Double Opt-in: da best practice a standard probatorio obbligato

La prassi del double opt-in non è più una scelta di stile nella gestione del consenso marketing: è diventata lo standard probatorio minimo imposto dall’evoluzione giurisprudenziale italiana e dal consolidamento degli orientamenti delle principali autorità europee di protezione dei dati.

Cinque provvedimenti del Garante italiano (2017–2025) — corredati di sanzioni fino a circa 800.000 euro — e la recente sanzione della CNIL da 900.000 euro (maggio 2025) rendono urgente un aggiornamento delle procedure di raccolta del consenso. Il presente articolo analizza il quadro normativo, la casistica sanzionatoria e fornisce una checklist operativa per i reparti legal e marketing.

Per anni le aziende hanno trattato il double opt-in come una scelta aziendale facoltativa: utile a ridurre i bounce rate, a tenere pulite le liste contatti, ma non strettamente necessaria sul piano giuridico. Questa lettura era, e rimane, tecnicamente difendibile sul piano letterale: il Regolamento (UE) 2016/679 (GDPR) non contiene, infatti, alcuna disposizione che imponga espressamente la doppia conferma del consenso. Tuttavia, l’evoluzione della giurisprudenza delle autorità di controllo ha progressivamente svuotato questa distinzione di ogni rilevanza pratica.

Il fulcro del cambiamento risiede nell’art. 7, par. 1 del GDPR, che pone sul Titolare del trattamento l’onere della prova del consenso. Il principio di Accountability (art. 5, par. 2 GDPR) radicalizza questa impostazione: non è sufficiente aver ottenuto il consenso, occorre essere in grado di dimostrarlo in modo circostanziato. In questo quadro, il double opt-in cessa di essere una best practice e diventa il meccanismo probatorio più robusto - e spesso l’unico ritenuto sufficiente - per documentare la volontà effettiva dell’interessato.

L’orientamento del Garante italiano è lineare e risalente nel tempo. Già con il Provvedimento n. 437 del 26 ottobre 2017, l’Autorità aveva chiarito che il solo indirizzo IP registrato in fase di raccolta dei dati “non consente di affermare univocamente la riconducibilità del consenso all’interessato”, indicando il double opt-in - tramite e-mail di conferma o click su apposito link - come misura idonea a garantire un maggior grado di certezza circa la genuinità del consenso. 

Questo principio è stato ribadito senza soluzione di continuità nel Provvedimento n. 413 del 25 novembre 2021 (sanzione 400.000 euro) e nel Provvedimento n. 429 del 15 dicembre 2022 (sanzione 100.000 euro): in entrambi i casi, la documentazione del consenso tramite il solo log IP è stata considerata insufficiente a certificare la volontà inequivocabile degli interessati.

Il triennio 2023–2025 ha consolidato e inasprito questo orientamento. Con il Provvedimento n. 553 del 12 settembre 2024 (sanzione 842.062 euro) il Garante ha introdotto un elemento tecnico di rilievo: i file di log risultati modificabili sono stati ritenuti inidonei a comprovare in modo inequivocabile la volontà degli interessati. Il Provvedimento richiama esplicitamente il Codice dell’Amministrazione Digitale (CAD, d.Lgs. 82/2005) e le Linee guida AgID del maggio 2021 sulla formazione e conservazione dei documenti informatici, imponendo che i log siano prodotti e conservati in modo da garantirne l’immodificabilità e l’integrità. Con il Provvedimento n. 774 del 12 dicembre 2024 (sanzione 347.520 euro), il Garante ha ulteriormente chiarito che la mera legenda degli IP timestamp, priva delle formule di richiesta del consenso e delle informative rese agli interessati, non è nemmeno in grado di distinguere la data del singolo consenso dalla data di iscrizione al servizio.

Il Provvedimento n. 330 del 4 giugno 2025 (sanzione 45.000 euro) chiude il cerchio, qualificando espressamente il double opt-in come “misura minima di protezione per l’interessato ma anche per lo stesso titolare, tenuto a comprovare la licità del trattamento”. L’Autorità precisa però che tale nozione non si riferisce al double opt-in in quanto tale, bensì al complesso di garanzie tecniche e probatorie equivalenti che esso è in grado di offrire: verifica dell’effettiva disponibilità dell’indirizzo, attribuzione univoca dell’azione di conferma, documentazione delle fasi temporali e collegamento certo con la preventiva consultazione dell’informativa.

Il panorama europeo è coerente e in alcuni casi più severo. In Germania, il Bundesgerichtshof (BGH) aveva già stabilito con la sentenza del 10 febbraio 2011 (I ZR 164/09) che ilsemplice salvataggio di un indirizzo IP non costituisce prova sufficiente del consenso e che il double opt-in rappresenta lo strumento idoneo a dimostrare la volontà inequivocabile dell’interessato. Questo orientamento è stato recepito e sistematizzato nelle Linee guida DSK 2022 (ossia della Conferenza federale e statale delle Autorità di protezione dei dati), che hanno consolidato il double opt-in come requisito standard per il marketing elettronico, precisando però che le procedure basate su codici inviati via SMS o telefonata presentano in genere bassa forza probatoria, in quanto facilmente falsificabili. La Germania rappresenta quindi il caso più avanzato: qui il double opt-in si è di fatto imposto come standard giuridicamente necessario.

