Come fa chi manda la newsletter a sapere che ho aperto la mail?

Apri una newsletter alle sette e mezza di mattina, la guardi per tre secondi, la chiudi. Da qualche parte, in un pannello che non vedrai mai, è comparsa una riga con il tuo indirizzo, la data, l’ora, il tipo di dispositivo e la città da cui ti sei collegato.

Il meccanismo è un’immagine. Larga un pixel, alta un pixel, trasparente, con un indirizzo diverso per ogni destinatario. Quando il programma di posta la scarica per mostrartela, il server che la ospita sa che sei stato tu.

In Italia c’è una data da segnare, ed è vicina: il 29 ottobre 2026.

Che cosa arriva davvero al mittente

Non il contenuto della tua casella, non gli altri messaggi, non le tue password. Il pixel è una richiesta HTTP per un’immagine, e quello che consegna è l’insieme di informazioni che una richiesta porta con sé.

L’autorità francese per la protezione dei dati, nella pagina con cui ha presentato la propria raccomandazione il 14 aprile 2026, lo elenca in modo utilmente concreto: se il messaggio è stato aperto, data e ora dell’apertura, tipo di dispositivo, localizzazione approssimativa ricavata dall’indirizzo IP a livello di Paese, regione o città, e la frequenza di lettura. E aggiunge la cosa che cambia il peso di tutto: questi dati possono essere incrociati con altre informazioni per costruire un profilo. La stessa autorità precisa anche il limite, e va detto perché rassicura su una paura diffusa: il pixel non dà accesso al contenuto delle altre email né alla tua casella.

Apple, nella sua pagina legale in italiano, aggiunge un elemento che spesso sfugge: senza protezioni, il mittente può sapere non solo quando apri, ma quante volte e se inoltri il messaggio.

Perché le statistiche di apertura non valgono più molto

Qui c’è una piccola ironia che vale raccontare: il pixel è ancora dappertutto, ma ha quasi smesso di funzionare come misura.

Dal 2021 Apple ha introdotto la protezione della privacy in Mail, e il modo in cui funziona è radicale. I contenuti remoti vengono scaricati in background al momento della ricezione, indipendentemente da quello che fai tu. Il traffico passa attraverso due intermediari gestiti da entità diverse: il primo conosce il tuo indirizzo IP ma non il contenuto, il secondo il contenuto ma non l’indirizzo. Risultato: l’apertura viene registrata anche se non hai aperto niente, e l’orario non è l’orario in cui hai letto.

Le piattaforme di invio lo dicono senza troppi giri di parole nella propria documentazione. Mailchimp scrive che per questi contatti i tassi di apertura risultano gonfiati e imprecisi, che non riesce a stimare posizione, dispositivo o programma di posta, che i test basati sulle aperture diventano inaffidabili e che il reinvio a chi non ha aperto non raggiunge chi ha quella protezione attiva. Brevo arriva alla stessa conclusione e consiglia di segmentare sui click invece che sulle aperture. Entrambe precisano che i click non sono toccati.

Anche Gmail interviene, in modo diverso. La guida di Google in italiano dice che le immagini vengono controllate prima di essere ricevute, che questo impedisce ai mittenti di ottenere informazioni sul tuo computer o sulla tua posizione tramite il caricamento dell’immagine e di impostare o leggere cookie nel browser. Ma la stessa pagina mette anche il limite, ed è quello che conta: i mittenti possono talvolta capire se hai aperto un’email con immagini. Quindi il dato geografico e il dispositivo sono schermati, il segnale dell’apertura no.

Una cosa che spesso si legge e che non ho potuto verificare: la descrizione tecnica del sistema di Google come un proxy con memoria delle immagini. La parola “proxy” non compare nella documentazione Google in italiano, e quella descrizione circola su blog tecnici di dieci anni fa. Quindi te la racconto come funziona secondo Google, non secondo l’aneddotica.

E una cosa che non ho trovato da nessuna parte, benché la si veda citata spesso: una percentuale ufficiale di quante aperture siano false. Né Apple, né Mailchimp, né Brevo pubblicano numeri. Qualunque cifra tipo “il quaranta per cento delle aperture non è reale” non ha dietro una fonte primaria.

La data del 29 ottobre

Il 17 aprile 2026 il Garante per la protezione dei dati personali ha adottato le linee guida sull’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica, provvedimento numero 284. Sono state pubblicate in Gazzetta Ufficiale il 29 aprile 2026, con un termine di sei mesi per l’adeguamento. Il vademecum del Garante indica la data esatta, il 29 ottobre 2026, e aggiunge che l’applicazione verrà verificata nelle attività ispettive del secondo semestre 2026.

