazione differente può presentarsi quando il trattamento è finalizzato esclusivamente a ottenere statistiche aggregate e vengono adottate tecniche che impediscono di misurare il comportamento del singolo destinatario. Le indicazioni del Garante contemplano, a determinate condizioni, una deroga al consenso per questa tipologia di attività. Non è però sufficiente che la piattaforma mostri al responsabile marketing soltanto percentuali complessive: occorre verificare se, durante la raccolta e l’elaborazione, vengano comunque registrate informazioni riconducibili ai singoli iscritti. Per questo specifico profilo abbiamo dedicato un approfondimento alle statistiche aggregate sulle aperture delle newsletter e ai limiti del monitoraggio senza consenso.
Per un’azienda con una mailing list storica, la questione non riguarda soltanto la formulazione dei vecchi moduli. Occorre comprendere se il monitoraggio sia stato introdotto successivamente all’iscrizione, se siano cambiate le finalità del trattamento e se il passaggio a un nuovo fornitore abbia comportato l’attivazione di funzionalità prima inesistenti. Una newsletter avviata molti anni fa può infatti essere stata originariamente gestita senza alcun sistema di tracciamento e utilizzare oggi strumenti capaci di associare a ciascun contatto uno storico delle aperture. In questo caso, la continuità del rapporto con l’iscritto non rende automaticamente legittima la nuova modalità di trattamento.
La gestione dei vecchi contatti richiede anzitutto una ricostruzione documentale. Noi riteniamo opportuno partire dalle modalità attraverso le quali gli indirizzi email sono entrati nel database, distinguendo gli iscritti che hanno espresso un consenso documentabile, i clienti raggiunti mediante comunicazioni commerciali consentite dalla disciplina applicabile e i contatti per i quali non è più possibile ricostruire con sufficiente attendibilità la provenienza o la base giuridica dell’invio. Questa distinzione è necessaria perché la liceità dell’invio della newsletter e quella del tracking pixel devono essere valutate separatamente.
Per ciascun gruppo di destinatari occorre esaminare, quando disponibili, la data di acquisizione del contatto, il testo del modulo originario, la versione dell’informativa, le finalità indicate e le eventuali successive modifiche delle preferenze. Le registrazioni conservate dalla piattaforma, come i log di iscrizione e le informazioni sul consenso, possono contribuire alla verifica, ma non dimostrano necessariamente che il destinatario fosse stato informato anche dell’utilizzo dei pixel. Una registrazione che attesti soltanto l’iscrizione alla newsletter non documenta, da sola, il contenuto dell’informazione ricevuta in quel momento.
Particolare attenzione merita il caso delle aziende che utilizzano il cosiddetto soft spam, disciplinato dall’articolo 130, comma 4, del Codice Privacy. In presenza dei relativi presupposti, questa disposizione consente l’utilizzo dell’indirizzo email acquisito nel contesto della vendita di un prodotto o servizio per promuovere prodotti o servizi propri analoghi, assicurando all’interessato la possibilità di opporsi. La deroga relativa all’invio delle comunicazioni non costituisce però un’autorizzazione generale al tracciamento individuale delle aperture. Un’impresa può quindi trovarsi nella condizione di poter continuare legittimamente a inviare determinate comunicazioni commerciali senza essere autorizzata a monitorare il comportamento dei singoli destinatari.
Una volta individuati i diversi gruppi di contatti, bisogna verificare quali operazioni siano concretamente eseguite dalla piattaforma. Alcuni sistemi associano automaticamente a ciascun indirizzo informazioni sulle aperture; altri consentono di disattivare il monitoraggio o differenziare le impostazioni in funzione delle preferenze registrate. La verifica non dovrebbe limitarsi alle schermate dei report, ma comprendere le modalità di generazione dei messaggi e di raccolta dei dati. Quando il fornitore non permette di escludere il pixel per determinati destinatari, l’azienda deve valutare una configurazione alternativa o la sospensione del monitoraggio individuale, senza presumere che sia necessario interrompere anche l’invio delle newsletter legittimamente autorizzate.
