Il doppio opt-in (DOI) è un’iscrizione in due tempi: l’indirizzo inserito in un modulo entra nella lista solo dopo il clic sul link di una email di conferma. Né il GDPR né la CNIL lo impongono. Questa guida riporta la regola giuridica esatta, i campi da archiviare come prova, un modello di email da copiare e il metodo per migrare una base esistente, con un albero decisionale che mette a confronto DOI e opt-in semplice e aggiunge la verifica degli indirizzi.
La guida copre anche la configurazione in Brevo, Mailchimp, HubSpot e ActiveCampaign.
Il percorso di iscrizione, dall’inserimento alla lista attiva
Il DOI si svolge in cinque passaggi. La persona ne vede solo tre.
- Il visitatore inserisce il proprio indirizzo in un modulo e spunta una casella di consenso, vuota per impostazione predefinita.
- Lo strumento di emailing crea il contatto con stato «in attesa» (pending) e non gli associa alcuna campagna.
- Entro un minuto parte una email di conferma, con un link monouso.
- Il clic attiva il contatto. Lo strumento registra data, ora e IP del clic.
- Compare una pagina di ringraziamento, seguita dall’email di benvenuto.
Stato in attesa e scadenza del link
Un contatto «in attesa» non riceve nessuna campagna, nemmeno la newsletter dello stesso giorno. Il link di conferma ha una durata di validità che ogni strumento fissa a modo suo: rileggete la sua documentazione prima di promettere un termine (il modello più sotto indica 48 ore, da adattare). Scaduto il termine, il visitatore deve ripassare dal modulo. Una durata troppo breve fa perdere chi apre le email la sera o il giorno dopo.
Opt-in semplice e opt-out: le altre due modalità
L’opt-in semplice (single opt-in, SOI) convalida l’iscrizione appena il modulo viene inviato. Non parte nessuna email di conferma e il visitatore riceve la prima campagna senza altri gesti. Il consenso esiste davvero. Nulla dimostra però che l’indirizzo appartenga a chi lo ha digitato.
L’opt-out ribalta la logica: l’azienda scrive finché il destinatario non rifiuta. La CNIL riassume l’opt-in in una frase («se non ha detto sì, è no»), il che esclude l’opt-out nella prospezione verso il grande pubblico. Ogni messaggio deve contenere un link di disiscrizione funzionante, e l’uscita dalla lista deve essere immediata, senza riconferma.
Confronto: conferma, anti-bot e prova
Le due modalità si distinguono su sei criteri, dal numero di iscritti alla prova in caso di controllo.
| Criterio | Opt-in semplice | Doppio opt-in |
|---|---|---|
| Iscritti conservati | 100 % degli invii validi | Solo chi clicca (39 % per Mailchimp nel 2017) |
| Errori di battitura (gmial.com) | Entrano nella lista | Bloccati: l’email di conferma non arriva da nessuna parte |
| Robot che compilano il modulo | Entrano nella lista | Restano «in attesa» |
| Prova del consenso | Casella spuntata e log del modulo | Casella spuntata e clic con data e ora dalla casella dell’iscritto |
| Attrito per l’iscritto | Un gesto | Un gesto, più una email da aprire |
| Rischio di bounce all’iscrizione | Alto senza controllo dell’indirizzo | Basso all’iscrizione, torna con il tempo |
L’ultima riga va sfumata: il rischio ritorna più tardi, come spiega la sezione sui rimbalzi.
Tasso di conferma atteso
Circola una sola statistica rintracciabile: 39 % di conferma, cioè 61 % di abbandono, comunicato da John Foreman, Chief Data Scientist di Mailchimp, nell’ottobre 2017 per giustificare il passaggio del single opt-in a impostazione predefinita dal 31 ottobre 2017 (i moduli esistenti dei clienti con sede nell’UE sono rimasti in DOI, per timore del GDPR). Il dato proviene da una ripresa del blog tedesco emailmarketingtipps.de, perché la pagina originale di Mailchimp è sparita: leggetelo come un ordine di grandezza del 2017, non come un riferimento attuale. Le forbici dal 50 all’80 % che circolano sui blog dei fornitori non poggiano su alcuno studio pubblicato.
