Il tracciamento delle email è legale? Cosa dicono le regole

“Il tracciamento delle email è legale?” è una domanda legittima con una risposta poco soddisfacente: dipende da dove ti trovi tu, da dove si trova il destinatario e da che cosa stai inviando. In sintesi, negli Stati Uniti il tracciamento delle aperture è ampiamente consentito e quasi mai regolato per nome, mentre nell’Unione Europea e nel Regno Unito le autorità trattano i pixel di tracciamento più o meno come i cookie, con aspettative di trasparenza e, spesso, di consenso.

Questo articolo contiene informazioni generali, non consulenza legale. Le regole cambiano, variano da un ordinamento all’altro e la tua situazione può avere aspetti specifici che modificano la risposta. Se la tua attività dipende da questa risposta, rivolgiti a un avvocato qualificato nel tuo paese.

Che cosa fa un pixel di tracciamento, in termini giuridici

Un pixel di tracciamento è una piccola immagine, di norma invisibile, inserita nel corpo dell’email. Quando l’app di posta del destinatario la carica, il server apprende che il messaggio è stato aperto, all’incirca quando, l’indirizzo IP che ha effettuato la richiesta e spesso il client di posta. Non c’è altro: nessun accesso alla casella, nessuna lettura di altri messaggi, nessun software installato. Il funzionamento è spiegato in come funzionano i pixel di tracciamento delle email.

Due elementi attirano l’attenzione delle autorità: l’indirizzo IP, in Europa generalmente considerato un dato personale, e il fatto stesso che l’immagine venga memorizzata nella cache sul dispositivo del destinatario.

Gli Stati Uniti

Negli Stati Uniti non esiste una legge federale che nomini il tracciamento delle aperture delle email e lo vieti. La guida della FTC alla conformità con il CAN-SPAM Act fissa le regole per le email commerciali: nessuna informazione di intestazione falsa o ingannevole, nessun oggetto ingannevole, identificare il messaggio come pubblicità, indicare un indirizzo postale valido, spiegare come disiscriversi, dare seguito alle richieste di disiscrizione entro dieci giorni lavorativi e vigilare su ciò che altri fanno per tuo conto. Pixel di tracciamento, tracciamento delle aperture e conferme di lettura non compaiono nella guida.

Questo non significa che tutto sia permesso. Ci sono due ambiti da conoscere.

Le leggi statali sulla privacy. Un numero crescente di stati americani ha leggi organiche sulla privacy con obblighi propri di informativa e di opt out. Se raccogli dati sulle aperture dei consumatori su larga scala, è una questione da porre a un legale.

Le cause sulle intercettazioni. Negli Stati Uniti c’è un contenzioso attivo sulle tecnologie di tracciamento ai sensi delle leggi federali e statali sulle intercettazioni, in particolare quelle sul consenso di entrambe le parti in stati come la California e la Pennsylvania. Riguarda soprattutto il tracciamento dei siti web più che i pixel nelle email, ma è un tema da tenere d’occhio se tracci a volumi elevati.

Per un privato che vuole sapere se una proposta è stata aperta, la posizione statunitense è permissiva.

L’Unione Europea e il Regno Unito

L’Europa affronta la questione da un’altra angolazione. La domanda non è “il tracciamento è consentito?” ma “sei autorizzato a memorizzare o leggere qualcosa sul dispositivo di una persona?”, e la risposta parte dal consenso.

La regola ePrivacy

L’articolo 5, paragrafo 3, della direttiva ePrivacy, conosciuto come la regola sui cookie, richiede il consenso prima di archiviare informazioni sul dispositivo di un utente o di accedere a informazioni già archiviate. È neutro rispetto alla tecnologia, quindi non ha mai riguardato solo i cookie.

Il Comitato europeo per la protezione dei dati ha chiarito l’applicazione alle email nelle sue Linee guida 2/2023 sull’ambito di applicazione tecnico dell’articolo 5, paragrafo 3, adottate nell’ottobre 2024. Le linee guida osservano che, nel caso di un’email, il mittente può includere un pixel di tracciamento per rilevare quando il destinatario legge il messaggio. L’EDPB conclude che la distribuzione di questi pixel all’apparecchiatura terminale dell’utente costituisce archiviazione, quanto meno attraverso il meccanismo di cache del software client, e che l’articolo 5, paragrafo 3, è quindi applicabile anche se l’archiviazione non è permanente. Considera inoltre la raccolta dell’identificativo che torna indietro come un accesso ai sensi dello stesso articolo.

In parole semplici: per le autorità europee i pixel di tracciamento nelle email rientrano nell’ambito di applicazione della norma.

La posizione del Regno Unito

L’Information Commissioner’s Office britannico arriva allo stesso punto attraverso il PECR. La sua guida sul marketing diretto tramite posta elettronica afferma che le regole del PECR sul marketing via email si applicano all’email in sé e non ai pixel di tracciamento, e che i pixel di tracciamento ricadono invece sotto le regole separate del PECR in materia di tecnologie di archiviazione e accesso. La guida su queste tecnologie descrive i pixel di tracciamento come piccole porzioni di codice, di solito un file immagine, incorporate in un sito web o in un’email, e conferma che, quando archiviano o leggono informazioni sul dispositivo di un utente, si applica la regulation 6.

