Consenso all’email marketing: come raccoglierlo e dimostrarlo

Cosa dice la legge

In Italia le regole sull’email marketing stanno in due testi che lavorano insieme. Il primo è il Codice privacy (d.lgs. 196/2003): l’articolo 130, commi 1 e 2, consente le comunicazioni commerciali via email, sms e mms solo con il consenso del destinatario. Il comma 4 prevede un’unica deroga per la posta elettronica, il cosiddetto soft spam, che riguarda chi ti ha lasciato l’email durante un acquisto.

Il secondo è il GDPR (Regolamento UE 2016/679), che dice com’è fatto un consenso valido. L’articolo 6 lo elenca tra le basi giuridiche del trattamento, l’articolo 4 lo definisce e l’articolo 7 fissa le condizioni: prova, richiesta chiara, revoca, libertà.

Il Garante ha tradotto queste regole in indicazioni pratiche nelle Linee guida in materia di attività promozionale e contrasto allo spam del 4 luglio 2013, che restano il riferimento operativo più citato.

I quattro requisiti del consenso

L’articolo 4, punto 11, del GDPR definisce il consenso come «qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato», espressa «mediante dichiarazione o azione positiva inequivocabile». Ecco cosa significa per un modulo di iscrizione.

Libero

La persona deve poter dire no senza conseguenze. L’articolo 7, paragrafo 4, chiede di verificare se un servizio è subordinato a un consenso che non serve per erogarlo. Il Garante ha definito «consenso obbligato» quello chiesto come condizione per completare un acquisto online, e lo ha dichiarato non libero (provvedimento del 10 marzo 2016). Lo stesso vale se condizioni la registrazione al sito al consenso promozionale.

Specifico

Un consenso vale per una finalità. Il considerando 32 del GDPR dice che, se il trattamento ha più finalità, il consenso va prestato per ciascuna. Le linee guida del Garante chiedono un consenso specifico per marketing, profilazione e comunicazione a terzi.

Informato

Prima di spuntare la casella la persona deve sapere chi sei, cosa le invierai, per quali finalità e come revocare. Serve un’informativa raggiungibile dal modulo, scritta in modo semplice. L’articolo 7, paragrafo 2, chiede che la richiesta di consenso sia chiaramente distinguibile dalle altre materie, per esempio dai termini di vendita.

Inequivocabile

Serve un gesto attivo. Il considerando 32 è esplicito: il silenzio, l’inattività o la preselezione di caselle non configurano consenso. Una casella già spuntata, una frase del tipo «iscrivendoti accetti anche le nostre offerte» o un consenso dedotto dall’acquisto non bastano.

Come costruire il modulo

1. Caselle vuote di default, sempre. Anche nel checkout.
2. Una casella per finalità: newsletter del tuo brand, offerte personalizzate in base agli acquisti, comunicazione dei dati a partner. Ognuna con la sua etichetta.
3. Consenso facoltativo: il pulsante «Completa l’ordine» o «Crea account» deve funzionare anche se le caselle restano vuote.
4. Testo chiaro vicino alla casella: cosa riceverai, con che frequenza indicativa, chi te lo invia.
5. Link all’informativa accanto al modulo, non solo nel piè di pagina del sito.
6. Canali separati se servono: il Garante ammette un consenso unico per email e canali tradizionali, purché l’informativa lo dica; se vuoi anche sms o telefono, valuta caselle distinte.
7. Terzi a parte: per cedere o comunicare i dati a partner serve un consenso distinto da quello per il tuo marketing. L’informativa deve indicare i terzi o le loro categorie.

Un esempio di modulo

Per un ecommerce di abbigliamento il blocco consensi nel checkout può essere così:

• ☐ Voglio ricevere la newsletter di Marchio con novità, saldi e offerte, circa una email a settimana.
• ☐ Voglio ricevere offerte personalizzate in base ai miei acquisti e alla mia navigazione.
• Sotto: «Puoi disiscriverti in ogni momento da un link in ogni email. Informativa privacy.»

Due caselle, entrambe vuote, entrambe facoltative, con il testo che dice cosa succede. Se non comunichi i dati a terzi, non serve una terza casella: non chiedere consensi che non usi. Dal 29 ottobre 2026 ricordati anche delle regole sui tracking pixel: l’informativa deve dire se misuri le aperture del singolo destinatario.

Come dimostrare il consenso

L’articolo 7, paragrafo 1, del GDPR mette l’onere su di te: se il trattamento si basa sul consenso, il titolare deve essere in grado di dimostrare che l’interessato lo ha prestato. Il Garante, nelle linee guida del 2013, precisa che il consenso non deve avere forma scritta per essere valido, ma va documentato: devono risultare almeno la data in cui è stato reso e gli estremi di chi lo ha raccolto. Nel provvedimento del 2016 il trattamento è stato giudicato illecito proprio perché il libero consenso non risultava comprovato.

Per ogni contatto conserva un registro con:

• data e ora dell’iscrizione;
• indirizzo IP e, se disponibile, il dispositivo;
• pagina o modulo di provenienza (checkout, popup, landing);
• testo esatto della casella e la versione dell’informativa in vigore in quel momento;
• conferma, se usi il double opt-in: data e ora del clic sul link;
• storico delle modifiche: revoche, cambi di preferenza, reiscrizioni.

Un file CSV importato da chissà dove, senza questi dati, non ti permette di provare nulla. Se compri o ricevi liste da terzi, il rischio passa a te.

Revoca e opposizione

L’articolo 7, paragrafo 3, del GDPR dice che l’interessato può revocare il consenso in qualsiasi momento, che va informato di questo diritto prima di darlo e che la revoca deve essere facile quanto il consenso. La revoca non rende illecito quello che hai fatto prima, ma da quel momento devi fermarti.

• Un link di disiscrizione in ogni email, che funziona con un clic, senza login e senza chiedere di riscrivere l’indirizzo.
• Un centro preferenze per chi vuole ridurre invece di uscire: solo alcune liste, o le email senza tracciamento.
• Una procedura per le richieste che arrivano per altre vie: risposta all’email, modulo contatti, servizio clienti.
• Sincronizzazione tra tutti i sistemi: piattaforma email, CRM, ecommerce. Chi revoca non deve rientrare con la prossima importazione.

Errori da evitare

• Casella del consenso già spuntata, anche solo nel checkout.
• Un unico consenso che copre newsletter, profilazione e partner.
• Iscrizione automatica di chi scarica un coupon senza una casella dedicata.
• Concorsi e giveaway in cui il consenso marketing è obbligatorio per partecipare.
• Registro del consenso assente o fermo all’indirizzo email.
• Disiscrizione che richiede login o più passaggi.
• Disiscritti reimportati con un vecchio file.

Come lo gestisce beMail

beMail registra la prova di ogni consenso: data, IP, browser, pagina, versione del modulo e testo esatto di ogni casella, esportabile in CSV. Conserva separati i consensi marketing, privacy, terzi e SMS con data e fonte, e usa il double opt-in come impostazione predefinita dei moduli. Disiscritti, hard bounce e segnalazioni escono dagli invii in automatico, e il ruolo del DPO è separato da chi prepara le campagne. Se vuoi controllare come raccogli i consensi oggi, scrivici.

Questa guida ha scopo informativo e non sostituisce una consulenza legale: per i casi specifici confrontati con il tuo DPO o con un legale. Fonti: Regolamento (UE) 2016/679 su EUR-Lex, Linee guida del Garante in materia di attività promozionale e contrasto allo spam, 4 luglio 2013 e provvedimento del Garante del 10 marzo 2016.