Le leggi sulla privacy delle email spiegate: GDPR, CAN-SPAM, CCPA, CASL e i tuoi diritti

La stessa email di marketing, inviata nello stesso istante dalla stessa azienda, può essere lecita se arriva a un lettore in Ohio e illecita se arriva a un lettore a Berlino o a Toronto. Nel messaggio non serve cambiare nulla. Cambiano il luogo in cui si trova il destinatario e il fatto che quella persona abbia acconsentito in anticipo. Un negozio americano può in genere scrivere a un estraneo senza chiedere prima il permesso, purché sia onesto e permetta di rifiutare i messaggi successivi, mentre nell'UE e in Canada lo stesso messaggio richiederebbe di norma un consenso prima dell'invio.

Questa divisione è il cuore delle leggi sulla privacy delle email. Il GDPR e le norme ePrivacy europee, insieme alla CASL canadese, funzionano con il consenso preventivo (opt-in), mentre il CAN-SPAM Act statunitense funziona con il rifiuto successivo (opt-out). Accanto a queste ci sono leggi generali sulla privacy, come il GDPR e il CCPA della California, che ti danno diritti sui dati che le aziende conservano su di te. Questo articolo offre informazioni generali e non è una consulenza legale. Le leggi cambiano e variano da paese a paese, e la loro applicazione dipende dai fatti, quindi per un caso specifico consulta le indicazioni dell'autorità competente o rivolgiti a un avvocato qualificato.

Una email promozionale, quattro esiti

Facciamo un esempio concreto. Un piccolo negozio online con sede in Texas compra un elenco di indirizzi e manda a tutti una email «20% di sconto questo weekend». Il messaggio ha un oggetto onesto, un indirizzo postale e un link per annullare l'iscrizione. Ecco più o meno come va per i singoli destinatari in luoghi diversi, ipotizzando che ogni legge si applichi all'attività del negozio in quel luogo.

Destinatario in	Regola principale	Probabile posizione in questo esempio
Stati Uniti	CAN-SPAM Act	Il consenso preventivo non è richiesto. Il messaggio può essere conforme se rispetta le regole su contenuto e opt-out, anche se gli indirizzi ottenuti con la raccolta automatica pongono problemi a parte
Germania (UE)	GDPR più le norme nazionali ePrivacy, in Germania il paragrafo 7 della legge contro la concorrenza sleale (UWG)	In genere serve il consenso preventivo. Gli indirizzi comprati, senza alcun rapporto con il cliente, non rientrano nell'eccezione del soft opt-in
Regno Unito	UK GDPR e regolamento 22 del PECR	In genere serve il consenso preventivo per gli abbonati privati, oppure un soft opt-in che qui il negozio non può invocare
Canada	CASL	Serve un consenso espresso o implicito. Un elenco acquistato di norma non offre né l'uno né l'altro, e il negozio deve poter dimostrare il consenso

Questo mostra anche perché il paese d'origine di chi invia conti poco. Un'azienda texana che si rivolge a clienti nell'UE può ricadere nel diritto UE, e la CASL copre i messaggi letti su computer in Canada. Dove un'azienda vende e dove si trovano i destinatari tende a contare più del luogo in cui ha l'ufficio.

Le leggi a colpo d'occhio

Legge	Dove	Modello per il marketing	Applicata da	Sanzione massima di riferimento
GDPR	UE e SEE; anche organizzazioni di altri paesi che si rivolgono a persone di quei territori o le monitorano	Serve una base giuridica; si legge insieme alle norme ePrivacy	Autorità nazionali per la protezione dei dati e tribunali	Fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore
Direttiva ePrivacy	UE, tramite la legge nazionale di ciascuno stato membro	Opt-in per i privati, con un soft opt-in per i clienti esistenti	Autorità nazionali, diverse da paese a paese	Stabilita dalla legge nazionale
UK GDPR e PECR	Regno Unito	Opt-in con un soft opt-in, vicino al modello UE	L'autorità britannica per la protezione dei dati	17,5 milioni di sterline o 4% del fatturato mondiale, se superiore
CAN-SPAM Act	Stati Uniti	Opt-out	FTC, altre agenzie federali, procuratori generali degli stati, fornitori di accesso a internet	Oltre 50.000 dollari per ogni email in violazione, adeguati ogni anno all'inflazione
CCPA, come modificato dal CPRA	Residenti in California e imprese a scopo di lucro rientranti nella legge	Nessuna regola sul consenso per le email; regola raccolta, vendita e condivisione	California Privacy Protection Agency e Procuratore generale	Multe per violazione, più alte per le violazioni intenzionali e per quelle che riguardano minori
CASL	Canada, compresi i messaggi inviati dall'estero e letti lì	Consenso espresso o implicito prima dell'invio	CRTC, Competition Bureau, Office of the Privacy Commissioner	Fino a 10 milioni di dollari canadesi per violazione per le organizzazioni, 1 milione per le persone fisiche

Un indirizzo email è un dato personale?

