ì, l'invio di SMS A2P richiede legalmente un consenso documentato, e lo standard varia a seconda del paese del destinatario. L'UE e il Regno Unito richiedono un consenso esplicito, specifico, informato e inequivocabile ai sensi del GDPR; gli Stati Uniti richiedono un consenso scritto esplicito preventivo per i messaggi di marketing ai sensi del TCPA; e i regimi del Golfo, come quello dell'Arabia Saudita e degli Emirati Arabi Uniti, aggiungono le proprie norme in materia di consenso e identificazione del mittente.
Preferisci la versione operativa? Il nostro hub compliance e le guide regulations per paese traducono queste regole nei controlli di mittente ID, consenso e opt-out che puoi effettivamente configurare. Questo articolo fornisce il contesto legale che le sottende.
Perché il consenso è il fondamento della fruibilità e della legalità delle applicazioni da pagina a pagina
Il consenso non è una nota legale aggiunta a una campagna, ma è ciò che rende gli SMS A2P sia legali che recapitabili. Dal punto di vista legale, le autorità di regolamentazione della protezione dei dati e delle telecomunicazioni possono multare i mittenti e, in alcuni casi, esporli a cause legali private per l'invio di messaggi a persone che non hanno mai dato il proprio consenso. Dal punto di vista tecnico, i firewall SMS degli operatori e i registri degli ID mittente richiedono sempre più spesso la prova del consenso prima di consentire il flusso del traffico, e un elevato numero di reclami per messaggi indesiderati porta alla sospensione degli ID mittente. In altre parole, il consenso protegge il tasso di consegna tanto quanto la posizione legale. Visita la nostra pagina prodotto A2P SMS per scoprire come la registrazione e l'applicazione del consenso si integrano.
Consenso espresso vs. consenso implicito
Ogni normativa distingue due tipi di autorizzazione. Il consenso esplicito è un'adesione affermativa e registrata: il destinatario ha deliberatamente acconsentito a ricevere messaggi di un tipo specifico, ad esempio spuntando una casella non selezionata, inserendo una parola chiave o confermando una doppia adesione. Il consenso implicito si deduce da una relazione, ad esempio un cliente che ha acquistato un prodotto e ha fornito il proprio numero di telefono per quella transazione. Laddove il consenso implicito viene riconosciuto, il suo ambito è limitato: in genere riguarda i messaggi di servizio e transazionali inviati ai clienti esistenti relativi a prodotti simili e raramente si estende al marketing generico. In caso di dubbio, il traffico di marketing richiede un'adesione esplicita.
Unione Europea e Regno Unito: GDPR e privacy elettronica
Nell'UE, il Regolamento generale sulla protezione dei dati (Regolamento (UE) 2016/679) definisce i requisiti per il consenso: deve essere liberamente espresso, specifico, informato e inequivocabile, tramite un'azione affermativa chiara; le caselle preselezionate e i consensi inclusi in pacchetti non sono validi. Il marketing via SMS è ulteriormente regolamentato dalla Direttiva ePrivacy, che generalmente richiede il consenso preventivo per il marketing elettronico non richiesto, con una ristretta possibilità di "opt-in implicito" per i clienti esistenti del mittente. È fondamentale che il titolare del trattamento sia in grado di dimostrare che il consenso è stato dato, pertanto la registrazione del consenso è obbligatoria, non facoltativa. Il Regno Unito adotta un approccio analogo attraverso il GDPR britannico e il Regolamento sulla privacy e le comunicazioni elettroniche (PECR). La non conformità è costosa: le sanzioni previste dal GDPR possono arrivare fino a 20 milioni di euro o al 4% del fatturato annuo globale totale, a seconda di quale dei due importi sia maggiore, ai sensi dell'articolo 83. Per la progettazione delle campagne, consulta la nostra soluzione SMS marketing.
Stati Uniti: TCPA, linee guida CTIA e 10DLC
Il marketing via SMS negli Stati Uniti è regolato principalmente dal Telephone Consumer Protection Act (TCPA), applicato dalla FCC. L'invio di messaggi di marketing o promozionali tramite un sistema di composizione automatica richiede il previo consenso scritto esplicito: un accordo firmato (anche in formato elettronico) che autorizzi chiaramente i messaggi di marketing, e non semplicemente un numero di telefono fornito per altri scopi; i messaggi di testo puramente informativi o transazionali richiedono un consenso esplicito preventivo con requisiti meno stringenti. La legge prevede un risarcimento danni di 500 dollari per messaggio, che sale a 1.500 dollari in caso di violazione intenzionale, motivo per cui le azioni collettive negli Stati Uniti rappresentano un rischio concreto. A questo si aggiungono i principi e le migliori pratiche di messaggistica della CTIA (Communications Taxpayers Association), il codice di condotta del settore supportato dagli operatori telefonici, e la registrazione 10DLC, in base alla quale marchi e campagne devono essere registrati tramite il Campaign Registry prima che il traffico A2P venga eseguito sulle reti statunitensi, con i dettagli di opt-in dichiarati al momento della registrazione. La gestione obbligatoria delle parole chiave STOP e HELP è imprescindibile.
