Double opt-in: cosa chiede la legge e cosa ne fanno gli strumenti
Quasi ogni guida in rete sostiene che il GDPR imponga il double opt-in. Non è così, e la differenza pesa nella pratica più di quanto sembri.
L'espressione double opt-in non compare nel testo del GDPR. Non nell'articolo 6, non nell'articolo 7, da nessuna parte. Eppure quasi ogni guida sostiene che il regolamento imponga la procedura di doppia conferma.
Questo non rende inutile il metodo, sposta soltanto la motivazione. Il GDPR chiede di poter dimostrare il consenso. Le regole europee sulla posta pubblicitaria chiedono che quel consenso esista prima del primo invio. Il double opt-in è il metodo con cui entrambe le cose diventano dimostrabili quando qualcuno le contesta.
Chi coglie la differenza valuta gli strumenti in un altro modo. La domanda non è più se un plugin abbia il double opt-in, ma cosa finisce nel registro e se si riesce a tirarlo fuori. Questo articolo separa tre piani: il testo di legge, la prassi che ne è nata e i punti in cui uno strumento promette una sicurezza che tecnicamente non può dare.
Cosa chiede davvero il GDPR
Per l'iscrizione a una newsletter contano tre disposizioni.
- Art. 6, par. 1, lett. a): il consenso è una delle basi giuridiche su cui si può fondare un trattamento.
- Art. 7: condizioni per il consenso. La frase con più conseguenze quotidiane sta al paragrafo 1: il titolare del trattamento deve essere in grado di dimostrare che l'interessato ha prestato il proprio consenso.
- Art. 5, par. 2: responsabilizzazione. Rispettare i principi non basta, bisogna anche poterlo comprovare.
Non c'è altro. Nessuna regola su una procedura di conferma, nessun link in una seconda email, nessun termine. Il regolamento descrive un risultato: una manifestazione di volontà libera, informata e inequivocabile che si possa esibire in caso di dubbio. Come ci si arriva è affare di chi tratta i dati.
Perché l'opt-in semplice regge di rado
Con un'iscrizione semplice si ha un indirizzo nel database e una marca temporale. Quello che manca è la prova che la persona dietro l'indirizzo abbia compilato il modulo. Chiunque può inserire l'indirizzo di un altro, per errore o di proposito. In caso di contestazione la tua versione sta contro quella del destinatario, e l'onere della prova è tuo. Il clic di conferma chiude esattamente quel varco: mostra che qualcuno con accesso alla casella ha detto sì.
La regola che governa davvero le email pubblicitarie
La normativa sui dati è solo metà del quadro. In Europa la posta pubblicitaria ricade anche sulla direttiva ePrivacy. L'articolo 13 fissa il principio: le comunicazioni commerciali dirette via email richiedono il consenso preventivo del destinatario. Una direttiva va recepita, quindi ogni Stato membro ha scritto la propria legge attorno, con un'eccezione stretta per gli indirizzi raccolti dai clienti propri. Il recepimento nazionale cambia da Stato a Stato, conviene verificare la regola del paese verso cui si invia.
La Germania è l'esempio che vale la pena conoscere, perché è severa e perché far valere la regola costa poco a chi la invoca. Il § 7, comma 2 della UWG, la legge tedesca contro la concorrenza sleale, qualifica la pubblicità via posta elettronica senza consenso espresso preventivo come molestia inaccettabile e quindi illecita. Questo è diritto della concorrenza: lo fanno valere concorrenti e associazioni con una diffida, senza alcuna autorità di controllo. Una sola email al destinatario sbagliato può bastare. Va detto chiaramente: quel paragrafo è diritto tedesco, non una regola europea, e non si trasferisce così com'è in Italia.
Per questo il timore diffuso delle sanzioni GDPR per una newsletter è un po' fuori fuoco. Non risultano sanzioni documentate che dipendessero soltanto da un passaggio di conferma mancante. I guai arrivano di solito da un reclamo per pubblicità non consentita, e lì conta una domanda sola: il consenso lo puoi esibire?
Una nota nel punto in cui serve: questo è un inquadramento pratico e non una consulenza legale. Chi invia in più paesi o vuole riattivare una lista vecchia porta il caso a una persona competente che conosca le sue carte e le giurisdizioni coinvolte.
Planet49 e la casella già spuntata
Una sentenza ha cambiato per sempre il dibattito sul consenso. La Corte di giustizia dell'Unione europea ha deciso il 1 ottobre 2019, nella causa C-673/17 (Planet49), che una casella già spuntata non costituisce un consenso valido. L'accordo richiede un atto attivo della persona interessata.
Per il modulo di iscrizione la conseguenza è semplice: nessuna casella è spuntata in anticipo. Vale per la casella della newsletter come per ogni altro consenso raccolto nello stesso punto.
Cosa deve contenere un registro per reggere
Double opt-in senza registro è una procedura senza prova. Il clic di conferma serve due anni dopo solo se lo si può esibire. Questi dati ne fanno parte.
| Dato nel registro | A cosa serve in caso di contestazione |
|---|---|
| Momento dell'iscrizione | Mostra quando il modulo è stato inviato |
| Momento della conferma | Comprova il secondo passaggio e la distanza dal primo |
| Indirizzo IP usato | Collega l'iscrizione a un accesso a internet |
| Testo della dichiarazione di consenso al momento dell'iscrizione | Mostra a cosa la persona ha acconsentito allora, non a cosa acconsentirebbe oggi |
| La versione del modulo | Mostra cosa stava accanto alla casella e quali campi erano obbligatori |
| La stessa email di conferma | Mostra cosa ha ricevuto il destinatario e cosa non c'era dentro |
La quarta riga è quella su cui cade la maggior parte dei sistemi. Il testo accanto alla casella si cambia più volte negli anni. Un registro che rimanda solo alla versione attuale comprova la formulazione sbagliata per un'iscrizione del 2023. Serve un versionamento che conservi il testo di allora e lo colleghi alla voce.
