Mancano davvero pochi giorni alla fatidica ora X. Sicuramente il GDPR è uno degli argomenti caldi della primavera.
Molti in queste settimane ci stanno contattando per chiederci cosa devono fare, in particolare in riferimento alla raccolta dei dati ai fini dell'email marketing.

Abbiamo quindi deciso di approntare questa breve guida, con diversi esempi pratici, che speriamo possa essere utile a tutti: aspettiamo ovviamente i vostri commenti in merito e le vostre, ulteriori, domande.

I principi generali della raccolta dati

Ricordiamo che il GDPR è un regolamento generico, che deve fare da base a regolamenti specifici (come quello e-Privacy che arriverà nel 2019): per questo non è così semplice estrarre una lista di comportamenti concreti da tenere.

Parlando di raccolta dati, con lo scopo di creare un database per le nostre azioni di email marketing, dobbiamo tenere conto di alcuni comportamenti da evitare

e di altre pratiche da seguire sempre

Come costruire un form GDPR-Ready: esempi pratici

L'iscrizione diretta alla newsletter

Per creare un semplice form di iscrizione alla newsletter, dobbiamo tenere a mente il principio di minimizzazione richiesto dal GDPR: per inviare la newsletter abbiamo bisogno dell'indirizzo email, chiedere altre informazioni, specie se non giustificate dal trattamento previsto, non è consentito:

La chiarezza è fondamentale: più che il link ad una privacy policy lunga e completa (che comunque è sempre necessario avere), il GDPR punta tutto sulla chiarezza e sulla semplicità. L'utente ad un primo sguardo deve sapere come verranno usati i suoi dati, perché e come far valere i suoi diritti (ad esempio come cancellarsi).
In questo caso non è previsto nessun checkbox: il modulo ha un unico scopo, l'iscrizione ad un database per ricevere la newsletter settimanale. Un checkbox non è quindi di alcuna utilità, in quanto il trattamento previsto è uno solo e il click sul tasto iscriviti è da considerarsi un atto positivo e volontario.

Ricordiamo, come detto sopra, il concetto di minimizzazione dei dati: dovremo richiedere unicamente dati utili al singolo trattamento effettuato:

In questo caso la richiesta dell'indirizzo di residenza è inappropriata: non è chiaro in che modo un riferimento di questo genere potrebbe essere relativo al trattamento proposto (l'uso dei dati per l'invio di una newsletter settimanale).
Se anche volessimo segmentare la nostra lista, ad esempio, per provincia, dovremmo informare l'utente e chiedere unicamente la provincia di residenza.

Raccogliere il consenso per l'invio di newsletter e di email automatizzate

Un trattamento, un consenso.

Non si scappa: il GDPR, fumoso sotto molti aspetti, su questo è estremamente chiaro.
Se stiamo usando un singolo modulo per chiedere all'utente il permesso di inviare una newsletter alla settimana e contemporaneamente iscriverlo ad una serie di email promozionali automatizzate in base alla sua navigazione e al suo comportamento, dovremo prevedere un doppio checkbox.

Non è considerato invece corretto aggregare i due consensi, in questo modo:

In questo caso i due consensi vengono a mischiarsi, invalidandosi l'uno con l'altro: come detto sopra, un trattamento, un consenso.

Iscrizione ad un sito/servizio e invio newsletter

Anche in questo caso siamo di fronte ad una doppia richiesta di consenso, per due trattamenti completamente diversi.

La situazione è un po' dissimile dalla precedente, in quanto prima potevamo liberamente scegliere se prestare il consenso per uno dei due trattamenti, oppure per entrambi.

Nel caso invece di un modulo il cui scopo primario sia la registrazione ad un servizio/sito, bisogna presupporre che il trattamento specifico per questo scopo non sia facoltativo: in parole povere, se ti vuoi iscrivere al sito, devi acconsentire per forza che i tuoi dati siano trattati.

Negli anni precedenti si è fatto un abuso di checkbox "obbligatori", che dovevano venir spuntati per forza per iscriversi ad un qualunque sito; questo abuso, oltre ad essere inutile ai fini dell'ottemperanza alla normativa, ha avuto l'effetto di assuefare l'utente a selezionare qualunque checkbox, pur di non correre il rischio di ricompilare il modulo o parte di esso.