Per i trattamenti già in corso, le Linee guida del Garante prevedono che l’informativa possa essere fornita con il primo messaggio utile oppure nel primo momento utile di discontinuità nel rapporto con l’interessato. Questa indicazione consente di organizzare l’aggiornamento informativo dei contatti esistenti, ma non equivale a una sanatoria automatica di precedenti trattamenti illeciti né permette di sostituire con una semplice informativa un consenso effettivamente necessario. Occorre distinguere l’adempimento degli obblighi di trasparenza dalla verifica delle condizioni che consentono di utilizzare i pixel.
La scelta di richiedere un nuovo consenso dipende quindi dalle caratteristiche del trattamento e dalla validità delle manifestazioni di volontà già raccolte. Quando il consenso precedente non risulta adeguato e non ricorre una deroga applicabile, l’azienda deve acquisire un consenso valido prima di effettuare il tracciamento soggetto a tale requisito. L’eventuale mancata risposta dell’interessato non può essere interpretata come accettazione. La newsletter potrà continuare a essere inviata, ove ne ricorrano autonomamente i presupposti, senza attivare il monitoraggio individuale non autorizzato.
Questa organizzazione deve tenere conto anche del diritto dell’iscritto di continuare a ricevere le comunicazioni rinunciando al tracciamento. Il Garante richiede che la revoca sia agevole e granulare, permettendo al destinatario di distinguere la scelta relativa alla newsletter da quella riguardante i tracking pixel. Le imprese devono quindi verificare che le preferenze registrate siano effettivamente rispettate nelle campagne successive, anche quando il database è collegato a un CRM o a sistemi di invio automatico. La gestione operativa di questa distinzione è approfondita nell’articolo dedicato alla revoca del tracciamento senza rinunciare alla newsletter.
La revisione dei consensi pregressi richiede infine di considerare la documentazione del trattamento. Le attività di marketing devono essere rappresentate correttamente nel registro dei trattamenti, quando applicabile, e le informazioni rese agli interessati devono corrispondere alle funzionalità effettivamente utilizzate. È opportuno verificare anche gli accordi con il fornitore della piattaforma e le istruzioni relative alla gestione dei dati personali. La presenza di un responsabile del trattamento esterno non trasferisce automaticamente su quest’ultimo le decisioni che competono all’azienda in qualità di titolare. La possibilità di dimostrare quali controlli siano stati effettuati e quali decisioni siano state assunte assume particolare rilievo quando il database comprende contatti acquisiti in periodi differenti e attraverso procedure che non sono più in uso.
Obblighi e responsabilità dell’azienda nella regolarizzazione dei tracking pixel già utilizzati
Quando un’impresa scopre che le newsletter inviate ai propri contatti storici contengono tracking pixel non adeguatamente considerati nelle informative e nei consensi originari, deve valutare la situazione esistente prima di proseguire con le medesime modalità di monitoraggio. Il primo intervento riguarda la configurazione della piattaforma: occorre stabilire quali dati vengano raccolti, se siano associati ai singoli destinatari, per quali finalità vengano utilizzati e se il sistema consenta di disattivare il tracciamento individuale. La regolarizzazione non consiste semplicemente nell’aggiornare l’informativa privacy, ma nel verificare la liceità delle operazioni effettivamente svolte.
Ai sensi degli articoli 5, paragrafo 2, e 24 del Regolamento (UE) 2016/679, il titolare del trattamento deve essere in grado di dimostrare il rispetto della normativa applicabile. Nel caso delle newsletter già attive, questo principio richiede una verifica documentata delle modalità di acquisizione dei contatti, delle informazioni rese agli interessati e delle impostazioni tecniche del sistema di invio. Se il monitoraggio individuale richiede un consenso che non risulta validamente acquisito, l’azienda deve interrompere tale attività fino alla sussistenza delle condizioni necessarie per riprenderla, valutando separatamente la possibilità di continuare a inviare le comunicazioni commerciali.
