Non esiste un sì valido per ogni campagna o paese. In Italia l'Art. 130 del Codice Privacy richiede in linea generale il consenso per le email promozionali; l'interesse legittimo GDPR non sostituisce da solo questa regola di canale. Ecco le verifiche da fare prima di contattare prospect in Italia o all'estero.
La liceità non dipende solo dal fatto che il messaggio sia B2B, personalizzato o inviato a un indirizzo professionale. Devi verificare separatamente il trattamento dei dati e l'autorizzazione a usare il canale. In Italia, per le email promozionali, l'Art. 130 richiede in linea generale il consenso; il comma 4 prevede una deroga limitata per il soft spam verso clienti su prodotti o servizi analoghi.
Questa guida copre quello che ti serve davvero quando vendi B2B dall'Italia: il quadro GDPR, la specificità del Codice Privacy italiano, le differenze quando scrivi in Francia, Germania, Spagna, UK, USA e Canada. E un mini-checklist a fine articolo che puoi passare al tuo team commerciale domani mattina.
Disclaimer: non siamo avvocati e questo articolo non sostituisce una consulenza legale. È una sintesi operativa da validare con il tuo consulente e con la documentazione corrente del fornitore.
Cold email e spam: la personalizzazione non crea un'esenzione
Un messaggio uno-a-uno, mirato e pertinente può ridurre l'impatto sul destinatario, ma non è per questo fuori dalle regole sul marketing elettronico. Finalità, canale, paese del destinatario, fonte dei dati, frequenza e contenuto determinano quali norme si applicano. [Garante]
Invio massivo, mittente nascosto, contenuto ingannevole e opposizioni ignorate aumentano il rischio, ma la loro assenza non rende automaticamente lecito un messaggio promozionale. Identificazione, trasparenza e opt-out sono misure necessarie in molti casi, non un sostituto del consenso o dell'altra condizione richiesta dalla legge applicabile.
Quadro Europa: GDPR + ePrivacy
Il GDPR disciplina il trattamento dei dati personali; la direttiva ePrivacy e le leggi nazionali disciplinano anche l'uso di email, telefono e altri canali. L'Art. 6(1)(f) può offrire una base per un trattamento solo dopo i test richiesti, ma non sostituisce un consenso imposto dalla regola speciale del canale. I dettagli cambiano secondo paese, tipo di destinatario e finalità.
Le verifiche da documentare prima di una campagna
- Campagna, finalità commerciale, destinatari e paese di ciascun segmento
- Canale usato e requisito specifico: consenso, soft spam o altra eccezione realmente applicabile
- Base giuridica del trattamento, minimizzazione, fonte dei dati e test di legittimo interesse quando pertinente
- Informativa degli Artt. 13/14, identificazione del mittente, opposizione e opt-out effettivo
- DPA, sub-responsabili, regioni di trattamento, trasferimenti, retention e configurazione degli strumenti
Una LIA deve essere proporzionata e documentare finalità, necessità e bilanciamento sulla base dei fatti della campagna. Non esiste un formato che garantisca il risultato e una LIA favorevole non autorizza da sola un'email promozionale soggetta all'Art. 130.
Consenso o legittimo interesse: il test in tre passaggi
Il legittimo interesse non è una casella da spuntare. Le linee guida EDPB 1/2024 sull'articolo 6(1)(f) chiedono un test in tre passaggi, e va fatto prima di caricare la lista, non dopo la telefonata del Garante.
- Test di finalità. L'interesse perseguito deve essere preciso, attuale e lecito; una formula generica come «costruire notorietà» non basta da sola.
- Test di necessità. Documenta perché il trattamento dei dati scelti è necessario e se esiste un mezzo ragionevolmente meno invasivo. L'outbound B2B non supera automaticamente questo test.
- Test di bilanciamento. Valuta aspettative ragionevoli, ruolo, contesto, fonte e natura dei dati, frequenza, possibili conseguenze e tutele. Un indirizzo aziendale e un opt-out sono fattori, non una presunzione di liceità.
