SMS marketing Italia: le 5 regole GDPR per Shopify 2026

L'SMS marketing in Italia richiede consenso esplicito, separato dal consenso email, con finalità dichiarata e possibilità di revoca in ogni messaggio. Il Garante Privacy sanziona fino a €20M o il 4% del fatturato per violazioni. Le regole concrete: opt-in esplicito non pre-spuntato, informativa sul trattamento, registro dei consensi dimostrabile, formula STOP chiara in ogni SMS. Tutto questo è configurabile nativamente su Klaviyo + Shopify, ma solo se conosci le regole.

Questa guida è per founder italiani che vogliono attivare SMS marketing su Shopify in modo compliant, senza sanzioni del Garante e senza legal anxiety. Scritta a partire dai provvedimenti del Garante Privacy e dalle indicazioni pratiche che abbiamo maturato su clienti reali. Disclaimer: siamo Klaviyo Platinum e operatori marketing, non siamo avvocati — per casi specifici consulta un legale specializzato in data protection.

Il quadro legale in due paragrafi

L'SMS marketing in Italia è regolato da tre norme che si sovrappongono:

1. GDPR (Regolamento UE 2016/679) — base generale del consenso al trattamento.
2. Codice Privacy italiano (D.Lgs. 196/2003, aggiornato) — integra il GDPR con specifiche italiane.
3. Codice Comunicazioni Elettroniche (D.Lgs. 259/2003) — Art. 130 specifico sull'SMS promozionale.

In sintesi: il consenso per l'invio di SMS promozionali deve essere libero, specifico, informato e inequivocabile (GDPR Art. 4.11). Non puoi dedurre il consenso SMS dal consenso email.

Per il riferimento normativo ufficiale, il sito del Garante Privacy pubblica i provvedimenti in tema di marketing diretto.

Le 5 regole operative per Shopify

1. Opt-in separato: email ≠ SMS

Il primo errore diffuso: un pop-up unico che raccoglie "email + telefono" con un singolo checkbox "acconsento alle comunicazioni". Non basta. Serve un checkbox separato per consenso email e consenso SMS, non pre-spuntato.

Su Klaviyo forms:

• Campo email con checkbox "acconsento a ricevere email" — non pre-spuntato.
• Campo telefono con checkbox "acconsento a ricevere SMS" — non pre-spuntato.
• I due consensi vengono salvati in profili separati.

Se usi un pop-up Shopify nativo, verifica di poter salvare i due consensi separatamente; se non puoi, passa a Klaviyo forms.

2. Informativa privacy al consenso

Al momento della raccolta del consenso, devi fornire l'informativa sul trattamento (chi sei, perché raccogli il dato, come lo usi, quanto lo conservi, chi lo gestisce). Tipicamente come link "Privacy Policy" sotto al pop-up.

Checklist minima dell'informativa per SMS:

• Nome e contatti del titolare del trattamento (tuo brand + email DPO se hai un DPO).
• Finalità: "invio di comunicazioni promozionali via SMS".
• Base giuridica: consenso (Art. 6.1.a GDPR).
• Durata di conservazione: tipicamente "fino alla revoca del consenso".
• Diritti dell'utente: accesso, rettifica, cancellazione, revoca del consenso.
• Link a cookie policy e privacy policy estesa.

3. Formula STOP in ogni SMS

Ogni SMS promozionale deve includere un meccanismo di revoca. Standard Klaviyo: "STOP per annullare" in fondo al messaggio. Se il destinatario risponde STOP, Klaviyo rimuove automaticamente il consenso.

Esempio di SMS conforme: `` Ciao [nome], [brand]: spedizione gratis oggi → [link]. STOP per annullare. ``

I 160 caratteri SMS standard diventano ~140 effettivi dopo STOP message + brand name. Prepara copy sotto i 140.

4. Fasce orarie consentite

Il Garante ha emesso provvedimenti specifici sugli orari di invio marketing. Le indicazioni pratiche:

• Orario consentito: 08:00–21:00.
• Fasce da evitare: 22:00–08:00 (fortemente sconsigliato), 12:30–15:00 (pausa pranzo — più per buone pratiche che compliance).
• Eccezione domenica/festivi: consenso "generico" al marketing SMS non autorizza invii in orari insoliti anche nei festivi.

Su Klaviyo: configurazione Quiet Hours per evitare invii fuori finestra. Attivala sempre.

5. Registro dei consensi

In caso di ispezione del Garante, devi poter dimostrare quando, come e con che testo l'utente ha dato il consenso. Tre elementi:

• Timestamp del consenso (data/ora).
• Sorgente: quale form, quale URL, con quale copy.
• Testo del consenso al momento della raccolta (se cambia nel tempo, versioning).

Klaviyo registra automaticamente il timestamp e la sorgente del consenso nella scheda profilo. Il testo esatto del consenso al momento T va conservato a parte (versioning del form in Git, screenshot, export CSV).

