Newsletter: come si raccoglie un indirizzo email senza sbagliare

Decidere di aprire una newsletter è la parte facile: la domanda vera, affrontata in quando ha senso raccogliere iscritti, riguarda cosa raccontare con regolarità a chi è già cliente. Una volta presa quella decisione, resta un passaggio che si tratta spesso come un dettaglio tecnico e invece non lo è: come si raccoglie l'indirizzo email. Un modulo di iscrizione sbagliato non produce solo una lista più corta: produce un consenso che, se qualcuno lo contesta, non si riesce a dimostrare.

Il consenso serve quasi sempre, e l'eccezione è più stretta di quanto sembri

La regola di fondo, scritta nell'articolo 130 del Codice privacy (D.Lgs. 196/2003), è che inviare comunicazioni commerciali via email richiede il consenso preventivo di chi le riceve. Esiste un'eccezione, nota come soft spam, prevista dal comma 4 dello stesso articolo: non serve il consenso quando il titolare usa l'indirizzo email che una persona gli ha fornito nel contesto di una vendita vera e propria, per proporle prodotti o servizi analoghi ai propri, a condizione che quella persona sia stata informata della possibilità di opporsi, al momento della raccolta e in ogni comunicazione successiva, e non lo abbia fatto (fonte: Garante per la protezione dei dati personali, Linee guida del 4 luglio 2013 in materia di attività promozionale e contrasto allo spam, punto 2.7, consultate il 27 ottobre 2026).

Il punto che conta per chi apre una newsletter oggi è dove finisce questa eccezione. La Cassazione, con la sentenza n. 7555 del 15 marzo 2023, ha confermato una sanzione del Garante a un sito che aveva inviato email promozionali a persone registrate solo per una prova gratuita, stabilendo che il soft spam presuppone un rapporto contrattuale a titolo oneroso, cioè una vendita conclusa, e non si estende a chi si è semplicemente registrato o ha usato un servizio gratuito. In pratica: per un modulo di iscrizione nuovo, senza un acquisto già avvenuto alle spalle, questa eccezione quasi mai si applica. Va trattata come un caso limite per clienti che hanno già comprato qualcosa, non come la via più semplice per aprire una newsletter.

Cosa non vale come consenso

Il GDPR definisce il consenso come una manifestazione di volontà libera, specifica, informata e inequivocabile, espressa con un'azione positiva (articolo 4, punto 11). Il considerando 32 lo dice in modo esplicito: silenzio, inattività o una casella già spuntata non equivalgono a un consenso valido. La Corte di giustizia dell'Unione europea lo ha applicato nella causa C-673/17, la sentenza Planet49 del 1° ottobre 2019, giudicando non valida una casella di consenso ai cookie preselezionata per impostazione predefinita: lo stesso standard, un gesto attivo e non un'omissione, regola qualunque consenso chiesto sotto il GDPR, compreso quello per ricevere una newsletter.

C'è un secondo errore comune, più sottile: raccogliere il consenso alla newsletter insieme ad altre richieste, dentro un'unica casella che copre anche offerte commerciali o profilazione. L'articolo 7, paragrafo 2, del GDPR chiede che, quando il consenso è raccolto insieme ad altro, la parte che lo riguarda sia distinguibile dal resto, scritta in un linguaggio chiaro e comprensibile. Una casella sola che mette insieme finalità diverse non soddisfa il requisito di specificità: ogni scopo distinto ha bisogno della sua richiesta separata.

Come si dimostra, se qualcuno lo contesta

L'onere della prova sta su chi invia le email, non su chi le riceve: lo stabiliscono il principio di accountability dell'articolo 5, paragrafo 2, e l'articolo 7, paragrafo 1, del GDPR, che impone al titolare di poter dimostrare che il consenso è stato prestato. Il Garante ha reso concreto questo principio con il provvedimento n. 330/2025 del 4 giugno 2025, sanzionando con 45.000 euro un rivenditore online di auto che inviava email promozionali senza poter dimostrare un consenso valido: i soli file di log del modulo di iscrizione, usati dall'azienda come prova, sono stati giudicati insufficienti perché facilmente disconoscibili dall'interessato e privi di garanzie di immodificabilità. Il Garante ha indicato il doppio opt-in, cioè l'invio di un'email di conferma che la persona deve aprire e confermare attivamente dopo essersi iscritta, come misura minima di garanzia per poter dimostrare il consenso in caso di contestazione.

Non è un obbligo scritto in una norma per ogni singolo invio commerciale: è la misura che l'autorità ha riconosciuto adeguata quando il consenso finisce sotto esame. Per chi apre un modulo di iscrizione oggi, è comunque il punto di partenza più sicuro, perché costa poco da impostare e vale come prova proprio nel momento in cui servirebbe di più.

Cosa serve, in pratica

Mettendo insieme i punti precedenti, un modulo di iscrizione corretto ha: una casella dedicata solo alla newsletter, non preselezionata e non condivisa con altre finalità; un testo chiaro su cosa riceverà chi si iscrive e con quale frequenza; un'email di conferma da aprire e confermare prima che l'indirizzo entri davvero in lista; e la conservazione di data, ora e versione del testo di consenso mostrato al momento dell'iscrizione, utile proprio se in futuro qualcuno nega di essersi iscritto. Questo consenso riguarda l'invio delle email: non sostituisce l'informativa privacy generale del sito, che va comunque scritta a partire da un elenco preciso di cosa raccoglie ogni modulo, newsletter inclusa.

Il modulo, impostato così, è quasi sempre la parte più veloce da sistemare. Quello che richiede più attenzione è decidere, caso per caso, dove va la casella, cosa dice il testo accanto e come si conserva la prova dell'iscrizione: scrivimi e vediamo insieme come impostarlo per il tuo sito.