Email sui tracking pixel da operatori e banche: perché arrivano proprio ora e cosa devi fare

Negli ultimi giorni le caselle di posta di molti italiani si sono riempite di email che parlano di tracking pixel: le hanno mandate Fastweb, Vodafone, TIM, ma anche banche, fornitori di servizi e newsletter di ogni tipo. Non è spam, non è un attacco coordinato di phishing e non è nemmeno una coincidenza. È la conseguenza diretta di una scadenza normativa che cade domani, 29 ottobre 2026, e che obbliga chiunque usi questi strumenti a farsi trovare in regola.

Ne abbiamo già parlato nel dettaglio per il caso specifico di Fastweb e Vodafone: qui proviamo a spiegare il quadro generale, perché riguarda tutti e non solo gli utenti di quegli operatori.

Un tracking pixel è un'immagine trasparente grande un solo pixel, invisibile a occhio nudo, che non è incorporata nell'email ma ospitata su un server esterno. Quando apri il messaggio e il tuo client scarica le immagini, il mittente riceve una notifica: sa che hai aperto l'email, quante volte lo hai fatto, e in alcuni casi raccoglie dati tecnici legati al dispositivo o alla connessione. Lo dice chiaramente il Provvedimento n. 284 del Garante.

Il meccanismo funziona solo se il tuo client scarica automaticamente le immagini: se leggi le email solo in formato testo, il pixel non viene mai scaricato e non traccia nulla. Il problema, come sottolinea il Garante, è che la stragrande maggioranza degli utenti non sa che questo tracciamento sta avvenendo.

Le finalità dichiarate da chi li usa sono diverse:

• verificare che l'email sia arrivata a destinazione (deliverability)
• misurare le performance delle campagne di marketing
• personalizzare le comunicazioni successive
• identificare tentativi di phishing

Tutte finalità legittime in astratto, ma che fino a oggi venivano perseguite senza che l'utente ne fosse informato o potesse opporsi.

Il Garante per la protezione dei dati personali ha adottato le Linee guida sull'uso dei tracking pixel nelle email il 17 aprile 2026, pubblicandole in Gazzetta Ufficiale il 29 aprile. Da quella data, aziende e mittenti di ogni tipo hanno avuto sei mesi per adeguarsi: il termine scade domani, 29 ottobre 2026.

Il Garante ha ricondotto i pixel di tracciamento all'art. 122 del Codice privacy, la stessa norma che regola i cookie: chi li usa deve ottenere un consenso preventivo, libero, specifico e informato. Non basta una clausola sepolta nell'informativa: serve che l'utente sappia esattamente cosa sta accettando. L'obbligo riguarda non solo i mittenti diretti ma anche le piattaforme di email marketing, i provider di posta e i fornitori di liste contatti.

Chi aveva già raccolto consensi in passato senza menzionare i pixel può rimediare inviando un'email informativa: è esattamente il tipo di messaggio che sta arrivando in questi giorni.

La novità più rilevante delle Linee guida non è tecnica ma di controllo: l'utente deve poter scegliere tra fermare tutte le comunicazioni e fermare solo il tracciamento, continuando a ricevere le email senza pixel. Non è più un tutto o niente. Questa revoca granulare deve essere accessibile tramite un link o un'icona nel footer delle email.

Vale la pena chiarire un punto che può creare confusione: le linee guida prevedono una deroga al consenso per il conteggio statistico anonimizzato del tasso di apertura globale, a patto che i pixel siano standardizzati (non differenziati per singolo utente) e che i dati tecnici come l'IP vengano anonimizzati. In pratica, un mittente può continuare a sapere "il 40% delle email è stato aperto" senza bisogno del tuo consenso, ma non può sapere che sei stato tu ad aprirla.

Per quanto riguarda TIM, l'email del 27 ottobre distingue tre categorie di finalità e separa le rilevazioni statistiche aggregate dagli strumenti associati al singolo destinatario: un approccio più articolato rispetto alla comunicazione degli altri operatori.

Le opzioni sono essenzialmente tre, e dipendono da quanto tieni alla tua privacy in questo ambito:

• Non vuoi essere tracciato da un mittente specifico: usa il link di disattivazione nell'email che hai ricevuto. Il testo del link può variare ("Non desidero il tracciamento" o simili) a seconda del mittente. Chi non fa nulla, secondo le comunicazioni degli operatori, continua a essere tracciato come prima, almeno per i consensi già espressi in precedenza.
• Vuoi una protezione più ampia, valida per qualunque mittente: agisci sul tuo client di posta. In Gmail puoi impostare "Chiedi prima di visualizzare immagini esterne" nelle impostazioni della casella di posta; in Outlook classico il blocco del download automatico è già attivo per default; su iPhone e Mac puoi attivare la Protezione della privacy di Mail nelle impostazioni. Queste impostazioni bloccano il download delle immagini e quindi rendono i pixel inefficaci.
• Vuoi smettere di ricevere le email del tutto: il classico link di disiscrizione resta sempre disponibile e non è cambiato nulla su questo fronte.

Quello che sta succedendo in questi giorni non è una nuova minaccia: i pixel esistevano già e li usavano già tutti. Quello che cambia è che finalmente dobbiamo essere informati e possiamo opporci, e questo, almeno sulla carta, è un passo avanti.

L'articolo Email sui tracking pixel da operatori e banche: perché arrivano proprio ora e cosa devi fare sembra essere il primo su Smartworld.