Errori concreti che costano sanzioni

Tre casi tipici che vediamo:

1. Consenso "generico" al marketing. Un pop-up che recita "acconsento a ricevere comunicazioni di marketing da [brand]" non basta per SMS — serve menzione esplicita del canale SMS. Sanzione Garante per casi simili: fino a €50.000 per provvedimenti sanzionatori "medi".

1. Import CSV di numeri da evento o da partner. Mai importare una lista SMS acquistata o scambiata. Il consenso deve essere diretto tra il tuo brand e l'utente. Importare una lista esterna è una delle violazioni più frequenti e pesanti.

1. SMS "transazionali" mascherati da promo. Un SMS che dice "il tuo ordine è in spedizione" è transazionale e non richiede consenso marketing. Un SMS che dice "il tuo ordine è in spedizione + scopri il nuovo X" mescola i piani ed è giocato come promozionale, quindi richiede consenso SMS marketing.

Consent rate tipici e come alzarli

Benchmark da portfolio 2026:

• Opt-in SMS via pop-up (post-iscrizione email): 15-25% — dipende da incentivo e copy.
• Opt-in SMS al checkout: 8-18% — più basso perché il cliente è già focused sulla transazione.
• Opt-in SMS organico (via link diretto sul sito): 2-5% — sopra questi numeri sospettare automation bot.

Leve per alzare il consent rate:

• Doppio incentivo: 10% sul primo ordine con email + altro 5% extra con SMS. Sale facilmente al 25-35%.
• Keyword-based: "Scrivi PROMO al 346-XXX per il 15%". Il cliente opt-in in modo volontario e attivo.
• Pop-up sequenziale: prima raccolgo email, poi un secondo pop-up SMS 48 ore dopo con incentivo dedicato.

Setup compliance su Klaviyo per Shopify

Checklist di attivazione SMS marketing italiano:

1. Attivare Klaviyo SMS (account → SMS settings → request activation).
2. Acquistare numero dedicato italiano (short code o long code) per l'invio.
3. Configurare form con checkbox SMS separato e non pre-spuntato.
4. Collegare privacy policy e cookie policy (link nel footer del form).
5. Configurare Quiet Hours su fascia 21:00-08:00.
6. Testare formula STOP con profilo test: inviare, rispondere STOP, verificare disiscrizione automatica.
7. Documentare il flusso di consenso in un file interno (per possibili ispezioni Garante).
8. Monitorare consent rate e STOP rate mensilmente.

FAQ

L'SMS al numero presente in checkout Shopify richiede consenso separato?

Sì. Il numero raccolto in checkout serve per finalità transazionali (conferma ordine, spedizione). Per usarlo per finalità promozionali (marketing SMS) serve consenso aggiuntivo esplicito, da raccogliere con un checkbox dedicato in checkout o in un pop-up successivo. Shopify permette di inserire il checkbox promozionale SMS in checkout nativamente.

Se il cliente risponde STOP, posso comunque mandargli email?

Sì. Il consenso SMS e il consenso email sono separati. Un STOP via SMS revoca solo il consenso SMS; il cliente resta in lista email fino a esplicita disiscrizione. Klaviyo gestisce i due canali in modo indipendente.

Posso mandare SMS al cliente che ha comprato ma non ha dato consenso marketing?

No, non per finalità promozionali. Puoi mandare SMS transazionali (conferma ordine, spedizione, consegna) basati su legittimo interesse, ma non SMS promo. L'errore frequente è mescolare i due tipi di contenuto in un singolo messaggio — che diventa promo e richiede consenso.

Quanto costa mandare un SMS in Italia nel 2026?

Klaviyo SMS costa tipicamente €0,04-€0,06 per SMS inviato in Italia, esclusi costi di setup del numero dedicato (~€10-30/mese). Rispetto all'email (costo prossimo a zero), l'SMS ha un costo unitario ma un tasso di apertura del 95%+ entro 5 minuti, quindi il ROI su segmenti ad alto intent (carrello, checkout, flash sale) è molto positivo.

Devo nominare un DPO se faccio SMS marketing?

Non obbligatoriamente. Il DPO (Data Protection Officer) è obbligatorio solo per specifiche categorie di titolare del trattamento (enti pubblici, trattamenti su larga scala di dati sensibili, monitoraggio sistematico). Un brand DTC Shopify con SMS marketing tipicamente non è obbligato a nominare un DPO, ma consigliabile se la lista supera i 100.000 contatti o gestisci dati sensibili.

---

Vuoi verificare che il tuo SMS marketing sia compliant? Siamo specialisti Klaviyo Italia per brand Shopify DTC. In 30 minuti apriamo il tuo Klaviyo + Shopify, controlliamo form, consent flow, STOP mechanism, e ti diamo la checklist di sistemazione. Prenota una call.

Articolo aggiornato ad aprile 2026 dal team di Subjectlime — Klaviyo Platinum Agency + Shopify Partner.