L’Agenzia per l’Italia Digitale (AgID)   ha approvato il nuovo regolamento  sulle modalità di accertamento delle violazioni e di applicazione delle sanzioni in materia di accessibilità e servizi digitali, previsti dall’articolo 9 della legge n. 4 del 2004 e dagli articoli 21 e 24 del decreto legislativo n. 82 del 2022.

 Il provvedimento è contenuto nella determinazione n. 84/2026 del 15 maggio 2026  in corso di pubblicazione sul sito istituzionale.

Il comunicato è stato pubblicato in Gazzetta Ufficiale il 23 maggio 2026.

Regolamento AGID controlli e sanzioni 2026: a chi si applica

Nel dettaglio, il regolamento interviene sulla cosiddetta “Legge Stanca” in materia di accessibilità digitale e sulle disposizioni più recenti relative alla conformità dei servizi digitali, a seguito del D.LGS 82 2022, e disciplina l’attività pre-istruttoria di verifica e il procedimento sanzionatorio svolto da AgID in relazione a:

• a) siti web e applicazioni mobili dei soggetti erogatori pubblici, di cui all’art. 3, comma 1, della Legge Accessibilità;
• b) siti web e applicazioni mobili di soggetti erogatori privati, con un fatturato medio, negli ultimi tre anni di attività, superiore a cinquecento milioni di euro, 

Il regolamento  abroga i precedenti e tenta di rafforzare l’attività di vigilanza sul rispetto dei requisiti di accessibilità di siti web, applicazioni e servizi digitali, favorendo una maggiore inclusione per i cittadini con disabilità come richiesto dalla normativa nazionale ed europea.

Si ricorda che la legge 82 2022  assicura la possibilità per chiunque  di presentare reclami  attraverso la piattaforma dedicata, secondo le modalità riportate sul sito istituzionale di AgID. Ogni reclamo deve riguardare un solo fornitore di servizi.

la preistruttoria sulle segnalazioni ricevute è affidata al Difensore civico per ill digitale 

Tra gli aspetti centrali   del nuovo regolamento si segnalano:

•  la standardizzazione delle verifiche, con  controlli documentali e attività ispettive,
• la definizione delle modalità di contestazione delleirregolarità e delle procedure che precedono l’applicazione delle sanzioni. 
• Prevista anche la possibilità per i soggetti coinvolti di presentare osservazioni nel corso del procedimento.

I contenuti principali del DLGS 82 2022 le linee guida agid 2026

Conviene ricordare che lo scopo della legge  82 2022 è quella di garantire l'accessibilità di prodotti e servizi  digitali nell'interesse dei consumatori e degli utenti, rafforzando il diritto delle persone con disabilità a partecipare alla vita della società .

A marzo 2026 AGID ha messo a disposizione  delle Linee Guida aggiornate in materia  qui il testo

I servizi che devono essere conformi ai requisiti di accessibilità stabiliti dal decreto legislativo 82/2022 sono:

• servizi di comunicazione elettronica, fatta esclusione di servizi di trasmissione utilizzati per la fornitura di servizi da macchina a macchina;
• servizi che forniscono accesso a servizi di media audiovisivi;
• gli elementi seguenti relativi ai servizi di trasporto passeggeri aerei, con autobus, ferroviari e per vie navigabili, ivi compresi i servizi di trasporto urbani, extraurbani e regionali:
• siti web;
• servizi per dispositivi mobili, comprese le applicazioni mobili;
• biglietti elettronici e servizi di biglietteria elettronica;
• fornitura di informazioni relative ai servizi di trasporto, comprese le informazioni di viaggio in tempo reale; per quanto riguarda gli schermi informativi ciò si limita agli schermi interattivi situati nel territorio dell'Unione;
• terminali self-service interattivi situati nel territorio dell'Unione, fatta esclusione di quelli installati come parti integranti su veicoli, aeromobili, navi e materiale rotabile utilizzati per la fornitura di una qualsiasi parte di tali servizi di trasporto passeggeri;
• servizi bancari per consumatori;
• libri elettronici (e-book) e software dedicati;
• servizi di commercio elettronico.