Se uno dei tre test non è soddisfatto, non puoi basare quel trattamento sull'interesse legittimo. Anche quando i test sono soddisfatti, verifica separatamente la regola del canale, l'informativa, l'opposizione e le altre condizioni applicabili; il consenso non elimina gli altri obblighi.
Quando il consenso è obbligatorio e non si discute
- Email promozionale soggetta all'Art. 130 italiano. Il consenso è la regola generale anche per un indirizzo professionale, salvo l'eccezione limitata del soft spam o un'altra disposizione applicabile.
- Dati particolari nel targeting. Se la lista è costruita su appartenenza sindacale, stato di salute, convinzioni religiose o politiche, sei nell'articolo 9 e serve consenso esplicito. Vale anche quando il dato è dedotto: segmentare medici per specializzazione clinica è già terreno scivoloso.
- Cessione a terzi. Se passi la lista a un partner che invierà a suo nome, serve un consenso specifico per quella comunicazione. Il legittimo interesse copre il tuo outbound, non quello di qualcun altro.
- Profilazione con effetti significativi. Uno scoring automatico che decide chi riceve un contatto umano e chi resta in coda rientra nell'articolo 22 se produce effetti rilevanti sulla persona. Nel B2B raramente è il caso, ma va valutato e messo per iscritto.
La LIA in pratica: il modello da una pagina
Una valutazione del legittimo interesse utile sta su un foglio. Questo è lo schema che teniamo per ogni segmento outbound:
| Campo | Cosa scrivere | Esempio reale |
|---|---|---|
| Segmento | ICP in una riga, con paese e dimensione | Direttori vendite, SaaS B2B 20-200 dipendenti, Italia e Francia |
| Finalità | Cosa vuoi ottenere con il contatto | Proporre una demo di uno strumento di prospecting |
| Fonte dei dati | Da dove arriva ogni campo | Profilo LinkedIn pubblico, sito aziendale, verifica con waterfall |
| Dati trattati | Elenco chiuso dei campi, niente "eventuali altri" | Nome, cognome, ruolo, azienda, email professionale, URL LinkedIn |
| Necessità | Perché non esiste alternativa meno invasiva | Nessun canale inbound raggiunge il segmento nei tempi utili |
| Aspettativa del destinatario | Perché il messaggio non è una sorpresa | Il ruolo valuta fornitori software come parte del lavoro |
| Misure di tutela | Cosa fai per ridurre l'impatto | Opt-out in ogni email, massimo 4 tocchi, soppressione permanente |
| Esito | La conclusione, datata e firmata | Esito sul trattamento; verifica separata dell'Art. 130 e del canale |
Dieci minuti per segmento. È il documento più economico che puoi produrre, e nell'unico giorno in cui serve vale più di tutto il resto del tuo stack.
Sanzioni
A seconda della disposizione violata, il GDPR prevede massimali amministrativi fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore. L'importo concreto dipende dai criteri dell'Art. 83; non esiste una fascia «tipica» affidabile per la cold email e i casi relativi ad altri canali non vanno trasferiti automaticamente.
Italia: il Codice Privacy e il Garante
L'Italia è uno dei paesi più severi d'Europa sul cold outreach. Il Garante per la protezione dei dati personali ha una storia lunga di sanzioni a chi fa marketing aggressivo senza basi giuridiche solide.
Tre cose da sapere quando mandi cold email da o verso l'Italia:
- Per le email promozionali il consenso è la regola generale. L'Art. 130 non crea un'esenzione generale B2B; il soft spam del comma 4 riguarda una relazione di vendita e prodotti o servizi analoghi.
- L'interesse legittimo non sostituisce l'Art. 130. Può essere valutato per il trattamento dei dati nei limiti del GDPR, ma non autorizza da solo l'invio promozionale.
- L'opposizione al marketing va resa effettiva senza ritardo. Ferma gli invii per la finalità contestata e conserva soltanto le informazioni necessarie a evitare un nuovo contatto; le richieste di diritti seguono anche i termini dell'Art. 12 GDPR.
