GDPR e newsletter: la guida aggiornata al 2026

Aggiornata ad agosto 2026 con il provvedimento del Garante sui pixel di tracciamento, le regole di autenticazione di Gmail e Yahoo del 2024 e quelle di Microsoft del 2025.

Dal 2020 a oggi la conformità di una newsletter ha smesso di essere solo una questione di consensi e informativa. Oggi si gioca su tre piani che vanno tenuti insieme: il consenso alla ricezione, che è la parte storica del GDPR; il consenso al tracciamento, che il Garante ha disciplinato ad aprile 2026; e l’autenticazione tecnica del dominio, che i grandi provider hanno reso obbligatoria e che oggi decide se le email arrivano.

Questa guida li affronta in quest’ordine. Se hai poco tempo, la scadenza più vicina è fine ottobre 2026: è il termine per adeguarsi alle nuove regole sui pixel di apertura.

La newsletter fa parte a pieno titolo dei migliori strumenti di e-mail marketing attualmente a disposizione. È un mezzo decisamente performante e adeguato per coltivare le relazioni con il proprio target ed è soprattutto a basso impatto sul budget a disposizione.

Tuttavia, affinché i riscontri di questa attività strategica siano unicamente positivi, è bene assicurarsi di osservare gli obblighi di legge, onde evitare gravi multe o altre dannose ripercussioni sulla nostra reputazione.

Se pratichiamo l’invio di e-mail o di newsletter, dobbiamo necessariamente dotarci di una privacy policy esaustiva, che segua i dettami della normativa.

GDPR ed email marketing

GDPR: PRIVACY POLICY 🔐

Il provvedimento del Garante sui pixel di tracciamento

Il 17 aprile 2026 il Garante per la protezione dei dati personali ha adottato le Linee Guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica (provvedimento registro n. 284), pubblicate in Gazzetta Ufficiale Serie Generale n. 98 del 29 aprile 2026. È la novità più rilevante degli ultimi anni per chi invia newsletter, perché tocca una funzione che tutti danno per scontata: il conteggio delle aperture.

Il Garante ha stabilito che il pixel di tracciamento rientra nella disciplina dell’articolo 122 del Codice Privacy, la stessa che regola i cookie. Di norma serve quindi un consenso «preventivo, libero, specifico e informato». Ma le Linee Guida sono più articolate di così, e la distinzione che conta non è fra «individuale» e «aggregato»: è a cosa serve il dato.

Quando il consenso non serve

Il paragrafo 5 individua tre deroghe.

Il conteggio statistico complessivo. Quando l’impiego del pixel «sia funzionale all’effettuazione di un conteggio di tipo statistico che misuri la percentuale globale di apertura dei messaggi», con anonimizzazione dei dati. È il tasso di apertura di campagna, senza risalire al singolo destinatario.

Le misure di sicurezza. Quelle che riguardano «il processo di autenticazione dell’utente, il suo completamento o il suo aggiornamento».

I messaggi che siete obbligati a mandare. I «messaggi istituzionali o di servizio che il titolare ha l’obbligo giuridico di inoltrare»: comunicazioni bancarie, notifiche di incidente, modifiche contrattuali, promemoria di scadenza.

Quando il consenso serve

Il paragrafo 6 è preciso, e riguarda esattamente l’email marketing: quando «la misurazione individuale e l’analisi del tasso di apertura delle e-mail siano utilizzate per valutare e migliorare la performance delle campagne promozionali sulla base dei comportamenti osservati».

In pratica: se usate le aperture per personalizzare i contenuti, per profilare commercialmente o per adattare la frequenza degli invii al comportamento del singolo contatto, quel trattamento va autorizzato prima.

È la differenza fra sapere che una campagna ha avuto il 38% di aperture — lecito senza consenso, se anonimizzato — e sapere che Giulia Rossi l’ha aperta tre volte il martedì sera, che è ciò su cui si costruiscono i segmenti comportamentali.

Informativa e revoca

Due obblighi accompagnano il consenso.

Informare in modo trasparente, con forme «agevolate» e su più canali.

Permettere la revoca, anche parziale: chi ha acconsentito deve poter «revocare in modo agevole le scelte pregresse, anche in modo granulare», tramite un link standardizzato nel footer. Granulare significa che si deve poter togliere il consenso al tracciamento continuando a ricevere le email: sono due cose distinte e vanno gestite separatamente.

Entro quando

Il termine è di sei mesi dalla pubblicazione in Gazzetta Ufficiale, avvenuta il 29 aprile 2026. La scadenza cade quindi a fine ottobre 2026: la data esatta va confermata con il proprio DPO, perché il calcolo dei termini in mesi non è sempre univoco.

