Il Garante controllerà le newsletter: tracking pixel e data breach nel piano ispettivo di fine 2026

La newsletter mensile di un’associazione, l’email con le promozioni di una PMI, la comunicazione alle famiglie inviata da una piattaforma di mailing: quasi sempre, dentro quei messaggi, c’è un’immagine invisibile di un pixel che segnala al mittente chi ha aperto l’email, quando e da quale dispositivo. Da qualche giorno sappiamo che, da qui a dicembre, il Garante Privacy andrà a verificare proprio questo.

È stato infatti reso noto il programma delle ispezioni per il periodo agosto-dicembre 2026, approvato con la deliberazione n. 584 del 23 luglio. Come riportato da Cybersecurity360 e dallo studio ADVANT Nctm, prevede almeno 35 accertamenti, svolti anche con il supporto della Guardia di Finanza, distribuiti su dodici aree tematiche.

Cosa c’è nel mirino

Molte aree riguardano soprattutto il settore pubblico e sanitario: fascicolo sanitario elettronico e app mediche, servizi sociali dei Comuni, uso dell’intelligenza artificiale da parte di Comuni e ASL, sistemi informativi doganali e dei visti, servizi di DPO esterno per le pubbliche amministrazioni.

Ci sono però alcune voci che toccano da vicino anche PMI ed enti del terzo settore:

• tracking pixel nelle email, con la verifica dell’attuazione delle linee guida del 17 aprile 2026;
• data breach, sia sulle banche dati pubbliche sia con controlli tecnici sulle violazioni notificate;
• geomarketing, neuromarketing e prezzi dinamici, cioè i trattamenti che usano dati personali per profilare e personalizzare offerte.

C’è infine un’area “aperta” per ispezioni legate a reclami, segnalazioni o situazioni urgenti: chiunque, quindi, può finire sotto la lente se un interessato si lamenta.

Il nodo dei tracking pixel e la scadenza del 29 ottobre

Il punto più concreto per il nostro pubblico è il secondo. Con il provvedimento del 17 aprile 2026, il Garante ha chiarito che i pixel di tracciamento nelle email rientrano nelle regole dell’articolo 122 del Codice privacy, le stesse che valgono per i cookie. Tradotto: per usarli serve un consenso preventivo, libero, specifico e informato, salvo eccezioni limitate (finalità di sicurezza, esigenze tecniche strettamente necessarie, alcune comunicazioni istituzionali o di servizio, sempre nel rispetto della minimizzazione).

Il Garante ha concesso sei mesi per adeguarsi, e la scadenza indicata dagli operatori del settore è il 29 ottobre 2026. Il fatto che la stessa materia compaia tra le priorità ispettive del semestre lascia pochi dubbi: dopo quella data, i controlli sono attesi.

Le linee guida ammettono che il consenso al tracciamento possa essere raccolto insieme a quello per la newsletter, per non moltiplicare le caselle da spuntare. A due condizioni: la richiesta deve essere neutra e non condizionante, e l’informativa deve spiegare chiaramente entrambe le finalità. La revoca, invece, deve poter essere separata: chi vuole continuare a ricevere la newsletter senza essere tracciato deve poterlo fare.

Perché riguarda anche chi “fa solo una newsletter”

Quando aiutiamo un cliente a mappare i propri trattamenti, in Security Smart vediamo spesso che il tracciamento delle aperture non è una scelta consapevole: è semplicemente attivo di default sulla piattaforma di invio. Mailchimp, Brevo, i moduli integrati nei CRM o nei gestionali scolastici misurano aperture e clic per impostazione predefinita, e nessuno se ne ricorda più.

Il risultato è che molte organizzazioni — associazioni, cooperative, piccole aziende, istituti che usano servizi di comunicazione con le famiglie — trattano dati sul comportamento delle persone senza averlo mai deciso e senza averlo scritto nell’informativa. Il Garante, come sottolinea Cybersecurity360, non si accontenterà dei documenti: guarderà se regole scritte, configurazioni tecniche e funzionamento reale coincidono.

Il capitolo data breach

L’altra area da non sottovalutare sono le violazioni di dati. Le verifiche tecniche sui data breach servono a capire se, dopo un incidente, le misure dichiarate erano davvero in piedi e se la gestione è stata corretta. Per una PMI o un ente no profit significa una cosa semplice: avere un registro delle violazioni aggiornato e una procedura che qualcuno conosce davvero, non un modulo dimenticato in una cartella condivisa.

Cosa fare, in pratica

• Controllate la piattaforma di invio email. Verificate se il tracciamento di aperture e clic è attivo e, se non vi serve davvero, disattivatelo. Se vi serve, preparatevi a raccogliere il consenso.
• Rivedete il modulo di iscrizione e l’informativa della newsletter entro il 29 ottobre: la finalità di tracciamento deve essere spiegata in modo chiaro, e deve esistere un modo semplice per revocarla separatamente dall’iscrizione.
• Aggiornate il registro dei trattamenti inserendo il monitoraggio delle email, con base giuridica, fornitore coinvolto e tempi di conservazione dei dati raccolti.
• Verificate il registro dei data breach e la procedura interna: chi riceve la segnalazione, chi valuta, chi decide se notificare al Garante entro 72 ore. Una simulazione di mezz’ora con il personale chiave vale più di dieci pagine di procedura.
• Fate un controllo di coerenza: prendete l’informativa pubblicata sul sito e confrontatela con ciò che sito, moduli e newsletter fanno davvero. È esattamente il tipo di verifica che farà un ispettore.

Matteo Gianniello — Consulente privacy e cyber security