Cosa valutare prima di scegliere
Accordo di trattamento (DPA) firmabile
Il fornitore di email marketing tratta dati personali per tuo conto, quindi serve un accordo tra titolare e responsabile del trattamento (art. 28 GDPR). Cerca nella pagina legale del fornitore un DPA che puoi consultare, scaricare e conservare, e verifica se l’accettazione è automatica con i termini d’uso o richiede una firma. Chiedi anche l’elenco dei sub-responsabili: sono le aziende a cui il fornitore a sua volta affida parte del servizio.
Dove stanno i dati e chi li trasferisce
Non dare per scontato che “europeo” significhi dati in Europa. Leggi nel DPA e nell’informativa del fornitore dove sono ospitati i dati e se sono previsti trasferimenti fuori dallo Spazio economico europeo, e con quali garanzie. Se il fornitore non lo dichiara in modo chiaro, chiedilo per iscritto e conserva la risposta insieme al DPA. Il tuo DPO o consulente privacy potrà dirti se la soluzione è accettabile per la tua attività.
Prova del consenso esportabile
Se un giorno il Garante o un iscritto ti chiedono di dimostrare il consenso, devi poter mostrare chi, quando, da quale modulo e con quale testo. Verifica che lo strumento salvi data, ora e fonte dell’iscrizione sul profilo e che tu possa esportarli. Un campo personalizzato con la versione dell’informativa letta al momento dell’iscrizione costa pochi minuti ed evita discussioni lunghe nel caso di una contestazione.
Moduli, casella e doppia conferma
Il consenso deve essere un gesto positivo: casella non preselezionata, testo chiaro in italiano, finalità specifica e link all’informativa. Il doppio consenso (email di conferma) non è imposto dalla legge ma ti protegge da chi iscrive indirizzi altrui, e rende la lista più pulita. Controlla che il modulo, la pagina di conferma e il messaggio di benvenuto si possano scrivere nella tua lingua e senza sviluppatori.
Accesso, rettifica e cancellazione
Ogni iscritto può chiederti i suoi dati, di correggerli o di cancellarli: di norma la risposta va data entro un mese, e il tuo DPO ti dirà come gestire i casi particolari. Controlla che lo strumento permetta di esportare tutto ciò che sai di un contatto (profilo, campi, storico di invii) e di eliminarlo davvero, non solo di disiscriverlo, e che la cancellazione non lasci copie in altri elenchi del tuo account.
Clienti, soft spam e iscritti separati
Per i clienti l’art. 130 del Codice Privacy ammette in certi casi l’invio di comunicazioni su prodotti o servizi analoghi a quelli già acquistati senza consenso esplicito, purché ci sia l’informativa e la possibilità di opporsi a ogni messaggio. Verifica col consulente se rientri nel caso. Lo strumento deve permetterti di tenere i due gruppi distinti, in segmenti con regole diverse e senza mescolarli quando importi nuovi contatti.
Domande frequenti
Basta scegliere un fornitore europeo per essere a posto?
No. Il fornitore è responsabile del trattamento: tratta i dati secondo le tue istruzioni e deve garantire misure di sicurezza, ma lo scopo, la base giuridica, l’informativa e il consenso sono scelte tue. Un fornitore con sede in Europa semplifica alcune verifiche, non sostituisce il registro del consenso, l’informativa o la nomina scritta a responsabile. Resta anche da controllare dove sono i dati e quali sub-fornitori il servizio utilizza.
Posso scrivere ai miei clienti senza chiedere un nuovo consenso?
In alcuni casi sì: l’art. 130, comma 4, del Codice Privacy consente di usare l’indirizzo email lasciato in occasione di un acquisto per proporre prodotti o servizi analoghi, purché il cliente sia stato informato e possa opporsi in modo semplice a ogni messaggio. Il perimetro è stretto: si parla di prodotti analoghi, non di qualunque offerta o di terzi. Per applicarlo alla tua attività fatti confermare da un consulente o dal DPO.
Che cosa scrivo accanto alla casella di consenso?
Una frase breve e specifica, ad esempio: “Voglio ricevere la newsletter mensile di Nome Attività con novità e offerte; posso annullare l’iscrizione in qualsiasi momento”. Vicino metti il link all’informativa privacy e indica con che frequenza scriverai. Non unire questo consenso all’accettazione delle condizioni di vendita o alla richiesta di un preventivo: devono essere scelte distinte e la casella non deve comparire già selezionata.
Posso iscrivere alla newsletter chi mi ha scritto dal modulo contatti del sito?
Non in automatico. Chi ti scrive per chiedere informazioni o un preventivo ti sta dando i dati per ricevere una risposta, non per entrare in una lista promozionale. Puoi usarli per rispondere e per gestire la richiesta; per inserirli nella newsletter serve un consenso a parte, raccolto con una casella dedicata nel modulo. Se hai già mescolato le due liste, separa i contatti e sentiti con il tuo consulente per sistemare la situazione.
Per quanto tempo posso tenere i contatti inattivi?
La legge non fissa una durata uguale per tutti: i dati vanno conservati per il tempo necessario allo scopo per cui sono stati raccolti, ed è il titolare a definire e documentare i termini. Una prassi sensata è stabilire per iscritto un periodo massimo di inattività, dopo il quale chiedi la riconferma o elimini il contatto, e riportarlo nell’informativa. Quale periodo sia adatto alla tua attività decidilo con il DPO o il consulente.
Serve un DPO per mandare una newsletter?
Non in modo automatico: la nomina di un responsabile della protezione dei dati è obbligatoria solo in casi precisi indicati dal GDPR, ad esempio per enti pubblici o per trattamenti su larga scala di certe categorie di dati. Una piccola impresa che gestisce una newsletter di clienti spesso non rientra, ma conviene chiedere conferma a un consulente. Anche senza DPO restano obbligatori informativa, base giuridica, accordo con il fornitore e gestione delle richieste.
Posso scrivere ai minorenni o ai loro genitori?
Per i minori la materia è delicata. Nel nostro ordinamento il minore può dare il consenso al trattamento dei propri dati in relazione ai servizi della società dell’informazione solo dai quattordici anni; sotto quella soglia serve il consenso di chi esercita la responsabilità genitoriale (art. 2-quinquies del Codice Privacy). Scuole, centri estivi e negozi per ragazzi dovrebbero scrivere ai genitori e verificare con il DPO come documentare chi ha dato il consenso.
Posso comprare o ricevere da un partner una lista di contatti?
È un terreno rischioso: il consenso a ricevere promozioni va dato a te, in modo specifico e informato, e una lista acquistata raramente lo documenta. Il Garante ha sanzionato più volte invii commerciali basati su elenchi di provenienza incerta. Molti fornitori vietano inoltre di caricare contatti senza consenso, e puoi vederti sospendere l’account. Se un partner ti propone un elenco, prima di tutto fatti mostrare la prova del consenso e chiedi il parere del tuo consulente.