Newsletter, chi ci controlla quando apriamo le mail. Le nuove regole a tutela della privacy

ROMA – Apriamo una newsletter di un negozio, di una compagnia aerea o del nostro giornale preferito. Non clicchiamo su nulla, magari le diamo soltanto un'occhiata. Eppure chi l'ha spedita potrebbe sapere quando l'abbiamo aperta e quante volte siamo tornati a guardarla. Basta un'immagine invisibile nascosta nel messaggio. Entro il 29 ottobre chi usa questo sistema dovrà adeguarsi alle indicazioni del Garante della privacy: informare chiaramente le persone e permettere loro di sottrarsi al controllo senza rinunciare alle email che vogliono ricevere.

Chi riguarda la scadenza

La scadenza riguarda soprattutto aziende, negozi online, editori e piattaforme che spediscono messaggi, a cui sono stati concessi sei mesi per sistemare i propri sistemi. Le regole sono nelle linee guida del Garante del 17 aprile, pubblicate in Gazzetta Ufficiale il 29 aprile.Il sistema in questione si chiama tracking pixel: un'immagine spesso trasparente e grande quanto un punto dello schermo, collegata a un server esterno. Quando il programma di posta carica le immagini del messaggio, chiede al server anche quel piccolo file. La richiesta può essere collegata all'indirizzo email del destinatario e così il mittente registra l'apertura, l'ora e le successive consultazioni. A seconda del servizio utilizzato possono emergere anche informazioni tecniche, come l'indirizzo IP o il tipo di dispositivo.

Come spiega Gianmarco Olivi, partner nell'ufficio Dentons di Milano e responsabile della practice di Intellectual Property, Data and Technology in Europa e Italia, “il pixel può trasmettere al mittente informazioni sull’avvenuta apertura del messaggio e, a seconda della configurazione tecnica, consentire di raccogliere ulteriori dati, come il numero di aperture successive e alcune informazioni tecniche relative al dispositivo o alla connessione”. “Si tratta di informazioni preziose per misurare l’efficacia delle campagne di comunicazione e, in alcuni casi, personalizzare i messaggi, ma che possono essere raccolte senza che il destinatario ne sia pienamente consapevole”, aggiunge Olivi.

Il pixel non legge il testo delle nostre email, certo. Segnala soprattutto il caricamento di un'immagine. Ma grazie ad altri dati le aziende possono, in questo modo, riuscire a misurare le nostre abitudini. Per esempio un negozio può capire quali offerte attirano l'attenzione e decidere quali altre pubblicità inviare.Il punto è che il tracciamento delle abitudini è una pratica critica, che ha diversi impatti su diritti e libertà di utenti e cittadini. Non c’è in ballo solo l’influenza pubblicitaria. Sapere quali messaggi una persona apre, per esempio su salute, prestiti o politica, può rivelare indizi sui suoi interessi e sulle sue preoccupazioni. Incrociati con altri dati, questi segnali possono servire a costruire profili dettagliati e indirizzare messaggi sempre più personalizzati in grado anche di indirizzare scelte elettorali, come emerso del resto dallo scandalo “Cambridge Analytica”. In quel caso dati di decine di milioni di utenti Facebook, raccolti con modalità ingannevoli attraverso un’app, furono utilizzati per profilare gli elettori e indirizzare messaggi politici a favore della Brexit e di Trump.

La tecnologia del pixel tracciante è usata spesso, come emerge dalle ispezioni svolte tra il 2025 e il 2026 dal Garante. “Il problema è che il controllo può avvenire all'insaputa del destinatario”, nota Olivi. Di qui le novità del 29 ottobre. Per utilizzare i pixel a scopo pubblicitario, quando servono a seguire il comportamento dei singoli destinatari, in generale bisogna chiedere il consenso prima di usarli. La spiegazione deve dire in parole comprensibili che cosa viene registrato e perché. Non è necessario però far spuntare due caselle diverse: per le nuove iscrizioni, il consenso al tracciamento può essere compreso in quello alla newsletter promozionale, purché la richiesta sia chiara e la scelta sia libera.La novità più concreta arriva dopo l'iscrizione. Si può scegliere di continuare a ricevere la newsletter senza i pixel di tracciamento. In fondo ai messaggi dovrebbe quindi esserci un collegamento facilmente visibile per gestire le preferenze: una possibilità è annullare del tutto l'iscrizione, l'altra è mantenere le email ma escludere i pixel. Il mittente deve rispettare la scelta senza penalizzare chi rifiuta il controllo.

