Il pixel invisibile nella newsletter: il 29 ottobre scade il tempo

Vale la pena spiegare di che cosa si parla, perché il nome tecnico nasconde una cosa semplicissima. Il pixel di tracciamento è un'immagine invisibile, grande un punto, che la tua email carica da un server quando il destinatario la apre. Quel caricamento dice al mittente che l'email è stata aperta, quando, da quale indirizzo IP e spesso con quale dispositivo. Nessuno lo vede e nessuno lo chiede: è lì da vent'anni, in quasi tutte le newsletter del mondo, e per vent'anni è stato trattato come una statistica innocua.

Il punto giuridico è che innocuo non è. Leggere e scrivere informazioni nel dispositivo di qualcuno è l'operazione che la direttiva ePrivacy sottopone a consenso: è la stessa norma dei cookie, e non dice «cookie», dice archiviazione e accesso. Il pixel non deposita niente, ma ottiene un'informazione dal terminale del destinatario nel momento in cui lo apre, e il risultato per l'interessato è identico. Questa, in due righe, è la ragione per cui un'abitudine ventennale cambia stato.

• Non c'è nessun divieto: il provvedimento non vieta i pixel, chiede che siano retti da una base e dichiarati.
• Il tracciamento individuale delle aperture per finalità di marketing richiede il consenso del destinatario, salvo eccezioni specifiche.
• Il consenso al tracciamento può in alcuni casi essere raccolto insieme a quello per le email, ma solo se l'utente è informato in modo chiaro e può poi spegnere il SOLO tracciamento continuando a ricevere i messaggi.
• Per le liste già esistenti non serve una campagna di riconsenso: si aggiorna l'informativa e si avvisano gli iscritti dell'uso dei pixel e del diritto di revoca.
• L'informativa deve dire che il pixel esiste, che cosa raccoglie e per quanto si conservano quei dati: «dati di navigazione» non basta, perché non è navigazione.

C'è poi una distinzione che conviene tenere ferma, perché separa due trattamenti che le piattaforme mostrano nella stessa schermata. Sapere quante email su mille sono state aperte è una cosa; sapere che Maria Rossi ha aperto la tua email martedì alle 9:14 e poi di nuovo giovedì è un'altra. Il primo è un dato aggregato, il secondo è un dato personale che costruisce nel tempo un profilo di quando una persona legge, da dove, con che frequenza. Il provvedimento guarda al secondo, e la maggior parte dei cruscotti di email marketing fa il secondo per impostazione predefinita.

Per il DPO di un cliente che manda newsletter, le cose da verificare prima del 29 sono quattro e nessuna richiede un progetto: se la piattaforma usa pixel e con quale granularità; se l'informativa li nomina; se il consenso raccolto copre anche il tracciamento o solo l'invio; e se esiste un modo per spegnere il tracciamento a chi lo chiede senza cancellarlo dalla lista. La quarta è quella che di solito manca, ed è anche l'unica che non si risolve riscrivendo un testo.

Un'ultima nota sul perimetro, perché il provvedimento è italiano ma il problema non lo è. La norma sostanziale è l'art. 5, par. 3, della direttiva ePrivacy, recepita in tutti gli Stati membri: le autorità di altri paesi possono arrivare a conclusioni diverse sui dettagli, ma il ragionamento di fondo — un pixel che legge dal dispositivo è archiviazione e accesso — non è una specialità italiana. Chi gestisce liste di iscritti in più paesi farebbe bene a non trattarlo come un adempimento locale.