Cosa dicono, in sintesi. Il pixel ricade nell’articolo 122 del Codice privacy, quello che in Italia recepisce la norma europea sull’accesso e la memorizzazione di informazioni nel dispositivo dell’utente: la stessa che regola i cookie, ed è scritta in modo neutro rispetto alla tecnologia, per questo copre anche un’immagine invisibile. La regola diventa quindi il consenso preventivo, libero, specifico e informato, in particolare per il tracciamento individuale delle aperture usato per ottimizzare le campagne, decidere la frequenza di invio o profilare gli interessi.

Restano fuori dal consenso alcuni casi, e sono delimitati: le statistiche aggregate e anonime sul tasso di apertura ottenute con un pixel identico per tutti i destinatari della campagna, cioè senza poter risalire alla singola persona; le esigenze di autenticazione e sicurezza, come l’attivazione di un account o la reimpostazione di una password; le comunicazioni obbligatorie, istituzionali o di servizio, dagli avvisi di phishing alle modifiche contrattuali.

Due punti riguardano direttamente te. Il primo: la revoca deve essere semplice e anche selettiva, cioè devi poter dire no al tracciamento senza doverti disiscrivere dalla newsletter, per esempio con un link nel piè di pagina, e il rifiuto non deve limitare l’accesso al servizio. Il secondo: l’informativa deve essere chiara e preventiva, e per i trattamenti già in corso va data al primo invio utile. C’è anche una prescrizione tecnica che mi è piaciuta trovare: gli identificativi devono essere non sequenziali e collegati all’indirizzo email in un livello interno separato, così che l’indirizzo non viaggi dentro la richiesta del pixel.

Una nota di trasparenza su come ho lavorato: le pagine del Garante si leggono male con gli strumenti che uso, e il PDF del provvedimento integrale non si è aperto. La sintesi qui sopra è coerente su tre documenti del Garante, provvedimento, comunicato e vademecum, ma non è una citazione letterale. Se devi lavorarci per motivi professionali, apri il testo in Gazzetta.

Sul piano europeo l’impianto regge su un documento del Comitato europeo per la protezione dei dati, gli orientamenti 2/2023, adottati in versione definitiva il 7 ottobre 2024, che trattano espressamente i pixel nelle email. Dicono due cose che insieme chiudono il cerchio: la ricezione del pixel sul dispositivo costituisce una memorizzazione, anche se non è permanente, e la raccolta degli identificatori costituisce un accesso. Da qui si applica la norma. Gli stessi orientamenti trattano allo stesso modo gli indirizzi con parametri di tracciamento.

La Francia è arrivata prima con una raccomandazione analoga, adottata il 12 marzo 2026 e pubblicata il 14 aprile, con un termine più breve e limitato agli indirizzi raccolti prima della pubblicazione, e con un suggerimento operativo che trovo sensato: non riproporre la richiesta di consenso per sei mesi dopo un rifiuto.

Una cosa che ho cercato e non ho trovato: una sanzione, italiana o europea, specificamente sui pixel nelle email. Ci sono due decisioni vicine ma su altro, una norvegese del giugno 2025 su pixel nei siti web e la multa francese da 325 milioni a Google del settembre 2025, che riguarda annunci inseriti tra le email e consenso ai cookie. Presentarle come sanzioni sul pixel nelle email sarebbe un errore.

Come si spegne

Le immagini bloccate neutralizzano il pixel, e il costo è che le email arrivano senza grafica finché non decidi di caricarla. Dopo qualche giorno la maggior parte delle persone scopre che le newsletter si leggono bene anche così.

Anche qui, un’avvertenza sui nomi. Quelli di Gmail li ho verificati sulla documentazione italiana. Per gli altri programmi la documentazione del produttore è in inglese, quindi i percorsi sono quelli ma le etichette italiane esatte le leggi sullo schermo. E su un punto specifico sono dovuto fermarmi: se la protezione di Apple Mail sia attiva per impostazione predefinita non l’ho potuto stabilire, perché la documentazione Apple dà indizi che puntano in direzioni opposte. La pagina legale descrive il download in background come comportamento di default, la guida per Mac parla di un’attivazione al primo avvio del programma, che implica una scelta esplicita. Controlla sul tuo dispositivo.