Per le aziende non basta modificare la privacy policy: devono verificare che la piattaforma di invio permetta di spegnere il pixel per i singoli iscritti e, se necessario, cambiarne la configurazione o il servizio. Per chi è già iscritto, invece? Non è previsto un nuovo consenso obbligatorio per tutti, indistintamente. Se il rapporto e il trattamento erano già legittimamente in corso, le aziende possono aggiornare l'informativa con il primo invio utile, comunicando il diritto di eliminare il solo tracciamento. Se invece mancava fin dall'inizio un consenso valido all'invio delle pubblicità, la scadenza non rende regolare una lista di indirizzi raccolti senza autorizzazione.

Ci sono però delle eccezioni. Il consenso non serve se le aziende usano il pixel solo per costruire statistiche davvero anonime e complessive, ossia che non consentono di seguire il singolo lettore, o per alcuni controlli strettamente necessari alla sicurezza. Ci sono eccezioni anche per determinate comunicazioni di servizio e istituzionali, per esempio quando è importante verificarne l'apertura. Anche in questi casi bisogna informare le persone e limitare i dati raccolti.Un primo consiglio alle aziende, secondo quanto consigliato da esperti come Olivi, è quello di “mappare i trattamenti e le piattaforme utilizzate per l’invio delle e-mail, coinvolgendo le funzioni legali, il marketing e l’IT”.

“È inoltre importante garantire una gestione efficace e granulare delle preferenze degli utenti, assicurando, ad esempio, che un dato raccolto per una determinata finalità non venga automaticamente riutilizzato per profilare il destinatario e che sia riconosciuta in ogni momento la possibilità per il destinatario di revocare il proprio consenso al tracciamento”, aggiunge Olivi. Le norme sono una tutela, ma non è detto che tutte le aziende si adeguino presto.

Il tracciamento dall’utente

Bene quindi sapere anche cosa può fare l’utente per controllare meglio questo tracciamento. Il primo controllo è semplice: aprire “Gestisci le preferenze” in fondo alla newsletter e cercare l'opzione che esclude il tracciamento mantenendo l'iscrizione. Se non esiste, si può chiedere direttamente al mittente di non essere monitorati. E, se non vogliamo più quei messaggi, usare “Disiscriviti”.Si può agire anche sul programma di posta. Bloccare il caricamento automatico delle immagini esterne impedisce a molti pixel di attivarsi, anche se alcune fotografie e grafiche nelle email rimarranno nascoste finché non sceglieremo di mostrarle. In Gmail da computer si va su Impostazioni, poi Visualizza tutte le impostazioni, Immagini e Chiedi prima di visualizzare immagini esterne. In Outlook si può bloccare il download delle immagini esterne; nell'app Mail di iPhone, Impostazioni > App > Mail > Protezione della privacy permette di attivare Proteggi le attività di Mail, che ostacola la raccolta di dati su aperture e indirizzo IP.

Sono difese utili, non una garanzia di invisibilità. Se clicchiamo un link in un messaggio, quel clic può essere misurato con altri strumenti. E le nuove regole non cancellano automaticamente i dati raccolti in passato. Danno però un diritto che a molti sta a cuore: decidere se un'azienda possa seguire, persona per persona, quando e come apriamo la posta che ci manda. Le aziende, dal canto loro, siano pronte o rischiano sanzioni privacy fino a 20 milioni di euro o 4 per cento del fatturato. Il Garante ha già inserito il rispetto delle linee guida tra gli obiettivi delle ispezioni del secondo semestre 2026.