Si tratta dei servizi immessi sul mercato dal 28 giugno 2025.

Con il provvedimento n. 284 del 17 aprile 2026, pubblicato in Gazzetta Ufficiale il 29 aprile 2026 , il Garante per la protezione dei dati personali ha adottato nuove linee guida sull’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica, introducendo precise  regole  per imprese, professionisti e fornitori di servizi digitali.

Il documento interviene su una pratica ampiamente diffusa, soprattutto nelle attività di marketing e comunicazione digitale, chiarendo i presupposti di liceità del trattamento dei dati personali derivanti dal monitoraggio dell’apertura delle email.

 I tracking pixel, infatti, consentono di raccogliere informazioni sull’interazione degli utenti (apertura, tempo di lettura, dispositivo utilizzato), configurando veri e propri trattamenti di dati personali. Il garante precisa che si tratta di "marcatori   particolarmente   invasivi soprattutto in ragione del loro carattere nascosto. La  ricezione  di  strumenti di tracciamento non riconoscibili il cui  impiego  non  sia noto alla persona nel cui terminale vengono installati determina  una

violazione, innanzitutto, del fondamentale principio  di  correttezza. Per questo le linee guida sono rivolte quindi  a tutti i soggetti che, a qualsiasi titolo, utilizzano tali strumenti (aziende, PA, provider di servizi email e piattaforme di marketing automation)  .

Viene fissato un termine di 6 mesi dalla pubblicazione per l’adeguamento delle procedure , che deve avvenire quindi entro il 28 ottobre 2026.

La disciplina in vigore

I documento dell'autorità  Garante inquadra l’utilizzo dei tracking pixel nell’ambito della disciplina europea e nazionale sulla protezione dei dati personali, richiamando in particolare:

1. il Regolamento (UE) 2016/679 (GDPR);
2. la direttiva e-Privacy 2002/58/CE;
3. l’art. 122 del Codice Privacy (d.lgs. 196/2003).

Occorre precisare che dal punto di vista giuridico, l’inserimento del pixel in una email e la successiva raccolta delle informazioni costituiscono:

1. archiviazione di informazioni nel terminale dell’utente;
2. accesso a informazioni già archiviate,

 operazioni  che rientrano  nella disciplina dell’art. 122 del Codice Privacy, che consente il trattamento solo in presenza di:

• consenso preventivo dell’utente;
• oppure specifiche deroghe (necessità tecnica o servizio richiesto).

Il Garante ribadisce inoltre il principio di prevalenza della normativa e-Privacy, quale lex specialis rispetto al GDPR, per le attività di comunicazione elettronica.

Cosa devono fare le aziende

Le linee guida forniscono indicazioni concrete per l’adeguamento da parte di datori di lavoro, imprese e consulenti, su 4  aspetti  fondamentali

Raccolta del consenso

Deve essere preventiva, libera e informata;

• può essere unificata con il consenso marketing, se chiaramente esplicitato;
• va raccolta preferibilmente al momento dell’acquisizione dell’email.

Gestione della revoca

Le linee guida affermano che il titolare deve garantire:

• revoca semplice e immediata;
• possibilità di revoca granulare (solo tracking o anche email);
• presenza di link o area dedicata (es. footer email).

Caratteristiche dell' nformativa operativa

• è possibile : inserire una nota sintetica nei moduli di raccolta dati;
• collegare a informativa estesa (privacy/cookie policy);
• aggiornare le informative esistenti al primo invio utile.
• Misure tecniche (privacy by design)

Il Garante suggerisce specificamente::

• uso di identificativi non riconducibili direttamente all’email;
• separazione dei dati identificativi dai dati di tracciamento;
• anonimizzazione delle informazioni quando possibile.

Adeguamento dei sistemi

Piu in generale quindi è necessario che le aziende  provvedano a 

• mappare i trattamenti con tracking pixel;
• verificare le basi giuridiche applicate;
• aggiornare piattaforme e workflow di marketing automation;

per adeguarsi nel termine di  6 mesi dalla pubblicazione  delle Linee guida .