La regulation 6 è la norma su consenso e informativa. Quindi chi nel Regno Unito invia email di marketing con tracciamento delle aperture deve pensare sia a informare le persone sia, nella maggior parte dei casi, a chiedere il loro consenso.

La Francia, e un esempio concreto

L’autorità francese per la protezione dei dati, la CNIL, ha pubblicato il 14 aprile 2026 una raccomandazione specifica sui pixel di tracciamento nelle email. La sua posizione è che il consenso sia generalmente necessario per i pixel usati per misurare i tassi di apertura ai fini delle prestazioni pubblicitarie, per costruire profili dei destinatari e per finalità analitiche simili. La raccomandazione prevede eccezioni circoscritte, tra cui le email transazionali come le conferme d’ordine e le reimpostazioni della password, e la misurazione individuale della recapitabilità limitata all’individuazione dei destinatari inattivi. La CNIL ha inoltre concesso alle organizzazioni un periodo transitorio per informare i destinatari già in lista e offrire un modo semplice per opporsi.

La CNIL fa una distinzione facile da trascurare e molto importante: il consenso a ricevere email di marketing non è lo stesso del consenso a essere tracciati. Sono due questioni distinte.

Email di marketing ed email uno a uno non sono la stessa cosa

Quasi tutte le regole viste sopra sono state scritte pensando agli invii di massa: campagne rivolte a migliaia di persone il cui comportamento viene poi profilato. È un’attività diversa da quella di un commerciale che vuole sapere se una singola proposta è arrivata a un singolo cliente, anche se l’immagine sottostante è identica.

La posizione onesta è che le regole ePrivacy sui pixel non si limitano al marketing, quindi i diritti di un destinatario europeo non svaniscono solo perché hai inviato una sola email. Quello che cambia è la risposta proporzionata. Per l’email di lavoro uno a uno, la trasparenza è il passo proporzionato. Per le campagne verso una lista servono un vero meccanismo di consenso e un’informativa privacy che descriva che cosa raccogli.

Buone maniere pratiche

Regole a parte, un criterio semplice ti tiene tranquillo in quasi tutte le situazioni. Parti dal fatto che un pixel mostra che un’immagine è stata caricata, non che una persona abbia letto qualcosa.

Se hai dubbi, dillo. Una sola riga nella firma, qualcosa come “uso uno strumento che mi segnala quando le mie email vengono aperte”, elimina del tutto l’elemento di occultamento. Non ti costa quasi nulla ed è molto difficile da contestare.

Se invii su larga scala, pubblica un’informativa privacy. Descrivi che cosa raccogli, perché e come opporsi. In Europa è un obbligo e ovunque è una buona pratica.

Usalo per scegliere il momento dei tuoi solleciti, non per giudicare le persone. Un’apertura è un segnale debole sull’attenzione, non una dichiarazione di interesse. Quando fare follow-up dopo l’apertura di un’email spiega come usarlo bene.

Non menzionare mai il tracciamento nel sollecito. “Ho visto che hai aperto la mia email due volte” fa sentire le persone sorvegliate ed è il modo più rapido per perdere un rapporto che stavi cercando di costruire.

Non usarlo mai per localizzare o sorvegliare una persona. Non tracciare qualcuno che non hai alcun motivo professionale di contattare. Non usare le posizioni delle aperture per capire dove si trova una persona. Oltre a essere sgradevole, è il tipo di utilizzo che può chiamare in causa leggi su molestie e stalking che nulla hanno a che vedere con i pixel. E in pratica non funziona nemmeno, perché la posizione ricavata dall’indirizzo IP è nel migliore dei casi approssimativa, come spiegato in quanto è precisa la posizione delle aperture delle email.

Che cosa significa per chi invia normalmente

Se sei negli Stati Uniti e tracci email di lavoro che hai davvero inviato a persone che conosci davvero, sei su un terreno solido, e una riga di informativa rende la cosa anche rispettosa. Se scrivi a persone nell’Unione Europea o nel Regno Unito, soprattutto per marketing, tratta il tracciamento delle aperture come una questione di consenso e trasparenza e impostalo come si deve. Se non sai in quale categoria rientri, chiedi a un avvocato e non a un sito web.

Dove si colloca Email Tracker

Email Tracker è un’app per iPhone che traccia le email che scrivi al suo interno, usando la finestra di composizione di Apple Mail. È pensata per l’email uno a uno più che per le campagne di massa, ed è prudente in ciò che segnala: ignora il prelievo automatico di Apple Mail invece di conteggiarlo come un’apertura e non mostra alcuna posizione anziché mostrare quella di un proxy.

Sul fronte dei dati: per mostrarti un’apertura, il servizio conserva l’oggetto dell’email tracciata e gli eventi di apertura, che comprendono indirizzo IP, posizione approssimativa e user agent. Non accede alla tua casella di posta, non la legge e non vi effettua alcun accesso. Per l’alternativa integrata nella maggior parte dei sistemi di posta, vedi conferme di lettura e tracciamento delle email.

Questo articolo fornisce solo informazioni generali e non costituisce consulenza legale. Consulta un avvocato qualificato per la tua situazione specifica e per il tuo ordinamento.