Secondo l'articolo 4(1) del GDPR, per dato personale si intende qualsiasi informazione riguardante una persona fisica identificata o identificabile. Un indirizzo come maria.lopez@example.com rientra senza dubbio. Di solito rientra anche uno meno evidente come ml1987@example.com, perché appartiene a una sola persona e può essere collegato ad altre informazioni per identificarla. Un indirizzo condiviso come info@company.example può non essere affatto un dato personale, a meno che non si possa ricondurre a un individuo.

L'email porta con sé molti più dati personali del semplice indirizzo. C'è il contenuto del messaggio e dei suoi allegati. Ci sono i metadati, cioè mittente, destinatari, orari, oggetti e indirizzi IP nelle intestazioni. Ci sono i dati sul coinvolgimento, come il momento in cui hai aperto un messaggio e i link su cui hai cliccato. E ci sono i profili derivati, come i segmenti di interesse e le previsioni su cosa potresti comprare dopo.

Negli USA i termini sono diversi. Il CCPA parla di «informazioni personali», definite in modo ampio fino a includere identificativi come gli indirizzi email e le deduzioni tratte per costruire un profilo. Il CAN-SPAM non usa un concetto simile, perché non è affatto una legge generale sulla privacy. Regola il modo in cui si invia la posta commerciale, e non ti dà alcun diritto di vedere o cancellare ciò che un'azienda conserva.

Europa: due leggi che lavorano insieme

Molti articoli descrivono il marketing in opt-in come una regola del GDPR. In realtà l'obbligo di consenso per le email di marketing viene da un'altra legge, la direttiva ePrivacy (direttiva 2002/58/CE), mentre il GDPR definisce cosa significa consenso valido e disciplina ciò che accade ai dati. Poiché una direttiva viene attuata separatamente in ogni stato membro, i dettagli differiscono nell'UE. Francia e Germania, per esempio, hanno disposizioni nazionali proprie e le posizioni dei rispettivi garanti.

Articolo 13 della direttiva ePrivacy

L'articolo 13 fissa il quadro di base. Le email di marketing diretto ai privati richiedono un consenso preventivo. Una stretta eccezione, di solito chiamata soft opt-in, consente a un'azienda che ha ottenuto il tuo indirizzo nell'ambito della vendita di un prodotto o servizio di promuovere propri prodotti o servizi analoghi, a condizione che tu abbia avuto la possibilità chiara e semplice di opporti quando i tuoi dati sono stati raccolti e in ogni messaggio successivo. Chi invia non può nascondere o occultare la propria identità, e deve indicare un indirizzo valido per rifiutare i messaggi.

Le regole per scrivere alle aziende variano. L'articolo 13(5) lascia agli stati membri la possibilità di trattare diversamente le persone giuridiche, quindi alcuni estendono l'opt-in agli indirizzi aziendali e altri no. Gli indirizzi di lavoro nominativi come firstname.lastname@company.example restano dati personali ai sensi del GDPR anche dove la regola sul marketing è più morbida.

Pixel di tracciamento

L'articolo 5(3) della stessa direttiva richiede il consenso per archiviare o accedere a informazioni sul dispositivo di un utente, a meno che ciò non sia strettamente necessario per un servizio richiesto dall'utente. È noto soprattutto per i banner dei cookie. Le Linee guida 2/2023 del Comitato europeo per la protezione dei dati sull'ambito tecnico dell'articolo 5(3) ritengono che i pixel di tracciamento nelle email possano rientrarvi. L'autorità francese, la CNIL, è andata oltre e ad aprile 2026 ha pubblicato una raccomandazione che fissa il consenso come regola per i pixel di tracciamento nelle email, con limitate eccezioni per scopi come la sicurezza. Aspettati differenze tra i paesi e controlla la posizione della tua autorità. Come funziona la tecnologia in sé è spiegato nel nostro articolo sui pixel di tracciamento nelle email.

Cosa aggiunge il GDPR

Il Regolamento generale sulla protezione dei dati si applica dal 25 maggio 2018. Copre le organizzazioni stabilite nell'UE e, in base all'articolo 3(2), anche quelle di altri paesi che offrono beni o servizi a persone nell'UE o ne monitorano il comportamento. Il considerando 23 dà indicazioni su cosa significa rivolgersi a un pubblico: non basta avere un sito raggiungibile dall'Europa, mentre usare la lingua o la valuta di uno stato membro per offrirvi beni può bastare. Islanda, Liechtenstein e Norvegia applicano il GDPR attraverso il SEE.

Principi e basi giuridiche

L'articolo 5 stabilisce i principi. Un indirizzo raccolto per inviare la conferma di un ordine non può essere semplicemente riutilizzato per scopi non collegati (limitazione della finalità). Vanno raccolti solo i dati necessari (minimizzazione dei dati), conservati non più del necessario (limitazione della conservazione) e tenuti al sicuro. L'organizzazione deve anche poter dimostrare di aver rispettato le regole (responsabilizzazione).

L'articolo 6 richiede una base giuridica per ogni uso. Per le email, queste sono le più comuni:

• Contratto: l'invio della conferma d'ordine o delle comunicazioni sull'account.
• Obbligo legale: la conservazione delle fatture a fini fiscali.
• Consenso: l'iscrizione a una newsletter.
• Legittimo interesse: alcune misure di sicurezza e prevenzione delle frodi e, in casi limitati, il marketing diretto, ma solo dove le norme ePrivacy consentono il messaggio stesso.