Su 10.000 iscrizioni mensili, un tasso del 39 % lascia 3.900 contatti attivi. Misurate il vostro: conferme divise per iscrizioni su 30 giorni, per fonte di traffico, perché il tasso cambia da un modulo all’altro.
Anti-bot: DOI, CAPTCHA e honeypot
Un CAPTCHA (reCAPTCHA di Google, hCaptcha, Cloudflare Turnstile) o un campo trappola (honeypot) ferma il robot prima dell’invio dell’email. Il DOI lo ferma dopo: il robot resta «in attesa». Solo il DOI costa un invio per robot, e sui grandi volumi pesa. I due metodi si sommano senza problemi.
Cosa dicono il GDPR, la CNIL e il CPCE
La regola sta in una riga: un atto positivo della persona, più la capacità di dimostrarlo. Nessun testo consultato prescrive la conferma via email.
Articolo 7 e considerando 32
L’articolo 7 del GDPR (regolamento (UE) 2016/679, applicabile dal 25 maggio 2018) impone al titolare del trattamento di poter «dimostrare che l’interessato ha prestato il proprio consenso». Il considerando 32 definisce il consenso un atto positivo inequivocabile ed esclude il silenzio, le caselle preselezionate e l’inattività. Il DOI soddisfa entrambi i requisiti senza imporli: il clic è un atto positivo e lascia una traccia.
Nella sua pagina sulla raccolta del consenso (pubblicata il 3 agosto 2018, aggiornata nel 2026), la CNIL aggiunge che il consenso deve essere libero, specifico, informato, univoco. Il titolare deve anche poterlo dimostrare in ogni momento, per esempio con un registro dei consensi. Per la prospezione via email chiede una casella dedicata e non preselezionata: accettare le condizioni generali non basta. Nessuna delle pagine CNIL consultate menziona il doppio opt-in.
Prospezione via email: l’articolo L34-5 del CPCE
In Francia l’articolo L34-5 del Codice delle poste e delle comunicazioni elettroniche (CPCE) pone, dalla legge per la fiducia nell’economia digitale del 21 giugno 2004, il principio del consenso preventivo per la prospezione via email verso le persone fisiche. Il quadro GDPR dell’email marketing ne illustra le conseguenze per le vostre campagne. All’origine di questa regola c’è la direttiva europea 2002/58/CE (ePrivacy).
Prova del consenso: i campi da archiviare
Un clic di conferma vale solo se è rintracciabile. Per ogni contatto conservate:
- data e ora dell’inserimento, poi quelle del clic di conferma;
- l’indirizzo IP associato a ciascuno dei due passaggi;
- il testo esatto della casella di consenso e la versione del modulo mostrata;
- l’URL della pagina di iscrizione e la fonte di traffico;
- l’identificativo dell’email di conferma inviata.
Brevo precisa nel suo aiuto che il DOI non è richiesto dal GDPR ma aiuta a provare l’iscrizione, grazie ai registri degli eventi e alle email transazionali. Verificate che il vostro strumento esporti questi campi: un registro chiuso dentro la piattaforma sparisce insieme al vostro abbonamento.
Casi in cui il consenso preventivo non è richiesto
La pagina della CNIL sulla prospezione via posta elettronica (giugno 2026) descrive due eccezioni principali. La prima: scrivete a un cliente per prodotti o servizi analoghi a quelli già acquistati, dopo avergli offerto fin dalla raccolta la possibilità di opporsi (il «soft opt-in» degli anglosassoni). La seconda: la prospezione non commerciale. Nel B2B la CNIL ammette la prospezione sulla base del legittimo interesse: l’invio a un indirizzo professionale è possibile se il messaggio ha attinenza con la funzione della persona e se questa è stata informata e poteva rifiutare fin dalla raccolta. Per gli indirizzi generici delle persone giuridiche (info@, contact@, commande@), la CNIL precisa che non sono soggetti a questi principi. In tutti questi casi il DOI resta facoltativo.
