E-mail marketing, entrano in vigore le linee guida sui tracking pixel

Entro il 29 ottobre 2026 aziende, piattaforme e newsletter dovranno adeguare informative, consensi e sistemi di revoca alle Linee guida del Garante sull’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica.

I tracking pixel sono minuscole immagini trasparenti, praticamente invisibili, inserite nelle email per rilevarne l’apertura e raccogliere informazioni sui comportamenti degli utenti. Tecnologie che, sottolinea il Garante, possono risultare particolarmente invasive perché operano spesso senza che il destinatario ne abbia piena consapevolezza.

Il loro utilizzo rientra nell’ambito di applicazione dell’articolo 122 del Codice privacy, che disciplina l’impiego di tecnologie in grado di accedere alle informazioni presenti nei dispositivi degli utenti o di monitorarne il comportamento online, mentre il Regolamento europeo sulla protezione dei dati (GDPR) ne definisce la cornice generale per quanto riguarda: trasparenza, consenso, responsabilizzazione del titolare e protezione dei dati fin dalla progettazione e per impostazione predefinita.

Per i tracking pixel è quindi necessario acquisire preventivamente un consenso libero, specifico e informato, mentre sono previste specifiche eccezioni, ad esempio per finalità di sicurezza, esigenze tecniche strettamente necessarie o comunicazioni istituzionali e di servizio, sempre nel rispetto dei principi di proporzionalità e minimizzazione dei dati.

Gli utenti devono inoltre ricevere un’informativa chiara e trasparente e poter revocare il consenso con modalità semplici, anche selettivamente.

Le Linee guida richiamano infine l’attenzione sull’adozione di misure di privacy by design e by default, volte a ridurre il rischio di identificabilità degli utenti e a limitare la circolazione dei dati personali.

Ricordiamo che la verifica dell’applicazione delle Linee guida sui tracking pixel nelle email rientra tra le attività ispettive previste dal Garante per il secondo semestre 2026.

Per aiutare tutti i soggetti che utilizzano tracking pixel (fornitori di servizi della società dell’informazione o che offrono servizi online accessibili al pubblico, provider di posta elettronica, gestori di piattaforme per l’invio massivo di email), il Garante privacy ha reso disponibile una scheda informativa, che si può trovare sul sito dell’Autorità.

Tratto da www.garanteprivacy.it – News del 05/10/2026

Data breach, il Garante privacy sanziona The European House Ambrosetti per 85mila euro – Coinvolte oltre 61mila persone, password non protette e comunicazione tardiva agli interessati

Una sanzione di 85mila euro è stata irrogata dal Garante per la protezione dei dati personali a The European House – Ambrosetti spa, società di consulenza strategica e think tank, per carenze nelle misure di sicurezza. Le criticità sono emerse a seguito di un data breach che ha coinvolto 61.670 persone, tra cui dipendenti di aziende clienti e personale interno che utilizzavano i servizi online. Tardiva anche la comunicazione della violazione agli interessati, avvenuta solo dopo l’intervento dell’Autorità.

L’attacco informatico, riconducibile a un accesso non autorizzato ai sistemi tramite una vulnerabilità tecnica, ha comportato l’esfiltrazione di nomi, cognomi, indirizzi email, username e password. Dagli accertamenti del Garante sono emerse diverse violazioni della normativa privacy. In particolare, la società conservava una parte delle password in chiaro e un’altra mediante tecniche crittografiche non conformi agli standard di sicurezza più avanzati. Conservava inoltre credenziali relative a sistemi non più in uso, in violazione dei principi di limitazione della conservazione e di sicurezza dei dati.

L’Autorità ha anche accertato che la società, pur avendo notificato il data breach entro le 72 ore previste dalla normativa, non ha informato tempestivamente gli interessati, nonostante la violazione potesse rappresentare un rischio elevato per i loro diritti e libertà. La comunicazione agli utenti è avvenuta a distanza di circa due mesi dalla scoperta dell’incidente, solo dopo un provvedimento correttivo del Garante.

Con il provvedimento, il Garante ribadisce la necessità per i titolari del trattamento di adottare misure tecniche e organizzative adeguate e di assicurare una gestione tempestiva e trasparente delle violazioni dei dati personali. Le esigenze reputazionali rappresentate dalla società non possono prevalere sui diritti delle persone coinvolte.

Tratto da www.garanteprivacy.it – News del 21/05/2026

Garante: sì ad accesso proprie email dopo fine rapporto lavoro – Sanzione di 50mila euro ad una compagnia assicurativa

Il lavoratore può accedere ai messaggi del proprio account email aziendale e ai documenti presenti nel pc dopo la fine del rapporto di lavoro. Eventuali limitazioni devono essere motivate da specifiche e comprovate ragioni, come la tutela di segreti aziendali.