Cosa rende valido il consenso

L'articolo 4(11) definisce il consenso come libero, specifico, informato e inequivocabile, manifestato con un'azione positiva chiara. Il considerando 32 dice che il silenzio, le caselle già spuntate e l'inattività non contano, e la Corte di giustizia dell'UE ha confermato il punto sulle caselle già spuntate nel caso Planet49 del 2019 (C-673/17). L'articolo 7(3) dice che revocare il consenso deve essere facile come darlo, quindi un'iscrizione con un clic non dovrebbe richiedere un accesso e cinque pagine per essere annullata. L'articolo 7(1) richiede che l'organizzazione possa dimostrare il consenso, ed è uno dei motivi per cui i mittenti seri usano le email di conferma in doppio opt-in, anche se il GDPR non nomina quel metodo.

L'abbinamento forzato è un punto debole comune. L'articolo 7(4) chiede se un servizio sia stato subordinato a un consenso che non gli serve. «Dacci il consenso al marketing o non puoi leggere questa pagina» è il tipo di accordo che le autorità guardano da vicino, e la risposta può variare con il contesto.

I tuoi diritti

Diritto	Articolo	Cosa ti dà	Esempio con le email
Informazione	13, 14	Chi tratta i tuoi dati, perché, per quanto tempo e chi li riceve	Un'informativa sulla privacy collegata all'iscrizione alla newsletter
Accesso	15	Una copia dei tuoi dati e i dettagli sul loro uso, di norma gratis	Chiedere a un negozio cosa conserva collegato al tuo indirizzo, compresi i segmenti
Rettifica	16	Correzione dei dati inesatti	Correggere un nome scritto male
Cancellazione	17	Eliminazione nei casi previsti, come quando i dati non servono più o il consenso è revocato	Rimuovere il tuo profilo da un servizio che hai lasciato
Limitazione	18	Una pausa nell'uso durante una controversia	Fermare il trattamento mentre si verifica l'esattezza
Portabilità	20	I dati che hai fornito, in un formato leggibile da una macchina, quando il trattamento si basa su consenso o contratto	Esportare i contatti da un provider di posta
Opposizione	21	Fermare il trattamento basato sul legittimo interesse; assoluto per il marketing diretto	Dire a un'azienda di smettere ogni marketing
Reclamo e risarcimento	77, 82	Presentare reclamo a un'autorità e chiedere il risarcimento dei danni	Segnalare un mittente che ignora la tua opposizione

L'articolo 12(3) dà alle organizzazioni un mese per rispondere, prorogabile di altri due mesi per richieste complesse o numerose, nel qual caso devono avvisarti entro il primo mese. Possono chiedere una ragionevole prova d'identità. In base all'articolo 12(5), possono addebitare un contributo ragionevole o rifiutare solo quando una richiesta è manifestamente infondata o eccessiva.

Il diritto di opporsi al marketing è il più forte tra questi, ed è facile da trascurare. L'articolo 21(2) e (3) dicono che, una volta che ti opponi al marketing diretto, i tuoi dati non possono più essere trattati per quella finalità. A differenza di altre opposizioni, qui non si applica nessun bilanciamento. Un'azienda può tenere il tuo indirizzo in un elenco di esclusione per non scriverti più, ma non può continuare a farti marketing.

La cancellazione, al contrario, ha dei limiti. L'articolo 17(3) elenca eccezioni, compresi gli obblighi di legge. Un negozio può tenere le tue fatture dopo aver eliminato il tuo profilo, e dovrebbe dirtelo quando lo chiedi.

Notifica delle violazioni

L'articolo 33 richiede a un'organizzazione di notificare all'autorità di controllo una violazione dei dati personali entro 72 ore da quando ne è venuta a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per le persone. L'articolo 34 richiede di avvisare senza ingiustificato ritardo le persone coinvolte quando il rischio è elevato. Ecco perché a volte ricevi notizie da servizi che hai lasciato anni fa. Se ricevi un avviso, la nostra guida su cosa fare dopo una violazione dei dati email spiega i passi pratici.

Potrebbe arrivare un cambiamento. La proposta Digital Omnibus della Commissione europea, pubblicata a novembre 2025, tra le altre cose porterebbe le 72 ore a 96 e limiterebbe la notifica all'autorità alle violazioni ad alto rischio. A fine 2026 resta una proposta nell'iter legislativo, quindi le regole attuali continuano ad applicarsi. Se devi basarti su questo, controlla il testo finale.

Regno Unito: simile, con aggiornamenti propri

Dopo la Brexit, il Regno Unito ha mantenuto il GDPR nel diritto interno come UK GDPR, accanto al Data Protection Act 2018. Le Privacy and Electronic Communications Regulations 2003 (PECR) portano le norme ePrivacy, e il regolamento 22 riproduce il modello UE di opt-in e soft opt-in per gli abbonati privati.