Il caso tedesco
Il 10 febbraio 2011, nella sentenza «Double-Opt-in-Verfahren» (I ZR 164/09), la Corte federale di giustizia tedesca (BGH) ha stabilito che, ricevuta la conferma, si può ritenere che la richiesta provenga davvero dall’indirizzo indicato. Il consenso è allora documentato a sufficienza. Il testo della sentenza precisa anche che l’inserzionista deve conservare la dichiarazione e poterla stampare.
Un limite importante: la sentenza rientra nel diritto tedesco della concorrenza sleale (UWG) e non nel GDPR. Il DOI via email non prova un consenso a telefonate. Nessuna legge tedesca lo impone. È l’onere della prova, a carico dell’inserzionista, a renderlo indispensabile nei fatti per chi invia verso la Germania.
Configurare la conferma nel vostro strumento
L’impostazione cambia livello da uno strumento all’altro: alcuni la attivano per tutto il pubblico, altri modulo per modulo. Le etichette dei menu cambiano spesso, cercatele nella sezione moduli o pubblico del vostro account.
| Strumento | Livello dell’impostazione | Da controllare prima di attivare |
|---|---|---|
| Brevo | Modulo di iscrizione | Modello dell’email di conferma e lista di destinazione dei contatti confermati |
| Mailchimp | Pubblico (impostazioni del pubblico) | Da ottobre 2017 il single opt-in è l’impostazione predefinita dei nuovi moduli (i moduli esistenti dei clienti UE sono rimasti in DOI) |
| HubSpot | Impostazioni email (intero account); per modulo con Marketing Hub Professional o Enterprise | Modello dell’email di conferma: HubSpot non invia alcuna marketing email al contatto finché non ha confermato |
| ActiveCampaign | Modulo di iscrizione (azione «iscrivi a una lista») | Il DOI è attivo per impostazione predefinita: controllare il messaggio mostrato e il modello dell’email di conferma |
Scrivere l’email di conferma
L’email di conferma è essa stessa un messaggio delicato: se l’iscrizione non è dimostrata, l’OLG München l’ha trattata come pubblicità (vedi le FAQ). Tenetela rigorosamente transazionale: un oggetto chiaro, una frase di contesto, un pulsante, nessuna offerta. Ecco un modello.
Oggetto: Conferma la tua iscrizione alla newsletter di [Marchio]
Buongiorno,
Hai appena chiesto di ricevere la newsletter di [Marchio] con l’indirizzo [indirizzo]. Clicca sul pulsante qui sotto per confermare. Il link resta valido 48 ore.
[Pulsante: Conferma la mia iscrizione]
Se non hai fatto tu questa richiesta, ignora questo messaggio: nessuna iscrizione verrà registrata.
[Marchio], [indirizzo postale], [indirizzo di risposta monitorato]
Spedite l’email da un indirizzo che riceve le risposte. Bandire l’indirizzo noreply permette a un iscritto indeciso di scrivervi invece di segnalare il messaggio come spam.
Pagina di ringraziamento, email di benvenuto e sollecito
La pagina di ringraziamento dopo il clic conferma l’iscrizione, annuncia la frequenza degli invii e ricorda come disiscriversi. L’email di benvenuto parte subito dopo e mantiene il primo impegno annunciato (la guida promessa, il codice sconto). È il primo segnale positivo rivolto ai provider di posta.
Il sollecito: un solo promemoria a 24 ore per i contatti «in attesa», poi cancellazione dopo sette giorni. Un secondo promemoria aumenta il rischio di segnalazione come spam da parte di una persona che non ha confermato nulla.
Migrare una base in opt-in semplice
Passare al DOI non rende retroattivamente valida una base documentata male. Fate prima una cernita: i contatti di cui avete data di raccolta e fonte restano attivi, a condizione di ritrovare anche il testo esatto del consenso. Agli altri inviate una richiesta di riconferma a un campione di 1.000 contatti, misurate il tasso di clic, poi estendete a ondate da 5.000 a 10.000 contatti. Prima di questo invio, pulite la vostra lista di email: gli indirizzi morti non confermeranno mai e gonfiano artificialmente l’abbandono.