In Francia, la CNIL ha irrogato nel maggio 2025 la sanzione più elevata nel panorama europeo del settore: 900.000 euro (Provvedimento SAN-2025-001 del 15 maggio 2025) a carico di un operatore che non è stato in grado di produrre le evidenze del consenso acquisito tramite un partner contrattualmente incaricato della raccolta. Il caso è emblematico: la delega della raccolta del consenso a terzi non esonera il Titolare dall’obbligo di disporre delle prove.

Nel Regno Unito, l’ICO ha sanzionato con oltre 100.000 sterline per l’invio di milioni di e-mail di marketing, accertando che il titolare non era stato in grado di dimostrare che tutti i destinatari avessero prestato un’“azione positiva inequivocabile”, nonostante l’utilizzo di checkbox non preselezionate.

L’AEPD spagnola ha adottato un approccio formalmente non cogente, ma ha ordinato in sede di enforcement (Resolución n. 00022-2019) l’adozione di meccanismi di consenso conformi, evidenziando i rischi dell’assenza di double opt-in nella raccolta di indirizzi e-mail di terzi.

Riguardo alle alternative tecniche, una precisazione è d’obbligo. Il Codice di Condotta Telemarketing ammette in alternativa all’e-mail l’utilizzo di un SMS di conferma (art. 6), purché garantisca un livello di affidabilità equivalente. Tuttavia, le Linee guida DSK 2022 avvertono che i meccanismi di double opt-in basati su codici SMS o telefonate presentano in genere bassa forza probatoria, in quanto più facilmente falsificabili rispetto alla conferma via e-mail. L’alternativa SMS è dunque da valutare con cautela, documentando esplicitamente le ragioni per cui si ritiene garantito il livello di affidabilità equivalente richiesto.

Alla luce del quadro descritto, le organizzazioni sono chiamate ad agire con urgenza sui seguenti fronti:

■ Revisione dei form di iscrizione: verificare che tutti i punti di raccolta del consenso (siti web, landing page, app, totem fisici) adottino il meccanismo di double opt-in con check-box non preselezionate, e che l’informativa sia realmente contestuale e accessibile, non relegata a un link in fondo pagina.

■ Audit delle liste contatti esistenti: per i database costruiti con single opt-in o con meccanismi di consenso non verificati, valutare se il livello di prova documentale disponibile sia sufficiente. In mancanza, pianificare una campagna di ri-consenso (re-opt-in) prima di avviare ulteriori attività di marketing.

■ Immodificabilità e conservazione dei log: predisporre un sistema di log strutturato che tracci l’intera sequenza del double opt-in in modo immodificabile, con retention adeguata al periodo di prescrizione delle contestazioni amministrative (5 anni). I file Excel o sistemi privi di protezione dall’integrità sono esplicitamente insufficienti. L’integrazione con sistemi di firma elettronica o marcatura temporale AgID/CAD è raccomandata come misura rafforzativa.

■ Tracciamento versioni di informative e formule di consenso: come precisato nel Provv. n. 553/2024, non è sufficiente produrre screenshot privi di data. Occorre conservare lo storico delle versioni dei form e delle informative con marcatura temporale verificabile, in modo da dimostrare che il testo visualizzato dall’utente al momento della raccolta coincidesse con quello attuale.

■ Aggiornamento dei contratti con i fornitori: il caso CNIL/SOMS (2025) è un monito diretto: la delega contrattuale della raccolta del consenso non esonera il Titolare. I contratti ex art. 28 GDPR con partner di lead generation devono esplicitamente imporre il double opt-in, prevedere obblighi di conservazione e trasmissione dei log, e includere clausole di audit.

■ Formazione dei team marketing e CRM: i responsabili delle campagne devono comprendere che il consenso non è un dato statico ma un’evidenza probatoria dinamica: va preservata per l’intera durata del trattamento e deve resistere a un eventuale accertamento ispettivo.

■ Valutazione delle alternative tecniche con cautela: per i canali SMS, tenere conto dell’avvertimento DSK 2022 sulla minore forza probatoria dei codici via SMS rispetto alla conferma via e-mail. L’eventuale scelta dell’alternativa SMS deve essere motivata e documentata nel Registro delle Attività di Trattamento.

In sintesi, il double opt-in non è un adempimento meramente tecnico, ma uno strumento di mitigazione del rischio sanzionatorio. Alla luce dell’attuale orientamento delle Autorità - consolidato in Italia dal 2017 e convergente a livello europeo con un trend sanzionatorio in crescita - la mancata adozione di un sistema probatoriamente solido espone l’impresa a un rischio economico e reputazionale non trascurabile, che merita una valutazione esplicita in sede di governance. Al contrario, adottando queste misure, le organizzazioni non solo si allineano alle normative vigenti, ma costruiscono anche una relazione di fiducia con i propri utenti, fondamentale nel contesto del marketing digitale.

_______

*Nadia Martini, head of data protection, cybersecurity & innovation, avvocato e partner Rödl