Tutti gli articoli del nostro blog

Double opt-in: cos'è, come funziona e come aiuta a dimostrare il consenso

Close
Tempo di lettura
5 min
Pubblicato
Ott 16, 2026
Condividi
  • Con il double opt-in l'iscrizione ad una newsletter si completa solo dopo che l’utente clicca su un link di conferma ricevuto via e-mail.
  • Il single opt-in attiva l'iscrizione subito, senza verifica: ciò può risultare in un maggiore numero di iscritti, ma senza alcuna prova che l'indirizzo appartenga alla persona.
  • Il GDPR non impone espressamente il double opt-in, ma l'art. 7, par. 1 richiede al titolare di poter dimostrare l’ottenimento del consenso.
  • Per ogni iscrizione vanno registrati timestamp, indirizzo IP e testo mostrato al momento della raccolta del consenso.
  • L'e-mail di conferma deve essere neutra: niente pubblicità, o diventa essa stessa una comunicazione promozionale inviata senza aver ottenuto il consenso.
  • Garante e Cassazione sono rigorosi a riguardo: la semplice registrazione a un sito non può essere considerata come consenso alla ricezione di comunicazioni di marketing.

Cos'è il double opt-in (vs il single opt-in)

Il double opt-in è un sistema che garantisce che un utente che si iscrive ad una newsletter, ad esempio, lo faccia in maniera consapevole. Consiste in due fasi: l'utente compila il modulo con la propria e-mail e riceve un messaggio con un link di conferma; solo dopo che l’utente clicca sul link l'iscrizione si attiva. La doppia azione dimostra due cose contemporaneamente: che la richiesta è intenzionale e che l'indirizzo appartiene davvero a chi l'ha inserito.

Con il single opt-in, invece, l'iscrizione è attiva dal momento dell'invio del modulo. È il percorso con meno attriti, ma presenta tre debolezze: eventuali errori di battitura finiscono in lista, terzi (o bot) possono effettuare l’iscrizione con l'indirizzo di qualcun altro, e soprattutto non fornisce nessuna prova solida che il consenso arrivi dal reale titolare dell'e-mail. Nel caso in cui la persona dovesse contestare l'invio dell’e-mail, è il mittente a dover dimostrare l'ottenimento del consenso.

Come funziona: i 5 passaggi

1

Compilazione del modulo. L'utente inserisce la propria e-mail (unico campo che dovrebbe essere obbligatorio) e, se il consenso al marketing non coincide con l'iscrizione stessa, spunta attivamente la casella dedicata: questa non deve mai risultare preselezionata e deve contenere un link all'informativa sulla privacy. Qui entra in gioco la tuaprivacy policy, che deve indicare finalità e base giuridica dell'invio.

2

Invio dell'e-mail di conferma. Il sistema invia automaticamente un’e-mail all’indirizzo indicato con il link di verifica. Quest’ultimo deve essere neutro: non deve contenere offerte, sconti o contenuti promozionali.

3

Clic di conferma. L'utente clicca sul link e completa l'iscrizione. Gli indirizzi non confermati vanno esclusi dalla lista (e cancellati dopo un periodo breve e definito).

4

Registrazione della prova. Il sistema protocolla il consenso. Cosa registrare: data e ora (timestamp) della richiesta e della conferma, indirizzo IP, testo esatto del consenso e dell'informativa mostrati all'utente, versione del modulo. È questo pacchetto di dati a semplificare la dimostrazione del consenso richiesta dal GDPR.

5

Conferma e benvenuto. L'utente arriva su una pagina di conferma e, da qui in poi, riceve la newsletter, contenente un link di disiscrizione ben visibile in ogni messaggio.

Il double opt-in è obbligatorio in Italia?

No, non espressamente: né il GDPR né il Codice privacy citano il double opt-in come procedura obbligatoria. Tuttavia, l’art. 7, par. 1 del GDPR stabilisce che, quando il trattamento si basa sul consenso, il titolare “deve essere in grado di dimostrare” che l'interessato lo ha prestato. E per le comunicazioni promozionali via e-mail vale la regola speciale dell'art. 130 del Codice privacy (D.Lgs. 196/2003): serve il consenso preventivo dell'interessato, il cosiddetto opt-in.

L'orientamento di Garante e giurisprudenza è rigoroso. La Corte di Cassazione (ordinanza n. 15881/2025) ha confermato una sanzione del Garante a una società che inviava newsletter promozionali agli utenti registrati al proprio portale: la semplice registrazione a un sito non equivale a un consenso libero, specifico e informato alle comunicazioni di marketing. E il Garante ha sanzionato ripetutamente, anche con provvedimenti salati, campagne di marketing basate su consensi inesistenti, presunti o non documentati.