Un aspetto particolarmente delicato riguarda i dati sulle aperture già raccolti. La disattivazione dei pixel nelle campagne future non risolve automaticamente la questione delle informazioni conservate nei sistemi aziendali. Occorre verificare se esistano registrazioni individuali delle aperture, quando siano state acquisite, per quali finalità vengano ancora utilizzate e quale sia il relativo periodo di conservazione. Se manca una base giuridica idonea per il trattamento di determinati dati personali, l’impresa deve valutare gli interventi necessari, compresa la loro cancellazione, tenendo conto degli eventuali obblighi di conservazione applicabili e della necessità di documentare le verifiche effettuate.
La gestione delle informazioni pregresse assume ulteriore rilievo quando i dati sulle aperture alimentano segmentazioni commerciali, punteggi attribuiti ai contatti o campagne automatiche. Un sistema CRM potrebbe, per esempio, classificare come particolarmente interessati i destinatari che aprono frequentemente le newsletter e utilizzare questa informazione per selezionare successive comunicazioni. In simili circostanze non basta eliminare il pixel dalle nuove email: bisogna verificare se le informazioni precedentemente raccolte continuino a influenzare le attività commerciali. Il problema è approfondito nel nostro articolo sulle automazioni basate sulle aperture delle email, sulla profilazione e sul lead scoring.
Le responsabilità devono essere esaminate anche nei rapporti con il fornitore della piattaforma newsletter. Se il servizio tratta dati personali per conto dell’azienda, il rapporto deve essere disciplinato secondo l’articolo 28 del GDPR. Il contratto e le istruzioni impartite al responsabile devono essere coerenti con le operazioni effettivamente svolte, comprese quelle relative alla raccolta e alla conservazione delle informazioni sulle interazioni. L’impresa deve inoltre verificare l’eventuale ricorso a subfornitori, la localizzazione dei trattamenti e le condizioni applicabili agli eventuali trasferimenti di dati personali verso Paesi terzi.
Un fornitore che attiva automaticamente il monitoraggio delle aperture non esonera il titolare dalle proprie responsabilità. La scelta della piattaforma, la definizione delle finalità e la decisione di utilizzare le informazioni raccolte per attività commerciali richiedono una valutazione dell’azienda. Quando il servizio non permette di rispettare le preferenze individuali o di separare l’invio delle newsletter dal tracciamento, può rendersi necessario modificare le impostazioni, rivedere i processi di invio oppure considerare strumenti differenti. La verifica delle funzionalità tecniche è trattata nell’approfondimento dedicato alle piattaforme newsletter e ai controlli sui tracking pixel.
Occorre poi aggiornare la documentazione privacy in modo coerente con le decisioni adottate. Le informative devono descrivere le finalità del trattamento, le relative basi giuridiche e gli ulteriori elementi richiesti dagli articoli 13 e 14 del GDPR, secondo le circostanze. Le procedure interne devono consentire di registrare le preferenze degli iscritti e di applicarle correttamente alle successive campagne. Quando l’azienda dispone di un DPO, il responsabile della protezione dei dati deve essere coinvolto secondo le funzioni di consulenza e sorveglianza previste dall’articolo 39 del GDPR, ferma restando la responsabilità del titolare per le decisioni sul trattamento.
Le eventuali violazioni possono esporre l’impresa a contestazioni e all’esercizio dei poteri correttivi del Garante, comprese, nei casi previsti, le sanzioni amministrative. Non ogni irregolarità determina automaticamente una sanzione: assumono rilievo la natura della violazione, le circostanze concrete e i criteri previsti dall’articolo 83 del GDPR. Quando emergono criticità relative a campagne già effettuate, è quindi opportuno documentare tempestivamente le verifiche, le misure correttive e le ragioni delle scelte organizzative, senza presumere che la sola modifica delle impostazioni tecniche elimini ogni conseguenza dei trattamenti precedenti.
Consideriamo il caso di una società commerciale che utilizza da diversi anni una newsletter per comunicare offerte e aggiornamenti ai propri clienti. Il database comprende contatti acquisiti attraverso moduli differenti e successivamente trasferiti a una nuova piattaforma di email marketing. Durante una verifica interna emerge che il software registra individualmente le aperture dei messaggi, mentre una parte delle informative originarie non contiene indicazioni specifiche sul tracciamento.