Cosa conviene fare adesso

Due cose non dipendono dalla piattaforma e conviene avviarle subito, confrontandosi con il proprio DPO o consulente legale:

aggiornare l’informativa privacy, che dovrà menzionare l’uso del pixel di tracciamento;
rivedere i form di raccolta, per includere il consenso al tracciamento al momento dell’iscrizione — distinto da quello alla ricezione, perché le deroghe sopra riguardano solo alcuni usi.

Sul fronte della piattaforma, Infomail sta lavorando all’adeguamento: una modalità di tracciamento anonimo e aggregato conforme alla deroga del paragrafo 5, la gestione del consenso al tracciamento sui contatti via interfaccia e via API, la revoca granulare integrata nel footer delle email e misure di privacy by design sull’infrastruttura di tracciamento. Ogni cambiamento nel comportamento della piattaforma verrà comunicato in anticipo, con guide operative dedicate.

Fonte: provvedimento del 17 aprile 2026 e comunicato stampa del Garante per la protezione dei dati personali.

Partiamo dal presupposto base che, nella maggior parte dei paesi, se trattiamo dati personali, abbiamo l’obbligo automatico di informare gli utenti in merito alle attività svolte con le loro informazioni private. Questo può avvenire tramite un testo usualmente indicato come Privacy Policy.

Alcune legislazioni, in maniera ancora più precisa, richiedono che l’utente sia anche attentamente informato sulla metodologia di revoca dal consenso.

Considerando che non sempre ci rivolgiamo ad utenti residenti nel nostro paese e che – qualora comprassimo delle liste di e-mail – non potremmo sapere con precisione la provenienza dei contatti, è sempre bene allinearsi con le normative più severe in circolazione, così da tutelarsi ad ampio spettro.

Vediamo uno ad uno i passaggi da compiere per conformarci alla legge.

1. Informare gli utenti su come verranno utilizzati i loro dati

È indispensabile elaborare una privacy policy semplice e facilmente comprensibile dagli utenti, questo è un requisito tassativo della normativa: nel testo non devono esserci ambiguità.

La policy, per essere fedele alle richieste, dovrà specificare tutti i punti elencati qui di seguito.

✔️ i dati trattati;

✔️ le modalità di trattamento di tali dati;

✔️ le finalità dell’utilizzo, ovvero se l’intenzione è di trattarli per l’invio di newsletter o per altri scopi commerciali;

✔️ i servizi utilizzati di proprietà di terze parti;

✔️ i diritti degli utenti in relazione alla concessione del consenso sull’utilizzo dei dati personali;

✔️ le modalità di gestione delle richieste ricevute da parte degli utenti sull’esercizio dei loro diritti;

✔️ gli strumenti di comunicazione che vengono utilizzati, come le e-mail o la posta ordinaria per esempio;

✔️ le misure di sicurezza adottate.

2. Dichiarare i requisiti delle terze parti

Esplicitare i requisiti di applicazioni o piattaforme coinvolte nel trattamento dei dati è essenziale.

Proprio perché anche le applicazioni e i servizi affini – cosiddetti di terza parte – sono tenuti a rispettare la normativa, è consuetudine che siano essi stessi per primi a richiedere ai propri clienti e partner la dotazione di una privacy policy esaustiva in merito al loro coinvolgimento, così da rendere il rapporto di collaborazione conforme alla legge, senza alcun rischio di contestazione.

3. Definire dove inserire l’informativa sulla privacy

La normativa, nello specifico, stabilisce che il testo di privacy policy debba essere facilmente visibile e sempre consultabile nel nostro sito web o nella nostra App. Solitamente, il posizionamento più diffuso è nel footer, attraverso un link cliccabile.
Affinché vi sia la più totale aderenza alla legge sul trattamento dei dati, è consigliabile inserire il link alla policy anche in calce al form di iscrizione alla newsletter e nelle comunicazione e-mail stesse.

GDPR: E’ INDISPENSABILE LA CHIAREZZA 💡

Come gestire l’aggiunta di nuovi utenti alla mailing list

Secondo la normativa europea, considerando che i moduli di adesione al nostro servizio di newsletter sono a tutti gli effetti degli strumenti per la raccolta dei dati, nel rispetto della normativa GDPR è necessario ottenere un consenso esplicito e informato da parte dell’utente, prima di includerlo nelle nostre mailing list.

Ai sensi di tale legge, l’acquisizione del consenso può avvenire in due momenti: la prima in cui si informa l’utente e la seconda in cui si ottiene il suo ok, attraverso un’azione positiva.

Dunque, cosa bisogna fare per informare l’utente nel rispetto della normativa?

