Comunicazioni scolastiche via mail: stop al controllo nascosto, arrivano nuove regole. Cos’è il “tracking pixel”?

Il recente provvedimento n. 284 del 17/04/2026 del Garante per la Protezione dei Dati Personali – recante le “Linee Guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica” e pubblicato sulla Gazzetta Ufficiale n. 98 del 29 aprile 2026 – segna un punto di svolta fondamentale per la Pubblica Amministrazione e per la Scuola. L’uso dei cosiddetti “tracking pixel” (o web beacon) esce finalmente da una pericolosa zona grigia per diventare una pratica strettamente regolamentata, il che impone un cambio di rotta immediato all’interno delle segreterie scolastiche.

Nelle attività quotidiane di un’Istituzione Scolastica, l’invio di circolari, newsletter e comunicazioni istituzionali via e-mail costituisce la norma. Eppure, moltissimi dei software oggi utilizzati (dai sistemi di mass-mailing fino alle piattaforme di registro elettronico) integrano silenziosamente questi “tracking pixel“: si tratta di minuscoli frammenti di codice invisibili che monitorano se, quando e quante volte un genitore, uno studente, un docente o personale ATA apre un messaggio.

Con questo provvedimento, l’Autorità Garante ha stabilito confini invalicabili. Per i Dirigenti Scolastici e i Direttori SGA, ignorare tali Linee Guida non costituisce unicamente un gravissimo rischio di conformità normativa, ma rappresenta una potenziale rottura del patto di fiducia che lega l’Istituto alla propria comunità scolastica.

Se da un lato l’efficacia della comunicazione è un pilastro della digitalizzazione scolastica, dall’altro l’abuso di strumenti di “email intelligence” ha introdotto nelle nostre segreterie tecnologie silenziose ma profondamente invasive. Spesso, nella gestione organizzativa, la tecnologia viene erroneamente percepita come “neutra”. Al contrario, il Garante ha tracciato una linea netta tra ciò che è un monitoraggio lecito e ciò che è, a tutti gli effetti, una violazione della riservatezza. Le nuove Linee Guida ci ricordano, in modo perentorio, che ogni singolo bit di dato raccolto porta con sé una precisa responsabilità giuridica e necessita di un’attenta valutazione del rischio.

Che cos’è un “Tracking Pixel” e perché allerta il Garante?

Tecnicamente, un tracking pixel è un’immagine di dimensioni 1×1, quasi sempre trasparente, inserita nel corpo HTML di una mail. Nel momento esatto in cui il destinatario apre il messaggio, questa immagine viene richiamata dal server del mittente, svelando informazioni sensibili quali:

• L’indirizzo IP del destinatario.
• La data e l’ora precise dell’accesso.
• Il tipo di dispositivo e il sistema operativo utilizzato per la lettura.

Il Garante ha chiarito inequivocabilmente che queste informazioni, sebbene possano apparire di natura puramente tecnica, rientrano nella rigorosa definizione di “identificatori online”. La loro raccolta si configura come un vero e proprio trattamento di dati personali, finalizzato al monitoraggio comportamentale dell’utenza.

Le novità del Provvedimento n. 284/2026

Il cuore dell’intervento normativo si fonda sul principio della Privacy by Design. Di seguito, i punti cardine che impattano direttamente l’Amministrazione Scolastica:

• Inapplicabilità del “legittimo interesse”: il Garante ha ribadito che le scuole non possono invocare il legittimo interesse per giustificare l’analisi statistica sull’efficacia delle proprie comunicazioni. Poiché si tratta di un monitoraggio effettuato sui terminali degli utenti (disciplinato dall’art. 122 del Codice Privacy), è sempre necessario raccogliere un consenso preventivo.
• Divieto di tracking nelle comunicazioni obbligatorie: è severamente vietato inserire pixel di tracciamento nelle e-mail contenenti comunicazioni istituzionali obbligatorie (ad esempio: convocazioni degli organi collegiali, notifiche relative alle assenze degli alunni, o l’invio di provvedimenti disciplinari).
• Trasparenza nelle informative: l’informativa sul trattamento dei dati, che ogni scuola deve pubblicare sul proprio sito istituzionale, deve da oggi specificare in modo chiaro e inequivocabile l’uso di queste tecnologie, indicandone sia le finalità che i relativi tempi di conservazione.