La tipologia di messaggi considerati nelle Linee guida: 

Dal punto di vista della loro tipologia, e' possibile distinguere i messaggi che  vengono  inviati  all'utente  secondo  diversi  modelli ricorrenti: 

1.     Newsletter, cioe' comunicazioni periodiche generalmente inviate a destinatari iscritti in una lista  di  contatti  e  finalizzate  alla diffusione di  aggiornamenti,  contenuti  informativi,  comunicazioni aziendali o materiali editoriali; 
2.     DEM (Direct E-mail Marketing), categoria alla quale  appartengono le   comunicazioni   di   natura   prevalentemente   promozionale   o commerciale, inviate a gruppi di destinatari selezionati dal  cliente della piattaforma ovvero dal provider  che  utilizzi  liste  proprie  a  beneficio  di  terzi
3.     e-mail transazionali e messaggi automatici: comunicazioni inviate automaticamente in relazione al verificarsi di determinati eventi (ad esempio messaggi di benvenuto, follow-up successivi a  un'iscrizione),o ad una specifica azione  compiuta  dall'utente  o  a  una  transazione in corso, quali ad  esempio  conferme  di  registrazione,  d'ordine o trasmissione di credenziali  temporanee
4.     e-mail di servizio, che contengono, in linea  generale,  messaggi il cui contenuto e' funzionale a specifiche esigenze  del  singolo  o  anche   della   collettivita',   poiche'   caratterizzate   da    una funzionalita' di tipo pubblicistico

FAQ operative sui tracking pixel nelle email

Cosa sono i tracking pixel?

I tracking pixel sono immagini di dimensioni minime (spesso 1×1 pixel), generalmente invisibili all’utente, inserite nel codice HTML delle email. Quando il destinatario apre il messaggio, il pixel viene caricato da un server remoto, consentendo al mittente di rilevare informazioni sull’apertura e sull’interazione con la comunicazione.

Quali dati possono raccogliere?

I pixel possono rilevare diversi dati tecnici, tra cui:

• apertura dell’email;
• data e ora di lettura;
• indirizzo IP;
• tipo di dispositivo o client di posta;
• numero di aperture del messaggio.

L’utente può evitare il tracciamento?

Sì, ma con limiti operativi. Il tracciamento può essere impedito disabilitando il caricamento automatico delle immagini o visualizzando le email in formato solo testo. Tuttavia, questa scelta blocca tutte le immagini, non solo i tracking pixel.

I tracking pixel leggono il contenuto delle email?

No. I pixel non accedono al contenuto del messaggio, ma monitorano esclusivamente l’evento di apertura e alcuni dati tecnici correlati.

Sono sempre illegali?

No. Il loro utilizzo è lecito se rispettano le condizioni previste dalla normativa privacy: informativa adeguata, consenso quando richiesto o presenza di una delle deroghe previste dall’art. 122 del Codice Privacy.

È possibile usare i pixel nelle newsletter aziendali?

Sì, ma:

• per analisi aggregate e anonime possono essere utilizzati senza consenso;
• per analisi individuali o profilazione è necessario il consenso preventivo dell’utente.

Chi è responsabile del trattamento dei dati?

Dipende dalla configurazione operativa del sistema IT aziendale. Possono essere coinvolti:

il mittente dell’email (titolare del trattamento);

il provider della piattaforma di invio;

eventuali fornitori di tecnologia di tracciamento.

I pixel possono essere utilizzati nelle email di servizio o obbligatorie?

Sì, in alcuni casi senza consenso, se il loro utilizzo è necessario per garantire sicurezza, corretta erogazione del servizio o adempimenti obbligatori (es. notifiche, conferme, comunicazioni istituzionali).

Cosa si intende per revoca granulare del consenso?

La revoca granulare è la possibilità per l’utente di ritirare il consenso solo per alcune finalità, senza interrompere completamente il servizio.

Ad esempio, può scegliere di continuare a ricevere le email ma senza essere tracciato tramite tracking pixel, oppure revocare tutto e non ricevere più comunicazioni.