Il Data (Use and Access) Act 2025 ha cambiato parti di questo quadro. Ha alzato la sanzione massima del PECR da 500.000 sterline al livello dell'UK GDPR, cioè il maggiore tra 17,5 milioni di sterline e il 4% del fatturato mondiale, con una modifica che secondo le notizie entrerebbe in vigore all'inizio del 2026. Ha anche creato una versione del soft opt-in per gli enti di beneficenza, che permette loro di scrivere a chi ha sostenuto o chiesto informazioni sulla loro attività, a condizioni che includono un opt-out al momento della raccolta. L'autorità stessa viene riorganizzata, con l'Information Commissioner's Office destinato a essere sostituito da una Information Commission, quindi potresti incontrare l'uno o l'altro nome. Il suo sito resta il posto dove controllare le indicazioni aggiornate, e offre uno strumento per segnalare il marketing indesiderato.

CAN-SPAM: cosa richiede davvero la legge federale USA

Il CAN-SPAM Act del 2003 è la principale legge federale statunitense sulle email commerciali. Nonostante il nome, non vieta il marketing non richiesto. Stabilisce regole su come queste email devono essere inviate e dà ai destinatari il diritto di farle cessare. La norma attuativa della FTC si trova al 16 CFR Part 316, e l'agenzia pubblica una guida alla conformità per le imprese che vale la pena leggere per intero se invii posta di marketing.

Quali messaggi rientrano

Conta la finalità principale del messaggio. I messaggi commerciali pubblicizzano o promuovono un prodotto o servizio e sono coperti per intero. I messaggi transazionali o di relazione confermano una transazione, forniscono informazioni su garanzia o sicurezza, comunicano modifiche a un account o a un abbonamento, danno informazioni sul lavoro o consegnano beni già acquistati. Sono esentati dalla maggior parte dei requisiti, ma non devono contenere informazioni di instradamento false o ingannevoli. La posta puramente personale resta fuori dalla legge.

Non esiste un'eccezione per le email tra imprese (B2B). Anche un messaggio promozionale a un indirizzo aziendale deve rispettare le regole, il che sorprende chi è abituato al trattamento più morbido che il B2B riceve in alcuni paesi.

I requisiti

1. Le informazioni dell'intestazione devono essere accurate. Da, A, Rispondi a e i dati di instradamento devono identificare correttamente chi ha avviato il messaggio.
2. L'oggetto non deve ingannare sul contenuto.
3. Il messaggio deve essere chiaramente identificato come pubblicità, a meno che il destinatario abbia dato in precedenza un consenso esplicito.
4. Deve includere un indirizzo postale fisico valido, che può essere un indirizzo stradale, una casella postale registrata o una casella privata registrata.
5. Deve spiegare con chiarezza come rifiutare i messaggi e offrire un modo funzionante per farlo, come un indirizzo di risposta o un link.
6. Gli opt-out vanno rispettati entro 10 giorni lavorativi, e il meccanismo deve continuare a funzionare per almeno 30 giorni dopo l'invio. Chi invia non può far pagare una somma, chiedere informazioni personali oltre a un indirizzo email e alle preferenze di opt-out, né richiedere alcun passaggio oltre a una risposta o alla visita di una sola pagina web.
7. Gli indirizzi che hanno rifiutato i messaggi non possono essere venduti o trasferiti, tranne a un'azienda incaricata di aiutare con la conformità.
8. Un'azienda resta responsabile di chiunque invii per suo conto, quindi assumere un'agenzia non sposta l'obbligo altrove.

Le email commerciali sessualmente esplicite devono riportare nell'oggetto l'avvertenza «SEXUALLY-EXPLICIT:» in base a una norma separata della FTC.

Pratiche aggravanti e applicazione

La legge considera alcune pratiche come fattori aggravanti, tra cui la raccolta di indirizzi dai siti web, la generazione di indirizzi con «attacchi a dizionario» che combinano nomi e lettere, e l'uso di script per registrare account in massa per inviare spam. Alcune pratiche ingannevoli sono reati.

I singoli destinatari non hanno alcun diritto di agire in giudizio in proprio, uno dei punti più fraintesi di questa legge. L'applicazione spetta alla FTC, ad altre agenzie federali per i settori regolamentati, ai procuratori generali degli stati e ai fornitori di accesso a internet. Puoi segnalare le violazioni su ReportFraud.ftc.gov. La FTC porta davvero dei casi: nel 2024 ha annunciato una sanzione di 2,95 milioni di dollari contro l'azienda di telecamere di sicurezza Verkada, in un caso che includeva accuse di violazione del CAN-SPAM. La legge prevale anche sulla maggior parte delle leggi statali che regolano specificamente le email commerciali, tranne dove vietano la falsità o l'inganno.

I messaggi di testo sono un'altra cosa

Gli SMS di marketing negli USA sono regolati soprattutto dal Telephone Consumer Protection Act, che in genere richiede un consenso espresso preventivo per i messaggi di marketing automatizzati. Quindi la logica dell'opt-out delle email non vale per il tuo numero di telefono, e un modulo di pagamento che ti chiede il numero ti sta chiedendo un consenso separato.

