GDPR ed email marketing: guida pratica alla conformità
Come GDPR e direttiva ePrivacy regolano davvero l’email marketing: basi giuridiche, consenso, soft opt-in, prove, diritti degli iscritti e implementazione pratica.
Che cosa richiede davvero il GDPR a chi fa email marketing
Detto chiaramente: il Regolamento generale sulla protezione dei dati (Regolamento (UE) 2016/679) non contiene alcuna norma che dica “serve il consenso per inviare un’email”. Quello che regola sono i dati personali dietro il tuo programma email. Ti serve una base giuridica per trattarli, trasparenza, esattezza, limitazione della conservazione, sicurezza e la prova di tutto questo. L’articolo 5(2) lo sintetizza in una riga: il titolare “è competente per il rispetto” dei principi di trattamento “e in grado di comprovarlo”.
La regola che decide se puoi premere invio sta in un altro strumento, la direttiva ePrivacy. Quasi tutti gli articoli sul tema mescolano i due e danno la risposta sbagliata. Tenerli distinti è il punto di questa guida.
Questo articolo è una guida pratica per chi fa marketing, non una consulenza legale. Cita fonti primarie perché tu possa verificarle, ma il diritto della protezione dei dati è applicato dalle autorità e dai tribunali nazionali, le attuazioni nazionali differiscono e le tue circostanze contano. Prima di modificare un flusso di consenso, una regola di conservazione o un trasferimento internazionale, fatti assistere da un professionista qualificato nella tua giurisdizione.
GDPR ed ePrivacy: due strumenti, un solo invio
Che cosa dice la direttiva ePrivacy
La direttiva 2002/58/CE, la direttiva ePrivacy, come modificata dalla direttiva 2009/136/CE, fissa la regola sull’invio. L’articolo 13(1) consente la posta elettronica a fini di marketing diretto solo verso gli abbonati che abbiano prestato il proprio consenso preventivo. La nozione di “posta elettronica” è definita in senso ampio e neutro rispetto alla tecnologia: il parere 5/2004 del Gruppo di lavoro articolo 29 ha confermato che copre le newsletter via email così come gli SMS e messaggi archiviati analoghi. L’articolo 13(2) ritaglia l’eccezione per i clienti esistenti, e l’articolo 13(4) vieta le email di marketing che dissimulano l’identità del mittente o che non indicano “un indirizzo valido a cui il destinatario possa inviare una richiesta di cessazione di tali comunicazioni”.
Perché questo conta nella pratica
Il consenso non è definito nella direttiva ePrivacy. Il suo significato viene dalla disciplina generale sulla protezione dei dati: l’articolo 94(2) del GDPR stabilisce che i riferimenti alla direttiva 95/46/CE abrogata si intendono fatti al GDPR. Quindi ePrivacy decide quando serve il consenso per l’atto di invio, e il GDPR decide che cosa conta come consenso e come lo dimostri.
Puoi quindi avere una base GDPR valida per conservare e analizzare la scheda di un contatto e non avere comunque il diritto di inviargli email. E poiché ePrivacy è una direttiva e non un regolamento, viene recepita nel diritto nazionale, quindi i dettagli cambiano da uno Stato membro all’altro.
Scegliere una base giuridica per l’email marketing
Il consenso
Il consenso ai sensi dell’articolo 6(1)(a) è ciò su cui si basano quasi tutti i programmi email rivolti ai consumatori, per una buona ragione: se ePrivacy richiede comunque il consenso preventivo per l’invio, usare il consenso anche come base GDPR mantiene una sola storia invece di due. Il costo è che può essere revocato in qualsiasi momento ai sensi dell’articolo 7(3).
Il legittimo interesse
L’articolo 6(1)(f) consente il trattamento necessario per il perseguimento del legittimo interesse del titolare, salvo che prevalgano gli interessi o i diritti fondamentali dell’interessato. Il considerando 47 afferma esplicitamente che “il trattamento di dati personali per finalità di marketing diretto può essere considerato effettuato per perseguire un legittimo interesse”.