In una situazione di questo tipo, l’intervento professionale può partire dalla ricostruzione delle modalità di acquisizione dei contatti e dall’esame delle versioni delle informative disponibili. La difficoltà maggiore consiste nel distinguere gli iscritti per i quali esiste una documentazione adeguata da quelli per i quali non è possibile dimostrare che il consenso coprisse anche il monitoraggio delle aperture. Parallelamente, viene verificato se la piattaforma consenta di inviare le newsletter disattivando i pixel per i destinatari privi di un’autorizzazione idonea.
La riorganizzazione può prevedere l’aggiornamento delle informative, la revisione delle impostazioni tecniche, la gestione separata delle preferenze e la valutazione dei dati di tracciamento già conservati. L’azienda può così distinguere le attività di invio legittimamente consentite dalle operazioni di monitoraggio che richiedono ulteriori presupposti, senza procedere indiscriminatamente alla cancellazione dell’intera mailing list. Le misure concretamente necessarie dipendono dalla documentazione disponibile e dalle caratteristiche del sistema utilizzato.
Un consenso raccolto anni fa per la newsletter è ancora valido?
Il semplice trascorrere del tempo non determina automaticamente la scadenza del consenso. Occorre però verificare che fosse stato acquisito validamente, che le finalità del trattamento siano rimaste coerenti con quelle originariamente dichiarate e che non sia intervenuta una revoca. Per il tracciamento mediante pixel è necessaria una verifica specifica delle informazioni fornite all’interessato e delle condizioni applicabili.
È obbligatorio chiedere nuovamente il consenso a tutti gli iscritti?
Non necessariamente. La necessità di acquisire un nuovo consenso dipende dalla validità di quello precedente, dalle informazioni originariamente rese e dalle caratteristiche del monitoraggio. Quando il consenso disponibile non copre il tracciamento individuale e non ricorre una deroga applicabile, l’azienda non può continuare tale attività basandosi soltanto sulla precedente iscrizione alla newsletter.
Possiamo continuare a inviare newsletter ai contatti che non autorizzano il tracking pixel?
Sì, quando sussistono autonomamente i presupposti giuridici per l’invio delle comunicazioni. Il mancato consenso al tracciamento non comporta necessariamente la rinuncia alla newsletter. L’azienda deve però disporre di un sistema che rispetti questa distinzione e impedisca il monitoraggio individuale non autorizzato.
Che cosa succede se non abbiamo conservato le vecchie informative e le prove del consenso?
L’assenza della documentazione rende più difficile dimostrare la liceità dei trattamenti. Occorre ricostruire le modalità di acquisizione dei contatti attraverso gli elementi ancora disponibili e verificare se esistano altri presupposti giuridici applicabili alle singole attività. Non è corretto presumere che la presenza dell’indirizzo nel database dimostri automaticamente un consenso valido.
È sufficiente disattivare il tracking pixel per risolvere le irregolarità precedenti?
La disattivazione può essere una misura necessaria per interrompere un monitoraggio privo dei presupposti richiesti, ma occorre valutare anche le informazioni già raccolte, le eventuali attività di profilazione, i tempi di conservazione e la documentazione del trattamento. Le misure correttive devono essere proporzionate alle criticità effettivamente riscontrate.
Le aziende che utilizzano mailing list storiche devono poter distinguere i contatti legittimamente utilizzabili per le comunicazioni commerciali da quelli per i quali il monitoraggio mediante tracking pixel richiede ulteriori verifiche. Una valutazione professionale permette di esaminare i consensi pregressi, le informative, le impostazioni della piattaforma e le modalità di conservazione dei dati, individuando gli interventi necessari in relazione alla situazione concreta.
Noi dello Studio Legale Calvello assistiamo le imprese nella verifica della conformità dei trattamenti di email marketing, nella revisione della documentazione GDPR e nei rapporti con i fornitori di servizi digitali. Per sottoporre alla nostra attenzione una newsletter già attiva, un database di vecchi iscritti o una problematica relativa ai tracking pixel, è possibile richiedere una consulenza legale in materia di privacy e compliance aziendale.
