Verifica delle email e GDPR: quello che deve sapere una squadra europea
La maggior parte degli sviluppatori vede la verifica delle email come uno strumento di recapitabilità. Lo è, ma è anche un meccanismo di conformità al GDPR. L'articolo 5.1.d) del GDPR chiede che i dati personali siano «esatti e, se necessario, aggiornati». Un indirizzo email è un dato personale. Se conservi indirizzi che sai essere non validi, quel requisito non lo stai rispettando.
Questa guida copre le disposizioni concrete del GDPR che si applicano alla verifica delle email, il rapporto di responsabilità del trattamento da capire prima di scegliere un'API di verifica, e che cosa significa in pratica «residenza del dato nell'UE».
Il principio di esattezza
L'articolo 5.1.d) è chiaro:
I dati personali sono esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati.
Per gli indirizzi email questo significa:
- Non dovresti conservare indirizzi che sai essere non validi
- Se un indirizzo che possiedi smette di essere valido (hard bounce, cambio dell'utente), dovresti aggiornarlo o eliminarlo
- Se «l'esattezza conta per la finalità» — e in un servizio che vive di posta conta quasi sempre — la verifica periodica è una misura ragionevole
La parola chiave è «ragionevoli». Il GDPR non ti obbliga a verificare ogni indirizzo in tempo reale. Ti obbliga ad adottare misure ragionevoli e proporzionate alla finalità del dato. In un prodotto SaaS che comunica esclusivamente via email, verificare in registrazione e pulire le liste periodicamente è difficile da contestare.
Base giuridica per usare un'API di verifica
Quando chiami un'API di verifica con l'indirizzo di un utente stai condividendo un dato personale con un terzo. Questo ha due implicazioni:
1. Ti serve una base giuridica
Per la verifica in registrazione, la tua base giuridica è di solito l'articolo 6.1.b): «il trattamento è necessario all'esecuzione di un contratto». Controllare che l'indirizzo di contatto sia valido prima di mandare un'email di conferma è una misura ragionevole nella formazione del contratto. In alternativa l'articolo 6.1.f) — «legittimo interesse» — copre la verifica come misura di sicurezza e di qualità del dato.
2. Il fornitore di verifica è un responsabile del trattamento
Ai sensi dell'articolo 28, se condividi dati personali con un terzo che li tratta per conto tuo ti serve un contratto di responsabile del trattamento (DPA) con lui. Il DPA deve specificare:
- Quali dati vengono trattati
- Con quale finalità
- Per quanto tempo sono conservati
- Quali misure di sicurezza sono applicate
- Se sono usati subresponsabili e dove si trovano
Prima di usare qualsiasi API di verifica in produzione, controlla che il fornitore abbia un DPA disponibile e firmalo. I fornitori seri lo pubblicano nel proprio pannello o nelle proprie pagine legali.
Quali dati arrivano all'API di verifica?
Quando chiami POST /v1/verify con { "email": "user@example.com" } stai inviando:
- L'indirizzo email in sé (dato personale ai fini del GDPR)
- Metadati nelle intestazioni (il tuo IP, la marca temporale della richiesta)
Il fornitore di verifica tratta tutto questo per fare le interrogazioni DNS, il dialogo SMTP e l'assegnazione del punteggio. La domanda dal punto di vista del GDPR è: dove avviene quel trattamento e per quanto tempo viene conservato il dato?
Residenza del dato nell'UE contro responsabili negli USA
Se tratti dati di residenti nell'UE, mandarli a un responsabile stabilito negli USA fa scattare il capo V del GDPR: le restrizioni ai trasferimenti verso paesi terzi.
I trasferimenti verso gli USA richiedono una di queste strade:
- Una decisione di adeguatezza (il Quadro UE-USA sulla privacy dei dati copre alcune aziende statunitensi dal 2023, ma resta contestato in sede giudiziaria)
- Clausole contrattuali tipo (CCT)
- Norme vincolanti d'impresa
Le CCT funzionano, ma aggiungono carico legale e richiedono una valutazione d'impatto sul trasferimento (TIA): un'analisi che stabilisca se le leggi statunitensi sulla sorveglianza rendano insicuro il trasferimento nonostante le clausole.
Un responsabile ospitato nell'UE elimina tutto questo. Se l'API di verifica tratta i dati dentro l'UE — nello specifico, dentro uno Stato membro — non serve alcuna analisi del capo V. Il dato non esce mai dalla cornice giuridica europea.