• Provvedimento Garante Privacy 584 del 16.4.2026 - Linee guida Tracking pixel

Il Garante per la protezione dei dati personali, con il provvedimento 582  del 9 ottobre 2025 (doc. web n. 10191660), è intervenuto su un caso di trattamento improprio di dati dei dipendenti all’interno di una pubblica amministrazione. L’Autorità ha valutato come illecito l’invio di una comunicazione collettiva contenente informazioni relative allo stato di avanzamento dei percorsi formativi obbligatori sulla piattaforma Syllabus con la specificazione dei nominativi dei dipendenti inadempienti .

L’analisi condotta dal Garante ha richiamato i principi fondamentali del Regolamento (UE) 2016/679 e del d.lgs. 196/2003, in particolare i principi di liceità, correttezza, trasparenza e minimizzazione dei dati (art. 5, par. 1, lett. a) e c) del Regolamento), oltre alla disciplina sull’ammissibilità della comunicazione di dati personali da parte dei soggetti pubblici (art. 6 del Regolamento e art. 2-ter del Codice Privacy). Il provvedimento rappresenta un richiamo importante per datori di lavoro pubblici e privati, nonché per consulenti e responsabili della gestione del personale, in merito alla necessità di adottare modalità di comunicazione che tutelino la riservatezza dei lavoratori.

Il caso: invio elenco dei dipendenti con mancata informazione

La vicenda trae origine dal reclamo di un dipendente che aveva ricevuto, insieme ad altri colleghi, una email cumulativa proveniente dall’ufficio di segreteria dell’amministrazione  riguardante la formazione obbligatoria del personale

Come ricostruito dal Garante nel provvedimento, l’amministrazione aveva attivato percorsi formativi obbligatori rivolti a tutto il personale e  ridosso della scadenza  l’ente aveva predisposto un elenco dei dipendenti che risultavano inadempienti  e aveva provveduto a inviare un’unica comunicazione collettiva di sollecito.

Dagli atti istruttori emerge che l’amministrazione aveva già tentato contatti individuali e telefonici, e che la scelta di procedere con un unico invio cumulativo era stata motivata dalla volontà di accelerare l’adempimento e di garantire il buon funzionamento dell’ufficio, anche alla luce delle difficoltà organizzative e della carenza di personale.

La comunicazione, tuttavia, rendeva reciprocamente conoscibili ai destinatari informazioni non necessarie,  integrando un trattamento di dati personali non strettamente pertinente rispetto alle finalità perseguite. 

La decisione del garante: niente sanzioni

Il Garante ha ritenuto che l’invio cumulativo della comunicazione fosse illegittimo, in quanto contrario ai principi di protezione dei dati richiamati dall’art. 5 del Regolamento (UE) 2016/679. L’Autorità ha rilevato che la scelta organizzativa adottata dall’amministrazione non fosse idonea a giustificare la diffusione interna di informazioni riferite ai lavoratori, poiché un invio individuale avrebbe permesso di perseguire le stesse finalità senza pregiudicare la riservatezza degli interessati.

In particolare, il Garante ha richiamato:

• il principio di minimizzazione, secondo cui devono essere trattati solo i dati adeguati e pertinenti rispetto alle finalità (art. 5, par. 1, lett. c) del Regolamento).
• il  principio di liceità e correttezza, che impone al datore di lavoro di limitare l’accessibilità ai dati ai soli soggetti autorizzati (art. 5, par. 1, lett. a) del Regolamento).

Le Linee guida del 14 giugno 2007 sulla gestione dei dati dei dipendenti in ambito pubblico, tuttora rilevanti, che raccomandano comunicazioni individualizzate e l’adozione di misure idonee a prevenire la conoscibilità ingiustificata di informazioni personali.

L’Autorità ha inoltre escluso la possibilità di qualificare la comunicazione come una semplice informativa di servizio priva di contenuti sensibili, sottolineando che i dati riguardavano comunque l’esecuzione di un obbligo formativo individuale e potevano risultare idonei a incidere sulla percezione professionale dei lavoratori.

