Consenso al marketing e email: le regole per l’impresa

In sintesi

• Consenso valido: libero, specifico, informato e inequivocabile (art. 7 GDPR).
• Marketing: l’invio di comunicazioni promozionali richiede di regola il consenso preventivo.
• Soft spam: eccezione per email a propri clienti su prodotti analoghi, con possibilità di opporsi.
• Revoca: il consenso si revoca facilmente come lo si è dato; ogni email deve permettere la disiscrizione.

Il consenso valido

Per le attività di marketing il GDPR richiede, di regola, un consenso che sia libero, specifico, informato e inequivocabile, manifestato con una chiara azione positiva (art. 4, n. 11, e art. 7 GDPR). Niente caselle pre-spuntate, niente consenso “forzato” o accorpato ad altro: l’utente deve poter scegliere consapevolmente di ricevere comunicazioni promozionali.

Email marketing e newsletter

L’invio di email promozionali e newsletter rientra tra le comunicazioni indesiderate disciplinate anche dall’art. 130 del Codice Privacy: serve il consenso preventivo del destinatario. Il consenso al marketing va tenuto distinto da quello per altre finalità (es. profilazione), che richiede una base separata e specifica.

L’eccezione del soft spam

Esiste una deroga, il cosiddetto soft spam (art. 130, comma 4, Codice Privacy): l’impresa può inviare email promozionali su propri prodotti o servizi analoghi a quelli già acquistati, agli indirizzi forniti dal cliente in occasione della vendita, purché il cliente non si sia opposto e gli sia data, in ogni messaggio, la possibilità di opporsi facilmente. Vale solo per clienti propri e prodotti analoghi.

La revoca e la disiscrizione

Il consenso deve poter essere revocato in qualsiasi momento, con la stessa facilità con cui è stato prestato (art. 7, par. 3, GDPR). In concreto, ogni comunicazione di marketing deve contenere un meccanismo semplice di disiscrizione (link di unsubscribe). La revoca non pregiudica la liceità del trattamento prima effettuato.

La prova del consenso

Il titolare deve poter dimostrare che l’interessato ha prestato il consenso (art. 7, par. 1). È quindi necessario conservare prova di quando e come è stato raccolto (es. log dell’iscrizione, doppio opt-in). Anche qui vale l’accountability: senza prova del consenso, il trattamento di marketing è a rischio di sanzione.

Esempio pratico

Una SRL raccoglie iscrizioni alla newsletter con consenso specifico e doppio opt-in, conservando la prova. Ai clienti che hanno già acquistato invia, in soft spam, offerte su prodotti analoghi, con il link di disiscrizione in ogni email. Chi si oppone viene immediatamente rimosso dalle liste.