Sicuramente è indispensabile la chiarezza: bisogna comunicare precisamente la tipologia di e-mail alla quale l’utente si sta iscrivendo, senza alcuna ambiguità e specificando che l’azione richiesta è facoltativa.

Oltre a chiarire questo punto, è necessario che il consenso sia esplicito e verificabile. Per questo, è severamente vietato per la normativa europea l’utilizzo di caselle preselezionate.

L’utente, come abbiamo accennato sopra, deve poter revocare in qualunque momento il consenso all’utilizzo dei propri dati. Questo requisito può essere soddisfatto inserendo il link di cancellazione in ogni comunicazione inviata via e-mail.

Inoltre, il consenso viene espresso specificatamente su determinate tipologie di contenuto inviato, pertanto se un utente acconsente al trattamento dei propri dati unicamente per conoscere le nostre novità, sarà vietato inoltrare newsletter promozionali e – ancor più – offerte di terze parti. In sostanza, è indispensabile avere un consenso per ogni specifica finalità di trattamento. Questo è possibile utilizzando diverse checkbox in corrispondenza di ogni tipologia prevista.

Sulla tematica del consenso esplicito, esistono alcune eccezioni da menzionare. Una di queste si ha quando il destinatario ha inserito il proprio indirizzo di posta elettronica durante l’acquisto di un prodotto o di un servizio, in questo caso è possibile inviare e-mail promozionali dedicate a prodotti o servizi del tutto simili. È indispensabile però che sulla pagina dell’acquisto sia stato riportato un avviso che permetta di rifiutare questa eventualità. Inoltre, se il nostro sito prevede un pop-up per invitare gli utenti ad iscriversi alla nostra lista e utilizza termini diretti e chiari che lasciano inequivocabilmente capire che utilizzo si vuole fare del loro dati, un’azione positiva che egli compie, inserendo il proprio indirizzo e-mail, è considerata un consenso a norma di legge.

Infine, dato che l’autorizzazione al trattamento dei dati in base alla GDPR è indispensabile, è richiesta la presenza di un registro aggiornato e preciso dei consensi ottenuti. Tale documentazione deve poter fornire le seguenti informazioni:

✔️ identità dell’utente coinvolto;

✔️ ciò a cui ha prestato il consenso;

✔️ quando ha rilasciato il consenso;

✔️ quali informazioni sono state date all’utente nel momento in cui ha acconsentito;

✔️ quali metodi sono stati utilizzati per ottenere tale consenso, ad esempio un apposito form.

GDPR

Secondo la normativa europea vi sono delle linee guida da seguire in ottica antispam.

✔️ La prima indispensabile è quella di fornire l’essenziale link di annullamento all’iscrizione. Questa opzione deve essere chiara e visibile, oltre che agilmente accessibile. Secondo la GDPR, una volta che l’utente richiede la cancellazione dal servizio, possono passare massimo 30 giorni affinché il cambiamento sia effettivo. Vien da sé, che gli utenti si aspettano un provvedimento immediato, pertanto è sempre meglio essere piuttosto reattivi in questo senso.

✔️ La seconda linea guida indica la necessità di palesare il mittente con l’aggiunta di un indirizzo postale fisico e valido.

✔️ Proseguendo, è necessario chiarire sempre la natura del messaggio: deve essere esplicito se si tratta di un’e-mail promozionale o meno, senza ingannare i destinatari.

Le legislazioni più severe, come quella tedesca ad esempio, richiedono che vengano inseriti i recapiti del mittente. Come accennato all’inizio, è meglio adattarsi alle richieste più stringenti per essere completamente a norma.

GDPR: Warning!

L’autenticazione del dominio non è più facoltativa

Fino a qualche anno fa SPF, DKIM e DMARC erano buone pratiche. Oggi sono requisiti d’accesso: se mancano, le email non arrivano, indipendentemente da quanto sia in ordine il consenso.

Gmail e Yahoo, da febbraio 2024

Tutti i mittenti devono autenticare con SPF o DKIM. Chi invia più di 5.000 email al giorno verso caselle Gmail deve inoltre pubblicare una policy DMARC e permettere la disiscrizione con un solo clic.

C’è poi una soglia che riguarda il comportamento della lista: il tasso di segnalazioni di spam deve restare sotto lo 0,1%, e non deve mai raggiungere lo 0,30%. È un limite che si supera in fretta scrivendo a contatti che non ricordano di essersi iscritti — motivo per cui la parte sul consenso e questa sull’autenticazione, in pratica, sono lo stesso problema.

Il tasso di segnalazione si verifica configurando il dominio di invio su Postmaster Tools di Google.