È quanto ha affermato il Garante per la protezione dei dati personali accogliendo il reclamo di un ex dipendente di una compagnia assicurativa, che aveva chiesto copia dei messaggi della propria casella di posta elettronica aziendale e dei documenti salvati nel pc. La società aveva effettuato un accesso alla posta elettronica dell’ex dipendente e, dopo averne esaminato il contenuto, aveva fornito esclusivamente i messaggi ritenuti “strettamente personali”, escludendo quelli legati all’attività lavorativa.

Secondo il Garante, il diritto di accesso riguarda tutti i dati personali, comprese le comunicazioni intercorse tramite un account aziendale individualizzato. Non è quindi legittimo selezionare preventivamente i contenuti da fornire né limitarli o oscurarli sulla base della distinzione tra ambito personale e professionale.

L’Autorità ha inoltre rilevato criticità nella gestione dei dati, in particolare per la mancanza di trasparenza nelle informative e per i tempi di conservazione delle email (5 anni) e dei dati di navigazione (12 mesi), ritenuti non proporzionati rispetto alle finalità dichiarate.

Per le violazioni accertate è stata inflitta una sanzione di 50mila euro. Il Garante ha inoltre ordinato di consentire l’accesso integrale ai dati richiesti e di adeguare informative e policy interne alla normativa privacy.

Tratto da www.garanteprivacy.it – News del 15/04/2026

Garante: stop alle telecamere non a norma privacy – Sanzionato il Comune di Mazara del Vallo

Tratto da www.garanteprivacy.it – News del 09/03/2026

Il Garante privacy ha sanzionato per 4mila euro il Comune di Mazara del Vallo per violazioni in materia di protezione dei dati personali.

L’Autorità è intervenuta a seguito del reclamo di un automobilista che aveva ricevuto un verbale di accertamento di violazione al Codice della strada per mancata revisione del veicolo.

Il Comune non ha fornito, nel verbale, alcuna indicazione sulle effettive modalità di accertamento dell’infrazione, rilevata mediante un sistema video non omologato per questa finalità e sulle motivazioni che avevano reso impossibile la contestazione immediata.

A seguito dell’istruttoria, tenendo conto anche della normativa di settore, il Garante ha pertanto rilevato che il Comune ha agito in assenza di un’idonea base giuridica, violando il principio in base al quale i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato”.

Inoltre il Comune non ha fornito agli interessati un’idonea informativa e non ha effettuato la valutazione di impatto prevista.

Pertanto il Garante, nel comminare la sanzione, ha prescritto al Comune di fornire agli interessati un’idonea informativa e di svolgere la valutazione di impatto sulla protezione dei dati personali, prevista dal GDPR in caso di rischi elevati per gli interessati. Tali rischi, derivanti, ad esempio, dall’utilizzo di nuove tecnologie, sono sempre presenti laddove sia effettuata una sorveglianza sistematica su larga scala di una zona accessibile al pubblico.

Garante: l’accesso alla email del lavoratore licenziato vìola la privacy

Tratto da www.garanteprivacy.it – News del 29/01/2026

Il contenuto delle email, i dati di contatto delle comunicazioni e gli eventuali allegati, rientrano nella nozione di corrispondenza e sono quindi tutelati dal diritto alla segretezza. Tale garanzia, riconosciuta anche dalla Costituzione, salvaguarda la dignità della persona e il suo pieno sviluppo nelle relazioni sociali.

Lo ha ribadito il Garante per la protezione dei dati personali, che ha inflitto una sanzione di 40mila euro a una società per violazione della segretezza dell’account email di un amministratore delegato dopo la cessazione del rapporto di lavoro.

Nel reclamo presentato al Garante l’amministratore lamentava che, dopo aver ricevuto una lettera di contestazione disciplinare cui è seguito il licenziamento, l’azienda gli aveva negato l’accesso alla propria casella di posta elettronica aziendale, rimasta attiva. Esercitando i propri diritti, aveva chiesto alla società di disabilitare l’account di posta elettronica, di inoltrare i messaggi ricevuti nel frattempo al suo indirizzo email personale e di attivare una risposta automatica che informasse eventuali mittenti del nuovo indirizzo email. Richiesta tuttavia rimasta inevasa sebbene formulata correttamente ai sensi del GDPR.

Nel corso dell’istruttoria, il Garante ha accertato che l’azienda non solo continuava a ricevere le email indirizzate al lavoratore, ma addirittura le inoltrava ad un altro account di posta elettronica aziendale. Una pratica scorretta che si era protratta per circa due mesi, superando il limite di 30 giorni previsto dalle regole interne dell’azienda.

Tale modalità prolungata nel tempo ha determinato l’accesso e la conservazione di email personali, in violazione della normativa privacy. L’Autorità ha pertanto ordinato alla società di consentire al lavoratore l’accesso al proprio account aziendale di posta elettronica e ne ha disposto la successiva cancellazione, fatta salva la conservazione di quanto necessario per la tutela dei diritti in sede giudiziaria.

Nel definire l’ammontare della sanzione, il Garante ha considerato la tipologia e la durata delle violazioni, il mancato riscontro all’istanza di esercizio dei diritti del lavoratore e l’assenza di precedenti violazioni della normativa privacy da parte della società.

Categorie