In breve
Per mandare newsletter in regola in Italia ti servono cinque cose: il consenso libero e specifico di chi ricevi (o, per i tuoi clienti, il “soft spam” dell’art. 130 del Codice privacy), la prova di quel consenso, un’informativa chiara, un link per disiscriversi in ogni email e un fornitore che tratta i dati per tuo conto con un contratto (DPA), meglio se con i dati nell’Unione europea. Qui sotto ognuno spiegato in pratica.
Quando serve il consenso
In Italia l’email promozionale è regolata da due testi: il GDPR (Regolamento UE 2016/679) e il Codice privacy (d.lgs. 196/2003), che all’articolo 130 recepisce la direttiva europea ePrivacy. La regola di base è semplice: per mandare email promozionali serve il consenso preventivo di chi le riceve.
Il Garante, nelle sue linee guida contro lo spam, ha chiarito alcuni punti che contano nella pratica:
- Il consenso deve essere libero: niente caselle già spuntate e niente consenso obbligatorio per usare un servizio o scaricare un omaggio.
- Deve essere specifico: il consenso alla newsletter è separato da quello per l’ordine o per il servizio.
- Non puoi mandare una prima email per chiedere il consenso: anche quella è comunicazione promozionale.
- Un indirizzo trovato online, su un sito o in un elenco pubblico, non autorizza a scrivere.
- La regola vale anche per gli indirizzi aziendali: in Italia l’art. 130 non fa eccezione per il B2B.
Il “soft spam”: scrivere ai propri clienti
C’è un’eccezione utile per chi vende: l’articolo 130, comma 4 del Codice privacy. Se una persona ti ha lasciato la sua email acquistando un prodotto o un servizio, puoi scriverle senza consenso per promuovere prodotti o servizi analoghi, a due condizioni:
- al momento dell’acquisto l’hai informata che avresti usato l’email per questo, con la possibilità di opporsi;
- in ogni email le ricordi che può opporsi, in modo semplice e gratuito.
Il soft spam non copre chi ha solo chiesto un preventivo, chi ti ha lasciato un biglietto da visita o chi si è iscritto a un concorso: per loro serve il consenso.
Come raccogliere il consenso nel modo giusto
- Usa un modulo di iscrizione chiaro: dì cosa manderai e ogni quanto (“offerte e novità, una o due volte al mese”).
- Se il modulo serve anche ad altro (un ordine, una prenotazione), metti una casella non spuntata solo per la newsletter.
- Collega l’informativa privacy, con chi tratta i dati, per cosa e per quanto tempo.
- Attiva il doppio opt-in: chi si iscrive conferma con un clic dalla sua casella. Non è obbligatorio per legge, ma è la prova più solida.
- Chiedi solo i dati che ti servono: email e nome bastano quasi sempre.
Dimostrare il consenso
Il GDPR (art. 7) chiede a chi tratta i dati di poter dimostrare che il consenso c’è. Il Garante precisa che non serve la forma scritta, ma devi poter provare quando è stato dato e da chi. Per ogni contatto conserva quindi:
- da dove è arrivato (modulo sul sito, negozio, import da un file, cassa);
- data e ora dell’iscrizione e della conferma;
- il testo che la persona ha visto quando si è iscritta;
- per gli import, l’origine della lista e come era stato raccolto il consenso.
Su Spedito questi dati si salvano da soli per ogni contatto: li trovi aprendo la scheda, alla voce del consenso. Spieghiamo come nella guida Consenso e GDPR.
Cosa deve esserci in ogni email
- Chi sei: il nome dell’attività come mittente, riconoscibile.
- Un link per disiscriversi, funzionante e in un clic. Gmail e Yahoo lo chiedono anche come intestazione tecnica a chi manda tante email, e vogliono che la disiscrizione valga entro due giorni.
- Un recapito: l’indirizzo dell’attività.
- Contenuti coerenti con quello per cui la persona si è iscritta.
Spedito aggiunge in automatico il link di disiscrizione, anche in un clic dalla casella di posta, e il tuo indirizzo, nella lingua di chi riceve l’email. Chi si disiscrive non riceve più nulla, nemmeno se lo importi di nuovo per errore.
Il fornitore: DPA e dove stanno i dati
La piattaforma che usi per le newsletter tratta i dati dei tuoi iscritti per tuo conto: per il GDPR è un responsabile del trattamento e serve un contratto scritto, il DPA (art. 28). Controlla anche dove stanno i dati: se escono dall’Unione europea servono garanzie aggiuntive.
Con Spedito il DPA vale per ogni cliente ed è nelle pagine legali. I dati restano nell’Unione europea: database a Francoforte, invio delle email da server in Irlanda. L’elenco completo dei fornitori è nell’informativa privacy.
Liste comprate, diritti e sanzioni
Non comprare liste di indirizzi. Chi te le vende non può trasferirti un consenso dato a lui, e le liste comprate sono piene di indirizzi vecchi e trappole antispam: rovinano anche la consegna delle email.
Le persone hanno il diritto di sapere quali dati tieni, di farli correggere e di farli cancellare. Su Spedito, dalla scheda del contatto, esporti i suoi dati o lo elimini per sempre con un clic.
Le sanzioni del GDPR (art. 83) arrivano fino a 20 milioni di euro o al 4% del fatturato mondiale. Per una piccola attività il rischio più concreto però è un altro: le segnalazioni di spam, che fanno finire nella cartella sbagliata anche le email a chi ti ha scelto.
La checklist finale
- Modulo con scopo chiaro e casella non spuntata (se serve).
- Informativa privacy collegata al modulo.
- Doppio opt-in attivo.
- Per i clienti: soft spam comunicato al momento dell’acquisto.
- Origine e data del consenso salvate per ogni contatto.
- Link di disiscrizione e indirizzo in ogni email.
- DPA firmato con il fornitore, dati nell’UE.
- Nessuna lista comprata o copiata dal web.
Domande frequenti
Posso mandare la newsletter ai miei clienti senza consenso?
Sì, con il soft spam dell’art. 130, comma 4: se ti hanno dato l’email acquistando, puoi promuovere prodotti analoghi, purché tu li abbia informati al momento dell’acquisto e in ogni email possano opporsi con un clic.
Il doppio opt-in è obbligatorio in Italia?
No, nessuna legge lo impone. Però devi poter dimostrare data e autore del consenso, e il doppio opt-in è il modo più sicuro per farlo.
Posso importare gli indirizzi dei biglietti da visita?
Solo se quelle persone hanno accettato di ricevere le tue email. Un biglietto da visita non è un consenso alla newsletter, nemmeno tra aziende.
Per quanto tempo posso tenere i contatti?
Finché la persona resta iscritta e ha senso scriverle. Chi non apre da molto tempo è meglio toglierlo: migliora anche la consegna. Le prove del consenso conservale finché usi i dati, e per il tempo in cui potresti doverle mostrare.
Spedito è conforme al GDPR?
Spedito tiene i dati nell’Unione europea, offre il DPA a ogni cliente, salva la prova del consenso, aggiunge la disiscrizione a ogni email e ti permette di esportare o cancellare i dati di un contatto. Il rispetto delle regole su chi contattare resta però una tua responsabilità.