Come i moduli di iscrizione fanno arrivare lo spam nella casella di posta

Cosa può fare un modulo di iscrizione con il tuo indirizzo

Quando inserisci un indirizzo in un modulo di iscrizione, il sito può utilizzarlo e l'indirizzo può anche diffondersi: tramite una condivisione dichiarata, una vendita o un trasferimento, una violazione dei dati oppure la raccolta da una pubblicazione accessibile al pubblico. Una richiesta di disiscrizione ai sensi del CAN-SPAM impedisce al mittente di inviare in futuro comunicazioni di marketing commerciale soggette alla legge e limita i suoi successivi trasferimenti dell'indirizzo per cui è stata richiesta la disiscrizione. Non consente di recuperare copie già condivise, vendute, divulgate in seguito a una violazione o raccolte.

Il modulo riceve più di una semplice stringa. Riceve un indirizzo funzionante insieme a informazioni contestuali: ciò che ti interessava, la pagina da cui sei arrivato e il momento in cui lo hai fatto. È questa combinazione a rendere utile la trasmissione di un indirizzo ed è il motivo per cui esistono tutti i percorsi descritti di seguito.

Se vuoi decidere in anticipo quale indirizzo fornire a un determinato modulo, puoi Crea un indirizzo usa e getta per quel modulo e tenere fuori la tua casella di posta abituale. Il nome attribuito a un indirizzo del genere non basta a stabilire come funziona, ed è proprio questo che La differenza tra email usa e getta, usa e getta e usa e getta chiarisce. Tutto ciò che segue riguarda quanto accade a un indirizzo dopo che è stato inviato.

Una precisazione sull'intero articolo: descrive percorsi possibili sulla base di quanto stabilito dalle norme applicabili e dalle informative pubblicate. Non pretende di sapere che cosa faccia un determinato sito con il tuo indirizzo.

Comunicazioni dirette e diffusione a terzi

Ai sensi del CAN-SPAM statunitense, una richiesta di disiscrizione si applica al mittente di un messaggio commerciale soggetto alla legge, sia esso il sito originario o un'azienda che ha ricevuto successivamente l'indirizzo. Non crea un ordine globale di esclusione valido per chiunque possieda l'indirizzo.

Dal tuo punto di vista, esistono due situazioni osservabili ed è utile distinguerle, anche se si tratta di una distinzione descrittiva e non giuridica. Ci sono i messaggi provenienti dal sito al quale hai fornito l'indirizzo: la sua newsletter, le sue offerte e gli annunci sui suoi prodotti. E ci sono i messaggi inviati da aziende alle quali non hai mai fornito nulla.

Il punto fondamentale è la conseguenza che ne deriva. Se un'azienda che ha ricevuto successivamente l'indirizzo invia un messaggio commerciale soggetto al CAN-SPAM statunitense, ha un proprio obbligo di consentire la disiscrizione. Il confine giuridico è determinato dal mittente soggetto alla legge, non dal fatto che abbia ottenuto l'indirizzo tramite un utilizzo diretto o una successiva diffusione. La legge non crea un ordine globale di esclusione valido per chiunque possieda l'indirizzo.

Condivisione, vendita di elenchi, violazioni dei dati e raccolta automatizzata sono percorsi diversi

Una volta che l'indirizzo si trova nel sistema del sito, quest'ultimo può utilizzarlo per inviare i propri messaggi. Separatamente, l'indirizzo può diffondersi attraverso quattro percorsi, ciascuno dei quali offre possibilità d'intervento diverse.

Condivisione dichiarata. L'informativa sulla privacy del sito dichiara che i dati vengono condivisi con partner o società affiliate, e il sito procede in tal senso. È il percorso che puoi verificare prima dell'invio, perché l'informazione è riportata per iscritto in un documento che puoi leggere.