Caso Enel Energia (2022): 26,5 milioni di euro
Il provvedimento Enel Energia riguardava soprattutto telemarketing, rete di vendita, provenienza dei contatti, consensi e opposizioni. È utile come esempio di governance e controllo dei partner, ma non dimostra che una specifica campagna email B2B sia lecita o illecita: canale e fatti vanno analizzati separatamente.
Base giuridica in Italia: GDPR, Codice Privacy e Codice delle Comunicazioni Elettroniche
In Italia la cold email vive all'incrocio di tre testi. Chi ne legge uno solo arriva sempre alla conclusione sbagliata.
- GDPR (Regolamento UE 2016/679). Definisce le basi giuridiche del trattamento. Per l'outbound B2B contano l'articolo 6(1)(a), il consenso, e l'articolo 6(1)(f), il legittimo interesse. Definisce anche gli obblighi che ti seguono comunque: informativa (articoli 13 e 14), diritti dell'interessato (articoli 15-22), registro dei trattamenti (articolo 30), sicurezza (articolo 32).
- Codice Privacy (d.lgs. 196/2003, riscritto dal d.lgs. 101/2018). È la legge nazionale che adatta il GDPR all'ordinamento italiano. L'articolo che decide la partita è il 130: disciplina le comunicazioni indesiderate inviate con sistemi automatizzati, posta elettronica compresa, e chiede il consenso preventivo. Il comma 4 introduce l'unica eccezione operativa, il soft spam. Gli articoli 166 e 167 fissano sanzioni amministrative e penali.
- Codice delle Comunicazioni Elettroniche (d.lgs. 259/2003, riscritto dal d.lgs. 207/2021). Regola gli elenchi dei contraenti, il Registro Pubblico delle Opposizioni e il perimetro in cui rientrano anche le persone giuridiche, che il GDPR da solo non protegge.
Perché sull'Italia trovi due risposte opposte
Cerca «cold email Italia legale» e trovi spesso guide che trattano l'interesse legittimo come un'autorizzazione al canale. Sono invece due livelli distinti: il GDPR disciplina la base del trattamento; l'Art. 130, norma speciale per le comunicazioni elettroniche promozionali, disciplina l'invio.
Il considerando 47 del GDPR indica che il marketing diretto può costituire un interesse legittimo, ma ciò non annulla le norme ePrivacy nazionali. Il Garante ha ribadito nel provvedimento del 14 maggio 2026 che l'interesse legittimo non può sostituire il consenso richiesto dall'Art. 130 per email commerciali; anche l'accettazione di una connessione LinkedIn non equivale a consenso email.
La sintesi operativa, e la postura prudente per un team commerciale italiano:
- Qualifica la finalità. Se il messaggio promuove o vende, applica la regola dell'Art. 130 indipendentemente dal volume o dalla personalizzazione.
- Verifica consenso o soft spam. Documenta la prova del consenso oppure tutte le condizioni cumulative dell'eccezione; una LIA, un indirizzo aziendale e un opt-out non bastano da soli.
- Completa la due diligence. Controlla informativa, opposizione, fonte e retention dei dati, DPA, sub-responsabili, regioni di trattamento, trasferimenti e impostazioni della piattaforma.
Persona fisica o giuridica: la distinzione che sposta la base giuridica
Il GDPR protegge le persone fisiche. Una società non è un interessato. Da qui nasce una conseguenza concreta che quasi nessun team sfrutta bene.
| Indirizzo | È dato personale? | Cosa ti serve |
|---|---|---|
info@azienda.it, commerciale@azienda.it | No, se non identifica una persona | Fuori dal perimetro GDPR. Restano articolo 130 e correttezza commerciale. |
mario.rossi@azienda.it | Sì | Base giuridica, informativa, opt-out, registro. |
m.rossi@azienda.it | Sì, la persona è identificabile | Identico al caso sopra. L'iniziale non anonimizza niente. |
mario.rossi@studiorossi.it (ditta individuale) | Sì, e il confine B2C è vicinissimo | Trattamento più prudente: il professionista singolo resta persona fisica anche quando compra per lavoro. |
| PEC estratte da registri pubblici (INI-PEC) | Sì | Da evitare per il marketing: la posizione costante del Garante è che quei registri hanno una finalità specifica e riusarli per promozione viola il principio di limitazione della finalità. |
Una casella funzionale può non identificare una persona fisica e quindi essere fuori dal perimetro materiale del GDPR, ma resta soggetta alle regole italiane sul canale e sulle comunicazioni commerciali. Per liberi professionisti, ditte individuali e microimprese valuta inoltre se l'indirizzo identifica una persona e applica lo standard appropriato; il dominio non decide da solo.
