La conformità delle email non è facoltativa. Nel 2026, normative come il GDPR e il CAN-SPAM prevedono sanzioni fino al 4% del fatturato annuo globale o 20 milioni di euro, se superiore. Oltre al rischio finanziario, la non conformità distrugge la fiducia che hai costruito con i tuoi iscritti.
Che tu stia gestendo una newsletter, una campagna di cold outreach o email transazionali, questa guida ti spiega tutto ciò che devi sapere sulla conformità delle email nelle principali giurisdizioni, e come restare nella legalità senza rendere impossibile la gestione del tuo programma email.
I tre pilastri della conformità email
Ogni importante normativa sulle email — GDPR, CAN-SPAM, CASL e altre — si riduce a tre principi:
| Pilastro | Cosa significa |
|---|---|
| Consenso | Il destinatario deve aver acconsentito a ricevere le tue email (attivamente o tramite un interesse legittimo) |
| Trasparenza | Devi identificare chiaramente chi sei, perché stai inviando l'email e come disiscriversi |
| Controllo | I destinatari devono poter annullare facilmente l'iscrizione, e tu devi rispettare la richiesta tempestivamente |
I dettagli variano a seconda della giurisdizione, ma se costruisci il tuo programma email su questi tre pilastri, sei già al 90% della conformità in ogni paese.
GDPR: Regolamento generale sulla protezione dei dati (UE/SEE + Regno Unito)
Si applica a: qualsiasi organizzazione che tratti dati personali di individui nell'UE, nel SEE o nel Regno Unito, indipendentemente da dove si trova la sede dell'azienda.
Consenso ai sensi del GDPR
Il GDPR richiede una delle sei basi giuridiche per il trattamento dei dati personali. Per il marketing via email, le due più rilevanti sono:
| Base giuridica | Quando si applica | Esempio |
|---|---|---|
| Consenso | Il sottoscrittore ha acconsentito esplicitamente a ricevere e-mail | "Spunta questa casella per ricevere la nostra newsletter" (deselezionata per impostazione predefinita) |
| Interesse legittimo | Hai un motivo valido, che non prevale sui diritti della persona | Invio di un follow-up a chi ha scaricato il tuo whitepaper |
Requisiti del consenso
- Azione affermativa: Le caselle preselezionate non costituiscono un consenso valido. Il sottoscrittore deve compiere un'azione deliberata.
- Granulare: Il consenso al marketing deve essere separato dal consenso ai termini di servizio
- Informato: Spiega esattamente a cosa si sta iscrivendo (tipo, frequenza, canale)
- Revocabile: Annullare l'iscrizione deve essere semplice quanto iscriversi
- Documentato: Conserva le registrazioni di quando, come e a quale consenso è stato prestato
Diritto di accesso e cancellazione
Ai sensi del GDPR, i sottoscrittori possono:
- Richiedere tutti i dati che conservi su di loro (richiesta di accesso ai dati dell'interessato — DSAR)
- Richiedere la cancellazione dei propri dati (diritto alla cancellazione / "diritto all'oblio")
Devi rispondere entro 30 giorni. Avere un database pulito e facilmente consultabile semplifica molto questo processo: se non riesci a trovare i dati di un sottoscrittore, non puoi rispettare la richiesta.
Sanzioni GDPR
- Fascia inferioreFino a 10 milioni di euro o al 2% del fatturato annuo globale
- Fascia superioreFino a 20 milioni di euro o al 4% del fatturato annuo globale
Esempi reali: Meta è stata multata per 1,2 miliardi di euro nel 2023 per violazioni del GDPR legate ai trasferimenti di dati.
CAN-SPAM: Controlling the Assault of Non-Solicited Pornography and Marketing Act (Stati Uniti)
Si applica a: Tutte le email commerciali inviate da o verso gli Stati Uniti.
Il CAN-SPAM è meno rigido del GDPR — si basa su un modello di opt-out anziché di opt-in. Tuttavia, prevede ancora requisiti importanti:
Requisiti del CAN-SPAM
| Requisito | Cosa devi fare |
|---|---|
| Nessuna intestazione falsa | "Da," "A" e le informazioni di instradamento devono essere accurate e identificare il mittente |
| Nessun oggetto ingannevole | La riga dell'oggetto deve riflettere il contenuto effettivo dell'email |
| Identifica come pubblicità | Dichiara che il messaggio è una pubblicità (implicito se il contenuto è chiaramente promozionale) |
| Indirizzo fisico | Includi un indirizzo postale fisico valido in ogni email |
| Meccanismo di opt-out | Link di cancellazione iscrizione chiaro e funzionante per almeno 30 giorni dall'invio |
| Rispetta tempestivamente le richieste di opt-out | Elabora le richieste di cancellazione entro 10 giorni lavorativi |
| Monitora le terze parti | Sei responsabile della conformità anche se una terza parte invia per tuo conto |
Sanzioni del CAN-SPAM
- Fino a 51.744 dollari per violazione（每封违法电子邮件均计为一项单独违规）
- 对明知违法行为的加重损害赔偿
CASL：加拿大反垃圾邮件法
Si applica a: 从加拿大发送或在加拿大访问的商业电子邮件。
CASL 是三大主要法规中最严格的：
| Requisito | 详情 |
|---|---|
| 明确同意 | 大多数商业电子邮件都需要（默示同意在2年后失效） |
| 身份识别 | 发件人全名、邮寄地址及联系方式（电话、电子邮件或网站） |
| 退订机制 | 必须免费，可用期限为60天，并在10个工作日内处理 |
| 举证责任 | 您必须证明已获得同意——收件人无需证明其未表示同意 |
CASL 罚款
- 每次违规最高可达 1000 万加元 针对公司
- 董事和高级管理人员可能承担个人责任
需了解的其他司法管辖区
| 法规 | 地区 | 主要区别 |
|---|---|---|
| LGPD | 巴西 | 以GDPR为蓝本——采用选择加入式同意，赋予数据访问及删除权 |
| PDPA | Singapore | Basato sul consenso, richiede una notifica di "finalità ragionevole" |
| POPIA | Sudafrica | Opt-in per il marketing diretto, regole rigorose sul trasferimento transfrontaliero dei dati |
| CCPA/CPRA | California, USA | Diritto di accesso, cancellazione e opposizione alla vendita dei dati — si applica agli indirizzi e-mail |
| PIPEDA | Canada (generale) | Si sovrappone al CASL, aggiunge requisiti di accuratezza dei dati e di salvaguardia |
Approccio pratico: se rispetti il GDPR e il CAN-SPAM, sei conforme o molto vicino alla conformità con la maggior parte delle altre normative. Il GDPR rappresenta il livello più elevato.
