# Pixel nelle email: cosa richiede il consenso secondo la CNIL

URL canonico: https://brew.new/it/blog/cnil-tracking-pixel-rules-email
Autore: Philip Sørensen
Pubblicato: 2026-10-06
Aggiornato: 2026-10-06

La raccomandazione della CNIL, il Garante privacy francese, sui pixel di tracciamento nelle email è l’interpretazione ufficiale, in Francia, di come le regole sul consenso si applicano all’immagine invisibile che segnala al mittente che hai aperto un messaggio. Un pixel di apertura legge informazioni dal dispositivo del destinatario, quindi richiede un consenso preventivo, a meno che non rientri in una delle due esenzioni, molto circoscritte. La CNIL l’ha adottata con la delibera n. 2026-042 il 12 marzo 2026, l’ha pubblicata sul Journal Officiel, la Gazzetta ufficiale francese, il 14 aprile 2026 e il 22 luglio 2026 ha aggiunto delle FAQ con 27 domande.

Se il tuo ESP inserisce un pixel in ogni email, come fa la maggior parte, e il tuo modulo di iscrizione non lo dice da nessuna parte, ogni destinatario in Francia è un problema, ovunque abbia sede la tua azienda. La CNIL ha pubblicato una [traduzione di cortesia in inglese](https://www.cnil.fr/sites/default/files/2026-05/recommandation_tracking_pixels_emails.pdf) dell’[originale francese](https://www.cnil.fr/sites/default/files/2026-04/recommandation-pixels_de_suivi.pdf) della raccomandazione. Tutte le citazioni di questo articolo sono nostre traduzioni in italiano.

Questo articolo non è una consulenza legale. La raccomandazione stessa si definisce “né regolamentare né esaustiva”, quindi fai verificare la tua configurazione da un legale.

## Punti chiave

- Le aperture usate per ottimizzare le campagne, creare profili o rilevare frodi richiedono un consenso preventivo.
- Due usi sono esenti: la sicurezza dell’autenticazione e i pixel di deliverability nelle email richieste che conservano solo la data dell’ultima apertura, per rallentare o interrompere gli invii ai destinatari inattivi. Le email inviate in regime di soft opt-in e quelle di carrello abbandonato non rientrano nell’esenzione.
- I contatti raccolti prima del 14 aprile 2026 dovevano ricevere un’informativa e la possibilità di opporsi entro il 14 luglio. Se non è successo, ora serve il loro consenso.
- Chiedi il consenso ai pixel come scelta separata nel modulo in cui raccogli l’indirizzo e metti un link per revocarlo in ogni footer.
- I link tracciati sono soggetti alla stessa verifica ai sensi dell’articolo 82, valutata in base alla finalità.

## Da dove viene la regola

L’articolo 5, paragrafo 3, della direttiva ePrivacy ([testo consolidato](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:02002L0058-20091219)) consente di leggere o archiviare informazioni sul dispositivo di un utente “soltanto” se l’utente “ha espresso il proprio consenso”, a meno che l’accesso serva a trasmettere una comunicazione o sia “strettamente necessario” per un servizio esplicitamente richiesto dall’utente. La Francia l’ha recepito con l’[articolo 82 della loi Informatique et Libertés](https://www.cnil.fr/fr/le-cadre-national/la-loi-informatique-et-libertes#article82), su cui si basano anche le sanzioni della CNIL in materia di cookie.

Le [Linee guida 2/2023](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22023-technical-scope-art-53-eprivacy-directive_en) del Comitato europeo per la protezione dei dati (EDPB), nella versione 2.0 adottata il 7 ottobre 2024, affermavano già che le informazioni di tracciamento inserite in URL o immagini “costituiscono un’istruzione all’apparecchiatura terminale affinché rinvii le informazioni ricercate”. Ciò che avviene dopo è disciplinato dal GDPR, compresa la prova del consenso prevista dall’articolo 7, paragrafo 1.