California e gli altri stati USA

Il California Consumer Privacy Act è entrato in vigore nel 2020 ed è stato modificato in modo sostanziale dal California Privacy Rights Act dal 2023. È una legge generale sulla privacy, rilevante per le email perché il tuo indirizzo è un'informazione personale e le aziende spesso lo condividono per la pubblicità.

Si applica alle imprese a scopo di lucro che operano in California e che soddisfano almeno una di tre condizioni: ricavi lordi annui sopra una soglia adeguata all'inflazione (partiva da 25 milioni di dollari, e l'adeguamento 2025 dell'autorità l'ha portata a 26.625.000); l'acquisto, la vendita o la condivisione delle informazioni personali di 100.000 o più consumatori o nuclei familiari californiani all'anno; oppure ricavare almeno metà dei ricavi annui dalla vendita o dalla condivisione di informazioni personali.

Le imprese rientranti devono rispettare questi diritti:

• Sapere cosa viene raccolto, da dove, perché e con quali categorie di terzi viene condiviso.
• Eliminare le informazioni personali raccolte su di te, con eccezioni come il completamento di una transazione o il rispetto di obblighi di legge.
• Correggere le informazioni personali inesatte.
• Rifiutare la vendita o la condivisione. La «condivisione» copre in modo specifico la comunicazione a fini di pubblicità comportamentale cross-context, che può includere il caricamento di elenchi di email dei clienti sulle piattaforme pubblicitarie.
• Limitare l'uso di informazioni personali sensibili, una categoria che comprende il contenuto di posta, email e SMS, a meno che l'impresa ne sia la destinataria prevista.
• Non subire discriminazioni per aver esercitato questi diritti, anche se le imprese possono offrire incentivi economici dichiarati come i programmi fedeltà.

Le richieste di sapere, eliminare e correggere devono ricevere risposta entro 45 giorni di calendario, prorogabili di altri 45 con avviso. Per gli opt-out il regolamento prevede un limite più breve, al massimo 15 giorni lavorativi. Le imprese devono inoltre trattare un segnale di preferenza di opt-out come il Global Privacy Control, inviato dal tuo browser o da un'estensione, come un valido rifiuto di vendita e condivisione.

La California Privacy Protection Agency, nota anche come CalPrivacy, e il Procuratore generale fanno rispettare la legge. I privati possono agire in giudizio solo per certe violazioni dei dati causate dal mancato mantenimento di una sicurezza ragionevole, con danni stabiliti per legge per consumatore e per incidente. I californiani hanno anche uno strumento separato ai sensi del Delete Act: la Delete Request and Opt-out Platform (DROP) permette loro di inviare un'unica richiesta di cancellazione ai data broker registrati, e i broker dovevano iniziare a elaborare quelle richieste ad agosto 2026.

Molti altri stati, tra cui Virginia, Colorado, Connecticut, Texas e Oregon, hanno approvato leggi complete sulla privacy con diritti in larga parte simili. I dettagli e le soglie cambiano, e la maggior parte non offre un diritto di agire in giudizio, quindi consulta la pagina del procuratore generale del tuo stato.

CASL: il rigoroso regime canadese

La legge canadese anti-spam è in vigore in gran parte dal 1° luglio 2014 ed è tra le più severe al mondo sul marketing via email. Copre i messaggi elettronici commerciali, comprese email e SMS, inviati a computer in Canada o letti su di essi.

Chi invia ha bisogno di un consenso espresso o, in situazioni specifiche, implicito. L'esempio più noto di consenso implicito è un rapporto d'affari esistente, come un acquisto negli ultimi due anni o una richiesta di informazioni negli ultimi sei mesi. Ogni messaggio deve identificare il mittente e indicare i suoi contatti. Ogni messaggio ha anche bisogno di un meccanismo per annullare l'iscrizione che resti valido per almeno 60 giorni dopo l'invio, e le richieste vanno elaborate entro 10 giorni lavorativi.

Le sanzioni possono arrivare a 10 milioni di dollari canadesi per violazione per le organizzazioni e a 1 milione per le persone fisiche. Il diritto di azione privata previsto dalla legge, che avrebbe permesso ai singoli di agire in giudizio, è stato sospeso dal governo nel 2017 prima di entrare in vigore. I canadesi possono segnalare lo spam tramite lo Spam Reporting Centre, parte del programma federale anti-spam.

Altrove, in breve

Lo Spam Act 2003 dell'Australia richiede consenso, identificazione del mittente e una funzione di annullamento dell'iscrizione che funzioni, e le richieste vanno rispettate entro cinque giorni lavorativi. A farlo rispettare è l'Australian Communications and Media Authority. La LGPD brasiliana è una legge generale in stile GDPR, applicata dall'autorità nazionale ANPD, con diritti di accesso, correzione, cancellazione e informazione sulla condivisione. Il Digital Personal Data Protection Act 2023 dell'India introduce un trattamento basato sul consenso, e le sue norme, notificate a novembre 2025, entrano in vigore gradualmente in 18 mesi, quindi la maggior parte degli obblighi operativi non è ancora in vigore. La legge federale svizzera sulla protezione dei dati, rivista, si applica da settembre 2023 ed è molto allineata ai principi del GDPR.