Soft spam: l'unica eccezione al consenso scritta nel Codice Privacy
L'articolo 130, comma 4 del Codice Privacy permette di inviare email promozionali senza consenso preventivo a quattro condizioni cumulative:
- l'indirizzo è stato raccolto nel contesto della vendita di un prodotto o di un servizio, quindi da un cliente e non da un prospect;
- il messaggio riguarda servizi analoghi a quelli già acquistati, non l'intero catalogo;
- il destinatario è stato informato al momento della raccolta che l'indirizzo sarebbe stato usato così;
- può opporsi in modo agevole e gratuito, sia alla raccolta sia in ogni messaggio successivo.
Cosa copre davvero il soft spam: upsell e cross-sell verso i tuoi clienti attuali e recenti, riattivazione di clienti dormienti sulla stessa linea di prodotto, comunicazioni su un servizio che usano già.
Cosa non copre: i lead che hanno scaricato un white paper, perché non c'è stata alcuna vendita; i biglietti da visita raccolti in fiera, se non hai informato al momento della raccolta; le liste di un'azienda che hai acquisito, perché titolare e finalità sono diversi e serve una verifica caso per caso; e ovviamente la cold email pura. Il soft spam è una scorciatoia sulla tua base clienti, non un lasciapassare sull'outbound.
Anatomia di una cold email B2B: otto controlli di base
Questa checklist raccoglie controlli frequenti, ma non certifica la liceità dell'invio: prima devi avere verificato il requisito del canale e la normativa del paese del destinatario.
| # | Elemento | Riferimento | Come si sbaglia |
|---|---|---|---|
| 1 | Identità reale del mittente: nome, cognome, ruolo | Art. 5(1)(a) GDPR, art. 130 Codice Privacy | Alias generici tipo "Team Vendite", o mittente diverso dal dominio |
| 2 | Denominazione legale e partita IVA dell'azienda | Art. 13(1)(a) GDPR | Solo il nome commerciale, senza ragione sociale |
| 3 | Indirizzo fisico della sede | Trasparenza GDPR, prassi CAN-SPAM | Casella postale, o nessun indirizzo |
| 4 | Oggetto coerente con il contenuto | Principio di correttezza, art. 5(1)(a) | "Re:" o "Fwd:" su un primo contatto |
| 5 | Origine del dato dichiarata in una riga | Art. 14(2)(f) GDPR | Silenzio totale su come hai trovato l'indirizzo |
| 6 | Link all'informativa privacy per i prospect | Artt. 13-14 GDPR | Link alla home invece che alla policy |
| 7 | Opposizione e opt-out facili e gratuiti | Art. 21 GDPR; Art. 130 Codice Privacy | Percorso non funzionante, login o richieste ignorate |
| 8 | Pertinenza al ruolo del destinatario | Test di bilanciamento, art. 6(1)(f) | Stesso messaggio a CFO, CTO e HR |
Come si traduce in un footer che non uccide la conversione
Il timore di ogni team commerciale è che la conformità trasformi l'email in un atto notarile. Non serve. Tre righe bastano:
Marco Bianchi, Sales Director, Acme Software Srl, P.IVA 01234567890, Via Torino 12, 20123 Milano.
Fonte e trattamento dei dati: acmesoftware.it/privacy-prospect.
Per opporti a future comunicazioni, usa il link qui sotto o rispondi a questo messaggio; registreremo la richiesta senza ingiustificato ritardo.
