Email marketing e GDPR: consenso, base giuridica e diritti degli iscritti

Se invii email di marketing a chiunque si trovi nell'UE o nel Regno Unito, le regole del GDPR sull'email marketing si applicano a quasi ogni fase del processo: un indirizzo email è un dato personale e, nel momento in cui lo raccogli, lo conservi o premi invio, stai trattando quel dato. Il GDPR però è solo metà del quadro. Una seconda normativa, più specifica, disciplina direttamente il marketing elettronico: la Direttiva ePrivacy in tutta l'UE e le Privacy and Electronic Communications Regulations (PECR) nel Regno Unito. Questa guida spiega come si incastrano le due: la base giuridica di cui ha bisogno un invio, cosa vale come consenso valido, il ristretto "soft opt-in" per i clienti esistenti e i diritti che i tuoi iscritti conservano finché tieni il loro indirizzo.

Le due normative dietro l'email marketing conforme al GDPR#

Conviene tenere a mente due quadri normativi distinti, perché rispondono a domande diverse e vanno rispettati entrambi.

Il GDPR è il regime generale di protezione dei dati. Stabilisce che qualsiasi trattamento di dati personali (raccogliere un indirizzo, conservarlo, segmentarlo, inviargli email) richiede una base giuridica e riconosce una serie di diritti alle persone dietro quegli indirizzi. Un indirizzo email di norma è un dato personale perché può identificare una persona; la guida collegata su GDPR e verifica email approfondisce questa questione preliminare e il tema della residenza dei dati, quindi qui la diamo per acquisita e ci concentriamo sul marketing vero e proprio.

L'ePrivacy è il regime specifico per le comunicazioni elettroniche. Nell'UE è la Direttiva ePrivacy, recepita nella legge nazionale di ciascuno Stato membro; nel Regno Unito sono le PECR. Queste regole affrontano di petto il marketing diretto non richiesto via email, SMS e canali simili. È qui che nasce davvero la nota aspettativa secondo cui "di solito serve il consenso per inviare marketing via email a qualcuno": il GDPR fa da sfondo, l'ePrivacy detta la regola specifica del canale.

In pratica le rispetti entrambe nello stesso momento. L'ePrivacy ti dice se puoi inviare un messaggio di marketing su questo canale a questa persona; il GDPR ti dice se il modo in cui tratti i suoi dati è lecito e come devi rispettare i suoi diritti. Una campagna che ne ignora una ha una lacuna.

Ogni invio ha bisogno di una base giuridica#

Per il GDPR, il trattamento dei dati personali richiede una delle sei basi giuridiche. Per l'email marketing, quelle realisticamente in gioco sono due: il consenso e il legittimo interesse. Le altre (contratto, obbligo legale, interessi vitali, compito di interesse pubblico) raramente si adattano a un invio promozionale.

Il consenso è la base più semplice e quella verso cui l'ePrivacy tende a indirizzarti per il marketing rivolto alle persone fisiche. Il legittimo interesse può giustificare una parte del marketing, in particolare in situazioni business-to-business circoscritte, ma non è un lasciapassare: devi poter dimostrare che gli interessi e le ragionevoli aspettative del destinatario non prevalgono sul tuo interesse a fare marketing, e devi documentare questa valutazione di bilanciamento. Anche quando il legittimo interesse regge sul fronte GDPR, restano comunque applicabili le regole di canale dell'ePrivacy: ecco perché, per l'email, il grosso del lavoro lo fa il consenso (o il soft opt-in descritto più avanti).

Com'è fatto un consenso valido secondo il GDPR#

Quando il consenso è la tua base giuridica, il GDPR è preciso su cosa lo rende valido. Il consenso deve essere libero, specifico, informato e inequivocabile e deve manifestarsi con un'azione positiva inequivocabile. Nel dettaglio:

• Libero significa che la persona ha una vera scelta e non viene penalizzata se rifiuta. Infilare il consenso al marketing in condizioni da accettare per forza per acquistare, o farne una condizione per un servizio non collegato, lo compromette.
• Specifico e informato significa che la persona sa chi raccoglie i dati e cosa accetta di ricevere. Il consenso a ricevere tue comunicazioni non è un consenso a essere passato a un elenco di "partner" senza nome.
• Inequivocabile, tramite azione positiva significa un opt-in compiuto attivamente dalla persona. Autorità e tribunali sono stati chiari: caselle preselezionate, silenzio o inattività non contano. La persona deve fare qualcosa di deliberato, come spuntare una casella vuota o completare un passaggio di conferma.

Altri due requisiti contano nell'operatività di ogni giorno. Il consenso deve essere facile da revocare quanto lo è stato darlo, ed è uno dei motivi per cui serve una disiscrizione funzionante in ogni messaggio. E devi poter dimostrare di averlo: il GDPR si aspetta che tu conservi registrazioni di chi ha dato il consenso, quando e per cosa. Un flusso di double opt-in, in cui l'iscritto conferma tramite un'email successiva, è un modo comune per migliorare la qualità della lista e al tempo stesso creare quella traccia probatoria; i pro e i contro sono trattati nella guida a single e double opt-in. Il consenso poi non è eterno: un'autorizzazione vecchia di anni e senza alcun coinvolgimento pesa meno di una recente, e molti mittenti la rinnovano o la richiedono di nuovo a intervalli programmati.