In questo quadro, il double opt-in trasforma il consenso in un evento verificabile, con data, ora e contenuto. Non a caso è lo standard di fatto nei mercati più severi (in Germania è la prassi più diffusa) ed è un’opzione disponibile nei principali strumenti di e-mail marketing.

Nota: il consenso via double opt-in copre l'invio della newsletter, non i cookie e i tracker del tuo sito: quello è un consenso separato, con regole proprie. Approfondisci in cookie e GDPR.

Vantaggi e svantaggi del double opt-in

I vantaggi 

  • Solo indirizzi reali e interessati.
  • Niente errori di battitura né iscrizioni fatte da bot. 
  • Migliore deliverability: meno bounce e meno segnalazioni di spam proteggono la reputazione del dominio mittente, e i provider di posta lo premiano. 
  • Prova del consenso: ogni iscritto ha un record completo.
  • Meno rischi legali: reclami e contestazioni trovano una risposta documentata.

Gli svantaggi

  • Perdita di iscritti nel passaggio di conferma: una parte degli utenti non clicca sul link, per distrazione o perché l'e-mail finisce nello spam. 

Si tratta di un costo reale ma relativo: chi non conferma difficilmente avrebbe aperto le newsletter, e una lista ridotta ma pulita rende di più di una lista gonfia di indirizzi inattivi. Puoi ridurre la dispersione curando l'e-mail di conferma: invio immediato, oggetto chiaro, un solo pulsante ben visibile.

Come implementare il double opt-in

La buona notizia: non devi costruire nulla da zero.

1

Piattaforme di e-mail marketing. Mailchimp e Brevo (ex Sendinblue) offrono il double opt-in come opzione nativa: si attiva nelle impostazioni del pubblico o della lista, con e-mail di conferma personalizzabile. Verifica solo che la registrazione dei metadati (timestamp, IP) sia attiva.

2

WordPress. I principali plugin per newsletter e form (ad esempio The Newsletter Plugin, MC4WP, Fluent Forms) includono il double opt-in: basta selezionarlo e collegare la checkbox del consenso all'informativa.

3

Form personalizzati + CMP. Se usi moduli custom, assicurati che il backend registri il pacchetto di prova completo. E ricorda che il modulo vive su una pagina con cookie e tracker: una piattaforma di gestione del consenso (CMP) gestisce quel livello di consenso, così l'intero percorso dell'utente, dal primo accesso all'iscrizione, è documentato. Scopri come funziona lagestione del consenso.

Inizia gratis

Double opt-in e cookie banner: due consensi, stessa logica 

Double opt-in e cookie banner rispondono a norme diverse, ma seguono la stessa logica. In entrambi i casi il consenso deve essere preventivo (ottenuto prima dell'invio, prima dell’attivazione di tracker), frutto di un'azione attiva e inequivocabile (il clic di conferma, il tasto “Accetta”), facilmente revocabile (il link di disiscrizione, il pulsante per cambiare le preferenze) e soprattutto il processo deve essere documentato, perché l'onere della prova è sempre del titolare.

Chi gestisce un sito con newsletter si trova quindi a orchestrare due flussi di consenso paralleli: il double opt-in per le e-mail, la CMP per cookie e tracker. Tenerli entrambi in ordine, con registri separati ma coerenti, è il modo più semplice di arrivare preparati in caso di un eventuale reclamo o di un controllo.

Domande frequenti

Il double opt-in non rappresenta di per sé il consenso: è il meccanismo che lo verifica e lo documenta. Il consenso resta valido se è libero, specifico, informato e inequivocabile (art. 4 e 7 GDPR): serve quindi un'informativa chiara al momento della raccolta del consenso e che la casella di scelta non sia mai preselezionata. Il double opt-in aggiunge la prova che il reale titolare dell'indirizzo si sia iscritto in maniera consapevole.

Per tutta la durata del trattamento, cioè finché invii la newsletter a quell'iscritto, e per il tempo necessario a difenderti da eventuali contestazioni successive alla disiscrizione. Il GDPR non fissa un termine unico: definisci un periodo nel registro dei trattamenti e nell'informativa, e applicalo in modo coerente. Gli indirizzi mai confermati vanno invece eliminati in tempi brevi.

Per i clienti esistenti può applicarsi l'eccezione del cosiddetto soft spam (art. 130, comma 4, Codice privacy): se hai raccolto l'e-mail nel contesto della vendita di un prodotto o servizio, puoi usarla per promuovere prodotti o servizi analoghi tuoi, senza nuovo consenso, purché il cliente sia stato informato e possa opporsi in ogni momento, fin dalla raccolta. Attenzione ai limiti: la Cassazione ha chiarito che l'eccezione non copre registrazioni gratuite o account di prova, ma solo vendite effettive. Fuori da queste condizioni, si torna alla regola del consenso, e il double opt-in resta la via più sicura.