Sono meno di 60 parole e coprono identità, ragione sociale, sede, origine del dato, informativa e diritto di opposizione. Nella nostra esperienza su sequenze europee un footer scritto così non abbassa il tasso di risposta: la riga sull'origine del dato spesso lo alza, perché elimina la domanda "come hai avuto la mia email" che altrimenti si prende la prima risposta e ti costa un tocco.
L'informativa dell'articolo 14: l'obbligo che quasi tutti ignorano
Quando raccogli i dati direttamente dall'interessato si applica l'articolo 13. Nell'outbound i dati arrivano da terzi (LinkedIn, sito aziendale, provider di dati) e quindi si applica l'articolo 14, che è più esigente su un punto: devi comunicare anche la fonte da cui provengono i dati.
Il termine è preciso. L'articolo 14(3) dice: entro un mese dall'ottenimento dei dati, oppure al momento della prima comunicazione con l'interessato se avviene prima. Nell'outbound la prima comunicazione arriva sempre prima, quindi l'informativa va nel primo messaggio. Un link a una pagina dedicata è sufficiente, purché la pagina esista, sia raggiungibile senza login e contenga:
- identità e contatti del titolare del trattamento, e del responsabile della protezione dei dati se nominato;
- finalità e base giuridica, scritta esplicitamente: "legittimo interesse alla prospezione commerciale B2B";
- categorie di dati trattati e fonte da cui li hai presi;
- destinatari, incluso il nome dei fornitori che li trattano per te: CRM, strumento di invio, arricchimento, verifica;
- eventuali trasferimenti fuori dallo Spazio economico europeo e la garanzia usata;
- periodo di conservazione, espresso in mesi e non con "per il tempo necessario";
- diritti dell'interessato e diritto di reclamo al Garante.
Molti team hanno un'informativa clienti e nessuna informativa prospect. Sono due documenti diversi: finalità diverse, base giuridica diversa, fonte diversa, tempi diversi. Se ne hai una sola, non copre l'outbound.
L'obbligo di opt-out: come si fa, in quanto tempo, per quanto tempo
L'articolo 21(2) del GDPR dà al destinatario un diritto di opposizione al marketing diretto che è assoluto: non va motivato e non lo puoi bilanciare con nulla. Tradotto in operativo: quando qualcuno chiede di uscire, il trattamento per quella finalità si ferma. Non "valuteremo", si ferma.
- Un clic, non un percorso. Link diretto, senza login, senza motivazione obbligatoria, senza centro preferenze con dodici caselle preselezionate. Un form che chiede di riscrivere l'indirizzo per confermare è già un ostacolo contestabile.
- Vale anche una risposta in chiaro. Se il destinatario scrive "non scrivetemi più", l'opposizione è valida come se avesse cliccato. Serve un processo per catturarla: chi legge la casella deve sapere dove registrarla, e la sequenza va fermata sul lead e su tutti i suoi duplicati.
- Tempi. Ferma il marketing oggetto dell'opposizione senza ingiustificato ritardo e organizza le risposte alle richieste secondo l'Art. 12 GDPR, normalmente entro un mese. L'automazione può aiutare, ma va testata e sorvegliata.
- Soppressione proporzionata. Conserva il minimo necessario per non ricontattare la persona e definisci accesso, durata e sincronizzazione tra strumenti. Non presumere che la cancellazione integrale o la conservazione illimitata siano sempre corrette.
- Ambito dell'opposizione. Registrane titolare, finalità e canali coperti; sincronizza brand, domini, CRM e fornitori quando agiscono per lo stesso titolare.
Il motivo per cui questo punto merita più attenzione delle basi giuridiche: nessuno apre un'istruttoria perché hai scritto a un CFO. Le istruttorie partono dai reclami, e i reclami arrivano da chi ha chiesto di uscire e ha ricevuto un'altra email.
Registro Pubblico delle Opposizioni: quando tocca il tuo outbound
Il Registro Pubblico delle Opposizioni è il registro nazionale dove chiunque può iscrivere i propri recapiti per non ricevere comunicazioni commerciali. Istituito con il d.p.r. 178/2010 per i numeri fissi presenti negli elenchi, è stato esteso alla telefonia mobile e alla posta cartacea dalla legge 172/2021 e dal d.p.r. 26/2022, operativo dal 27 luglio 2023.