Quella frase viene citata di continuo per sostenere che il consenso sia facoltativo. Leggila con attenzione. Riguarda la base GDPR per il trattamento, dice “può essere”, quindi devi comunque svolgere e documentare il test di bilanciamento, e non dice nulla sulla regola ePrivacy per l’invio. Il legittimo interesse è più difendibile per il trattamento attorno al tuo programma, come segmentazione, soppressione e analisi, e per i contatti business to business dove le regole nazionali trattano diversamente gli abbonati aziendali. È una base fragile per l’email a freddo verso i consumatori nell’Unione Europea.
Il soft opt-in per i clienti esistenti
L’articolo 13(2) della direttiva ePrivacy è la vera eccezione. Quando una persona ottiene le coordinate email dei clienti “nel contesto della vendita di un prodotto o di un servizio”, quella stessa persona può usarle per promuovere “propri prodotti o servizi analoghi”, a condizione che i clienti “in modo chiaro e distinto abbiano la possibilità di opporsi, gratuitamente e in modo semplice” sia al momento della raccolta sia in ogni messaggio successivo.
Il Gruppo di lavoro articolo 29 ha affermato che questa eccezione “è limitata sotto diversi profili e deve essere interpretata in modo restrittivo”. Tre limiti vale la pena memorizzarli:
- Si applica solo ai clienti effettivi. Chi ha abbandonato un checkout non è coperto.
- Può inviare solo la stessa persona giuridica che ha raccolto l’indirizzo. Controllate e capogruppo non sono la stessa impresa.
- Si qualificano solo prodotti o servizi analoghi, valutati a partire dalle ragionevoli aspettative del destinatario e non dalle ambizioni del mittente.
Come il soft opt-in varia tra Stati membri
Poiché la direttiva è stata recepita a livello nazionale, è qui che lo stesso consiglio diverge davvero da mercato a mercato.
In Irlanda, la Regulation 13(11) dello S.I. No. 336/2011 riprende l’eccezione e aggiunge un limite temporale netto: la vendita deve essere avvenuta “non oltre 12 mesi prima dell’invio della comunicazione di marketing diretto”, oppure le coordinate devono essere state usate per marketing via email entro quel periodo.
Nel Regno Unito, la regola equivalente è la regulation 22 del PECR, e l’ICO non indica alcun limite temporale. Descrive il soft opt-in come applicabile a un cliente esistente “che in passato ha acquistato (o trattato per acquistare) da te un prodotto o servizio analogo”, e nota che non si applica ai potenziali clienti, alle liste acquistate o alle promozioni non commerciali come la raccolta fondi benefica e le campagne politiche.
Due mercati confinanti, due regole sostanzialmente diverse. Non dare mai per scontato che la tua versione nazionale viaggi con te.
Che cosa significa davvero consenso valido
L’articolo 4(11) definisce il consenso come “qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento”. L’EDPB ha approfondito ciascun elemento nelle Linee guida 05/2020 sul consenso, adottate il 4 maggio 2020.
I quattro elementi
- Libero. L’articolo 7(4) impone di tenere “nella massima considerazione” se un contratto sia subordinato al consenso a un trattamento non necessario. Non rendere il consenso marketing una condizione del checkout.
- Specifico. Quando il trattamento ha più finalità, il consenso dovrebbe essere prestato per tutte (considerando 32). Finalità distinte richiedono scelte distinte: l’iscrizione alla newsletter non è consenso agli SMS, né alla condivisione dei dati con partner.
- Informato. L’articolo 7(2) richiede che una richiesta di consenso inserita in una dichiarazione più ampia sia “chiaramente distinguibile dalle altre materie, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro”.
- Inequivocabile. Deve esserci una dichiarazione o un’azione positiva chiara.