| Data | Cosa è successo |
|---|---|
| Dal 12 giugno al 24 luglio 2025 | [Consultazione pubblica](https://www.cnil.fr/fr/consultation-publique-projet-recommandation-pixels-de-suivi) sulla bozza |
| 12 marzo 2026 | La CNIL adotta la delibera n. 2026-042 |
| 14 aprile 2026 | [Pubblicazione](https://www.cnil.fr/fr/recommandation-pixel-suivi-courriels) sul Journal Officiel. Si applica subito ai nuovi indirizzi |
| 28 maggio e 4 giugno 2026 | Webinar per i mittenti e per i provider email |
| 14 luglio 2026 | Si chiude il periodo per informare i contatti esistenti |
| 22 luglio 2026 | [Pubblicazione delle FAQ](https://www.cnil.fr/fr/faq-recommandation-pixels-courriers-electroniques) |

La [bozza di giugno 2025](https://www.cnil.fr/sites/default/files/2025-06/projet_de_recommandation_pixels_de_suivi.pdf) esentava solo il tasso di apertura complessivo e raccomandava pixel identici per tutti i destinatari. Il testo finale è più morbido: esenta la misurazione individuale ai fini della deliverability, a condizioni rigorose.

## Cosa rientra nell’ambito di applicazione

La raccomandazione descrive un pixel di tracciamento come un’immagine remota il cui URL “di solito contiene parametri individualizzati relativi all’utente o al contesto”. Quando l’immagine viene caricata, l’identificativo del pixel, l’indirizzo IP e dati simili arrivano a chi l’ha inserita. È questo che disciplina l’articolo 82.

- **Tutte le email**, comprese quelle inviate a clienti, potenziali clienti e al tuo personale sugli indirizzi di lavoro (domanda 3 delle FAQ).
- **Tutti i mittenti** i cui pixel tracciano persone che si trovano in Francia, che siano stabiliti nell’UE o no (domanda 2 delle FAQ). Lo sportello unico non si applica ai controlli basati sull’articolo 82.
- **Tutte le parti coinvolte.** Il mittente è il titolare del trattamento. L’ESP di norma è un responsabile del trattamento, oppure un contitolare se usa i dati dei pixel per finalità proprie e il contratto lo prevede.

I servizi di messaggistica protetta come quelli delle banche usano altri protocolli e sono esclusi.

## Quali usi dei pixel richiedono il consenso

La sezione 3.1 ne elenca quattro:

1. “L’analisi del tasso di apertura delle email per misurare e ottimizzare le prestazioni delle campagne, personalizzando il contenuto dei messaggi o adattando la frequenza di invio o il canale di comunicazione”. Rientra qui anche il filtraggio delle frodi pubblicitarie dalla misurazione.
2. “La creazione di profili dei destinatari” per raggiungerli con contenuti mirati su siti web, app o altri canali.
3. “Il rilevamento e l’analisi di sospette frodi, come l’individuazione di aperture di email insolite o massicce”.
4. La misurazione individuale delle aperture ai fini della deliverability al di fuori dell’esenzione prevista dalla sezione 3.2.

Il punto 1 è quello che pesa di più. Gli orari di invio calcolati sulle aperture, i segmenti “ha aperto negli ultimi 30 giorni” e i rami delle automazioni attivati da un’apertura richiedono tutti il consenso.

Avere il diritto di inviare non chiude la questione. Secondo la sezione 4.2, il consenso ai pixel “può essere necessario per email che, in linea di principio, non richiedono il consenso dei destinatari”, e cita le conferme d’ordine, il marketing in regime di soft opt-in, le richieste di donazioni e il prospecting B2B.

## Le due esenzioni

![Una tabella decisionale che mostra quali usi dei pixel di tracciamento nelle email richiedono il consenso secondo la raccomandazione della CNIL, per tipo di email e finalità.](/images/blog/cnil-tracking-pixel-rules-email-decision-table.png)

*Cosa richiede il consenso, per tipo di email e finalità del pixel, secondo la raccomandazione della CNIL e le FAQ di luglio 2026.*

### Sicurezza dell’autenticazione

Un pixel usato solo per proteggere un’autenticazione può essere esente: per esempio, per verificare che un’email con un codice di accesso sia stata aperta sul dispositivo abituale dell’utente. La domanda 13 delle FAQ include la reimpostazione della password. La prevenzione delle frodi in generale, il rilevamento dei bot e la protezione dell’inventario pubblicitario non sono coperti.

### Deliverability

È l’esenzione su cui conterà la maggior parte dei mittenti. Devono valere tutte e quattro le condizioni.

