Pixel di tracciamento nelle email: il Garante privacy pubblica le linee guida

Il Garante per la protezione dei dati personali, con un recente provvedimento in corso di pubblicazione sulla Gazzetta Ufficiale, ha adottato le "Linee Guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica".

I pixel di tracciamento, o tracking pixel sono minuscole immagini trasparenti, praticamente invisibili, inserite nei messaggi di posta elettronica per rilevarne l’apertura e raccogliere informazioni sui comportamenti degli utenti.

Con la predisposizione delle presenti Linee Guida l'Autorità intende rafforzare la trasparenza e il controllo degli utenti sui propri dati, richiamando l’attenzione sulla particolare invasività di queste tecnologie, che operano spesso senza che il destinatario ne abbia piena consapevolezza.

Le Linee guida si rivolgono ai fornitori di servizi della società dell’informazione, ai soggetti che offrono servizi online accessibili al pubblico, ai provider di posta elettronica, ai gestori di piattaforme per l’invio massivo di email e, più in generale, a tutti i soggetti che utilizzano tracking pixel.

Trattandosi di un sistema di tracciamento occulto, per qualificarsi lecito, l’impiego di tracking pixel nelle e-mail deve essere preventivamente reso noto al destinatario della e-mail, qualunque sia lo scopo della comunicazione o la tipologia del soggetto mittente.

Le Linee guida chiariscono che l’impiego dei tracking pixel rientra nella disciplina prevista dall’articolo 122 del Codice privacy, che regola l’uso di tecnologie capaci di accedere alle informazioni presenti nei dispositivi degli utenti o di monitorarne il comportamento online. Nei casi ordinari, il loro utilizzo richiede un consenso preventivo, libero, specifico e informato.

Restano possibili specifiche eccezioni, ad esempio per finalità di sicurezza, per esigenze tecniche strettamente necessarie o per comunicazioni istituzionali e di servizio, nel rispetto dei principi di proporzionalità e minimizzazione dei dati.

Il documento ribadisce inoltre, l’obbligo di fornire agli utenti un’informativa chiara e trasparente e garantire modalità semplici per la revoca del consenso, anche in modo selettivo.

Particolare attenzione è richiesta all’adozione di misure di privacy by design e by default, per ridurre il rischio di identificabilità degli utenti e limitare la circolazione dei dati personali.

In considerazione della potenziale complessità di eventuali adeguamenti dei sistemi e dei trattamenti già in atto ai principi espressi dalle presenti Linee Guida, l’Autorità ha individuato un termine pari a 6 mesi dal momento della loro pubblicazione in Gazzetta Ufficiale entro il quale i soggetti tenuti dovranno conformarvisi.