Che cosa non vale
Il considerando 32 è netto: “Non dovrebbe pertanto configurare consenso il silenzio, l’inazione o la preselezione di caselle”. Non vale nemmeno una casella sepolta nelle condizioni contrattuali, né un’unica spunta che copre email, SMS, profilazione e condivisione con partner.
La revoca
L’articolo 7(3) attribuisce il diritto di revocare il consenso in qualsiasi momento, impone di informarne la persona in anticipo e stabilisce che “revocare il consenso deve essere facile quanto darlo”. Se qualcuno può iscriversi con un clic, un percorso di revoca che richiede un accesso e una pagina di impostazioni nascosta non rispetta lo standard. La revoca non è retroattiva: il trattamento effettuato prima resta lecito.
Le prove: che cosa devi essere in grado di dimostrare
L’articolo 7(1) è breve e portante: “Qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso”. Una colonna “opt-in: sì” non dimostra nulla. Una registrazione che ricostruisce il momento del consenso sì.
Che cosa registrare all’iscrizione
Raccogli e conserva, per contatto e per finalità:
- Il timestamp dell’azione di consenso, in un fuso orario stabile.
- Origine e metodo: quale modulo, URL della pagina, canale o evento offline.
- Il testo esatto del consenso e la versione dell’informativa mostrata. Un identificatore di versione che rimanda al testo archiviato è più pratico che salvare il testo completo su ogni riga.
- Le finalità specifiche accettate, come flag separati e non come un unico booleano.
- La prova della conferma e il relativo timestamp quando usi il double opt-in.
- L’indirizzo IP quando è proporzionato al rischio. È prassi diffusa e prova utile, ma non un obbligo di legge, ed è a sua volta un dato personale.
L’articolo 30 richiede separatamente a quasi tutte le organizzazioni di tenere un registro delle attività di trattamento: finalità, categorie di interessati e di dati, destinatari, trasferimenti, periodi di conservazione e misure di sicurezza. L’esenzione per le organizzazioni con meno di 250 dipendenti è stretta e viene meno quando il trattamento può presentare un rischio per i diritti e le libertà, non è occasionale o riguarda categorie particolari di dati. Il marketing regolare verso un database clienti non è occasionale.
Per quanto tempo conservare le prove del consenso
Il GDPR non fissa un periodo. Il principio praticabile è che le prove del consenso debbano sopravvivere al marketing che giustificano, più il periodo in cui un reclamo potrebbe realisticamente essere presentato. Eliminare la scheda di un iscritto conservando una voce di log minimizzata che dimostra il permesso è normale.
I diritti degli interessati che toccano i programmi email
Cinque diritti si presentano di continuo nelle operazioni email.
- Accesso (articolo 15). Conferma se tratti i suoi dati, copia degli stessi e informazioni tra cui finalità, categorie di dati, destinatari, periodi di conservazione, origine ed eventuali decisioni automatizzate o profilazione. Per i programmi email significa spesso cronologia di engagement e appartenenza ai segmenti, non solo l’indirizzo.
- Rettifica (articolo 16). Correzione dei dati inesatti senza ingiustificato ritardo e integrazione dei dati incompleti.
- Cancellazione (articolo 17). Compreso il 17(1)(b), quando il consenso è revocato e non si applica altra base, e il 17(1)(c), quando la persona si oppone ai sensi dell’articolo 21(2).
- Opposizione al marketing diretto (articolo 21). Quello assoluto. Ai sensi del 21(2) l’interessato “ha il diritto di opporsi in qualsiasi momento” al trattamento per finalità di marketing diretto, profilazione connessa compresa. Ai sensi del 21(3), “i dati personali non sono più oggetto di trattamento per tali finalità”. Non c’è alcun bilanciamento da applicare.
- Portabilità (articolo 20). Si applica quando il trattamento si fonda sul consenso o su un contratto ed è automatizzato, e copre i dati forniti dalla persona. Punteggi derivati e segmenti in genere ne restano fuori.