Il rischio critico per le Istituzioni Scolastiche

L’utilizzo indiscriminato di sistemi di invio mail standard, spesso forniti da terze parti localizzate fuori dall’Unione Europea, espone la scuola all’elevato rischio di un trasferimento illecito di dati all’estero (un tema divenuto centrale a seguito della sentenza Schrems II). Ne derivano possibili sanzioni amministrative che, pur prevedendo tetti massimi diversi per le Pubbliche Amministrazioni rispetto ai privati, andrebbero a colpire duramente tanto le risorse del bilancio scolastico quanto la reputazione dell’Istituto.

Guida pratica per DS e DSGA: la procedura di audit interno

La digitalizzazione non deve in alcun modo trasformare il rapporto tra Scuola e famiglia in un’attività di monitoraggio costante. La trasparenza rimane il miglior “antivirus” contro le sanzioni del Garante. Per allineare l’Istituto alle direttive, DS e DSGA, in qualità di vertici gestionali, sono chiamati ad attivare tempestivamente una procedura di audit interno strutturata in tre fasi:

Fase A: Audit tecnico e contrattuale

• Richiedere formalmente ai fornitori del Registro Elettronico e del Sito Istituzionale (inclusi i servizi di newsletter) se i loro sistemi di notifica integrano pixel di tracciamento e se l’opzione “open rate” è attiva di default.
• Verificare se tali fornitori agiscono regolarmente come “Responsabili del Trattamento” ai sensi dell’Art. 28 del GDPR, e accertarsi che esistano istruzioni scritte vincolanti per la disabilitazione del tracciamento individuale.
• Revisionare i contratti affinché venga esplicitamente vietato il riutilizzo dei dati di tracciamento per finalità proprie del fornitore, come ad esempio la profilazione commerciale.

Fase B: Configurazione e policy

• Impostare immediatamente il sistema di mailing d’istituto in modalità “Privacy by Default”.
• Disattivare le funzioni di tracciamento pixel (Open Tracking e Link Tracking) per tutte le comunicazioni di natura istituzionale. È importante ricordare che le statistiche di invio “aggregate” (quante mail sono state consegnate) rimangono lecite, mentre quelle “individuali” (chi ha aperto la mail) sono vietate in assenza di esplicito consenso.
• Fornire istruzioni chiare al personale di segreteria vietando categoricamente l’uso di account di posta personali o di strumenti di invio massivo gratuiti (versioni “free” di servizi web) per la trasmissione di dati sensibili.

Fase C: Formazione e trasparenza

• Aggiornare l’Informativa sul trattamento dei dati (ex artt. 13-14 GDPR) introducendo una sezione specifica dedicata ai “Sistemi di monitoraggio delle comunicazioni”.
• Inserire l’argomento all’interno del piano annuale di formazione destinato al personale ATA, ribadendo che la sicurezza informatica e la protezione dei dati sono elementi integranti della sicurezza globale della scuola.

Prospetto delle azioni raccomandate

Conclusioni

Il rispetto delle Linee Guida introdotte con il provvedimento 284/2026 non deve essere declassato a mero ed ulteriore adempimento burocratico. Si tratta, al contrario, di una tutela essenziale per garantire che l’Istituzione Scolastica si confermi un luogo sicuro anche nella sua dimensione digitale. È compito ineludibile del Dirigente Scolastico assicurare che il processo di trasformazione digitale proceda sempre all’interno dei binari tracciati dall’etica e dal diritto, proteggendo proattivamente il prezioso legame di fiducia instaurato con il personale scolastico e con le famiglie.

A tal fine, risulta quanto mai opportuno e urgente consultare immediatamente il proprio Responsabile per la Protezione dei Dati (DPO) per procedere senza indugio a una revisione programmata dei Registri delle attività di trattamento.