Un indirizzo confermato può comunque diventare un bounce
Il clic prova che qualcuno controlla la casella nel momento del clic. Non dice nulla sullo stato di quella casella sei mesi dopo. È qui che la deliverability di una lista «pulita» si degrada.
Diversi casi superano il doppio opt-in senza intoppi. Un indirizzo professionale sparisce quando il titolare lascia l’azienda: la casella restituisce allora un NDR (Non-Delivery Report) con codice SMTP 550 5.1.1 («utente sconosciuto»), cioè un hard bounce definitivo. Un dominio catch-all accetta tutti i messaggi, anche per caselle inesistenti: il clic può venire da uno strumento e non da una persona. Un indirizzo abbandonato può inoltre essere riciclato come trappola per spam da certi operatori. Un invio a una trappola pesa sulla sender reputation.
Ogni caso si misura: tenete d’occhio il tasso di hard bounce nei vostri report e il tasso di segnalazioni spam in Google Postmaster Tools, lato Gmail.
Il controllo dell’indirizzo interviene in due momenti distinti. All’inserimento, una verifica via API controlla il dominio (DNS, MX), testa la casella con una connessione SMTP e propone una correzione in caso di errore di battitura, prima dell’invio del link di conferma: nessuna email parte verso «gmial.com». Secondo la documentazione dell’API, una verifica SMTP completa dura circa 3 secondi: prevedete un timeout di 20 secondi e trattate ogni superamento come un risultato «unknown». Prima di una campagna, una verifica della base segnala gli indirizzi non validi e i catch-all a rischio. Questo controllo non garantisce nulla per il futuro: una casella valida oggi può sparire domani, ed è per questo che conviene ripeterlo prima delle grosse campagne invece di farlo una volta per tutte.
Albero decisionale: DOI, opt-in semplice o verifica
- Inviate verso la Germania o vi manca la prova sulle iscrizioni: DOI, con i campi di prova della sezione precedente.
- Il vostro modulo è un lead magnet B2B e ogni lead alimenta una sequenza commerciale: opt-in semplice, più verifica dell’indirizzo all’inserimento, perché perdere fino al 61 % degli iscritti (il dato Mailchimp del 2017) può costare più del rischio di un errore di battitura.
- Il vostro modulo è aperto al grande pubblico e i robot lo attaccano già: DOI o CAPTCHA, poi verifica prima della prima campagna.
- Importate una base acquistata o ripresa da un partner: nessuno dei tre sostituisce un consenso ottenuto alla fonte. Non importatela.
- Scrivete ai vostri clienti per prodotti analoghi: consenso non richiesto nell’ambito dell’eccezione, DOI facoltativo, verifica prima dell’invio.
Domande frequenti sul doppio opt-in
L’email di conferma conta come prospezione? In Germania l’OLG München (27 settembre 2012, 29 U 1682/12) l’ha equiparata a semplice pubblicità quando viene inviata senza consenso preventivo. Limitatela a una richiesta di conferma, senza contenuto promozionale. Scrivete una volta sola.
Il DOI vale come consenso a chiamate e SMS? No per il telefono: il BGH ha giudicato nel 2011 che la conferma via email non prova un consenso alle chiamate. Raccogliete un consenso distinto per ogni canale.
Per quanto tempo conservare la prova? La CNIL non indica alcuna durata nelle sue pagine sul consenso. Conservatela finché la persona resta iscritta e per il tempo necessario a rispondere a una contestazione, poi fate validare la durata dal vostro responsabile della protezione dei dati.
Come evitare le false conferme? Alcuni filtri di sicurezza aziendali aprono i link delle email prima del destinatario e convalidano un contatto a sua insaputa. Fate cliccare su un pulsante della pagina di arrivo prima di attivare il contatto, invece di attivarlo al semplice caricamento del link.
Un modulo lead magnet B2B richiede il DOI? No: basta una casella non preselezionata o l’eccezione B2B descritta sopra. Il DOI serve lì a rendere affidabile l’indirizzo, e un controllo dell’indirizzo all’inserimento risponde a costo minore.