1. **La persona ha richiesto l’email o il servizio a cui si riferisce.** La raccomandazione elenca email di benvenuto, avvisi sull’account, notifiche di spedizione, conferme d’ordine, fatture, reimpostazioni della password, risposte dell’assistenza, promemoria di appuntamenti, notifiche di pagamento e comunicazioni di violazione dei dati. Una conferma d’ordine che contiene promozioni non rientra più nell’esenzione (domanda 16 delle FAQ).
2. **I dati servono solo a ripulire la lista,** limitatamente a ciò che serve “per adeguare la frequenza o interrompere l’invio di email ai destinatari cosiddetti ‘inattivi’”. Sono consentiti anche il cambio di canale e la prova della consegna di una comunicazione obbligatoria per legge.
3. **Conservi solo la data dell’ultima apertura.** In linea di principio, “solo la data (al giorno e senza registrare l’ora) dell’ultima apertura nota”, sovrascritta a ogni apertura. Secondo la domanda 7 delle FAQ, raccogliere l’indirizzo IP o lo user agent, anche se resi anonimi subito dopo, fa perdere l’esenzione.
4. **Agisci di conseguenza.** La domanda 8 delle FAQ si aspetta che i mittenti interrompano gli invii, ne riducano la frequenza o cambino canale per chi non apre, e che lo documentino, per esempio con la quota di contatti rimossi per inattività.

Una newsletter a cui ci si è iscritti conta come richiesta, quindi il suo pixel di deliverability può essere esente. Il marketing inviato in base all’eccezione del soft opt-in prevista dall’articolo L34-5 del codice francese delle poste e delle comunicazioni elettroniche ([guida della CNIL](https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-electronique)) invece no, quindi il suo pixel richiede il consenso (domande 15 e 17 delle FAQ). Anche le email di carrello abbandonato sono promozionali e richiedono il consenso.

### Tassi di apertura aggregati

Secondo la domanda 18 delle FAQ, raccogliere solo dati aggregati non elimina l’obbligo del consenso, perché l’articolo 82 si applica “che i dati siano personali o meno”. La domanda 6 precisa che i dati raccolti lecitamente, da un pixel esente o autorizzato con il consenso, possono essere resi anonimi per ricavarne il tasso di apertura di una campagna senza un ulteriore consenso.

Quindi un pixel esente ti dà comunque il tasso di apertura di una campagna, ma non gli orari di apertura, i dati sul dispositivo o i segmenti. Uno stesso pixel può servire insieme finalità esenti e finalità autorizzate con il consenso (domanda 10), ma non può essere inserito in attesa che arrivi il consenso.

## Come va raccolto il consenso

**Chiedilo nel modulo in cui raccogli l’indirizzo,** con una breve etichetta per la finalità, una descrizione sintetica e un link ai dettagli. Indica quale indirizzo è interessato e che il tracciamento riguarda tutti i dispositivi.

**Parti dalla formulazione della CNIL.** Il suo esempio per la misurazione delle campagne (traduzione nostra): “[Mittente] e [terze parti] utilizzano traccianti (pixel di tracciamento) per sapere se apri le email, l’ora in cui lo fai e informazioni sul dispositivo che usi, al fine di personalizzare il contenuto dei messaggi e adattare la frequenza di invio o il canale utilizzato”.

**Chiedi il consenso per ogni finalità.** Un pulsante “Accetta tutto” va bene se una seconda schermata propone le singole finalità. Finalità strettamente collegate, come una newsletter presentata come personalizzata, possono condividere un unico consenso.

**Se lo chiedi in un secondo momento, fallo solo in un’email senza pixel soggetti a consenso,** con un link a una pagina che richiede un’azione positiva, così i client di posta che precaricano i contenuti non possono dare il consenso al posto della persona. Il silenzio vale come rifiuto, rifiutare dev’essere facile quanto accettare e aspettare 6 mesi prima di chiedere di nuovo è, per usare le parole della CNIL, una buona pratica.

**Metti la revoca in ogni footer,** con un link specifico per ogni destinatario che non richieda di digitare l’indirizzo. Una pagina unica per pixel e disiscrizione va bene, se non aggiunge passaggi. Dopo la revoca, ignora le richieste che arrivano dai vecchi pixel ed elimina i dati la cui unica base giuridica era il consenso.