Il Golfo: il PDPL dell'Arabia Saudita, il regime degli Emirati Arabi Uniti e le normative degli enti regolatori.
Il GCC si è mosso rapidamente e le sue normative sovrappongono la legge sulla protezione dei dati ai controlli sulla messaggistica imposti dagli enti regolatori delle telecomunicazioni: un modello a due livelli che penalizza i mittenti che si preparano solo a uno dei due. In Arabia Saudita, la Legge sulla protezione dei dati personali (PDPL), emanata con decreto reale e amministrata dalla Saudi Data and AI Authority (SDAIA), richiede una base giuridica, come il consenso, per il trattamento dei dati personali e limita il marketing diretto; separatamente, la Commissione per le comunicazioni, lo spazio e la tecnologia (CST) disciplina gli ID mittente A2P e la messaggistica. Negli Emirati Arabi Uniti, il Decreto-legge federale n. 45 del 2021 sulla protezione dei dati personali si affianca al TDRA, che regola la registrazione degli ID mittente A2P e, nella sua politica aggiornata di ottobre 2025 sugli SMS di marketing, richiede ai mittenti di possedere e produrre una prova di opt-in registrata in un sistema di gestione del consenso. In tutto il Golfo, la regola pratica è la stessa: registrare il proprio ID mittente presso l'ente regolatore e possedere un consenso dimostrabile, perché il firewall dell'operatore impone entrambi. La nostra sezione dedicata alle normative nazionali copre in dettaglio Arabia Saudita, Emirati Arabi Uniti ed Egitto.
Come si confrontano i principali regimi
Gli standard convergono sullo stesso principio – consenso esplicito registrato e possibilità di recesso semplificata – ma differiscono nei dettagli. Questa tabella riassume gli elementi essenziali; si consiglia di verificare il testo aggiornato di ciascun regime, poiché le regole relative alla messaggistica vengono aggiornate frequentemente.
| Giurisdizione | Standard di consenso | requisito di rinuncia | Regola importante |
|---|---|---|---|
| UE / Regno Unito | Consenso libero, specifico, informato e inequivocabile (GDPR); consenso preventivo per finalità di marketing (ePrivacy / PECR) | Ogni messaggio di marketing deve offrire una semplice opzione di disiscrizione gratuita. | Il titolare del trattamento deve dimostrare il consenso; sanzioni fino a 20 milioni di euro / 4% del fatturato. |
| Stati Uniti | Previo consenso esplicito scritto per l'invio di messaggi di testo a scopo di marketing tramite composizione automatica (TCPA) | STOP eseguito immediatamente; parola chiave HELP supportata | Le migliori prassi di CTIA più la registrazione del marchio e della campagna 10DLC |
| Arabia Saudita | Base giuridica / consenso al trattamento dei dati personali (PDPL, SDAIA) | I destinatari possono revocare il consenso e rinunciare a ricevere comunicazioni di marketing. | CST disciplina la registrazione dell'ID mittente A2P |
| Emirati Arabi Uniti | Consenso ai sensi del Decreto Legge Federale n. 45 del 2021; prova di opt-in per il marketing (TDRA) | Esclusione rispettata; consenso registrato nel sistema di gestione del consenso. | Registrazione dell'ID mittente TDRA; prefisso 'AD-' per gli ID promozionali |
Come rimanere conformi nella pratica
I regimi sono diversi, ma un unico punto di riferimento operativo soddisfa l'intersezione di tutti. Costruisci in base alla regola più restrittiva applicabile al tuo pubblico e il resto verrà da sé.
- Acquisisci il consenso in modo esplicito e registralo. Annota a cosa la persona ha acconsentito, quando, come (la formulazione esatta e il canale utilizzato) e da quale numero o identificativo: una registrazione del consenso inattaccabile costituisce la prova da utilizzare qualora un'autorità di regolamentazione o un querelante lo richiedano.
- Rispetta il comando STOP e annulla immediatamente l'iscrizione, su tutti i canali. La disiscrizione dagli SMS dovrebbe escludere il destinatario da qualsiasi piattaforma raggiungibile e deve avere effetto immediato, non al successivo ciclo di campagne.
- Supporta le parole chiave STOP e HELP e confermale. Rispondi a STOP con una singola conferma finale e a HELP con informazioni di contatto e sul programma, nella lingua prevista dal destinatario.
- Rispetta gli orari di silenzio e l'orario locale. Invia comunicazioni di marketing solo in orari accettabili per il fuso orario del destinatario: molti mittenti si attengono alla fascia oraria 8:00-21:00 prevista dalle normative statunitensi sul telemarketing e alle norme locali in altri paesi.