Conformità in pratica: cosa implementare
1. Raccolta del consenso
I moduli di iscrizione devono:
- Avere una casella di consenso al marketing non selezionata (GDPR)
- Elencare quali contenuti riceveranno gli iscritti e con quale frequenza
- Includere un link alla tua informativa sulla privacy
- Utilizzare il double opt-in (opt-in confermato) — non obbligatorio ovunque, ma fortemente consigliato
2. Meccanismo di cancellazione dell'iscrizione
Ogni e-mail di marketing deve includere:
- Un link di annullamento dell'iscrizione con un solo clic (visibile, non nascosto in caratteri minuscoli)
- Un header List-Unsubscribe (RFC 8058) per la cancellazione con un clic dall'interfaccia di Gmail/Yahoo
- Elaborazione entro 10 giorni lavorativi (CAN-SPAM), idealmente immediatamente
Google e Yahoo ora richiedono la cancellazione con un clic per i mittenti di massa (oltre 5.000 email al giorno).
3. Gestione dei dati
- Conservare gli indirizzi email e i registri di consenso in modo sicuro
- Conservare i registri del consenso (data e ora, IP, URL del modulo, a cosa si è acconsentito)
- Consentire agli iscritti di visualizzare e scaricare i propri dati (GDPR)
- Consentire agli iscritti di richiedere la cancellazione dei dati (GDPR)
- Non trasferire i dati a terzi senza un consenso esplicito
4. Informativa sulla privacy
La tua informativa sulla privacy deve spiegare:
- Quali dati raccogli (email, nome, IP, comportamento)
- Perché li raccogli (marketing, analisi, personalizzazione)
- Per quanto tempo li conservi
- Chi vi ha accesso (dipendenti, strumenti di terze parti)
- Come gli iscritti possono accedere, correggere o cancellare i propri dati
5. Politica di conservazione dei dati
Definisci e documenta per quanto tempo conservi i dati degli iscritti:
| Tipo di dato | Conservazione consigliata |
|---|---|
| Iscritti attivi | A tempo indeterminato (finché restano iscritti) |
| Email di chi ha annullato l'iscrizione | 3 anni (per la lista di soppressione, per evitare di reinserirli per errore) |
| Email rimbalzate/non valide | 6 mesi (per l'analisi della consegnabilità, poi eliminazione) |
| Registri del consenso | 3–7 anni (per la difesa legale) |
| Risposte alle richieste DSAR | 3 anni (prova di conformità) |
6. Verifica della lista email e conformità
La verifica della tua lista email favorisce la conformità in diversi modi:
- Riduce il rischio di invii a trappole spam riciclate: il contatto con una trappola spam può attirare l'attenzione delle autorità di regolamentazione, poiché suggerisce che la lista non viene mantenuta aggiornata
- Protegge l'accuratezza dei dati: l'articolo 5(1)(d) del GDPR richiede che i dati personali siano "esatti e, se necessario, aggiornati"
- Riduce al minimo i dati: il principio di minimizzazione dei dati del GDPR implica che non si debbano conservare indirizzi non validi: verificali e rimuovili
- Supporta le risposte alle richieste DSAR: un database pulito facilita il reperimento e la risposta alle richieste di accesso o cancellazione entro il termine di 30 giorni
Checklist di conformità
Usa questa checklist prima di ogni campagna:
□ CAN-SPAM: Indirizzo postale fisico incluso in nel piè di pagina?
□ CAN-SPAM/CASL/GDPR: Funzionante annulla iscrizione link presente?
□ Gmail/Yahoo: Lista-Annulla iscrizione intestazione configurata?
□ GDPR: Consenso documentato for tutti destinatari?
□ GDPR: Privacy policy collegato e aggiornato a data?
□ Tutti: Mittente nome e email fisico chiaramente visibile?
□ Tutti: Oggetto riga accurato (no fuorviante claim)?
□ Tutti: Lista verified e pulito prima invio?
Punti chiave
- GDPR richiede il consenso preventivo (opt-in) e si applica a tutti i dati di residenti nell'UE, nello SEE o nel Regno Unito — sanzioni fino al 4% del fatturato globale
- CAN-SPAM si basa sul principio dell'opt-out, ma richiede un indirizzo fisico, intestazioni accurate e un link di cancellazione funzionante
- CASL è la normativa più severa — è richiesto il consenso esplicito e l'onere della prova spetta al mittente
- Il double opt-in e la verifica dell'email sono le tue migliori difese contro la non conformità involontaria
- Documenta tutto: consensi, cancellazioni, risposte alle richieste di accesso ai dati (DSAR) e politiche di conservazione dei dati
- Se rispetti il GDPR, sei coperto per quasi tutte le altre giurisdizioni
