Compliance CAN-SPAM e GDPR: differenze

Chi invia email marketing internazionali deve rispettare normative diverse. Le più importanti sono CAN-SPAM (USA) e GDPR (UE). Hanno filosofie opposte: CAN-SPAM e opt-out (puoi inviare finché non ti chiedono di smettere), GDPR e opt-in (devi avere consenso esplicito). Vediamo come gestirle in parallelo.

CAN-SPAM Act (USA)

Approvato nel 2003. Permette di inviare email commerciali a chiunque senza consenso preventivo. Richiede: informazioni mittente accurate, oggetto non ingannevole, identificazione come pubblicita, indirizzo fisico nel footer, link unsubscribe funzionante, gestione disiscrizione entro 10 giorni lavorativi. Multe fino a 50.120 dollari per singola violazione.

GDPR (UE)

In vigore dal 2018. Richiede consenso esplicito, informato, libero, revocabile per email marketing. Eccezione soft opt-in: puoi inviare email promo a clienti esistenti per prodotti simili a quelli acquistati, con opt-out facile. Documenta data, ora, fonte, IP del consenso. Sanzioni fino a 20 milioni di euro o 4% del fatturato globale.

Differenze principali

Consenso: USA opt-out, UE opt-in. Documentazione: USA non richiede prove, UE si. Sanzioni: USA per singola email, UE fino al 4% fatturato. Diritti utente: USA si limita all'unsubscribe, UE include accesso, cancellazione, portabilita, rettifica. Trasferimento dati: GDPR vincola trasferimenti extra-UE.

Strategie pratiche per chi invia in entrambi i mercati

Approccio più prudente: adotta GDPR come standard. Se sei compliant GDPR, sei compliant CAN-SPAM (lo standard più alto include il più basso). Segmenta liste per geografia se vuoi ottimizzare separatamente. Per pubblico misto, una sola lista con consenso opt-in conformante GDPR e la scelta vincente.

Altre normative da conoscere

CASL (Canada): simile a GDPR, opt-in esplicito. CCPA/CPRA (California): privacy con elementi di GDPR. UK GDPR: post-Brexit, simile al GDPR EU. LGPD (Brasile): ispirato a GDPR. PDPA (Singapore): mix. Per ogni mercato verifica la normativa specifica.

Procedura passo-passo

1. Identifica i mercati geografici in cui invii.
2. Adotta consenso opt-in per tutti (standard più alto).
3. Aggiungi indirizzo fisico azienda nel footer di ogni email (CAN-SPAM).
4. Includi link unsubscribe visibile (CAN-SPAM + GDPR).
5. Rispondi entro 10gg lavorativi alle disiscrizioni (CAN-SPAM).
6. Documenta consenso GDPR per pubblico UE.
7. Pubblica privacy policy completa con basi giuridiche.
8. Nomina DPO se richiesto.
9. Mantieni registro trattamenti (Art. 30 GDPR).
10. Audit annuale del processo email marketing.

Errori comuni e come risolverli

• Solo CAN-SPAM per pubblico misto: rischi sanzioni GDPR su contatti UE.
• Indirizzo fisico fittizio: deve essere reale per CAN-SPAM, anche un PO Box e accettato.
• Unsubscribe link rotto: violazione grave sia CAN-SPAM sia GDPR.
• Tempi disiscrizione lunghi: max 10gg CAN-SPAM, immediato consigliato GDPR.
• Mancato consenso documentato: senza prove, in caso di reclamo GDPR sei in difficoltà.

Domande frequenti

D: Se ho solo pubblico italiano, GDPR basta?
R: Si, GDPR si applica a chiunque tratti dati di residenti UE.

D: Posso usare soft opt-in in Italia?
R: Si, per clienti esistenti su prodotti simili, ma con opt-out facile.

D: Le sanzioni colpiscono anche PMI?
R: Si, sebbene proporzionali al fatturato. Meglio essere compliance fin dall'inizio.

Hai bisogno di aiuto?

Se vuoi delegare l'email marketing al team di G Tech Group, scrivici tramite il modulo di contatto. Ti aiutiamo con configurazione SMTP, migrazioni, automation e reportistica.