Per la maggior parte delle squadre europee, il percorso di conformità più semplice è usare un responsabile con infrastruttura dentro l'UE. Ti risparmi le CCT, le TIA e l'incertezza giuridica che circonda i successori del Privacy Shield.
Mailbeam tratta tutti i dati a Francoforte, in Germania (AWS eu-central-1). Nessun dato esce dall'UE.
Conservazione dei dati: che cosa chiedere al tuo fornitore
Chiedi a qualsiasi fornitore di un'API di verifica:
- Per quanto tempo conservate gli indirizzi che invio?
- Usate gli indirizzi inviati per migliorare il vostro modello di punteggio?
- Gli indirizzi inviati sono condivisi con subresponsabili, e dove si trovano?
Il processo di verifica in sé è quasi istantaneo. Non c'è nessuna ragione tecnica perché un fornitore conservi gli indirizzi inviati oltre il tempo necessario a restituire il risultato. Se un fornitore li tiene per settimane o mesi, dovresti capire perché, e se questo è compatibile con i tuoi obblighi di conservazione.
Mailbeam conserva gli indirizzi inviati per 24 ore per ragioni di cache (per non ripetere sondaggi SMTP dentro una finestra breve) e poi li cancella.
Il diritto alla cancellazione
L'articolo 17 dà alle persone il diritto di ottenere la cancellazione dei propri dati. Se qualcuno chiede di essere cancellato dal tuo prodotto, il suo indirizzo email va rimosso da:
- La tua banca dati principale
- Il tuo fornitore di posta (disiscrizione e cancellazione)
- Qualsiasi strumento di analisi che conservi l'indirizzo
- Qualsiasi registro di verifica in cui sia stato conservato
Se il tuo fornitore di verifica conserva indirizzi, dovresti poter indirizzare anche a lui le richieste di cancellazione. Questo dovrebbe essere coperto nel tuo DPA.
Lista di controllo pratica per una verifica conforme al GDPR
☐ Firma un DPA con il tuo fornitore di verifica
☐ Usa un fornitore ospitato nell'UE (o documenta le tue CCT + TIA se è statunitense)
☐ Verifica in registrazione per non conservare indirizzi che sai non validi
☐ Elabora i webhook di bounce ed elimina tempestivamente gli hard bounce
☐ Includi i dati di verifica nel tuo flusso di cancellazione
☐ Documenta la tua base giuridica per trattare indirizzi email
☐ Rivedi la tua informativa sulla privacy perché menzioni la verifica
Che cosa controllare nel DPA di un fornitore
Un DPA ben scritto per un'API di verifica dovrebbe specificare:
- Finalità del trattamento: soltanto la verifica di indirizzi email
- Conservazione: il periodo ragionevole più breve (ore, non settimane)
- Subresponsabili: l'elenco dei terzi usati dal fornitore, con la loro posizione
- Misure di sicurezza: cifratura in transito e a riposo, controllo degli accessi
- Diritti degli interessati: come vengono gestite le richieste di cancellazione
- Diritti di audit: il tuo diritto di verificare la conformità
Se un fornitore non ha un DPA o lo nasconde, prendilo come un segnale d'allarme.
In sintesi
La verifica delle email e la conformità al GDPR si rafforzano a vicenda:
- Il principio di esattezza (art. 5.1.d) ti dà una ragione di conformità per verificare gli indirizzi, non solo una ragione di recapitabilità
- Usare un fornitore ospitato nell'UE elimina la complessità dei trasferimenti del capo V
- Serve un DPA firmato prima di trattare dati personali con qualsiasi API di terzi
Per una squadra europea l'assetto più pulito è: verificare in registrazione, elaborare i bounce senza indugio, usare un fornitore ospitato nell'UE con un DPA chiaro e documentare la base giuridica.
Prossimi passi
- Verifica delle email conforme al GDPR — come funziona il trattamento solo-UE di Mailbeam
- Lista di controllo per la verifica delle email conforme al GDPR — una lista pratica di configurazione
- DPA di Mailbeam — disponibile per la firma nel tuo pannello
- Informativa sulla privacy — i nostri tempi di conservazione e i dettagli del trattamento
- Riferimento dell'API — POST /v1/verify
- Prezzi e piano gratuito di Mailbeam