4009 Solo 30 giorni per informare sui cookies traccianti

30 giorni per informare sui cookies tracciantiVADEMECUM - E-mail marketing, entrano in vigore le linee guida sui... - Garante Privacy
Question:
spiega in poche parole cosa devono fare le aziende
---Le aziende devono:

• Adeguare informative, consensi e sistemi di revoca ai tracking pixel entro il 29 ottobre 2026.
• Acquisire consenso libero, specifico e informato per l’uso dei pixel, tranne per eccezioni (sicurezza, necessità tecniche, comunicazioni istituzionali).
• Garantire:
  • Trasparenza (informativa chiara).
  • Revocabilità semplice e selettiva del consenso.
  • Privacy by design/default (minimizzazione dati, riduzione rischio identificabilità).
• Rispettare GDPR e Codice privacy (art. 122).

• Informare gli utenti in modo chiaro e semplificato sull’uso di tracking pixel nelle email (es. in fase di raccolta indirizzo o tramite link a privacy policy).
• Ottenere il consenso esplicito per tracciamenti non essenziali (es. marketing, profilazione). Deroghe solo per:
  • Misurazioni statistiche anonimizzate (es. tasso apertura email).
  • Sicurezza (es. autenticazione utente).
  • Messaggi obbligatori per legge (es. notifiche bancarie, istituzionali).
• Garantire la revoca facile del consenso, anche granulare (solo tracciamento o tutta la comunicazione).
• Applicare privacy by design:
  • Usare identificativi non sequenziali per i pixel.
  • Separare indirizzi email dai dati tracciati.
• Adeguarsi entro 6 mesi dalla pubblicazione delle Linee Guida (29 aprile 2026).

Speaker 2: Privacypod. it, il podcast sulla privacy per aziende, sviluppatori e consulenti.

Abbonamenti su privacypod. it slash membri. Conduce il dottor Spataro, consulente

privacy dal 1995. Buongiorno a tutti. Stiamo parlando

Speaker 3: oggi di pixel, pixel tracking, cioè di tracciamento dell'attività online

o anche in posta elettronica. Di che cosa si tratta?

Si tratta di uno strumento parallelo a quello dei cookies,

parallelo a quello della profilazione, perché di profilazione si può

anche parlare, ma nella sostanza viene considerato, perché si dice pixel,

perché con la scusa di richiedere un'immagine di un solo

pixel a distanza, che quindi non nasce per essere vista,

ma per essere chiesta a distanza, il software che riceve

la richiesta può raccogliere delle informazioni. Perché chiaramente se il

nome del file che viene dato è di un certo tipo,

e comunque i dati di collegamento sono passati, io posso

avere certe informazioni. Quali sono queste informazioni? Sono almeno di

due tipi. Una di semplici analitiche di apertura o chiusura

di un contenuto, oppure avere proprio questi temi per tracciare

gli interessi di chi viene tracciato con questa tecnica. Perché, ripeto,

non è qualcosa di evidente come un cookie che è

gestito internamente e non è così semplice da scovare. Pochi,

per esempio, utilizzano le configurazioni di programmi posta elettronica per

togliere il caricamento automatico delle immagini. Questo, nella pratica, porta

a delle situazioni veramente estreme. Mi ricordo che in un

caso avevo segnalato che c'era un problema di comunicazione perché

non venivano date informazioni a certi eventi che venivano organizzati

in Italia da parte di un'azienda coordinatrice a livello mondiale,

e questa rispose, ma proprio tu che non apri mai

la nostra posta ti vai a lamentare di quello che

viene letto e quello che non viene letto, di quello

che viene scritto e quello che non viene scritto. E

io fui tutto sommato contento perché evidentemente i miei sistemi

non facevano vedere a loro che io effettivamente leggevo o

non leggevo le loro e- mail, cosa che invece leggevo perché

mi interessava, chiaro. Quindi, ecco, c'è questa pretesa di controllo all'estero,

era proprio un'azienda negli Stati Uniti, che supera ogni approccio europeo.

