Il Garante privacy ha adottato le Linee guida sull’uso dei pixel di tracciamento (tracking pixel) nelle e-mail.
I tracking pixel sono immagini, spesso trasparenti e di dimensioni molto ridotte, pari appunto a un solo pixel, non direttamente contenute nell’e-mail in questione, ma ospitate su server remoti: al momento di ogni apertura del messaggio di posta elettronica da parte del destinatario (la prima o anche le eventuali aperture successive), un codice HTML inserito nel messaggio aziona in automatico un comando, che comporta l’inoltro di una richiesta al server del mittente; in risposta a questa richiesta, l’immagine viene scaricata dal client di posta elettronica del destinatario e archiviata nella memoria del terminale dell’interessato per essere “esposta” nel corpo della e-mail.
In sostanza, il processo che porta a tale visualizzazione consente al mittente del messaggio di ottenere informazioni relative all’avvenuta apertura e dunque alla consultazione di un’e-mail da parte di un utente specifico o in un contesto specifico, comprese informazioni ulteriori che possono ricavarsi dall’indirizzo IP del destinatario, relative al tipo di dispositivo utilizzato, fino al tempo di consultazione del messaggio e al numero di aperture successive della stessa e-mail.
Tale meccanismo si verifica solo se il destinatario mantenga abilitata la relativa funzione di download delle immagini: qualora, invece, l’utente imposti la funzione di lettura dell’e-mail esclusivamente in formato testo, il tracking pixel, al pari di qualsiasi altra immagine, non sarà scaricato e dunque non potrà tracciare il comportamento del destinatario della comunicazione.
Il Garante precisa preliminarmente, dal punto di vista normativo, che:
- l’inserimento di un elemento (il pixel) nel corpo della e-mail destinata all’utente, nonché la “lettura” delle informazioni che ne conseguono e che danno conto dell’azione dell’utente in relazione alla avvenuta apertura della e-mail (il tracciamento) sono operazioni conformi alla fattispecie di accesso al terminale disciplinata dall’art. 122 del Codice Privacy (che ha recepito la Direttiva e-Privacy)
- l’inclusione dei pixel di tracciamento nelle e-mail costituisce un’istruzione, diretta al terminale dell’utente, di inviare informazioni specifiche ai soggetti che li utilizzano (come, ad esempio, l’identificativo del pixel, l’indirizzo IP, lo user ID, il message ID, il delivery ID sotto forma di time stamp in relazione all’invio effettivo, eventuali token di sicurezza a presidio dell’integrità del messaggio)
- il considerando 30 del GDPR, specifica che “Le persone fisiche possono essere associate a identificativi online prodotti dai dispositivi, dalle applicazioni, dagli strumenti e dai protocolli utilizzati, quali gli indirizzi IP, marcatori temporanei (cookies) o identificativi di altro tipo, quali i tag di identificazione a radiofrequenza. Tali identificativi possono lasciare tracce che, in particolare se combinate con identificativi univoci e altre informazioni ricevute dai server, possono essere utilizzate per creare profili delle persone fisiche e identificarle”.
Il Garante afferma che i tracking pixel sono marcatori particolarmente invasivi, soprattutto in ragione del loro carattere nascosto: la ricezione di strumenti di tracciamento non riconoscibili il cui impiego non sia noto alla persona nel cui terminale vengono installati determina una violazione, innanzitutto, del fondamentale principio di correttezza di cui all’art. 5, par. 1, lett. a) del GDPR, il quale impone il rispetto di canoni di lealtà e buona fede da parte del titolare.
Sull’obbligo di informativa
Il Garante afferma dunque che, per qualificarsi lecito, l’impiego di tracking pixel nelle e-mail deve essere preventivamente reso noto al destinatario della e-mail, qualunque sia lo scopo della comunicazione o la tipologia del soggetto mittente, informando allo scopo gli interessati in ossequio al principio di trasparenza di cui all’art. 5, par. 1, lett. a), nonché ai sensi e per gli effetti degli artt. 12 ss. del GDPR, pena la loro inutilizzabilità.
Analogamente a quanto già stabilito per l’impiego di cookie, l’Autorità, in considerazione delle peculiarità dell’ambiente online nel quale la manifestazione di volontà della persona viene di regola espressa, nel confermare la logica di semplificazione che costituisce uno degli obiettivi dell’azione amministrativa, favorisce il ricorso a forme agevolate di informativa, che potrà essere fornita:
- con l’inserimento in forma sintetica all’interno di un modulo di raccolta dell’indirizzo, con l’aggiunta di un link verso un’informazione più dettagliata (anche eventualmente all’interno della cookie policy, se presente)
- per il tramite di più canali e modalità (cd. multichannel), come il sempre più diffuso ricorso a canali video, a pop-up informativi, a interazioni vocali, ad assistenti virtuali, all’impiego del telefono, al ricorso a chatbot
- per il tracking pixel già in corso, sarà possibile utilizzare, al fine di colmare esigenze di tipo informativo, l’inoltro del primo messaggio utile ovvero il primo momento di discontinuità eventualmente esistente, a seconda della relazione in essere con l’interessato (contrattuale, istituzionale, di servizio etc.).
Sulla necessità dell’acquisizione del consenso e le sue deroghe
L’applicabilità dell’art. 122 del Codice alle operazioni di inserimento di tracking pixel nelle e-mail impone, ai sensi del suo comma 2-bis, un divieto generalizzato di trattamento, salvo non ricorra una delle ipotesi di deroga previste:
- previo rilascio del consenso – informato, libero, specifico ed inequivocabile – dell’utente destinatario della comunicazione
- il ricorrere di fattispecie nelle quali il trattamento dei dati sia necessario, consenta o faciliti l’effettuazione della trasmissione di una comunicazione per via elettronica
- le operazioni condotte siano necessarie alla fornitura di un servizio di comunicazione online su richiesta degli utenti.