- Separare i flussi transazionali da quelli promozionali. Mantenere gli OTP e gli avvisi di servizio associati agli ID mittente transazionali e al consenso, e il marketing associato al proprio opt-in e, ove richiesto come negli Emirati Arabi Uniti, a un prefisso ID mittente promozionale.
- Mantieni gli ID del mittente registrati e aggiornati. Gli ID non registrati o non corrispondenti vengono bloccati a livello di rete, indipendentemente dal consenso, quindi considera la registrazione e il consenso come un unico flusso di lavoro.
- Definisci i tuoi obblighi per ciascun mercato e consulta un legale locale qualificato prima di lanciare campagne regolamentate o transfrontaliere.
Qualunque strumento si utilizzi, il verbale di consenso è il documento che le autorità di regolamentazione e i tribunali richiedono effettivamente. Come minimo, dovrebbe contenere le seguenti informazioni:
| campo di registrazione del consenso | Perché è importante |
|---|---|
| Data e ora e fuso orario | Dimostra quando è avvenuto il consenso e supporta la logica delle ore di silenzio |
| Viene mostrato il testo esatto dell'opzione di adesione. | Dimostra che il consenso era specifico e informato. |
| Canale e fonte | Mostra dove e come è stata acquisita l'autorizzazione (modulo web, parola chiave, punto vendita). |
| Tipi di messaggio concordati | Distingue il consenso transazionale dal consenso al marketing. |
| Eventi di disattivazione | Registra le azioni STOP e di annullamento dell'iscrizione in modo che la soppressione sia verificabile |
BroadNet gestisce servizi di messaggistica A2P regolamentati dal 2003 in 200+ paesi e con 1,000+ connessioni con operatori, possiede le certificazioni ISO 27001, ISO 9001 e ISO 22301 e mantiene la certificazione SOC 2. La piattaforma applica la verifica dello stato del consenso, la soppressione dei messaggi STOP e la registrazione dell'ID mittente per ogni messaggio in uscita: consultare A2P SMS e l'hub compliance.
Domande frequenti
Ho bisogno del consenso per inviare SMS A2P?
Per gli SMS A2P di marketing, sì, praticamente ovunque. L'UE e il Regno Unito richiedono un consenso esplicito, specifico, informato e inequivocabile; il TCPA statunitense richiede un consenso scritto esplicito preventivo per i messaggi di marketing; e i regimi del Golfo richiedono il consenso più un ID mittente registrato. I messaggi puramente transazionali, come un codice OTP richiesto dall'utente, si basano su un principio più ristretto di consenso implicito o di servizio, ma l'opzione predefinita più sicura è il consenso esplicito documentato.
Il marketing via SMS è conforme al GDPR?
Il marketing via SMS può essere pienamente conforme al GDPR quando il consenso è dato liberamente, in modo specifico, informato e inequivocabile tramite un'azione affermativa chiara, e quando è possibile dimostrare tale consenso con registrazioni. È inoltre necessario rispettare le norme ePrivacy per il marketing elettronico, offrire una semplice opzione di disiscrizione in ogni messaggio e trattare solo i dati necessari. Le caselle preselezionate e il consenso aggregato non soddisfano i requisiti.
Quali sono le norme TCPA relative al consenso per gli SMS?
Il TCPA richiede il previo consenso scritto esplicito prima dell'invio di messaggi di marketing o promozionali tramite un sistema di composizione automatica: un accordo chiaro e firmato (anche in formato elettronico) per ricevere comunicazioni di marketing, non semplicemente il possesso di un numero. Per i messaggi informativi o transazionali, il consenso esplicito è richiesto con un livello di accuratezza inferiore. I mittenti devono inoltre rispettare le parole chiave STOP e HELP, seguire le best practice della CTIA e la registrazione 10DLC per gestire il traffico A2P sulle reti statunitensi.
Come gestisco correttamente l'STOP/opt-out?
Tratta la disiscrizione come immediata e universale. Riconosci STOP e le sue varianti più comuni, interrompi l'invio immediatamente anziché al ciclo successivo e rispondi con una singola conferma. Blocca l'utente su tutti i canali a cui puoi collegarlo, non solo su quello che ha utilizzato, e conserva una registrazione verificabile della disiscrizione. Inoltre, supporta la parola chiave HELP con informazioni sul programma e contatti.
Riferimenti
- UE — Regolamento generale sulla protezione dei dati (Regolamento (UE) 2016/679) e normativa sulla protezione dei dati: europa.eu
- Stati Uniti — FCC, Telephone Consumer Protection Act (TCPA): fcc.gov
- Arabia Saudita — Legge sulla protezione dei dati personali, Autorità saudita per i dati e l'intelligenza artificiale (SDAIA): sdaia.gov.sa
- Emirati Arabi Uniti — Autorità di regolamentazione delle telecomunicazioni e del governo digitale (TDRA): tdra.gov.ae
- BroadNet — Hub di conformità e guide sulle normative nazionali.