Microsoft, dal 5 maggio 2025

Dopo Google e Yahoo, anche Microsoft ha alzato l’asticella per chi supera i 5.000 invii giornalieri verso Outlook.com, Hotmail.com e Live.com. Servono tutti e tre i pilastri: SPF con gli IP autorizzati elencati nel DNS, DKIM con firma valida su ogni messaggio, e un record DMARC con policy almeno p=none, in allineamento con SPF o DKIM.

Senza una configurazione corretta le conseguenze arrivano in due tempi: prima i messaggi finiscono in Posta indesiderata, poi Microsoft può rifiutarli direttamente con l’errore SMTP 550 5.7.515.

Va detto che p=none è il livello d’ingresso, non il traguardo: significa «osserva», non «proteggi». Gmail considera preferibili p=quarantine o p=reject.

Cosa fa Infomail

Il link di disiscrizione è obbligatorio e non disattivabile: su Infomail non è possibile inviare una newsletter senza {{{UnsubscribeURL}}}, e la disiscrizione avviene con un clic solo. Un accorgimento pratico: non dare al link un colore troppo simile allo sfondo, perché i filtri lo interpretano come testo nascosto e penalizzano il messaggio.

Per SPF e DKIM, l’implementazione sui nuovi domini è gratuita e il supporto segue la configurazione dei record. Il DMARC va poi pubblicato nei DNS del dominio mittente.

Cosa succede se non si è conformi: conseguenze legali 🚓

La non conformità comporta multe importanti che partono da alcune decine di migliaia di euro a diversi milioni, oltre a verifiche periodiche successive.

La GDPR mette gli utenti nelle condizioni di sporgere denuncia, se hanno il sentore che qualcuno abbia violato le norme sul trattamento dei suoi dati personali. Ricevuta la segnalazione, l’organo competente può svolgere una verifica e, qualora accertasse la violazione, potrebbe interdire l’utilizzo di tutta la mailing list, causando danni anche maggiori rispetto alle sanzioni monetarie.

Inoltre, chi viola tali norme può incorrere nella cessazione – anche permanente – dei servizi erogati da parti terze.

Infine, l’assenza di un adattamento alla legalità porta senza dubbio ad un danno di reputazione agli occhi degli utenti e dunque ad una pessima immagine pubblica condivisa dal target di riferimento, con danni immani a livello commerciale.

In definitiva, in questo articolo abbiamo visto tutte le azioni da mettere in atto, affinché la nostra newsletter sia conforme alla legislazione riguardante il trattamento dei dati.

Il primo passo è quello di definire – agli occhi degli utenti – in totale trasparenza di cosa ci occupiamo, quali dati abbiamo interesse a raccogliere e il perché. È bene avvisare i nostri contatti riguardo alla tipologia di newsletter che riceveranno, così come il metodo di consegna delle comunicazioni.

Il secondo passo è quello di informare gli utenti riguardo ad eventuali fornitori di terza parte con i quali collaboriamo per gestire il flusso e il monitoraggio delle e-mail. I loro link devono essere tassativamente documentati nella privacy policy.

Ottenere il consenso preventivo è il terzo passo e si basa sulla richiesta di un’azione positiva, dopo avere dato informazioni chiare e specifiche sulle nostre intenzioni.

Il quarto passo è la presenza di un link di revoca chiaramente visibile e comprensibile che sia disponibile sulla newsletter.

Infine, è necessario archiviare in un registro tutti i consensi ottenuti: senza questa documentazione i consensi non sono ritenuti validi dalla GDPR.

In sostanza, si tratta senza dubbio di una legge composita e molto articolata per la quale è naturale avere necessità di un supporto tecnico-legale, che fornisca la certezza di essere in piena regola.

Quel che è certo è che l’adeguamento alla GDPR è un passo indispensabile per svolgere qualunque operazione di e-mail marketing in totale sicurezza.

La lista di controllo, in breve

Consenso alla ricezione — informativa completa e comprensibile, consenso libero e specifico, doppio opt-in, revoca sempre possibile e link di disiscrizione in ogni messaggio.

Consenso al tracciamento — informativa che menziona il pixel, consenso raccolto al momento dell’iscrizione, revoca del solo tracciamento senza perdere l’iscrizione. Entro il 28 ottobre 2026.

Autenticazione del dominio — SPF e DKIM su tutti gli invii, DMARC oltre i 5.000 messaggi al giorno, tasso di segnalazioni spam sotto lo 0,1%.

Igiene della lista — niente liste acquistate, rimozione degli indirizzi che non rispondono, gestione automatica di bounce e disiscrizioni.

Se hai un dubbio su uno di questi punti, il supporto Infomail risponde in italiano e conosce sia la piattaforma sia le configurazioni DNS che servono.