Alla luce degli elementi emersi, il Garante ha dichiarato illecita la comunicazione dei dati e ha disposto l’ammonimento dell’amministrazione, ma senza sanzioni in quanto la violazione è  stata valutata  di entità contenuta e alla luce del comportamento collaborativo dell’ente  che ha emesso una  circolare interna finalizzata a prevenire il ripetersi di situazioni analoghe.

Con provvedimento n. 389 del 10 luglio 2025, il Garante per la protezione dei dati personali ha accertato una grave violazione della normativa in materia di privacy da parte di una compagnia assicurativa, sanzionata con 80.000 euro. 

Il caso ha origine da un reclamo presentato ai sensi dell’art. 77 del Regolamento (UE) 2016/679, che ha evidenziato la comunicazione non autorizzata di informazioni personali relative a tre polizze vita a un indirizzo email estraneo alla titolare.

Secondo quanto ricostruito, la compagnia aveva ricevuto diverse richieste contenenti informazioni dettagliate sulle polizze, corredate da firma autografa e altri dati identificativi. In buona fede, ritenendo legittime le richieste, l’azienda ha fornito riscontro a tali comunicazioni tra il 2021 e il 2023, senza verificare con certezza l’identità del mittente. Solo nel settembre 2024, a seguito della segnalazione della reale intestataria, è emerso che le comunicazioni erano state inviate da un soggetto terzo che si era finto lei, utilizzando un indirizzo email tedesco mai registrato dalla cliente, in un caso di "phishing" contro il quale la compagnia non aveva messo in atto le dovute precauzioni.

L’istruttoria del Garante e le responsabilità accertate

La compagnia ha riferito di aver agito con diligenza e in buona fede, spiegando che le richieste apparivano verosimili per la presenza di dettagli specifici, come importi e date dei versamenti, e la firma autografa dell’intestataria. Tuttavia, il Garante ha sottolineato che la cliente non aveva mai fornito un indirizzo email per ricevere comunicazioni ufficiali e  che pertanto l’azienda avrebbe dovuto adottare misure più rigorose per verificare l’identità del richiedente.

Nel corso dell’istruttoria è emerso che, pur essendo a conoscenza del disconoscimento dell’indirizzo email già da settembre 2024, la compagnia ha notificato la violazione all’Autorità solo a gennaio 2025, superando il termine di 72 ore previsto dall’art. 33 del Regolamento (UE) 2016/679. Secondo le Linee guida 9/2022 del Comitato europeo per la protezione dei dati, il titolare del trattamento è considerato “a conoscenza” della violazione non appena ha ragionevole certezza che si sia verificato un incidente di sicurezza.

Il Garante ha evidenziato come la mancanza di verifica preventiva e il ritardo nella notifica abbiano costituito violazioni dei principi di liceità, correttezza e sicurezza dei dati (art. 5, par. 1, lett. a) e f), e art. 33, par. 1 del Regolamento), dichiarando illecito il trattamento dei dati personali da parte della compagnia

.

La sanzione e le misure correttive adottate

Alla luce della natura colposa della violazione e del fatto che questa ha interessato dati personali riferiti a polizze vita, il Garante ha disposto una sanzione amministrativa pecuniaria pari a 80.000 euro. Nella determinazione dell’importo sono state considerate anche le misure correttive adottate dalla compagnia, tra cui:

• sospensione immediata delle comunicazioni all’indirizzo email disconosciuto;
• avvio di una revisione delle procedure aziendali per rafforzare i controlli sull’identità dei richiedenti;
• collaborazione con l’Autorità durante il procedimento;
• assenza di precedenti specifici.

Inoltre, la società ha presentato denuncia contro ignoti e ha previsto che, in futuro, le richieste relative ai rapporti contrattuali potranno essere evase solo in presenza di specifiche condizioni, come l’uso di recapiti certificati o l’allegazione di un documento di identità.