Tempi di risposta
L’articolo 12(3) impone di agire senza ingiustificato ritardo e comunque entro un mese dal ricevimento. Il termine può essere prorogato di due mesi in caso di complessità o numero di richieste, e devi informare la persona, con le motivazioni, entro il primo mese. Un’opposizione al marketing merita meglio del termine massimo: trattala come soppressione immediata e poi sbriga le formalità dentro la finestra di legge.
Implementazione pratica
Moduli di iscrizione
Una casella non selezionata e chiaramente etichettata per ogni finalità. Indica il mittente, di’ che cosa invierai e più o meno con quale frequenza, e collega l’informativa privacy invece di riprodurla. Non accorpare il consenso marketing all’accettazione delle condizioni e non subordinare l’acquisto a esso. Salva la versione del modulo così potrai poi dimostrare che cosa c’era a schermo.
Il double opt-in e il suo onesto stato giuridico
Il double opt-in non è richiesto dal GDPR né dalla direttiva ePrivacy. Nessun articolo lo impone. Quello che produce è prova: un clic di conferma, dalla casella in questione, a un orario registrato, è quanto di più vicino alla migliore prova disponibile che una persona reale che controlla quell’indirizzo abbia accettato. Il Gruppo di lavoro articolo 29 ha osservato che i metodi in cui l’iscritto si registra e in seguito gli viene chiesto di confermare “sembrano compatibili con la direttiva”.
Quindi è raccomandato, a volte con forza, e in alcuni mercati è la norma. Non è la legge. Il funzionamento è nella nostra guida al double opt-in.
Centri preferenze e gestione della disiscrizione
Ogni messaggio di marketing ha bisogno di un indirizzo valido per le richieste di opt-out, e sotto l’eccezione per i clienti esistenti una via di opposizione semplice e gratuita in ogni messaggio è una condizione, non una cortesia. Un centro preferenze che offre scelte di frequenza e argomento è buona prassi, ma una disiscrizione globale in un solo passaggio deve restare sempre disponibile. Elabora gli opt-out automaticamente; le code manuali sono il modo in cui le organizzazioni finiscono per inviare dopo un’opposizione.
Liste di soppressione che sopravvivono alle migrazioni
Una disiscrizione è un’istruzione permanente, non un’impostazione della singola lista. Lo stato di soppressione deve essere globale tra i marchi, tra i canali coperti dall’opposizione e tra le piattaforme. Il momento pericoloso è una migrazione o una reimportazione: gli iscritti passano al nuovo sistema e i flag di opposizione non li seguono. È il modo più comune in cui un programma conforme diventa silenziosamente non conforme.
Lo stesso rischio vive in ogni integrazione tra un negozio, un CRM e una piattaforma email, dove consenso e stato di soppressione si perdono per strada. Se stai portando dati Shopify dentro Brevo, Tajo è il livello di sincronizzazione che trasporta quei campi tra i sistemi. Qualunque strumento usi, il test è lo stesso: dopo ogni migrazione, verifica che un indirizzo che sai essere soppresso lo sia ancora.
Conservazione e ripermissionamento di liste vecchie
La limitazione della conservazione si applica anche alle liste di marketing, quindi definisci una regola di conservazione documentata per i contatti inattivi e falla rispettare. Se una lista è rimasta inutilizzata per anni, spesso viene proposta una campagna di ripermissionamento. Attenzione: un’email del tipo “conferma se vuoi ancora ricevere le nostre comunicazioni” è essa stessa una comunicazione di marketing nella maggior parte delle letture, quindi può andare solo alle persone a cui puoi legittimamente scrivere oggi. Se non riesci a dimostrare una base adesso, la risposta onesta è la cancellazione. La nostra guida alla pulizia delle liste email copre il lato igiene.
