Usare Mailchimp nel rispetto della protezione dei dati

Mailchimp (Intuit Inc., USA) tratta indirizzi e-mail, comportamento di apertura e clic e integra nelle e-mail un pixel di conteggio. Il servizio necessita di un consenso pulito e di un trasferimento verso gli USA documentato.

Il double opt-in non è l'impostazione predefinita in Mailchimp ma un'impostazione per pubblico: in Settings → Audience name and defaults deve essere attivo «Enable double opt-in». Senza questa impostazione ogni indirizzo inserito tramite un modulo finisce subito nella lista — un opt-in singolo difficile da dimostrare in una controversia e che i tribunali tedeschi ritengono regolarmente insufficiente per le e-mail pubblicitarie.

Il secondo elemento è il contratto di responsabile del trattamento. Intuit mette a disposizione un Data Processing Addendum che si applica con l'accettazione delle condizioni d'uso; le clausole contrattuali tipo in esso contenute o la certificazione DPF di Intuit sono la base di trasferimento per il trattamento negli USA. Entrambi vanno documentati e menzionati nell'informativa privacy.

Il tracciamento attivo per impostazione predefinita nelle campagne Mailchimp (aperture e-mail tramite un pixel di conteggio, clic tramite link riscritti) crea profili d'uso. L'approccio pulito è disattivare questo tracciamento oppure includerlo nel consenso e divulgarlo nell'informativa privacy. Una nota generica «usiamo Mailchimp» non basta.

È un rischio?

Per l'invio della newsletter la base giuridica è di norma il consenso (art. 6 c. 1 lett. a GDPR), comprovato tramite double opt-in. Senza un'iscrizione confermata, senza un contratto di responsabile del trattamento con Intuit o senza una base di trasferimento indicata, manca la base. Il tracciamento di aperture e clic abituale nelle newsletter richiede un consenso separato o va reso trasparente.

Cosa puoi fare

• Attiva il double opt-in: dopo l'iscrizione un'e-mail di conferma con link di attivazione, solo dopo l'indirizzo viene aggiunto alla lista.
• Registra data di iscrizione, IP e data di conferma (Mailchimp lo salva nel campo «Opt-in»).
• Stipula un contratto di responsabile del trattamento (Data Processing Addendum) con Intuit; documenta le clausole contrattuali tipo o la certificazione DPF come base di trasferimento.
• Nell'informativa privacy indica Mailchimp/Intuit come destinatario, il trasferimento verso gli USA, il tracciamento di aperture e clic e il diritto di revoca (link di disiscrizione).

Domande frequenti

È ammesso un opt-in singolo per le newsletter?

Per le newsletter pubblicitarie la giurisprudenza tedesca richiede praticamente sempre un double opt-in, perché solo così è dimostrabile che l'iscrizione proviene dal titolare dell'indirizzo. Un opt-in singolo è a malapena difendibile in una controversia.

Mi serve un contratto di responsabile del trattamento per Mailchimp?

Sì. Mailchimp tratta gli indirizzi e-mail per tuo conto. Il Data Processing Addendum di Intuit si applica con l'accettazione delle condizioni; dovresti archiviarlo.

Posso usare il tracciamento delle aperture nelle newsletter?

Solo in modo trasparente e idealmente sulla base del consenso. Il pixel di conteggio e il tracciamento dei clic creano profili comportamentali; i destinatari devono essere informati e molti esperti di protezione dei dati ritengono necessario un consenso separato.

Il trasferimento verso gli USA a Mailchimp è privo di problemi dopo il DPF?

Il trasferimento è in linea di principio coperto dall'EU-US Data Privacy Framework finché Intuit rimane certificata. Gli obblighi di consenso e di prova per la newsletter stessa si applicano indipendentemente.

Come aiuta consentglass

La scansione gratuita verifica l'HTML fornito e mostra quali servizi sono integrati, se viene rilevato un banner cookie e se i link a privacy e note legali sono presenti — con inquadramento per ogni riscontro. Non sostituisce una consulenza legale.