Tre errori che rendono la prova inutile
Pubblicità dentro l'email di conferma
L'email di conferma ha un compito solo: chiedere la conferma. Nel momento in cui contiene un'offerta, un codice sconto o l'immagine di un prodotto, hai spedito un messaggio pubblicitario a chi non ha ancora acconsentito.
Se quell'email sia già di per sé pubblicità illecita viene valutato in modo diverso a seconda di chi lo dice. La prassi prevalente la considera ammissibile finché si limita a chiedere la conferma, e c'è chi la vede in modo più stretto. La discussione non è chiusa, e non la chiudo qui. Per la vita quotidiana ne esce una regola semplice: più asciutta è l'email, minore la superficie d'attacco.
Legare il consenso a qualcos'altro
Il secondo errore è il condizionamento. Il documento si scarica solo iscrivendosi alla newsletter, oppure l'ordine non va avanti se la casella non è spuntata. Un consenso deve essere libero, e la libertà è difficile da sostenere quando senza di essa il download non parte.
Separa i due passaggi. Il documento arriva dopo il modulo, la casella della newsletter sta accanto e resta facoltativa. Chi conferma poi di sua volontà è comunque un destinatario migliore, perché più avanti aprirà davvero il messaggio.
Il registro sta dal fornitore
Il terzo errore si vede solo al momento del trasloco. La prova sta nel database di un fornitore. Finché sei cliente lì, va tutto bene. Nella migrazione esporti gli indirizzi e il registro resta indietro, perché l'esportazione porta via indirizzo, nome e qualche campo, il resto no. Ti ritrovi con una lista per cui non puoi comprovare nulla.
Chiedi quindi prima di decidere: il registro dei consensi completo si può esportare, con entrambi i momenti, IP e testo? La risposta seleziona gli strumenti più in fretta di qualsiasi elenco di funzioni.
Dove gli strumenti promettono una sicurezza che non hanno
Il bollino "conforme al GDPR" su una pagina di prodotto è un'affermazione su uno strumento, non sul tuo sito. Nessun plugin e nessun servizio può consegnare la conformità, perché dipende da cosa scrivi nel modulo, da cosa invii e da come gestisci le richieste. Quello che uno strumento può dare è delimitato con precisione:
- una procedura di conferma che non attiva alcun indirizzo senza clic sul link
- un registro che annota i dati elencati sopra e si esporta per intero
- una cancellazione che funziona con un clic, con List-Unsubscribe secondo la RFC 8058, così i programmi di posta mostrano da soli il pulsante
- strumenti per accesso e cancellazione dei dati, per rispondere a una richiesta senza frugare nel database
Tutto il resto è marketing.
In Kurato queste quattro cose stanno nella versione gratuita: double opt-in, registro dei consensi, cancellazione con un clic secondo la RFC 8058 e gli strumenti GDPR per accesso e cancellazione. Il registro sta nel database della tua installazione WordPress e si esporta. Se domani passi ad altro, la prova viene con te. Anche quello che manca sta qui: sequenze, segmenti con OR e sincronizzazione del calendario sono ancora da fare.
Se l'iscrizione passa da un modulo del tuo sito, anche Leadlotse porta il double opt-in, con honeypot, trappola temporale e limite di frequenza contro le iscrizioni automatiche. È il secondo motivo per prendere sul serio il percorso di iscrizione: i bot inseriscono indirizzi altrui, e ognuno diventa un'email di conferma a qualcuno che non ha chiesto niente. Come proteggere quei moduli senza escludere i visitatori con un indovinello sta nell'articolo captcha e accessibilità. Entrambi i plugin restano usabili in modo permanente nella versione Free, e quanto costano i livelli Pro sta nella panoramica prezzi.
Newsletter con la prova nel tuo database
Kurato porta double opt-in, registro dei consensi e cancellazione con un clic secondo la RFC 8058 già nella versione gratuita. L'invio passa dal fornitore che scegli tu.
Domande frequenti
Il GDPR impone il double opt-in?
No. L'espressione non compare nel testo del regolamento. Il GDPR chiede all'art. 7 che il titolare possa dimostrare il consenso, e all'art. 5, par. 2 la responsabilizzazione. Il double opt-in è il metodo con cui quella dimostrazione riesce nella pratica.
Basta un opt-in semplice per la newsletter?
Non è vietato in modo espresso, ma manca la prova che la persona dietro l'indirizzo abbia acconsentito. Le leggi nazionali costruite sull'articolo 13 della direttiva ePrivacy richiedono il consenso preventivo per le email pubblicitarie, e la Germania va oltre con il § 7, comma 2 della UWG. L'onere della prova resta tuo. Questo è un inquadramento e non una consulenza legale.
L'email di conferma può contenere pubblicità?
Dovrebbe solo chiedere la conferma. Se quell'email sia già pubblicità illecita viene valutato in modo diverso: la prassi prevalente la considera ammissibile finché non contiene altro. Codici sconto, offerte e immagini di prodotto non ci vanno dentro.
Per quanto tempo va conservato il registro dei consensi?
Finché ti appoggi a quel consenso, la prova ti serve. Dopo una cancellazione conta il periodo in cui si possono ancora far valere pretese. Il GDPR non fissa un termine preciso, quindi è un punto da valutare caso per caso con chi ti assiste.
Che fine fa la prova se cambio fornitore?
Dipende dall'esportazione. Molti servizi consegnano indirizzi e campi, ma non il registro completo con momenti, IP e testo. Chiedilo prima di migrare. In Kurato il registro sta nel tuo database e si esporta.
