La regola del consenso, e da dove viene
In Francia, inviare email commerciali a una persona privata richiede il suo consenso preventivo: libero, specifico e informato. La regola è fissata dall'art. L34-5 del Codice delle poste e delle comunicazioni elettroniche (CPCE), introdotto dalla LCEN del 2004 per recepire la direttiva europea ePrivacy. Le caselle pre-selezionate non producono un consenso valido.
Attenzione alla formulazione: l'art. L34-5 protegge la persona fisica. È proprio questo a rendere il regime francese diverso da quello della maggior parte dei Paesi vicini, ed è la base di tutto ciò che segue.
La prospezione B2B non è in opt-in
È il punto che quasi tutte le guide trascurano, ed è quello che conta di più per chi invia messaggi in ambito professionale. La CNIL ammette che la prospezione di un professionista possa fondarsi sul legittimo interesse del mittente anziché sul consenso preventivo, purché l'oggetto del messaggio sia attinente alla professione della persona contattata: l'esempio classico è la proposta di un software a un responsabile IT.
Vi si accompagnano tre condizioni. Il messaggio deve riguardare l'attività professionale del destinatario. La persona deve essere informata della provenienza dei propri dati e dell'uso che ne verrà fatto. E deve potersi opporre in modo semplice, in qualsiasi momento.
Due avvertenze. La prima: gli indirizzi aziendali generici come info@ o contatti@ riguardano l'impresa e non una persona fisica, e restano quindi fuori da queste regole; è un caso a sé, non una sottocategoria del B2B. La seconda: questa deroga professionale è la posizione dichiarata della CNIL e non un'esenzione scritta nella legge, dato che un indirizzo di lavoro nominativo resta il recapito di una persona fisica. Trattatela come dottrina dell'autorità e documentate il vostro ragionamento.
L'eccezione del cliente esistente
Potete scrivere a un cliente esistente senza un nuovo consenso quando avete raccolto l'indirizzo direttamente da lui, in occasione di una vendita o della fornitura di un servizio, il messaggio riguarda prodotti o servizi analoghi forniti da voi, e avete offerto un modo gratuito e semplice per opporsi sia al momento della raccolta sia in ogni messaggio successivo.
I limiti sono concreti. La creazione di un account non è di per sé un acquisto. E le offerte dei partner non sono "prodotti o servizi analoghi della stessa impresa": la cessione dei dati dei potenziali clienti ai partner ha già dato luogo a sanzioni CNIL di rilievo.
Che cosa deve contenere ogni messaggio
Ogni messaggio commerciale deve indicare recapiti validi attraverso i quali il destinatario possa chiedere di non riceverne più, senza costi ulteriori rispetto a quelli di trasmissione. Non deve dissimulare l'identità della persona per conto della quale è inviato, né riportare un oggetto privo di relazione con la proposta. A questo si aggiunge il GDPR, che riconosce a ogni destinatario un diritto assoluto di opposizione al marketing diretto: non c'è alcun bilanciamento da fare e, una volta ricevuta l'opposizione, dovete fermarvi.
Due luoghi comuni da archiviare. La legge francese non impone il doppio opt-in, che resta però il modo più pulito per provare il consenso. E non richiede un indirizzo postale nel messaggio: quello è un requisito statunitense, non francese.
Conservare i dati non più del necessario
Il quadro di riferimento della CNIL raccomanda di conservare i dati dei potenziali clienti fino a tre anni dall'ultimo contatto proveniente dalla persona stessa: un clic o una richiesta di informazioni fanno ripartire il termine, la semplice apertura di un'email no. È una raccomandazione che comporta una presunzione di conformità e non un massimo di legge: potete discostarvene se siete in grado di giustificare e documentare la scelta. I dati conservati per dare seguito a un'opposizione sono il caso opposto: vanno tenuti abbastanza a lungo da continuare a rispettare il rifiuto, limitati a quanto serve a quello scopo.
Le sanzioni in questa materia sono in fase di riorganizzazione a seguito di una decisione costituzionale del 2026 sulla sovrapposizione dei poteri sanzionatori, quindi ogni cifra che leggete va verificata rispetto alla sua data. Ciò che non è cambiato è la determinazione della CNIL: le sanzioni recenti per prospezione senza consenso valido hanno raggiunto sei e persino otto cifre.
Vedete anche: i mailing monitorati dalla CNIL, e la nostra guida alla legislazione sui mailing Paese per Paese.