**Conserva una prova per ogni persona.** Registra ogni consenso e come l’hai ottenuto. Una clausola contrattuale secondo cui l’ha raccolto un partner non è una prova.

## La transizione del 14 luglio

Agli indirizzi raccolti dal 14 aprile 2026 si applicano tutte le regole. Per quelli più vecchi i pixel potevano restare, se i mittenti informavano i destinatari e permettevano loro di opporsi entro 3 mesi, cioè entro il 14 luglio 2026. La domanda 25 delle FAQ ammette una proroga “ragionevole” solo quando i grandi volumi impongono di scaglionare gli invii e la cosa è documentata. Le slide dei webinar accettano un’email dedicata con prova dell’invio, oppure un avviso ben visibile in un’email abituale.

- **Informativa inviata, nessuna opposizione.** Puoi continuare a basarti sull’informativa finché le condizioni non cambiano. Se devi comunque raccogliere un nuovo consenso, per esempio per nuovi partner, raccogli in quell’occasione anche il consenso ai pixel (domanda 27 delle FAQ).
- **Informativa inviata, la persona si è opposta.** Smetti di inserire pixel nelle email che le invii. Secondo le slide, i dati raccolti prima della pubblicazione possono restare.
- **Nessuna informativa inviata.** Secondo la domanda 26 delle FAQ, ora serve il consenso. Senza consenso, smetti di usare quei pixel.

## Il rischio di sanzioni

Secondo la raccomandazione, la CNIL “riceve un numero crescente di segnalazioni e reclami” sui pixel, e intende verificarli nelle prossime ispezioni. I pixel non rientrano tra i suoi [temi prioritari per il 2026](https://www.cnil.fr/fr/controles-prioritaires-2026), ma è una magra consolazione. Delle diverse centinaia di ispezioni che svolge ogni anno, avviate in seguito a reclami, segnalazioni, precedenti misure correttive o fatti di cronaca, solo il 20% circa riguarda i temi prioritari.

L’articolo 20 della legge francese fissa il tetto delle sanzioni a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore, oppure a 20 milioni di euro o al 4% per alcune violazioni del GDPR. Il 1° settembre 2025 la CNIL ha [inflitto a Google una sanzione di 325 milioni di euro](https://www.cnil.fr/fr/publicites-inserees-entre-les-courriels-et-cookies-la-cnil-sanctionne-google-dune-amende-de-325) per gli annunci inseriti tra i messaggi di Gmail e per il consenso ai cookie al momento della creazione dell’account. A novembre 2025 ha [sanzionato American Express per 1,5 milioni di euro](https://www.cnil.fr/en/cookies-american-express-fined-eu15-million-cnil), anche per aver “continuato a leggere i cookie depositati in precedenza nonostante la revoca del consenso”. Un vecchio pixel che registra ancora le aperture dopo la revoca costituisce la stessa violazione. I casi più semplici seguono una [procedura semplificata](https://www.cnil.fr/fr/la-procedure-de-sanction-simplifiee), con un tetto di 20.000 euro, o di 100.000 euro oltre i 50 milioni di euro di fatturato.

## Cosa cambiare

Se invii email a persone in Francia, noi procederemmo in quest’ordine:

1. **Elenca i pixel per flusso di invio** (transazionali, newsletter su iscrizione, soft opt-in, prospecting B2B, recupero dei carrelli, riattivazione), compresi i pixel pubblicitari, dei sondaggi e di analytics.
2. **Colloca ogni uso nella tabella decisionale.** Le aperture che alimentano segmenti, modelli per l’orario di invio o report richiedono il consenso.
3. **Aggiungi a ogni modulo che raccoglie indirizzi una casella non preselezionata per il consenso ai pixel,** e salva la risposta, il timestamp, la versione del modulo e la formulazione esatta.
4. **Salva il consenso ai pixel in un campo del contatto dedicato,** separato dallo stato di iscrizione.
5. **Togli il pixel per i contatti senza consenso.** Se non puoi, usa un tracciamento della deliverability conforme all’esenzione o disattiva il tracciamento delle aperture per quel pubblico.
6. **Misura con i dati che puoi usare.** Le date dell’ultima apertura raccolte in esenzione possono guidare le regole per ritirare i contatti inattivi (sunset). Valuta le prestazioni in base a conversioni, ricavi, risposte e disiscrizioni ([metriche che reggono](/it/blog/email-metrics-that-matter)).
7. **Aggiungi il link di revoca nel footer** e assicurati che i vecchi pixel smettano di registrare dopo la revoca.

