Il tracciamento delle e-mail attraverso i cosiddetti tracking pixel entra in una nuova fase. È scaduto il 29 ottobre il termine previsto per aziende, piattaforme e newsletter per adeguare informative, consensi e sistemi di revoca alle Linee guida del Garante per la protezione dei dati personali. Un cambiamento significativo che l’associazione Codici rilancia per informare soprattutto i consumatori sui propri diritti.

I tracking pixel sono minuscole immagini trasparenti, praticamente invisibili, inserite nelle e-mail per rilevarne l’apertura e raccogliere informazioni sui comportamenti degli utenti. L’immagine non è contenuta direttamente nel messaggio, ma risiede su un server remoto e si attiva quando il programma di posta la scarica. Il mittente può così conoscere se, quando e da quale dispositivo l’e-mail è stata aperta, spesso senza che il destinatario ne sia consapevole.

Le Linee guida del Garante riconducono l’utilizzo dei pixel all’articolo 122 del Codice della privacy, che disciplina l’accesso alle informazioni presenti nei dispositivi degli utenti. Al di fuori delle deroghe previste dalla normativa, chi utilizza questi strumenti deve acquisire il consenso preventivo dei destinatari. Il ricorso al tracciamento deve essere comunicato prima dell’invio, indipendentemente dallo scopo della comunicazione o dall’identità del mittente.

«Per anni milioni di cittadini sono stati monitorati ogni volta che aprivano una newsletter o un’e-mail promozionale, senza saperlo e senza aver mai dato un consenso – dichiara l’avvocato Antonella Votta, referente del Settore Privacy e Nuove Tecnologie di Codici –. Le Linee guida del Garante vanno nella direzione giusta. La trasparenza non è un optional e il tracciamento occulto non può più essere la norma. Ora però servono rispetto delle regole e controlli effettivi».

L’associazione invita le imprese ad adeguarsi con serietà, evitando scorciatoie, e i cittadini a esercitare i propri diritti. Bloccare le immagini remote, chiedere informazioni e revocare il consenso sono strumenti semplici ed efficaci. Chi riscontra violazioni può rivolgersi agli Sportelli Codici, che offrono assistenza ai consumatori anche nei rapporti con il Garante.

Come riconoscere e bloccare i tracking pixel

Per verificare se un’e-mail contiene un pixel di tracciamento esistono tre possibilità: controllare il codice sorgente del messaggio, utilizzare un programma di posta che segnali questi strumenti oppure bloccare il caricamento delle immagini remote.

In Gmail, ad esempio, è possibile aprire il messaggio, cliccare sui tre puntini e selezionare la voce Mostra originale. Nel codice si possono individuare immagini di dimensioni minime, spesso pari a 1x1 pixel, ospitate su domini diversi da quello del mittente.

Alcuni programmi di posta elettronica segnalano la presenza di strumenti di tracciamento attraverso icone o avvisi. Un’altra soluzione consiste nel disattivare il download automatico delle immagini: il tracciamento tramite pixel si attiva infatti quando queste vengono scaricate. Rimane tuttavia possibile il monitoraggio dei clic sui link, che possono essere reindirizzati attraverso server di terze parti.

I pixel sono utilizzati soprattutto nelle newsletter, nelle e-mail promozionali e nelle comunicazioni automatiche, come le conferme di registrazione o di ordine. Sono invece meno frequenti nella corrispondenza individuale inviata attraverso i normali programmi di posta elettronica.

I diritti dei consumatori e gli obblighi delle imprese

Chi riceve e-mail commerciali può disattivare il caricamento automatico delle immagini, verificare se il mittente abbia richiesto il consenso al tracciamento, revocare quello eventualmente prestato ed esercitare i diritti previsti dal GDPR, tra cui accesso alle informazioni, opposizione e cancellazione dei dati. In caso di mancata risposta o di violazioni, è possibile rivolgersi al Garante per la protezione dei dati personali.

Le imprese sono chiamate a mappare gli strumenti di e-mail marketing e i relativi fornitori, distinguere i pixel soggetti a consenso da quelli che rientrano nelle deroghe previste dalla normativa, aggiornare le informative e il registro dei trattamenti e predisporre sistemi di revoca semplici e selettivi.

La verifica deve riguardare anche i contratti con le piattaforme di invio, che trattano i dati per conto del titolare. Un passaggio necessario per garantire che la tutela della riservatezza non rimanga soltanto un principio formale, ma diventi una concreta garanzia per tutti gli utenti.