Se il tuo paese non è elencato qui, potrebbe comunque avere una legge pertinente. L'autorità nazionale per la protezione dei dati o per i consumatori è il posto dove controllare.

Perché disiscriverti non ferma le ricevute

Spesso ci si chiede perché rifiutare il marketing di un negozio lasci arrivare le sue email sugli ordini. Le leggi separano di proposito le due cose, ed è anche per questo che chi invia non può sfuggire alle regole sul marketing chiamando semplicemente «messaggio di servizio» qualcosa.

Tipo	Esempi	GDPR ed ePrivacy	CAN-SPAM	CASL
Transazionale	Ricevute, aggiornamenti di spedizione, reimpostazioni di password, avvisi di sicurezza	Serve una base giuridica, di solito contratto o legittimo interesse, e non il consenso al marketing	Esente dalla maggior parte delle regole; niente informazioni di instradamento false	Le categorie elencate sono esenti dal consenso ma richiedono comunque l'identificazione del mittente e il contenuto per annullare l'iscrizione
Marketing	Saldi, newsletter promozionali, consigli sui prodotti	Consenso o soft opt-in; diritto assoluto di opposizione	Consentito senza consenso; si applicano tutti i requisiti	Richiesto il consenso espresso o implicito
Misto	Una conferma d'ordine con un grande banner promozionale	La parte promozionale può richiedere il consenso al marketing	Valutato in base alla finalità principale, guardando l'oggetto e come è disposto il contenuto	Può essere trattato come commerciale se promuove prodotti

Del resto non tutte le regole che incontri vengono da un legislatore. Dal 2024 Google e Yahoo richiedono ai mittenti di grandi volumi di supportare l'annullamento dell'iscrizione con un solo clic tramite il meccanismo dell'RFC 8058, e di dare seguito alle richieste entro due giorni. È una condizione per una buona consegna fissata dai provider di posta, senza alcuna forza di legge, eppure in pratica ferma alcuni mittenti più in fretta dei 10 giorni lavorativi previsti dalla legge.

Esercitare i tuoi diritti, passo dopo passo

1. Fermare il marketing

Usa il pulsante per annullare l'iscrizione che la tua app di posta mostra accanto al mittente, e che si basa sull'intestazione List-Unsubscribe. Se non c'è, usa il link in fondo a un messaggio legittimo. Fallo solo con mittenti che riconosci, perché un link in uno spam evidente può portare ovunque, e lì la risposta migliore è segnalare. Annota la data. Con il CAN-SPAM e la CASL la posta dovrebbe cessare entro 10 giorni lavorativi. Nell'UE e nel Regno Unito un'opposizione dovrebbe avere effetto senza ritardo, anche se le autorità di solito accettano un breve periodo di elaborazione.

2. Scoprire cosa conserva un'azienda

Invia una richiesta di accesso ai dati ai sensi del GDPR, o una richiesta di sapere ai sensi del CCPA. Molte aziende offrono un modulo o un portale sulla privacy, e usarlo può velocizzare le cose. Altrimenti basta un breve messaggio come questo modello:

Oggetto: Richiesta di accesso ai dati personali
Chiedo l'accesso ai dati personali che conservate su di me ai sensi dell'articolo 15 del GDPR [oppure: ai sensi del California Consumer Privacy Act]. Il mio indirizzo email nei vostri registri è [indirizzo]. Vi prego di fornirmi una copia dei dati, le finalità del trattamento, le categorie di destinatari con cui li avete condivisi, per quanto tempo li conserverete e la fonte dei dati se non li avete raccolti da me. Attendo la vostra risposta entro il termine di legge.

Inviala dall'indirizzo che l'azienda ha in archivio, al contatto privacy indicato nella sua informativa sulla privacy, e tieni una copia con la data. Aspettati una verifica d'identità. È legittima, anche se dovrebbe essere proporzionata. Un negozio che chiede la scansione di un passaporto per rispondere a una richiesta su un indirizzo di newsletter merita di essere messo in discussione.

3. Chiedere la cancellazione

Se hai smesso di usare un servizio, chiedi la cancellazione ai sensi dell'articolo 17 del GDPR o l'eliminazione ai sensi del CCPA. L'azienda può conservare i registri che deve mantenere, come le fatture, e un indirizzo in un elenco di esclusione per non scriverti per errore. È ragionevole chiedere cosa conserva e perché.

4. Rifiutare vendita e condivisione negli stati USA

Cerca un link come «Do Not Sell or Share My Personal Information» o «Your Privacy Choices», oppure attiva il Global Privacy Control in un browser o in un'estensione che lo supporta. I californiani possono usare DROP per i data broker registrati.

5. Salire di livello se non ottieni nulla

• UE e SEE: presenta reclamo alla tua autorità nazionale per la protezione dei dati. Il Comitato europeo per la protezione dei dati le elenca tutte.
• Regno Unito: presenta reclamo all'autorità britannica per la protezione dei dati dopo averlo prima sollevato con l'organizzazione, oppure segnala il marketing indesiderato con il suo strumento online.
• USA: segnala le email commerciali ingannevoli o non conformi su ReportFraud.ftc.gov. Per problemi con il CCPA, presenta un reclamo alla California Privacy Protection Agency o al Procuratore generale.
• Canada: segnala allo Spam Reporting Centre.