Vendita o trasferimento. L'indirizzo passa a un'altra azienda come bene patrimoniale. Esiste un vincolo concreto che è utile conoscere: ai sensi delle norme CAN-SPAM statunitensi, dopo che hai richiesto la disiscrizione, quel mittente non può vendere o trasferire il tuo indirizzo, nemmeno come parte di una mailing list. L'unica eccezione prevista è il trasferimento a un'azienda incaricata di aiutare quel mittente a rispettare la legge. Tale vincolo riguarda ciò che il mittente farà in seguito; non consente di recuperare una copia trasferita prima della tua richiesta di disiscrizione.

Una violazione dei dati. L'indirizzo sfugge al controllo del sito senza che quest'ultimo lo abbia voluto.

Raccolta da una pubblicazione accessibile al pubblico. Se l'indirizzo finisce in uno spazio accessibile al pubblico, può essere raccolto da lì. Questo percorso presuppone che l'indirizzo venga prima reso pubblico, motivo per cui non riguarda ogni iscrizione.

Che cosa cambia realmente una richiesta di disiscrizione

Queste sono norme CAN-SPAM statunitensi e si applicano alle email di marketing commerciale soggette alla legge, non a ogni messaggio che un'azienda potrebbe inviarti.

In questo ambito, la disiscrizione è un obbligo soggetto a una scadenza, non una semplice cortesia. Il mittente deve soddisfare la richiesta entro 10 giorni lavorativi. Il meccanismo di disiscrizione offerto deve essere in grado di elaborare le richieste per almeno 30 giorni dopo l'invio del messaggio: questo requisito stabilisce per quanto tempo il meccanismo deve rimanere attivo, non il termine entro cui completare la tua richiesta.

Le norme limitano anche ciò che un mittente può chiederti come condizione per soddisfare la richiesta. Non può addebitare alcun costo, né richiedere informazioni che consentano l'identificazione personale oltre all'indirizzo email. Inoltre, non può imporre passaggi diversi dall'invio di un'email di risposta o dalla visita di una singola pagina web.

Dopo la richiesta di disiscrizione, a quel mittente si applica il divieto di vendita e trasferimento descritto sopra. Sono previste sanzioni per ogni singola email che viola queste norme: per questo l'obbligo è vincolante e non ha carattere meramente consultivo.

Perché la disiscrizione non può richiamare un indirizzo

Il CAN-SPAM impone obblighi specifici ai mittenti di messaggi commerciali soggetti alla legge. Separatamente, quando si applica il GDPR dell'UE o del Regno Unito ed esiste un valido diritto alla cancellazione, il titolare del trattamento deve cancellare i dati interessati; gli obblighi verso terzi previsti dagli articoli 17(2) e 19 sono soggetti a limitazioni relative all'adozione di misure ragionevoli e all'impossibilità pratica. Nessuno dei due quadri normativi prevede un meccanismo tecnico di richiamo.

Prima di proseguire, è importante fare una distinzione: una richiesta di disiscrizione volta a interrompere il marketing non costituisce automaticamente una richiesta di cancellazione ai sensi dell'articolo 17. Sono richieste diverse, formulate in base a norme diverse e con un ambito differente. Ai sensi dell'articolo 17(1) del GDPR dell'UE, la cancellazione può essere richiesta quando ricorre uno dei motivi elencati, tra cui il fatto che i dati non siano più necessari, che il consenso sia stato revocato e manchi un'altra base giuridica, che l'interessato si opponga al marketing diretto, che il trattamento sia illecito o che la cancellazione sia prescritta dalla legge. L'articolo 17(3) consente di conservare i dati quando il trattamento è necessario per la libertà di espressione e d'informazione; per adempiere un obbligo legale o svolgere un compito di interesse pubblico; per motivi di sanità pubblica; per determinati scopi di archiviazione, ricerca o statistica; oppure per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria. L'ICO descrive l'analogo diritto previsto dal GDPR del Regno Unito come condizionato, non assoluto.

