Cosa dice la raccomandazione della CNIL del 2026

Nel maggio 2026 l’autorità francese per la protezione dei dati, la CNIL, ha emesso una raccomandazione sull’uso dei pixel di tracciamento nelle email. Non crea nuovo diritto; spiega come il diritto esistente si applica a una pratica che per anni aveva operato in una zona grigia.

Questa pagina è una sintesi divulgativa, non una consulenza legale. Dove la precisione conta, leggi direttamente la raccomandazione e i testi sottostanti.

La catena giuridica su cui si fonda

• L’articolo 5, paragrafo 3 della direttiva ePrivacy (2002/58/CE) richiede il consenso prima di archiviare informazioni, o accedere a informazioni già archiviate, nell’apparecchiatura terminale di un utente — a meno che non si applichi una ristretta esenzione.
• L’articolo 82 della Loi Informatique et Libertés francese recepisce tale norma nel diritto francese ed è ciò che la CNIL fa rispettare.
• Le Linee guida 2/2023 dell’EDPB hanno chiarito che l’articolo 5, paragrafo 3 è tecnologicamente neutro: si applica non solo ai cookie ma a qualsiasi tecnica che legga da o scriva su un dispositivo — inclusi esplicitamente i pixel di tracciamento delle email e la memorizzazione nella cache di risorse remote.

Leggere un pixel comporta che il tuo dispositivo recuperi e memorizzi nella cache una risorsa remota, quindi rientra pienamente nell’articolo 5, paragrafo 3.

Cosa chiede la raccomandazione ai mittenti

1. Consenso prima dell’inserimento. Di norma, un pixel di tracciamento può essere inserito in un’email solo se il destinatario ha dato un consenso preventivo, specifico, informato e libero per tale finalità — salvo i casi in cui si applichi un’esenzione riconosciuta (vedi pixel esenti vs. basati sul consenso).
2. Granularità delle finalità. Il consenso per una finalità (ad esempio, misurare la deliverability) non autorizza un’altra (ad esempio, costruire un profilo di marketing). Ogni finalità deve essere presentata chiaramente.
3. Revoca facile quanto il consenso. I destinatari devono poter revocare il consenso in qualsiasi momento, e farlo deve essere semplice quanto lo è stato darlo — nessun attrito, nessun ostacolo di ri-autenticazione.
4. Revoca effettiva. Una volta revocato il consenso, il tracciamento deve effettivamente cessare — anche per le email già inviate. Un pixel presente in un vecchio messaggio non deve più registrare le aperture.
5. Il link per singolo destinatario. Un link univoco di disiscrizione/preferenze nel piè di pagina dell’email, associato a un singolo destinatario, è considerato una misura di sicurezza (limita l’azione al titolare dell’indirizzo). Quel link stesso è esente dal consenso preventivo.

Cosa significa per te come destinatario

• Hai il diritto che ti venga chiesto prima che un brand tracci le tue aperture, e il diritto di dire di no.
• Se hai dato il consenso, puoi cambiare idea, e il cambiamento dovrebbe avere effetto immediato — anche sui messaggi già presenti nella tua casella di posta.
• Non dovresti mai dover digitare il tuo indirizzo email in un modulo per disiscriverti; il link personale ti identifica già in modo sicuro. Vedi i tuoi diritti.

Dove si colloca TrackingCompliant

TrackingCompliant è la superficie di gestione delle preferenze che un mittente utilizza per soddisfare in pratica i punti 3-5: una revoca con un clic dal link nel piè di pagina, effettiva anche sulla posta già inviata. È gestito dal mittente, non da un revisore indipendente — lo dichiariamo apertamente perché l’onestà su chi gestisce lo strumento fa parte del farlo correttamente.