Conformità CAN-SPAM: dalle intestazioni oneste agli opt-out rispettati

Se invii email di marketing o promozionali a chiunque si trovi negli Stati Uniti, la conformità a CAN-SPAM è il livello minimo che il governo federale si aspetta da te. Il CAN-SPAM Act stabilisce le regole per le email commerciali: come ti identifichi, cosa possono dire i tuoi oggetti e come permetti alle persone di non ricevere più tue notizie. A sorprendere molti mittenti è ciò che la legge non richiede: non chiede un'autorizzazione preventiva all'invio. Regola come ti comporti quando invii. Questa guida spiega cosa copre davvero la legge, gli obblighi specifici che impone ai mittenti e perché la sua impostazione basata sull'opt-out la rende un caso a parte tra le principali leggi mondiali sull'email.

Cosa copre davvero il CAN-SPAM Act#

CAN-SPAM, acronimo di Controlling the Assault of Non-Solicited Pornography And Marketing, è una legge federale statunitense che disciplina i messaggi email commerciali: le email il cui scopo principale è pubblicizzare o promuovere un prodotto o un servizio. Si applica ai messaggi inviati a destinatari negli Stati Uniti e, cosa importante, copre le email business-to-business esattamente quanto quelle rivolte ai consumatori. Non esistono esenzioni per una lista piccola, per un primo messaggio o per un messaggio commerciale del tipo "ti scrivo solo per un saluto": se lo scopo principale è commerciale, le regole si applicano.

La legge traccia una linea tra i contenuti commerciali e gli altri tipi di email. I messaggi transazionali o relazionali (una ricevuta, un avviso di spedizione, un aggiornamento dell'account, informazioni su qualcosa che una persona ha già acquistato) sono trattati diversamente e non sono soggetti allo stesso insieme di requisiti, anche se non possono comunque usare informazioni di instradamento false o ingannevoli. I messaggi che mescolano contenuti commerciali e transazionali vengono giudicati in base al loro scopo principale. La maggior parte di newsletter, promozioni e outreach a freddo rientra pienamente nella categoria commerciale.

L'applicazione spetta alla Federal Trade Commission (FTC), con un ruolo anche per altri enti regolatori e autorità statali. Le violazioni possono comportare sanzioni civili consistenti, calcolate per singola email, quindi un unico invio non conforme destinato a una lista grande non è un'unica infrazione: ogni messaggio può contare. Gli importi vengono aggiornati nel tempo, quindi più che fissarsi su una cifra, la conclusione pratica è che le sanzioni crescono con i volumi e che gli obblighi elencati qui sotto costano poco rispetto ai rischi che corri se li ignori.

Gli obblighi fondamentali di CAN-SPAM#

I requisiti della legge sono concreti e, per un mittente ben organizzato, sono soprattutto una questione di buona igiene. Sono pochi e funzionano insieme.