Mantieni semplici le tue prove: la data della richiesta, una copia, una copia della risposta se c'è, e esempi di messaggi che hanno continuato ad arrivare con le intestazioni complete. Le autorità non possono seguire ogni reclamo, quindi un reclamo individuale può non dare un risultato rapido, ma si aggiunge al dossier contro chi ripete la violazione.

Cosa queste leggi non coprono

Lo spam criminale è la lacuna più evidente. Chi vende falsi medicinali da un server dirottato ignora tutte le regole viste sopra, ed è per questo che un filtro antispam e il pulsante di segnalazione del tuo provider servono contro quella posta più di qualunque legge. Riconoscere e segnalare quel tipo di frode è un'abilità pratica, e nessuna autorità può farlo al posto tuo.

Anche la tua corrispondenza privata sta in gran parte fuori da queste regole. Un biglietto personale agli amici non è una email commerciale, e il GDPR ha un'esenzione per le attività puramente personali o domestiche all'articolo 2(2)(c). L'accesso delle forze dell'ordine alle caselle di posta rientra in leggi separate, come lo Stored Communications Act statunitense e le leggi nazionali sulla sorveglianza, che meritano una spiegazione a parte.

Infine, la maggior parte di queste leggi vincola organizzazioni di un certo tipo o sopra una certa dimensione. Un piccolo negozio californiano sotto le soglie del CCPA deve comunque rispettare il CAN-SPAM ma non ha obblighi CCPA. Un'organizzazione senza scopo di lucro può sfuggire al CCPA restando soggetta al GDPR quando scrive a persone in Europa. Guarda sempre chi è il mittente prima di dare per scontato quali regole si applicano.

Dove si colloca un indirizzo usa e getta?

Un indirizzo email usa e getta è una casella temporanea che non richiede registrazione ed elimina i suoi messaggi dopo poco tempo. Non risulta a noi alcuna legge, tra i regimi visti sopra, che vieti di usarne uno per la propria privacy, e farlo segue lo stesso ragionamento dell'obbligo di minimizzazione dei dati che il GDPR impone alle organizzazioni. Se un sito non ha bisogno di un rapporto duraturo con te, puoi decidere di non offrirgliene uno, purché i suoi termini lo consentano. Regole e termini variano, quindi questa è un'osservazione generale e non una garanzia per un caso particolare.

Gli usi comuni comprendono ricevere un download una tantum o provare il tuo sito, con le email di registrazione e conferma. VookMail è uno di questi servizi. Un indirizzo è pronto appena la pagina si carica, puoi premere Nuovo per scrivere un nome utente su uno di più di 30 domini o usare il pulsante giallo Casuale per averne uno casuale, e messaggi, allegati e indirizzi vengono eliminati dopo circa un giorno. Come tratta i dati è descritto nell'informativa sulla privacy, e la pagina sulla metodologia spiega come la posta dei suoi domini raggiunge un provider di consegna tramite i record MX e viene inoltrata via HTTPS.

Valgono diversi limiti:

• I servizi possono rifiutare gli indirizzi usa e getta, e molti hanno buoni motivi per farlo. Il nostro articolo sul perché i siti bloccano le email usa e getta li spiega. Quando un sito ne rifiuta uno, rispettalo e usa un indirizzo permanente o un alias.
• Chiunque conosca o indovini un indirizzo temporaneo può aprire quella casella, quindi offre riservatezza rispetto alla mailing list di un'azienda ma nessuna segretezza per i messaggi. Un indirizzo casuale è la scelta più sicura.
• Banca, pubblica amministrazione, sanità e account social principali richiedono un indirizzo che controllerai sempre, perché inviano avvisi con rilevanza legale e messaggi di recupero.
• L'uso illecito non ha alcuna protezione. Frode, molestie, sostituzione di persona o aggiramento di un blocco possono avere conseguenze legali qualunque indirizzo si usi, e i nostri termini e condizioni li vietano.
• Le richieste di esercizio dei diritti richiedono un indirizzo stabile. Un'azienda di solito ti verifica tramite l'indirizzo in archivio, quindi se un giorno potresti voler esercitare i tuoi diritti GDPR o CCPA, un indirizzo permanente ti serve meglio.

Se le email le invii tu

Una newsletter o un piccolo negozio online ti mette dall'altra parte di tutto questo. Se i tuoi lettori sono internazionali, l'approccio pratico è costruire tutto sulla regola più severa che si applica al tuo pubblico. L'elenco qui sotto è una base di partenza, e una vera verifica di conformità dipende dal tuo paese e dai tuoi clienti.