Tuttavia, con l’intento di fornire utili orientamenti ai soggetti tenuti alla corretta implementazione delle norme, il Garante ritiene che, allo stato attuale delle conoscenze, i titolari possano beneficiare della deroga rispetto all’acquisizione di uno specifico consenso alla ricezione di tracking pixel:
- ogniqualvolta l’impiego di tracking pixel sia funzionale all’effettuazione di un conteggio di tipo statistico che misuri la percentuale globale di apertura dei messaggi: tali indagini di tipo statistico impongono l’adozione di tecniche di anonimizzazione delle informazioni, in modo da non consentire misurazioni personalizzate. A tal fine, l’Autorità suggerisce l’impego di pixel univoci, cioè non differenziati per ciascun utente, ma uguali per tutti i destinatari di una stessa campagna, come pure l’anonimizzazione degli altri dati tecnici correlati (indirizzo IP, client etc.)
- nell’ipotesi di implementazione di misure di sicurezza che interessano il processo di autenticazione dell’utente, il suo completamento o il suo aggiornamento: in questo caso, l’uso del tracking pixel è funzionale a garantire che un determinato messaggio sia effettivamente aperto su un terminale noto, per appartenere all’utente interessato; in tal caso infatti le esigenze di sicurezza si sposano a quelle direttamente connesse alla fornitura del servizio richiesto dall’utente
- nel caso di messaggi istituzionali o di servizio che il titolare ha l’obbligo giuridico di inoltrare (ad esempio sulla base di taluni istituti del diritto bancario e, a maggior ragione, se riferiti ad attività istituzionali di un soggetto pubblico) e rispetto ai quali rilevi l’effettiva presa di conoscenza del destinatario; ad esempio:
- quelli che recano indicazioni utili su come prevenire azioni di phishing o frodi rispetto a minacce contingenti, come pure sull’opportunità di azionare i rimedi disponibili in caso del verificarsi dell’evento dannoso
- le comunicazioni relative a modifiche contrattuali ovvero logistico-organizzative rispetto a eventi programmati, a termini di servizio o ancora alle informative sul trattamento dei dati personali degli interessati
- le notifiche relative a incidenti di sicurezza
- le campagne istituzionali informative, ma anche reminder su scadenze e adempimenti contrattuali o contributivi.
In tutti i restanti casi nei quali non sia invece possibile avvalersi di una delle ipotesi di deroga previste all’art. 122 del Codice diverse dal consenso, il titolare che intenda utilizzare i pixel di tracciamento nelle e-mail avrà l’obbligo della preventiva acquisizione del consenso dei destinatari: ciò, ad esempio, ogniqualvolta la misurazione individuale e l’analisi del tasso di apertura delle e-mail siano utilizzate per valutare e migliorare la performance delle campagne promozionali e commerciali, sulla base dei comportamenti osservati.
Quanto alle modalità di acquisizione del consenso, il Garante specifica che:
- il consenso dovrà essere raccolto al momento stesso dell’acquisizione dell’indirizzo di posta elettronica del destinatario, dopo che l’interessato sia stato debitamente informato
- il consenso può essere ricompreso in quello, più generale, alla ricezione delle comunicazioni promozionali, in modo da consentire che la persona esprima a tal fine un unico consenso informato (purchè la richiesta sia formulata in modo neutro e privo di forzature, nel rispetto della manifestazione di volontà dell’interessato)
- l’utente che abbia acconsentito al trattamento deve poter successivamente revocare in modo agevole la scelta, anche in modo granulare:
- optando per la revoca del consenso unico prestato, con l’effetto di impedire la futura ricezione di ulteriori messaggi
- oppure revocandolo solo parzialmente, con esclusivo riguardo soltanto al tracciamento connesso alla ricezione di tracking pixel: ciò inserendo, ad esempio, all’interno di ogni messaggio e-mail inviato una icona standardizzata ovvero un link, posizionato nel footer, che conduca l’utente verso un’area dedicata all’esercizio dei suoi diritti, per cui in tale area l’interessato potrà richiedere di cessare l’inoltro di e-mail indesiderate o di cessare soltanto la ricezione dei tracking pixel
- se alla data di entrata in vigore delle Linee Guida sono già in corso trattamenti di dati personali, che comportino l’inoltro al destinatario di e-mail di carattere commerciale con l’impiego di marcatori, il titolare, dopo aver tempestivamente assolto, con il primo invio utile, ai propri obblighi in materia di informativa, dovrà implementare e rendere noto agli utenti un meccanismo che consenta la revoca anche granulare del consenso, individuando le soluzioni maggiormente improntate alla massima riconoscibilità, visibilità e facilità d’uso a beneficio dell’interessato.
Misure suggerite per ridurre il rischio di identificabilità dei destinatari
Il Garante segnala la necessità dell’adozione di tutte le soluzioni più idonee ad implementare in concreto le regole di privacy by design e by default di cui all’art. 25 del GDPR, tra cui le misure che riducano il rischio di identificabilità dei destinatari: ad esempio, nell’utilizzare i pixel di tracciamento il mittente dovrebbe generare un identificativo inintelligibile e non sequenziale, associandolo all’indirizzo di posta elettronica del destinatario, mantenendo tale corrispondenza in un layer interno e separato della piattaforma utilizzata.
In tal modo il conteggio degli eventi di apertura del messaggio avverrà per il tramite dell’identificativo, senza che l’indirizzo e-mail sia ricompreso nella richiesta tecnica generata dal caricamento del pixel.
Ciò ridurrà l’esposizione dell’indirizzo e-mail, minimizzando il rischio di identificabilità dei dati che transitano nella rete.