• Nessuna informazione falsa o ingannevole nelle intestazioni. "From", "To", "Reply-To" e i dettagli di instradamento che identificano chi ha inviato il messaggio devono essere corretti. Il dominio e l'indirizzo email di origine devono rappresentare davvero il mittente. Non puoi nascondere chi sei.
• Nessun oggetto ingannevole. L'oggetto deve riflettere il contenuto effettivo del messaggio. Un oggetto che promette una cosa per ottenere l'apertura mentre il corpo ne offre un'altra è esattamente ciò che questa disposizione vuole colpire.
• Identifica il messaggio come pubblicità. Dove si applica, la legge richiede che un messaggio commerciale venga dichiarato come annuncio pubblicitario. La dichiarazione può essere gestita in modo chiaro e ben visibile; il punto è che i destinatari devono poter capire che stanno guardando una pubblicità.
• Includi un indirizzo postale fisico valido. Ogni email commerciale deve riportare il tuo indirizzo postale fisico reale e attuale. Può andare bene una casella postale registrata o una casella privata registrata presso un'agenzia commerciale di ricezione della posta, ma l'indirizzo deve essere autentico.
• Offri un modo chiaro e ben visibile per fare opt-out. Ogni messaggio commerciale deve offrire ai destinatari un metodo evidente per dirti che non vogliono più email, di solito un link di disiscrizione. Deve essere facile da trovare e da usare, e non puoi chiedere un pagamento, richiedere nulla oltre a un indirizzo email e alle preferenze di opt-out, né obbligare le persone ad accedere o a fornire altre informazioni per uscire dalla lista.
• Rispetta tempestivamente le richieste di opt-out. Quando qualcuno fa opt-out, devi smettere di inviargli email commerciali. La legge ti dà 10 giorni lavorativi per elaborare la richiesta (una scadenza consolidata nel testo di legge) e, passato quel periodo, l'indirizzo non deve ricevere più nulla. Inoltre non puoi vendere o trasferire l'indirizzo email di chi ha fatto opt-out.
• Controlla ciò che altri fanno per tuo conto. Resti responsabile dei messaggi inviati per promuovere la tua attività anche se incarichi un'altra azienda di inviarli. Sia l'azienda il cui prodotto viene promosso sia il soggetto che trasmette materialmente il messaggio possono avere una responsabilità legale, quindi esternalizzare l'invio non significa esternalizzare l'obbligo.

Quest'ultimo punto merita particolare attenzione, perché è quello che più spesso si tende a ignorare. Se un'agenzia, un affiliato o un fornitore di lead invia email che pubblicizzano il tuo prodotto, CAN-SPAM non lo considera un problema di qualcun altro. L'azienda promossa può risponderne insieme al mittente. L'unico modo affidabile per coprire questo rischio è integrare la gestione degli opt-out e intestazioni oneste in ogni canale che invia per tuo conto, non solo nella tua piattaforma.

Un regime di opt-out: perché la conformità a CAN-SPAM è diversa da GDPR e CASL#

Ecco la caratteristica distintiva, ed è quella che più facilmente mette in difficoltà chi opera oltre confine. CAN-SPAM è una legge di opt-out. Non richiede di ottenere il consenso preventivo del destinatario prima di inviare email commerciali. In base alla legge puoi inviare un primo messaggio commerciale a qualcuno che non l'ha mai chiesto, a condizione che il messaggio segua le regole qui sopra e offra un modo funzionante per fare opt-out. L'obbligo è comportarsi onestamente e fermarsi quando te lo chiedono, non avere un'autorizzazione in anticipo.

È una filosofia davvero diversa da quella degli altri due regimi con cui i mittenti hanno più spesso a che fare. La legge anti-spam canadese si basa sul presupposto opposto: in genere richiede il consenso prima dell'invio, oltre a una chiara identificazione del mittente e a una disiscrizione funzionante. I requisiti e il funzionamento del consenso sono spiegati nella guida alla conformità CASL. Il quadro europeo tratta gli indirizzi email come dati personali e per il marketing si appoggia a una base giuridica, spesso il consenso, come spiega la guida a GDPR ed email marketing. In pratica, un mittente che si organizza per il mondo più rigoroso dell'opt-in di CASL e GDPR di solito supera senza problemi l'asticella di CAN-SPAM, perché un invio basato prima di tutto sul consenso implica già un'identificazione onesta e un opt-out facile. È il percorso inverso a far cadere i mittenti: un programma progettato solo per lo standard di opt-out di CAN-SPAM può diventare non conforme nel momento in cui raggiunge una casella canadese o europea.

Poiché i vari Paesi tracciano queste linee in modo diverso, chi ha anche solo una minima portata internazionale ha tutto da guadagnare nel mappare quali regole valgono e dove. La panoramica delle leggi sull'email marketing per Paese mette a confronto i regimi di opt-in e di opt-out, così puoi progettare un unico programma che soddisfi le regole più rigorose tra quelle delle caselle che raggiungi davvero.

Far funzionare l'opt-out nella pratica#

I due obblighi operativi che causano più problemi concreti sono il meccanismo di opt-out e la finestra di 10 giorni lavorativi per rispettarlo. Entrambi sono semplici in linea di principio ed è facile sbagliarli in modi sottili.

