Tracking pixel nelle e-mail: il Garante Privacy detta le regole

Cosa sono i tracking pixel e perché ci riguardano tutti

I pixel di tracciamento — o tracking pixel — sono immagini di dimensioni ridottissime, spesso trasparenti e pari appunto a un solo pixel, non direttamente contenute nell’e-mail ma ospitate su server remoti.  Sono presenti praticamente in ogni newsletter, DEM (direct e-mail marketing) o comunicazione commerciale che riceviamo quotidianamente nella nostra casella di posta, eppure la grande maggioranza degli utenti ignora la loro esistenza.

Al momento dell’apertura del messaggio da parte del destinatario, un codice HTML inserito nell’e-mail aziona automaticamente un comando che comporta l’inoltro di una richiesta al server del mittente; in risposta, l’immagine viene scaricata dal client di posta e archiviata nella memoria del terminale dell’interessato, per essere “esposta” nel corpo del messaggio.

Il processo, nella sua invisibilità, è tutt’altro che innocuo. Pur non avendo di per sé alcun valore informativo per l’utente, il meccanismo consente al mittente — o a uno dei suoi partner — di ottenere informazioni sull’avvenuta apertura dell’e-mail, sul tipo di dispositivo utilizzato, sull’indirizzo IP del destinatario, sul numero di aperture successive e persino sul tempo di consultazione del messaggio.

Il quadro normativo: tra direttiva e-Privacy e GDPR

Il Garante Privacy chiarisce che le disposizioni della direttiva e-Privacy — e, di conseguenza, l’art. 122 del Codice Privacy, che ne costituisce la disciplina di recepimento a livello nazionale — si applicano all’uso dei pixel di tracciamento nelle e-mail.

Ai sensi di tale disposizione, l’archiviazione di informazioni nell’apparecchio terminale di un utente o l’accesso a informazioni già archiviate sono consentiti unicamente a condizione che l’utente abbia espresso il proprio consenso dopo essere stato informato con modalità semplificate.

La norma opera in combinato con il Regolamento europeo in materia di protezione dati personali (“GDPR”): molte attività di trattamento devono essere ricondotte all’ambito di applicazione tanto della direttiva quanto del GDPR, con l’avvertenza che, laddove la direttiva renda più specifiche le prescrizioni del GDPR, essa, in quanto lex specialis, dovrà essere applicata e prevarrà sulle disposizioni di portata più generale.

Le Linee Guida adottate dal Garante Privacy

Con le Linee Guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica, il Garante Privacy ha per la prima volta affrontato in modo organico una prassi molto diffusa ma sino ad oggi mai regolamentata. Il provvedimento definisce il perimetro di applicazione della disciplina, individua le basi giuridiche del trattamento — distinguendo le ipotesi in cui il consenso è necessario da quelle in cui può esserne esclusa l’acquisizione —, detta prescrizioni in materia di informativa e di revoca granulare del consenso e indica misure tecniche ispirate al principio di privacy by design. I destinatari delle Linee Guida costituiscono una platea molto ampia: fornitori di servizi della società dell’informazione, provider di servizi di posta elettronica, gestori di piattaforme per l’inoltro massivo di messaggi e-mail e ogni altro soggetto che, a qualsiasi titolo, faccia uso di tracking pixel.

Quando non serve il consenso: le esenzioni

Il Garante Privacy, consapevole della realtà operativa di molte organizzazioni, individua alcune ipotesi in cui il trattamento è lecito anche in assenza di un consenso specifico per i tracking pixel:

1. Finalità statistiche aggregate. Ogniqualvolta l’impiego di tracking pixel sia funzionale a un conteggio statistico che misuri la percentuale globale di apertura dei messaggi — utile, tra l’altro, a migliorare la deliverability delle e-mail e a contrastare lo spam — è possibile prescindere dal consenso, a condizione di adottare tecniche di anonimizzazione che impediscano misurazioni personalizzate.
2. Sicurezza e autenticazione. Il tracking pixel può considerarsi lecito senza consenso quando venga impiegato per garantire che un determinato messaggio — come la conferma di attivazione di un account o la gestione di una richiesta di modifica della password — sia effettivamente aperto su un terminale noto per appartenere all’utente interessato.
3. Messaggi istituzionali e di servizio obbligatori. Nelle ipotesi di messaggi che il titolare ha l’obbligo giuridico di inoltrare — si pensi a comunicazioni relative a incidenti di sicurezza, modifiche contrattuali, campagne istituzionali informative, reminder su scadenze e adempimenti — e rispetto ai quali rileva l’effettiva presa di conoscenza del destinatario, la deroga all’obbligo di acquisizione del consenso è ritenuta legittima.

Quando invece il consenso è obbligatorio

Il consenso è invece necessario ogniqualvolta la misurazione individuale e l’analisi del tasso di apertura delle e-mail vengano utilizzate per valutare e migliorare le performance di campagne promozionali, per adattare la frequenza degli invii in base all’interesse manifestato dal destinatario, o quando il dato di lettura dell’e-mail venga utilizzato per ricavarne informazioni sui potenziali gusti, interessi e preferenze dell’utente, allo scopo di creare profili commerciali.

Il Garante Privacy ha ritenuto, tuttavia, che il consenso alla ricezione degli strumenti di tracciamento in questione possa, in linea di principio, essere ricompreso in quello, più generale, alla ricezione delle comunicazioni promozionali, in modo da consentire che la persona esprima a tal fine un unico consenso informato.

L’informativa: obbligatoria, anche in forma semplificata

I tracking pixel sono marcatori particolarmente invasivi soprattutto in ragione del loro carattere nascosto. Il Garante Privacy ribadisce che, per qualificarsi lecito, il loro impiego nelle e-mail deve essere preventivamente reso noto al destinatario, qualunque sia lo scopo della comunicazione o la tipologia del soggetto mittente.

L’informativa potrà essere fornita su più livelli: ad esempio in forma sintetica all’interno del modulo di raccolta dell’indirizzo e-mail, con un link verso un’informativa più dettagliata (anche all’interno della cookie policy), oppure tramite canali multipli quali pop-up informativi, video, chatbot o interazioni vocali.

Qualora l’invio di e-mail contenenti tracking pixel sia già in corso, sarà possibile colmare l’obbligo informativo con il primo messaggio utile, ovvero nel primo momento di discontinuità esistente nel rapporto con l’interessato.

Revoca del consenso: anche “granulare”

Una delle novità più significative riguarda la possibilità di revoca differenziata del consenso. L’utente che abbia acconsentito al trattamento deve poter successivamente revocare in modo agevole le scelte pregresse, anche in modo granulare: optando per la revoca del consenso unico — con l’effetto di impedire la futura ricezione di ulteriori messaggi — oppure revocandolo solo parzialmente, con esclusivo riguardo al tracciamento connesso alla ricezione di tracking pixel. Tale possibilità potrà essere assicurata inserendo, ad esempio, all’interno di ogni e-mail un’icona standardizzata o un link nel footer che conduca l’utente verso un’area dedicata all’esercizio dei suoi diritti.

In nessun caso l’utente che intenda rifiutare il tracciamento dovrà subire limitazioni nella fruibilità del servizio per questa sola ragione.

I tempi di adeguamento

In considerazione della potenziale complessità degli adeguamenti necessari, l’Autorità ha individuato un termine pari a 6 mesi dalla pubblicazione in Gazzetta Ufficiale entro il quale i soggetti tenuti dovranno conformarsi alle Linee Guida.

 

Contattaci per approfondimenti e assistenza nella valutazione della conformità della propria attività alle nuove Linee Guida