Di fronte a questo, però, le autorità europee prendono posizione,

perché gli strumenti che offrono questi PXR Targeting o pixel tracking,

o come li vogliamo chiamare, sono spesso internazionali, quindi poi

le troviamo un po' ovunque, in Facebook, in Instagram, comunque,

e ovunque. E ripeto, tutto dipende dalla finalità del trattamento.

Se da una parte serve solo per sapere, io ho

mandato mille email, dieci l'hanno aperta e uno ha cliccato, ecco,

dieci l'hanno aperta, lo so, col pixel... mentre il click

su un contenuto lo vedo dall'apertura del link. Queste però

sono statistiche che molto probabilmente si possono fare entrare nel

legittimo interesse senza preoccuparsi particolarmente. Diverso è l'ipotesi in cui

tutto questo serva a dire ok siccome sto andando a

ricevo questo soggetto riceve un articolo che tratta di tal materia,

allora sarà interessato a tutte le questioni legate a quella materia,

che almeno questo è il modo in cui viene venduto

la pubblicità. In questo caso si deve chiedere il consenso,

perché chiaramente è un consenso alla profilazione, che deve essere

ritirabile e poi anche bloccabile. Ecco, sul fatto che possa

essere bloccato diventa un aspetto tecnico non secondario. Ma restiamo

agli aspetti centrali. Questo perché? Perché il garante in questi

giorni ha ricordato che entro 29 ottobre 2026 tutte le

informative sul consenso e sistema di revoca al tracking pixel

dovranno essere comunicati. E come? Tramite informativa. e raccogliendo un

consenso libero, specifico e informato per l'uso del pixel. Eccetto,

come si diceva, per motivi di sicurezza, necessità tecniche e

comunicazioni istituzionali. Ecco, comunicazioni istituzionali... Sì. Insomma, una volta si

parlava solo di necessità tecniche. Adesso si è aggiunto i

motivi di sicurezza e comunicazioni istituzionali. Quindi... Questo provvedimento, queste

linee guida vanno viste per ricapire un po' quali saranno

le prossime interpretazioni del garante. Io indico i vari documenti,

abbiamo il primo provvedimento il 17 aprile 2026, il comunicato

stampa di qualche giorno fa. Sostanzialmente bisogna informare gli utenti

che ci sono problemi. questi tracking pixel nelle email. Ad

esempio è una fase di raccolta dell'indirizzo, quindi quando uno

si iscrive alla newsletter o tramite link a una privacy policy.

Quindi bisogna ottenere consenso, eccetto per misurazione statistiche anonime, come

vi dicevo prima, per motivi di sicurezza, per esempio l'autenticazione dell'utente,

quindi diciamo che è ancora un utilizzo tecnico, messaggi obbligatori

per legge, notifiche bancarie o istituzionali, che però notifiche banchiarie

non capisco perché debbano essere fatte, tracciate, però vabbè, questa

è una innovazione nei criteri previsti dal GDPR, che vale

la pena tenere, perché comunque il GDPR si è adeguare

alle innovazioni. Cos'altro si può dire? Sostanzialmente... anche il cookie

wall potrebbe essere un punto problematico, come qualsiasi altra newsletter.

Se non si è impazziti fino adesso a gestire tutte

queste cose, probabilmente nel prossimo mese non vedremo una grande corsa.

Ciò non significa che non ci sia un problema, perché

se una volta si tendeva ad avere in casa questi

strumenti per evitare di pendere dall'estero e da fornitori e

non dare i dati altrove, adesso conviene lasciare fare tutto

qualche grosso operatore nella speranza che poi i problemi vengano

solo nei confronti di quel grosso operatore. Un

Speaker 2: caro saluto a tutti, PrivacyPod, alla prossima! Grazie a tutti