Gran parte della legge statunitense CAN-SPAM riguarda l’onestà: nomi di mittente reali, oggetti che corrispondono al contenuto, un indirizzo postale. La parte che però, nella pratica, mette in difficoltà le piccole imprese è la disiscrizione. La legge è precisa su come deve funzionare un opt-out, per quanto tempo deve continuare a funzionare e quanto in fretta bisogna dare seguito alla richiesta. Questo articolo esamina quelle regole una per una, con la formulazione della legge e della guida della FTC (l’autorità statunitense per la tutela dei consumatori), e si chiude con esempi di piè di pagina che le rispettano.
Per l’elenco completo dei requisiti della CAN-SPAM, consulti la nostra guida alla CAN-SPAM (in inglese). Questo articolo copre solo la parte relativa alla disiscrizione. Fornisce informazioni generali e non costituisce consulenza legale.
Se invia dall’Italia: il Codice privacy e il GDPR
La CAN-SPAM è la legge degli Stati Uniti e si applica alle email commerciali che arrivano lì. Se invia dall’Italia o a destinatari in Italia, deve rispettare anche l’art. 130 del Codice in materia di protezione dei dati personali (D.Lgs. 196/2003) e il GDPR. L’art. 130 richiede il consenso preventivo del contraente o utente per le email a fini promozionali (commi 1 e 2), con l’eccezione del cosiddetto «soft spam»: l’indirizzo fornito nel contesto di una vendita può essere usato senza consenso per prodotti o servizi propri analoghi, purché l’interessato, al momento della raccolta e «in occasione dell’invio di ogni comunicazione», sia informato della possibilità di opporsi «in maniera agevole e gratuitamente» (comma 4). È inoltre vietato in ogni caso inviare comunicazioni promozionali celando l’identità del mittente o senza fornire «un idoneo recapito» presso cui l’interessato possa esercitare i propri diritti (comma 5), e il GDPR stabilisce che il consenso «è revocato con la stessa facilità con cui è accordato» (art. 7, paragrafo 3). I dettagli sono nella nostra guida a newsletter e GDPR in Italia. Quanto segue descrive le regole statunitensi, che un piè di pagina ben fatto rispetta nello stesso momento.
Le regole di disiscrizione in sintesi
| Regola | Cosa significa per la Sua newsletter | Da dove deriva |
|---|---|---|
| Un modo chiaro e ben visibile per disiscriversi | Ogni email commerciale deve spiegare in modo evidente come smettere di ricevere i Suoi messaggi | 15 U.S.C. § 7704(a)(3) e (a)(5) |
| Solo risposta via email o una singola pagina web | La disiscrizione deve funzionare rispondendo all’email o visitando una sola pagina web. Non si può richiedere altro | 16 CFR § 316.5 |
| Il meccanismo deve funzionare per almeno 30 giorni | Il link o l’indirizzo di risposta deve restare operativo per non meno di 30 giorni dopo l’invio del messaggio | 15 U.S.C. § 7704(a)(3)(A)(ii) |
| Dare seguito alla richiesta entro 10 giorni lavorativi | Dopo 10 giorni lavorativi, inviare un’altra email commerciale coperta dalla richiesta è illecito | 15 U.S.C. § 7704(a)(4)(A) |
| Niente costi, niente dati aggiuntivi, niente login | Non può far pagare, chiedere altro oltre all’indirizzo email e alle preferenze, né aggiungere passaggi | 16 CFR § 316.5 |
| Niente vendita o cessione degli indirizzi disiscritti | Non può vendere, noleggiare, scambiare o cedere un indirizzo una volta che il titolare si è disiscritto | 15 U.S.C. § 7704(a)(4)(A)(iv) |
Regola 1: un modo chiaro per disiscriversi, in ogni email commerciale
La legge dichiara illecito inviare un’email commerciale che non contenga «un indirizzo email di risposta funzionante o un altro meccanismo basato su Internet, mostrato in modo chiaro e ben visibile», che il destinatario possa usare per dire che non vuole altre email commerciali da parte Sua. Separatamente, ogni messaggio commerciale deve dare «avviso chiaro e ben visibile della possibilità» di rifiutare ulteriori email.
In termini semplici: un link di disiscrizione nel piè di pagina, con un carattere leggibile e parole che chiunque capisce. La guida alla conformità della FTC aggiunge due punti pratici. Può offrire un menu di scelte (per esempio «solo il riepilogo mensile» o «interrompere tutto»), ma una delle opzioni deve bloccare tutti i messaggi commerciali. E deve assicurarsi che il Suo filtro antispam non blocchi le richieste di disiscrizione in arrivo, cosa che conta se usa un indirizzo di risposta per la disiscrizione.
Regola 2: risposta via email o una singola pagina web, nient’altro
La norma della FTC in 16 CFR § 316.5 stabilisce che non si può richiedere al destinatario «alcun altro passaggio oltre all’invio di un’email di risposta o alla visita di una singola pagina web». Questo esclude alcune pratiche che si vedono ancora in giro:
- Un link che porta a una schermata di accesso prima di poter disiscriversi.
- Un modulo che chiede nome, motivo o password.
- Un percorso in due pagine: una pagina delle preferenze, poi una di conferma, infine un pulsante definitivo.
Una pagina con un solo pulsante «Disiscriviti» va bene. Una pagina che precompila l’indirizzo e chiede un solo clic va bene. Nel momento in cui la persona deve digitare qualcosa di diverso dal proprio indirizzo email, o visitare una seconda pagina, si è andati oltre ciò che la norma consente.
Regola 3: il link deve continuare a funzionare per 30 giorni
Il meccanismo di disiscrizione deve restare «in grado di ricevere tali messaggi o comunicazioni per non meno di 30 giorni dalla trasmissione del messaggio originale». I 30 giorni si contano dalla data di invio di ogni singola email. La risposta pratica è non far scadere mai i link di disiscrizione. Disattivarli non porta alcun vantaggio, e un link scaduto è il tipo di errore che emerge in un reclamo.
Faccia attenzione quando cambia strumento di invio. Se i link di disiscrizione del vecchio strumento smettono di funzionare il giorno in cui cancella l’account, le email inviate nel mese precedente hanno ora link di disiscrizione morti. Mantenga attivo il vecchio account per almeno 30 giorni dopo l’ultimo invio effettuato da lì.
Regola 4: dare seguito alla richiesta entro 10 giorni lavorativi
Una volta che qualcuno si disiscrive, è illecito per Lei, o per chiunque invii per Suo conto, mandargli un’email commerciale «più di 10 giorni lavorativi dopo la ricezione di tale richiesta». Dieci giorni lavorativi sono un tetto, non un obiettivo. I provider di posta si aspettano tempi più rapidi: le best practice per i mittenti di Yahoo chiedono ai mittenti di massa di evadere le disiscrizioni entro 2 giorni. La maggior parte degli strumenti per newsletter, compreso il nostro, rimuove l’indirizzo immediatamente.
«Dare seguito» significa anche farlo ovunque la richiesta si applichi. Se la persona ha cliccato «interrompere tutto», questo copre tutte le Sue liste commerciali, non solo quella in cui si trovava quando ha cliccato. Mantenga un’unica lista di esclusione comune a ogni lista e a ogni strumento che usa, e la consulti prima di importare indirizzi da un foglio di calcolo o dal lettore di badge di una fiera.