Il Garante ha disposto la pubblicazione dell’ordinanza di ingiunzione sul proprio sito istituzionale, come previsto dall’art. 166 del Codice in materia di protezione dei dati personali, per garantire la massima trasparenza e informare cittadini e operatori sulle conseguenze delle violazioni in materia di trattamento dei dati personali.

Con un provvedimento del 10 luglio 2025, il Garante per la protezione dei dati personali ha sanzionato una società per aver trattato in modo illecito i dati dei lavoratori in occasione di colloqui di rientro dopo assenze per motivi di salute. 

L’uso di un modulo specifico per raccogliere informazioni personali, seppur finalizzato al reinserimento lavorativo, è risultato non conforme al Regolamento (UE) 2016/679 (GDPR) e alla normativa nazionale in materia di privacy.

Il caso: questionario per il rientro al lavoro

La vicenda trae origine da una segnalazione sindacale relativa alla prassi aziendale di sottoporre i dipendenti, dopo periodi di assenza per malattia, infortunio o ricovero, a un colloquio strutturato con un proprio responsabile. In tale occasione veniva compilato un modulo denominato Return to Work Interview (RTWI), successivamente archiviato nelle risorse umane.

La finalità dichiarata dall’azienda era quella di tutelare la salute e il benessere psico-fisico dei lavoratori e facilitare il loro reinserimento. Tuttavia, il Garante ha riscontrato che il modulo poteva raccogliere dati sanitari, anche indirettamente, in violazione delle disposizioni che riservano tali trattamenti al solo medico competente. Inoltre, non veniva fornita un’informativa adeguata né era garantita la libertà del consenso.

La decisione del Garante: gravi violazioni accertate

L’Autorità ha  evidenziato dunque diverse serie  criticità, tra cui:

1. Mancanza di un’informativa chiara e completa: le poche righe presenti all’inizio del modulo non descrivevano in modo esaustivo il trattamento dei dati. Anche le informazioni fornite nei portali aziendali risultavano generiche e non riferibili allo specifico trattamento.
2. Trattamento illecito di dati sanitari: alcune domande contenute nel modulo potevano comportare, direttamente o attraverso i commenti del lavoratore, la rivelazione di dati sensibili. Secondo il GDPR, tali trattamenti devono essere autorizzati dal diritto dell’Unione o nazionale, oppure essere effettuati esclusivamente dal medico competente, come previsto dal D.lgs. 81/2008.
3. Base giuridica inadeguata: la società faceva riferimento alternativamente a obblighi di legge (art. 2087 c.c.), consenso o legittimo interesse. Il Garante ha ribadito che, nel rapporto di lavoro, il consenso non è di norma valido a causa del disequilibrio tra le parti, e che il trattamento di dati sanitari richiede presupposti specifici.
4. Violazione dei principi di minimizzazione e limitazione della conservazione: le informazioni raccolte erano in parte superflue, già note all’ufficio del personale, e conservate fino a 10 anni, senza criteri chiari per la loro cancellazione.

Le misure: sanzione e obbligo di cancellazione –

Il Garante ha concluso che il trattamento non rispettava diversi articoli del Regolamento (in particolare artt. 5, 6, 9, 13 e 88) e l’art. 113 del Codice Privacy. 

Ha quindi disposto:

• Il divieto di proseguire nel trattamento dei dati raccolti tramite i moduli;
• La cancellazione dei dati già acquisiti, entro 60 giorni dalla notifica del provvedimento;
• L’irrogazione di una sanzione pecuniaria pari a 50.000 euro.

Il provvedimento è stato pubblicato sul sito dell’Autorità, anche per l’alto numero di lavoratori coinvolti e la durata della violazione, protrattasi dal 2020.

Questo caso sottolinea l’importanza, per le aziende, di coniugare le buone prassi organizzative con il rispetto della normativa in materia di privacy. 

Inoltre, anche iniziative finalizzate alla tutela del benessere lavorativo devono essere progettate nel rispetto del principio di liceità e della normativa sul trattamento dei dati. In particolare, quando si sfiorano dati relativi alla salute, occorre che il trattamento sia strettamente necessario, autorizzato dalla legge e condotto da soggetti legittimati.