1. Raccogli il consenso con una casella non spuntata o con un'azione di iscrizione esplicita, e registra quando e come è stato dato.
2. Valuta il doppio opt-in, che ti dà una prova del consenso e tiene fuori refusi e iscrizioni false.
3. Collega un'informativa sulla privacy chiara ovunque raccogli indirizzi.
4. Tieni separati i flussi transazionali e di marketing, e non infilare promozioni nelle ricevute.
5. Indica l'identità della tua organizzazione e un indirizzo postale valido in ogni email di marketing.
6. Supporta l'annullamento dell'iscrizione con un clic usando le intestazioni List-Unsubscribe e List-Unsubscribe-Post, e dai seguito rapidamente agli opt-out.
7. Tieni un elenco di esclusione, così gli indirizzi che hanno rifiutato i messaggi non vengano mai reimportati.
8. Non comprare elenchi. Un elenco comprato non supera i test sul consenso nei paesi in opt-in, e tende a portare reclami e rimbalzi che danneggiano la tua consegna ovunque.
9. Dichiara il tracciamento delle aperture e dei clic, e verifica se i paesi dei tuoi lettori richiedono il consenso per farlo. La Francia ora ha indicazioni specifiche in merito.
10. Stabilisci periodi di conservazione ed elimina i dati degli iscritti inattivi che non ti servono più.
11. Prevedi una procedura per rispondere alle richieste di accesso, cancellazione e correzione entro un mese (GDPR) o 45 giorni (CCPA).
12. Prova il flusso di iscrizione e di annullamento con una casella nuova prima del lancio, per vedere ciò che vede un iscritto.

Convinzioni che causano guai

«Se un indirizzo è pubblico, posso fargli marketing.» Nei sistemi in opt-in, un indirizzo visibile pubblicamente non costituisce di per sé un consenso. Con il CAN-SPAM, raccogliere indirizzi dai siti web è un fattore aggravante. La pubblicazione, semplicemente, non risolve la questione.

«Disiscriversi conferma solo il mio indirizzo agli spammer.» Questo vale per lo spam evidente di mittenti sconosciuti, dove segnalare è la scelta migliore. Con un mittente legittimo, disiscriversi è il passo giusto, e la legge impone al mittente di rispettarlo.

«Il GDPR vale solo per le aziende UE.» L'articolo 3(2) raggiunge le organizzazioni di altri paesi che si rivolgono a persone nell'UE o nel SEE o le monitorano. Come le autorità lo facciano rispettare contro un'azienda senza presenza europea è un altro discorso, e in pratica può essere difficile.

«Il CAN-SPAM mi permette di fare causa agli spammer.» Non dà ai singoli un diritto del genere. Altre leggi potrebbero aiutare in situazioni particolari, e le leggi statali contro l'inganno potrebbero sopravvivere alla prevalenza della norma federale, quindi un avvocato può dirti se qualcosa si applica al tuo caso.

«Eliminare il mio account elimina tutti i miei dati.» Le aziende possono legittimamente conservare alcuni registri, come lo storico delle transazioni per le tasse. Dovrebbero spiegarlo quando lo chiedi.

«Le email transazionali non sono regolate.» Sfuggono a molte regole sul marketing, ma richiedono comunque una base giuridica ai sensi del GDPR e non devono essere ingannevoli.

Risposte brevi alle domande più comuni

Un'azienda può scrivermi se non mi sono mai iscritto?

Dipende da dove ti trovi. Negli USA in genere sì, purché rispetti il CAN-SPAM e si fermi quando rifiuti i messaggi. Nell'UE, nel Regno Unito e in Canada, un'email di marketing in genere richiede il tuo consenso oppure rientra in una stretta eccezione per i clienti esistenti.

Un'azienda fuori dall'Europa deve rispondere alla mia richiesta GDPR?

Se offre beni o servizi a persone nell'UE o nel SEE, o ne monitora il comportamento, il GDPR può applicarsi. L'articolo 27 richiede inoltre in genere a un'azienda del genere di nominare un rappresentante nell'UE, i cui dati dovrebbero comparire nella sua informativa sulla privacy. Se puoi far valere la richiesta in pratica è una questione a parte.

Ho diritti CCPA se vivo fuori dalla California?

Il CCPA protegge i residenti in California. Alcune aziende estendono scelte simili a tutti, e molti altri stati hanno leggi proprie, quindi vale comunque la pena chiedere.

Quanto in fretta deve funzionare la disiscrizione?

Dieci giorni lavorativi al massimo con CAN-SPAM e CASL, cinque giorni lavorativi in Australia, e in pratica senza ingiustificato ritardo nell'UE e nel Regno Unito. Ai grandi mittenti che usano Gmail e Yahoo si chiede anche di agire entro due giorni in base alle regole di quei provider.

Il tracciamento delle aperture è legale?

Negli USA il CAN-SPAM non lo affronta direttamente. Nell'UE le autorità trattano sempre più spesso i pixel di tracciamento nelle email come rientranti nell'articolo 5(3) della direttiva ePrivacy, e la CNIL francese ora considera il consenso la regola. Altrove dipende dalla legge nazionale.

Dove posso leggere le leggi stesse?

Il GDPR e la direttiva ePrivacy si trovano su EUR-Lex. La FTC pubblica la guida alla conformità del CAN-SPAM, l'autorità della California e il Procuratore generale pubblicano indicazioni sul CCPA, e il Governo del Canada gestisce un sito sulla CASL. Queste fonti ufficiali sono quelle su cui fare affidamento, perché questa panoramica può riflettere solo la legge come l'abbiamo intesa quando è stata scritta.