Questo significa che, nei fatti, questo abuso ha avuto lo stesso effetto anestetizzante del cookie banner, per cui la gente non si domanda neppure più cosa significhino le varie spunte.

Con l'avvento del GDPR sarebbe opportuno aggiustare questa pratica. Il modulo corretto, nel caso volessimo usare il form di iscrizione al sito per raccogliere consensi per la nostra newsletter, è questo:

Come è facile vedere, non è prevista alcuna spunta per la creazione dell'account: sarebbe un controsenso, il trattamento dei dati per la creazione è esplicitato e non c'è maniera di creare un account opponendosi al trattamento specifico e minimo.

Diverso il discorso per i due trattamenti "opzionali", quello relativo all'iscrizione alla newsletter e quello specifico per gli automatismi.

In questo caso vengono proposti tutti e due senza spunta preventiva (altro concetto fondamentale del GDPR è la Privacy by Default, quindi di base diamo per scontato che l'utente non acconsenta al trattamento).

Non è possibile invece usare le "spunte in opposizione", usate spesso nei siti statunitensi: l'azione richiesta deve essere diretta e positiva, per cui giri di parole come questo, non sono ammessi:

Scarica ora l'Ebook, ovvero gioie e dolori di Lead Magnet e GDPR

Uno degli strumenti più rapidi per rimpinguare velocemente le proprie liste di email è quello, oramai stra-abusato, dei cosiddetti Lead Magnet, ovvero "dammi l'email, in cambio ti do un regalo".

La versione più diffusa di questo approccio è quella dell'ebook; sono migliaia, anche in Italia, i siti di ogni genere, soprattutto legati al mondo dei consulenti marketing e delle vendite online, ma non solo, che basano la propria strategia di list building su questo semplice espediente: mi dai l'email, ti mando il link dell'ebook da scaricare, poi comincio a scriverti (quasi) quotidianamente.

Abbiamo detto che per il GDPR è fondamentale che ad un trattamento corrisponda un consenso.

Un ipotetico modulo per la ricezione dell'ebook di base deve prevedere che il consenso prestato riguardi solo e unicamente la ricezione dello specifico ebook.

Questo significa che, una volta inviata l'email con l'ebook, o il link all'ebook, non potrò in nessun caso inviarne altre (escludendo, probabilmente, eventuali aggiornamenti dello stesso ebook, fermo restando che per il GDPR il trattamento, oltre ad essere specifico, deve avere un termine temporale preciso, per cui è ipotizzabile che il trattamento dati per il download di un ebook termini quando questo compito è stato portato a termine).

Dunque, anche in questo caso, per raccogliere il consenso per eventuali ulteriori comunicazioni oltre quelle necessarie al download dell'ebook, dovremo prevedere spunte separate.

Chiaramente, come già detto, non è possibile invece accorpare trattamenti diversi:

Anche in questo caso, il form non soddisfa le caratteristiche minime richieste dal GDPR (consenso libero, non vincolato, espresso con azione positiva inequivocabile).

Allora è proprio un inferno!

No, non lo è, nella maniera più assoluta. Le regole espresse sopra non sono in alcun modo novità: nella maggior parte dei casi sono best practice ben conosciute e consigliate da anni.

Da queste pagine abbiamo sempre predicato la massima chiarezza e trasparenza nella creazione delle proprie liste, non tanto (o forse sarebbe meglio dire non solo) per questioni legali, quanto per efficacia e valore della lista stessa.

L'email marketing è marketing di relazione, per iniziare una relazione correttamente, la chiarezza è fondamentale.

Ricevere email da parte di mittenti non conosciuti, o che non siamo in grado di riconoscere, perché magari il nostro consenso è stato raccolto nell'ambito di un concorso che non riconducibile al mittente delle email successive, non può portare a nulla di costruttivo, anzi, spesso porta a segnalazioni di abuso, con conseguenze pesanti sulla nostra deliverability.

Il concetto è semplice: se raccoglievate i consensi in maniera corretta secondo la vecchia normativa (e con un po' di buon senso), gli aggiustamenti che dovrete operare saranno minimali, e riguarderanno i riferimenti di legge, la riscrittura di alcune frasi, perché siano più chiari e comprensibili i termini base dei vari trattamenti e nulla di più.

In caso contrario sarà un'ottima occasione per fare piazza pulita di contatti reperiti alla meno peggio e cominciare a costruire una vera lista di valore.