### Clic

La raccomandazione non riguarda “direttamente” i link tracciati, ma secondo la domanda 1 delle FAQ anche questi devono rispettare l’articolo 82. I clic sono comunque dati migliori, visto che la funzione [Mail Privacy Protection](https://support.apple.com/guide/iphone/use-mail-privacy-protection-iphf084865c7/ios) di Apple già “impedisce ai mittenti di vedere se hai aperto il messaggio email”. L’EDPB applica l’articolo 5, paragrafo 3, ai link di tracciamento, e le slide della CNIL dicono che il consenso “dipende dalla finalità e non dalla tecnologia”. La nostra lettura, non quella della CNIL, è che un link tracciato specifico per ogni destinatario e usato per ottimizzare le campagne vada trattato come un pixel. I tag UTM condivisi non identificano nessuno, e le conversioni sul sito rientrano nel consenso ai cookie del tuo sito web.

## Come funziona oggi in Brew

Brew misura le aperture con un pixel 1x1 e i clic con link contrassegnati per ogni destinatario ([documentazione sulle metriche](https://docs.brew.new/analytics/key-metrics-and-terms)).

- **Il consenso è salvato sul contatto.** Ogni contatto può avere un registro del consenso al marketing con fonte, momento della raccolta, versione dell’informativa e prova. Aggiungi una proprietà `pixelConsent` al momento dell’iscrizione e [filtra i pubblici in base a questa proprietà](https://docs.brew.new/audience/create-audiences).
- **I vecchi pixel vengono rimossi all’importazione.** Brew neutralizza i pixel di apertura della piattaforma precedente nell’HTML importato.
- **La revoca richiede un solo clic.** Ogni email di marketing contiene un link di disiscrizione firmato, unico per ogni destinatario.
- **Intelligent Send sceglie l’orario di invio di ogni persona** in base alle aperture e ai clic recenti ([come funziona](https://docs.brew.new/create-emails/send-options#intelligent-send)). È un’ottimizzazione ai sensi della sezione 3.1, quindi riservalo ai contatti che hanno dato il consenso.
- **Il tracciamento è attivo per ogni invio.** Non esiste ancora un interruttore per disattivare il pixel per singolo invio, contatto o dominio, quindi per ora escludi da quegli invii i residenti in Francia senza consenso ai pixel, e facci sapere se ti serve l’interruttore.

Il nostro [State of Email di settembre](/it/blog/state-of-email-september-2026) contiene un riepilogo più breve delle FAQ.

## Domande frequenti

### Serve il consenso per tracciare le aperture delle email in Francia?

Per la maggior parte degli usi di marketing, sì. Sono esenti solo i pixel per la sicurezza dell’autenticazione e i pixel di deliverability, con limiti rigorosi, nelle email richieste.

### La regola della CNIL sui pixel si applica alle aziende che non hanno sede in Francia?

Sì, se tracci persone che si trovano in Francia, che la tua azienda abbia sede altrove nell’UE o fuori dall’UE. Lo sportello unico non si applica ai controlli basati sull’articolo 82.

### Le email transazionali sono esenti dal consenso ai pixel?

Solo per la deliverability, quando il pixel conserva soltanto la data dell’ultima apertura per interrompere o rallentare gli invii ai destinatari inattivi. Analisi e personalizzazione richiedono il consenso, e aggiungere promozioni fa perdere l’esenzione.

### Posso riportare un tasso di apertura aggregato senza consenso?

Sì, se i dati provengono da un pixel esente o autorizzato con il consenso e li rendi anonimi in modo efficace. Raccogliere solo dati aggregati non elimina l’obbligo del consenso, perché l’articolo 82 copre anche i dati non personali.

### La raccomandazione della CNIL riguarda anche il tracciamento dei clic?

Non direttamente. Secondo la CNIL, i link tracciati rientrano comunque nell’articolo 82 e si valutano in base alla finalità. La raccomandazione considera un link di revoca univoco nel footer una misura di sicurezza esente.