1. Gmail da computer: icona dell'ingranaggio, "Visualizza tutte le impostazioni", sezione "Immagini", scegli "Chiedi prima di visualizzare immagini esterne", poi "Salva modifiche" in fondo alla pagina.
2. Gmail su Android: menu in alto a sinistra, Impostazioni, il tuo account, sezione "Utilizzo dati", "Immagini", poi "Chiedi prima di mostrare". Sì, qui le voci si chiamano in modo diverso dal sito: è così.
3. Gmail su iPhone: menu in alto a sinistra, Impostazioni, "Preferenze email", "Immagini", poi "Chiedi prima di visualizzare immagini esterne".
4. Mail di Apple su iPhone: Impostazioni, App, Mail, Protezione della privacy. Lì c'è l'interruttore della protezione dell'attività in Mail, e se lo disattivi compaiono le due opzioni separate per nascondere l'indirizzo IP e per bloccare tutti i contenuti remoti.
5. Mail di Apple su Mac: Mail, Impostazioni, Privacy, con la stessa logica: le opzioni separate, tra cui il blocco di tutti i contenuti remoti, appaiono solo se togli la protezione complessiva.
6. Outlook classico su Windows: File, Opzioni, Centro protezione, Impostazioni Centro protezione, sezione "Download automatico", e lasci selezionata la casella che impedisce di scaricare automaticamente le immagini nei messaggi HTML. Qui la buona notizia è che il comportamento predefinito è già il blocco, e la pagina italiana di Microsoft usa l'espressione "pixel di rilevamento" e precisa che non equivalgono a una conferma di lettura.
7. Thunderbird: Impostazioni, pannello "Privacy e sicurezza", sezione sui contenuti dei messaggi, e lasci disattivata l'opzione che consente i contenuti remoti. Anche qui il blocco è il comportamento predefinito, e c'è un pulsante per le eccezioni se vuoi autorizzare qualche mittente.

Su Outlook nel browser e sul nuovo Outlook per Windows non ho trovato documentazione Microsoft che dia il percorso. La pagina ufficiale sull’impostazione “Blocca immagini esterne” copre soltanto le app per Android e iOS. Le indicazioni che circolano, secondo cui su Outlook sul web per account aziendali non esiste un’impostazione generale e si procede messaggio per messaggio, vengono da un forum e non dalla documentazione. Quindi: non lo so, e se lo scoprissi lo aggiungerei qui.

Il tasto “annulla iscrizione”

Conviene spiegarlo, perché c’è una differenza tra il link in fondo al messaggio e il tasto che il tuo programma di posta mostra in alto.

Quel tasto in alto si appoggia a uno standard tecnico, la RFC 8058 del gennaio 2017, che definisce come un mittente dichiara di accettare la disiscrizione con un clic solo: un’intestazione nel messaggio con un indirizzo sicuro, una seconda intestazione che dichiara la funzione, e una firma digitale valida che copra entrambe. Il tuo programma invia una richiesta a quell’indirizzo, senza cookie e senza credenziali, e solo con il tuo consenso. Lo standard è nato per risolvere un problema concreto: alcuni programmi di posta recuperavano automaticamente gli indirizzi nelle intestazioni, causando disiscrizioni involontarie.

Non è un obbligo di legge, ma è diventato una condizione per far arrivare la posta. Google lo richiede dal 2024 a chi invia circa 5.000 messaggi o più in 24 ore verso account Gmail personali, limitatamente ai messaggi di marketing e promozionali: i transazionali, tipo la conferma di una prenotazione, sono esclusi. Un link nel corpo del messaggio o un indirizzo email non bastano, serve l’intestazione. Chi già includeva un link ha avuto tempo fino al 1 giugno 2024. Google raccomanda di elaborare le richieste entro 48 ore; Yahoo pone requisiti analoghi e chiede che la disiscrizione sia onorata entro due giorni, e dichiara espressamente di non voler indicare una soglia di volume.

Una distinzione che il Garante ha reso esplicita e che prima non c’era: annullare l’iscrizione e revocare il consenso al tracciamento sono due cose diverse. Dal 29 ottobre devi poter fare la seconda senza fare la prima.

Per capire cosa c’è sotto

Il meccanismo per cui un indirizzo che sembra innocuo porta informazioni su di te è lo stesso che rende utile capire come si legge un link prima di toccarlo: ne parlo in Come si riconosce un SMS truffa. E se quello che ti interessa è il quadro generale di chi sa cosa di te mentre usi il telefono, c’è Google sa dove sono stato: cosa controllare.