Un opt-out che esiste sulla carta ma è difficile da usare è un errore comune. Il link deve essere chiaro, ben visibile e funzionante per un tempo ragionevole dopo l'invio. I provider di posta moderni hanno spinto i mittenti ancora più in questa direzione: i principali operatori ora si aspettano che i mittenti di grandi volumi supportino la disiscrizione in un clic nell'intestazione del messaggio, una soluzione che rispetta lo spirito della regola di CAN-SPAM sull'opt-out facile e ti mantiene in linea con i requisiti di deliverability. Trattare la disiscrizione come una funzione di primo piano, non come un'aggiunta dell'ultimo momento scritta in piccolo, risponde a entrambi gli obiettivi insieme.

Rispettare le richieste entro 10 giorni lavorativi significa che i meccanismi dietro al link devono davvero sopprimere l'indirizzo in ogni sistema che potrebbe scrivergli. Se la tua disiscrizione viene registrata in una piattaforma ma uno strumento separato di outreach a freddo mantiene attivo il contatto, non hai rispettato la richiesta: l'hai solo annotata in un posto. È qui che si incontrano la regola sulla "responsabilità per i terzi" e la scadenza dell'opt-out: la soppressione deve essere globale, su tutto ciò che invia a tuo nome.

C'è anche un aspetto di reputazione. I destinatari che non trovano una via d'uscita facile tendono a ricorrere al pulsante "segnala come spam", e un tasso di segnalazioni di spam in crescita danneggia la tua deliverability a prescindere dal fatto che un'autorità ti controlli o meno. Un opt-out pulito e onesto è allo stesso tempo un obbligo legale e un vantaggio per la deliverability: gli interessi coincidono.

Dove si collocano l'igiene della lista e la tenuta dei registri#

CAN-SPAM non richiede il tipo di registrazione del consenso previsto da CASL e GDPR, ma tenere registri in ordine ti aiuta comunque a dimostrare una condotta onesta e a gestire la soppressione in modo affidabile. Qualunque sia il tuo modello di invio, il lato operativo della conformità poggia sulla stessa igiene della lista che ti tiene fuori dallo spam.

Due abitudini contano più delle altre. La prima: mantieni e rispetta con rigore la tua lista di soppressione, così chi ha fatto opt-out resta escluso ovunque. La seconda: mantieni corretta la lista a cui invii, con una regolare pulizia della lista email che rimuove gli indirizzi morti e non validi che gonfiano i bounce e abbassano la reputazione. È qui che entra in gioco uno strumento di verifica come Qualisend: conferma quali indirizzi sono recapitabili prima dell'invio, così i tuoi messaggi onesti e ben formati raggiungono caselle reali invece di rimbalzare su caselle abbandonate o spam trap. Non decide a chi hai il diritto di scrivere, perché quella è una questione di legge e di consenso, ma mantiene in buona salute la lista a cui hai diritto di inviare.

Il modo in cui raccogli gli indirizzi fin dall'inizio condiziona tutto ciò che viene dopo. Anche se CAN-SPAM consente l'invio basato sull'opt-out, scegliere un double opt-in all'iscrizione ti dà una lista più pulita e coinvolta e ti avvicina senza clamore alla conformità con i regimi più rigorosi; i pro e i contro sono trattati nella guida a single e double opt-in. Una buona raccolta, liste corrette e una soppressione affidabile sono la routine che rende facile rispettare gli obblighi di legge, invece di trasformarli in una corsa ai ripari a cose fatte.

Un'email onesta parte da una lista che puoi davvero raggiungere. Qualisend verifica i tuoi indirizzi, così i messaggi autentici e ben formati arrivano in caselle reali e gli indirizzi morti smettono di abbassare la tua reputazione. Prova la verifica email gratuita o parti con 100 crediti gratuiti sul piano Free, poi tieni aggiornata la tua lista di soppressione e rispetta le disiscrizioni: il resto di un buon invio viene da sé.