Il soft opt-in: una via stretta per i clienti esistenti#

ePrivacy e PECR prevedono una sola eccezione limitata, spesso chiamata soft opt-in. Consente a un'azienda di inviare email di marketing a un cliente esistente senza un consenso nuovo e separato, ma solo se è soddisfatto un insieme preciso di condizioni, e la sua portata è più ristretta di quanto molti mittenti credano. A grandi linee, il soft opt-in si applica quando:

• Hai ottenuto i recapiti nel corso di una vendita (o delle trattative per una vendita) di un prodotto o servizio a quella persona;
• Promuovi i tuoi prodotti o servizi analoghi, non linee di prodotto diverse né offerte di un'altra azienda;
• Hai dato alla persona un modo semplice e gratuito per rifiutare quando hai raccolto i recapiti e includi una possibilità di disiscrizione facile in ogni messaggio che invii.

È sui confini che si inciampa. "Prodotti analoghi" va interpretato con prudenza, "nel corso di una vendita" indica in genere una transazione reale o una trattativa in corso e non una richiesta di informazioni a freddo, e l'esatta portata può variare da una giurisdizione all'altra perché l'ePrivacy viene attuata a livello nazionale. Considera il soft opt-in una via reale ma con limiti stretti e controlla come è formulato nel Paese specifico in cui risiedono le persone a cui scrivi: la panoramica sulle leggi sull'email marketing per Paese è una mappa di partenza, non un sostituto di una consulenza locale.

Legittimo interesse ed email B2B#

L'email business-to-business è il punto in cui il quadro si fa più sfumato ed è più facile spingersi troppo oltre. In alcune giurisdizioni, le regole ePrivacy distinguono tra marketing rivolto alle persone fisiche e marketing rivolto agli abbonati aziendali, e le regole per i destinatari aziendali possono essere più leggere. Da qui la convinzione diffusa che "l'email B2B sia esente dal GDPR". Non lo è. Anche quando scrivi a una persona con nome e cognome in un'azienda, firstname@company.com resta un dato personale di quell'individuo, quindi il GDPR (base giuridica, trasparenza e i diritti descritti sotto) continua ad applicarsi a come lo tratti.

Il legittimo interesse può essere una base GDPR praticabile per alcune attività di outreach B2B, a patto che tu abbia svolto e documentato il test di bilanciamento e che il destinatario possa ragionevolmente aspettarsi il contatto. Ma non disattiva l'ePrivacy, e la distinzione tra aziende e persone fisiche dipende dalla giurisdizione ed è facile sbagliarla: è proprio il tipo di domanda da porre a un legale per i tuoi mercati di riferimento.

I diritti che i tuoi iscritti conservano#

Poiché gli indirizzi nella tua lista sono dati personali, le persone dietro quegli indirizzi hanno i diritti del GDPR per tutto il tempo in cui tratti quei dati, e due di essi toccano direttamente l'email marketing.

Il diritto di opposizione al marketing diretto è di fatto assoluto. Quando una persona si oppone a ricevere marketing, devi smettere di trattare i suoi dati per quello scopo, punto: nessun test di bilanciamento. In pratica una disiscrizione è l'esercizio di questo diritto, ed è per questo che i meccanismi di una disiscrizione conforme e senza attriti contano così tanto; la guida alla disiscrizione in un clic spiega come i provider di posta si aspettano ormai che funzioni.

Il diritto alla cancellazione ("diritto all'oblio") consente alle persone di chiederti di eliminare i loro dati personali in determinate circostanze, e una lista di marketing è un punto in cui questa richiesta arriva spesso. Accanto a questi ci sono i diritti di accesso (una copia di ciò che conservi), rettifica (correggerlo) e limitazione. La lezione operativa è che una lista di iscritti non è un bene statico di tua proprietà: sono dati personali di cui rispondi, con obblighi sempre attivi. Tieni presente anche che sopprimere un indirizzo per non scrivergli mai più è diverso dal cancellarlo del tutto; molti mittenti conservano una registrazione minima di soppressione proprio per rispettare una disiscrizione, una sfumatura da confermare con i tuoi consulenti.

Dove rientrano registrazioni e igiene della lista#

Niente di quanto detto sopra è qualcosa che uno strumento di igiene debba garantire, e conviene essere precisi su questo confine. La verifica e la pulizia delle liste non creano una base giuridica, non ottengono il consenso e non rendono conforme un invio. Ciò che l'igiene ordinaria fa è mantenere accurata e sana la lista a cui scrivi legittimamente: rimuove caselle morte ed errori di battitura e rispetta tempestivamente disiscrizioni e richieste di cancellazione, così smetti di scrivere a chi si è disiscritto. Questa disciplina si affianca alla routine più ampia della pulizia di una lista email: raccogliere gli indirizzi con il permesso, conservare le registrazioni di consensi e disiscrizioni che il GDPR si aspetta e non tenere gli indirizzi più a lungo del necessario.

Tenere separati questi due piani ti aiuta a ragionare con chiarezza. Le questioni di base giuridica e diritti trattate qui sono questioni legali, per te e il tuo legale. La domanda "questo indirizzo è ancora valido e dovremmo ancora scrivergli?" riguarda invece l'igiene, ed è lì che una fase di verifica si guadagna il suo posto, mantenendo pulita la lista basata sul permesso a cui effettivamente invii.

Liste pulite e disiscrizioni rispettate sono il lato operativo di qualsiasi programma basato sul permesso. Qualisend verifica gli indirizzi della lista a cui scrivi legittimamente e ti aiuta a mantenere soppresse le disiscrizioni: parti dalla verifica email gratuita per testare un campione, oppure guarda i piani e i prezzi per un'igiene regolare della lista.