Quando esiste un valido obbligo di cancellazione, i limiti emergono negli obblighi riguardanti i destinatari successivi. L'articolo 19 impone al titolare del trattamento di comunicare la cancellazione a ciascun destinatario al quale i dati sono stati trasmessi, salvo che ciò si riveli impossibile o richieda uno sforzo sproporzionato; inoltre, su richiesta, il titolare deve indicarti tali destinatari. L'articolo 17(2) si applica quando il titolare del trattamento ha reso pubblici i dati ed è tenuto a cancellarli: in tal caso deve adottare misure ragionevoli, tenendo conto della tecnologia disponibile e dei costi di attuazione, per informare gli altri titolari del trattamento della tua richiesta relativa a collegamenti, copie o riproduzioni.

Le linee guida dell'autorità di controllo britannica aggiungono che il diritto si applica ai dati detenuti al momento della ricezione della richiesta, non a quelli creati successivamente.

Nel loro insieme, queste considerazioni rispondono alla domanda posta nel titolo. Entrambi i quadri normativi possono obbligare un'azienda ad agire. Nessuno dei due, però, offre a qualcuno un pulsante capace di accedere ai sistemi di un'altra azienda e rimuoverne una copia. Ecco perché è meglio intervenire prima di inviare il modulo, anziché dopo.

Come verificare un modulo di iscrizione prima di inviarlo

Prima di premere il pulsante puoi controllare quattro elementi, ognuno dei quali ti fornisce un'informazione specifica.

Il testo del consenso. Controlla se una casella è già selezionata e leggi attentamente a cosa stai davvero acconsentendo. Accettare di ricevere email da un'azienda è diverso dall'accettare che questa possa condividere i tuoi dati con i propri partner.

La sezione sulla condivisione nell'informativa sulla privacy. È qui che l'eventuale condivisione dichiarata viene descritta, oppure non viene menzionata. Un'informativa che specifica le categorie di destinatari fornisce più informazioni di una che si limita a dire che i dati possono essere condivisi con terze parti.

L'identità del mittente. Controlla chi effettivamente invierà le email. Se proverranno da un partner o da una piattaforma anziché dall'azienda di cui stai compilando il modulo, è bene saperlo finché puoi ancora scegliere.

La frequenza dichiarata. Un modulo che specifica cosa invierà e con quale frequenza assume un impegno con cui potrai confrontare i messaggi successivi. Un modulo che non dice nulla, invece, non assume alcun impegno.

Domande frequenti

Annullare l'iscrizione può confermare che un indirizzo è attivo?

Se riconosci il mittente, usa il suo meccanismo per annullare l'iscrizione. Se invece il messaggio è inatteso o sospetto, non fare clic sui link; contrassegnalo come spam o posta indesiderata e, se opportuno, segnalalo come phishing. Per rispondere alla domanda in senso stretto, un link univoco può rivelare che qualcuno ha interagito con il messaggio, mentre il semplice fatto che il messaggio sia arrivato aveva già dimostrato al mittente di disporre di un indirizzo funzionante.

Come posso capire se un mittente ha ottenuto il mio indirizzo da un'altra azienda?

Il solo messaggio potrebbe non permettere di stabilire da dove l'azienda abbia ottenuto l'indirizzo. Ricevere email da un'azienda a cui non hai mai fornito l'indirizzo dimostra che questo è stato acquisito in un passaggio successivo, ma non rivela se sia avvenuto tramite una condivisione dichiarata, un trasferimento, una violazione dei dati o la raccolta da una pubblicazione accessibile al pubblico.

Cambiare casella di posta elimina i dati già conservati da un sito?

No. Passare a un'altra casella di posta cambia soltanto dove arrivano le nuove email. Non modifica ciò che un'azienda ha già memorizzato né revoca il consenso fornito in precedenza. Per rimuovere i dati detenuti da una determinata azienda occorre esercitare un diritto nei suoi confronti, laddove le norme applicabili lo prevedano. Scegliere a quale tipo di casella di posta passare è una decisione a sé, e La scelta tra un alias e una casella di posta separata determina dove arriveranno le email successive.