Il tuo ESP è un responsabile del trattamento
Il tuo fornitore di servizi email tratta dati personali per tuo conto, quindi si applica l’articolo 28. Serve un contratto o altro atto giuridico vincolante che indichi materia, durata, natura e finalità del trattamento, tipi di dati e categorie di interessati. L’articolo 28(3) richiede poi clausole su istruzioni documentate, riservatezza, sicurezza ai sensi dell’articolo 32, sub-responsabili, assistenza sulle richieste degli interessati e obblighi in caso di violazione, cancellazione o restituzione dei dati alla fine del servizio e diritti di audit. Quasi tutti i fornitori pubblicano un DPA standard. Leggi l’elenco dei sub-responsabili.
Trasferimenti internazionali
Se i dati personali escono dallo Spazio economico europeo, ti serve un meccanismo di trasferimento. L’articolo 45 consente i trasferimenti verso paesi o quadri che la Commissione europea ha ritenuto adeguati. Altrimenti l’articolo 46 richiede garanzie adeguate, più comunemente le clausole contrattuali tipo della Commissione, oppure norme vincolanti d’impresa all’interno di un gruppo. Le decisioni di adeguatezza coprono diverse giurisdizioni, tra cui l’EU-US Data Privacy Framework adottato il 10 luglio 2023. Verifica dove il tuo ESP conserva i dati, non solo dove ha la sede.
Come si chiama il regolamento nel tuo mercato
Lo strumento è lo stesso in tutta l’Unione Europea. Il nome no.
| Mercato | Nome locale | Note |
|---|---|---|
| Germania, Austria | DSGVO | Datenschutz-Grundverordnung, secondo l’autorità federale tedesca |
| Francia | RGPD | Reglement general sur la protection des donnees, secondo la CNIL |
| Spagna | RGPD | Reglamento General de Proteccion de Datos, secondo l’AEPD |
| Paesi Bassi | AVG | Algemene verordening gegevensbescherming, secondo l’Autoriteit Persoonsgegevens |
| Polonia | RODO | L’abbreviazione usata dall’autorità polacca UODO |
| Italia | RGPD o GDPR | Il Garante usa entrambi, accanto a Regolamento (UE) 2016/679 |
| Irlanda, uso in inglese | GDPR | Diffuso anche nell’uso aziendale italiano e olandese |
Fuori dall’Unione Europea il vocabolario cambia ancora. Il Regno Unito ha il UK GDPR accanto al PECR. La Turchia ha la Kisisel Verilerin Korunmasi Kanunu, legge n. 6698, nota come KVKK. Il Brasile ha la Lei Geral de Protecao de Dados Pessoais, legge n. 13.709 del 14 agosto 2018, la LGPD. L’Indonesia ha la Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Sono regimi separati con regole proprie, non traduzioni, e soddisfare il GDPR non li soddisfa automaticamente.
Sanzioni, e che cosa fanno davvero le autorità
L’articolo 83 fissa due livelli: fino a 10 milioni di euro o il 2 per cento del fatturato mondiale totale annuo ai sensi dell’83(4), e fino a 20 milioni di euro o il 4 per cento ai sensi dell’83(5), a seconda di quale importo sia superiore in ciascun caso. Il livello più alto copre i principi di base e le condizioni per il consenso degli articoli 5, 6, 7 e 9, i diritti degli interessati degli articoli da 12 a 22 e le regole sui trasferimenti degli articoli da 44 a 49, quindi le violazioni sul consenso e le opposizioni ignorate stanno lì. Le norme ePrivacy nazionali aggiungono sanzioni proprie: in Irlanda, violare la Regulation 13 è un illecito penale e ogni messaggio conta separatamente.
Per un mittente di medie dimensioni, il rischio quotidiano non è una sanzione da prima pagina. È un solo reclamo che innesca la domanda dell’autorità: mostrateci il consenso per questo indirizzo.
Dove conformità e prestazioni si incontrano
Fatto bene, tutto questo migliora anche le prestazioni. Le liste costruite su un permesso genuino e specifico generano più engagement e meno reclami, che è esattamente ciò che i sistemi di recapito premiano. La nostra guida al recapito delle email spiega quel meccanismo, e la nostra guida alla costruzione della lista email copre un’acquisizione che regge a un controllo.