Nelle ultime settimane il tema del tracciamento nelle email è tornato sotto i riflettori. Dopo le raccomandazioni pubblicate dal CNIL (l’Autorità garante francese per la protezione dei dati personali), anche il Garante Privacy italiano ha adottato nuove Linee Guida sull’uso dei tracking pixel nelle email, con l’obiettivo di rafforzare trasparenza e controllo da parte degli utenti.
Non si tratta di un intervento isolato, ma di un tassello di un percorso più ampio a livello europeo. Le autorità di controllo, infatti, stanno progressivamente chiarendo che anche strumenti scontati nel settore dell’email marketing come i pixel devono essere riletti alla luce delle regole sulla protezione dei dati. E questo riguarda molto da vicino chiunque utilizzi le email come canale di comunicazione.
Cosa sono questi pixel
Per capire davvero cosa cambia, è utile partire dalle basi. I pixel di tracciamento sono piccoli elementi grafici invisibili, generalmente immagini di dimensioni molto ridotte, inseriti all’interno delle email. Quando il destinatario apre il messaggio e scarica le immagini, il pixel viene caricato da un server remoto e consente al mittente di raccogliere alcune informazioni.
Questo meccanismo permette, ad esempio, di sapere se un’email è stata aperta e quando, se e quali click sono stati fatti nel corpo della comunicazione, ma anche di acquisire dati tecnici come l’indirizzo IP o il tipo di dispositivo utilizzato. Nella pratica più diffusa, questi pixel sono spesso associati in modo univoco al singolo destinatario, rendendo possibile un tracciamento puntuale e personalizzato del comportamento.
Ed è proprio questa caratteristica, ovvero il fatto che si tratti di strumenti in grado di raccogliere informazioni riconducibili all’utente, che li rende rilevanti dal punto di vista della privacy.
L’intervento del Garante e i punti chiave del Provvedimento
Le Linee Guida arrivano in continuità con quanto già emerso a livello europeo, in particolare con le indicazioni del CNIL francese. L’obiettivo è chiarire senza ambiguità come queste tecnologie debbano essere utilizzate in modo conforme alla normativa.
Il punto centrale è che i tracking pixel non possono più essere considerati elementi puramente tecnici. Il Garante li qualifica infatti come veri e propri strumenti di tracciamento, assimilabili per logica e funzionamento ai cookie o ad altre tecnologie simili e come tali soggetti alla normativa in materia di protezione dei dati personali.
Da questa qualificazione derivano conseguenze operative molto concrete. La più importante è che, nella maggior parte dei casi, l’utilizzo dei tracking pixel richiede un consenso preventivo, libero, specifico e informato. Non è quindi più sostenibile un approccio in cui il tracciamento è attivo di default e l’utente viene informato solo in modo generico.
Diventa, invece, necessario essere trasparenti e quindi spiegare chiaramente se le email sono tracciate, quali dati vengono raccolti e per quali finalità. E questa trasparenza deve essere accompagnata da un controllo reale. Gli utenti devono poter scegliere e soprattutto devono poter cambiare idea in qualsiasi momento, con meccanismi di revoca semplici e accessibili.
Per le aziende questo si traduce in un lavoro concreto su più livelli: aggiornare le informative, rivedere i flussi di raccolta del consenso e, spesso, valutare e intervenire anche sulle configurazioni tecniche delle piattaforme utilizzate.
Quando il consenso non è necessario
La normativa privacy prevede alcune deroghe alla regola generale del consenso per l’utilizzo di strumenti, in presenza delle quali è possibile utilizzare senza vincoli i pixel. In tutti gli altri casi, ad esempio quando il pixel è funzionale alla profilazione individuale, alla personalizzazione delle campagne in base ai tassi di apertura, alla costruzione di profili commerciali, il consenso preventivo è obbligatorio e non aggirabile.
Da questo punto di vista, il Provvedimento è molto interessante in quanto fornisce un elenco di casi pratici al verificarsi dei quali tali deroghe possono applicarsi.
-
Statistiche aggregate e anonimizzate
Se l’obiettivo è misurare, ad esempio, la percentuale complessiva di apertura di una campagna, senza distinguere i comportamenti dei singoli utenti, il tracciamento può essere considerato lecito. I dati raccolti, tuttavia, devono essere effettivamente anonimizzati. Questo significa, in concreto, utilizzare pixel non personalizzati (uguali per tutti i destinatari) e adottare tecniche che impediscano di risalire al singolo individuo, ad esempio anonimizzando gli indirizzi IP e gli altri dati tecnici.
-
Sicurezza e autenticazione
Quando il tracking è funzionale a garantire che un’operazione online sia effettivamente completata dall’utente, come nel caso di email di attivazione account, reset password o gestione di richieste sensibili, l’uso del pixel può essere giustificato senza consenso. La ratio sottesa è che il tracciamento non serve a profilare, ma a proteggere l’utente e a garantire il corretto funzionamento del servizio richiesto.
-
Comunicazioni obbligatorie o di interesse pubblico
Infine, il Garante prende in considerazione le comunicazioni obbligatorie o di particolare rilevanza per il destinatario. Pensiamo, ad esempio, a notifiche di sicurezza, aggiornamenti contrattuali, comunicazioni antifrode o messaggi istituzionali dettati da un interesse pubblico. In questi casi, l’interesse alla tutela dell’utente o l’obbligo giuridico del mittente possono giustificare l’invio e il relativo tracciamento anche in assenza di consenso, proprio perché si tratta di comunicazioni necessarie o comunque a beneficio diretto del destinatario.
Privacy by design e by default: cosa cambia per le piattaforme
Accanto a questi aspetti più operativi, il Provvedimento affronta anche tematiche strutturali, rivolgendosi in particolare ai fornitori di tecnologie di email marketing e ribadendo ancora una volta l’importanza dei principi di privacy by design e by default. La conformità alla normativa privacy, infatti, non può essere demandata solo a chi utilizza questi strumenti, ma deve essere incorporata nella progettazione stessa delle piattaforme.
In concreto, questo significa che le soluzioni di email marketing devono evitare configurazioni predefinite che attivano automaticamente il tracciamento senza una base giuridica adeguata. Allo stesso tempo, devono offrire opzioni flessibili e granulari, che permettano di adattare facilmente il comportamento della piattaforma alle scelte degli utenti e ai diversi contesti di utilizzo.
Infine, il Garante, consapevole della complessità di eventuali adeguamenti di questi strumenti alle Linee Guida, riconosce ai destinatari del Provvedimento (fornitori, utilizzatori, ecc.) un termine di 6 mesi dalla pubblicazione del documento per conformarsi.
E magnews?
In questo scenario, c’è una buona notizia; magnews non deve aspettare tutto questo tempo per mettersi a norma.
La piattaforma è progettata da tempo per supportare una gestione granulare del consenso, in linea con quanto richiesto dal Garante. Questo significa poter differenziare le finalità, gestire in modo trasparente le preferenze degli utenti e avere un controllo puntuale sulle tecnologie di tracciamento utilizzate.
In particolare, il tracking delle email attraverso i pixel può essere attivato o disattivato anche a livello di singolo utente, permettendo di rispettare le scelte individuali senza compromettere l’operatività complessiva.
Se sei interessato ad approfondire questi aspetti, prendi subito contatto con il tuo referente in magnews!