Cosa devi sapere se la tua sequenza mescola email e telefono, come fa la maggior parte dei team outbound italiani:
- Il RPO non copre gli indirizzi email. Non esiste un registro delle opposizioni per la posta elettronica. Chi ti dice di "verificare le email sul RPO" non sa di cosa parla.
- Copre tutti i numeri. Fissi e mobili, e l'iscrizione azzera i consensi al telemarketing rilasciati in precedenza. Se avevi un opt-in del 2022 e il numero è stato iscritto nel 2024, quell'opt-in non vale più.
- La verifica è obbligatoria e va rifatta. Chi svolge attività di telemarketing deve confrontare la lista con il registro prima della campagna, e la consultazione ha validità limitata (quindici giorni), quindi una lista lavorata per un mese va riverificata.
- Le sanzioni le applica il Garante con l'impianto dell'articolo 166 del Codice Privacy, quindi si sommano a quelle per la base giuridica assente. È così che una campagna telefonica sbagliata produce due contestazioni invece di una.
- Le chiamate da numerazioni camuffate non passano più. Il filtro anti spoofing introdotto da AGCOM blocca le chiamate che arrivano dall'estero presentandosi con un numero italiano. Se il tuo playbook prevedeva un call center offshore con numero locale, quel canale è chiuso.
Conseguenza sul disegno della sequenza: email, telefono e LinkedIn richiedono valutazioni separate. Per il telefono verifica Registro Pubblico delle Opposizioni e regole applicabili; in Overloop le Call Tasks sono disponibili soltanto tramite l'integrazione Aircall. Per LinkedIn, una connessione o risposta non vale automaticamente come consenso email.
Registro dei trattamenti e conservazione: cosa devi poter mostrare al Garante
Le sanzioni italiane più pesanti non nascono dal contenuto delle email. Nascono dall'impossibilità di rispondere a una domanda semplice: da dove viene questo contatto e su che base lo avete trattato. Sette documenti coprono la quasi totalità di quella domanda.
| Documento | Riferimento | Cosa deve contenere | Per quanto lo tieni |
|---|---|---|---|
| Registro dei trattamenti | Art. 30 GDPR | Una voce "prospezione commerciale B2B": finalità, categorie di interessati e di dati, destinatari, trasferimenti, tempi di conservazione | Sempre aggiornato |
| LIA per segmento | Art. 6(1)(f) | I tre test, datati e firmati da chi decide | Rivista ogni 12 mesi |
| Informativa prospect | Artt. 13-14 GDPR | Versione pubblicata più storico delle versioni precedenti | Tutte le versioni |
| Prova della fonte, contatto per contatto | Art. 14(2)(f) | Campo obbligatorio nel CRM: fonte, data, operatore o strumento | Per tutta la vita del contatto |
| Log degli opt-out | Art. 21 GDPR | Data e ora della richiesta, canale, data di esecuzione | Illimitato, è la tua difesa |
| Accordi con i fornitori | Art. 28 GDPR | Nomina a responsabile del trattamento per CRM, strumento di invio, arricchimento, verifica email | Durata del contratto più prescrizione |
| Garanzie per i trasferimenti | Capo V GDPR | Clausole contrattuali standard o adesione al quadro UE-USA per gli strumenti americani | Durata del contratto |
Quanto tieni i dati di un prospect che non ha mai risposto
Il GDPR non fissa una durata universale. Il titolare deve definire e giustificare periodi coerenti con finalità, aspettative, accuratezza dei dati, obblighi legali e rischio, quindi applicarli nella configurazione degli strumenti:
- Prospect mai ingaggiato: definisci un intervallo breve e riesaminalo in base alla finalità e all'accuratezza; un'apertura o un clic non rinnova automaticamente la base giuridica.
- Prospect che ha risposto o opportunità chiusa: collega la durata alla relazione documentata e alle finalità ancora attive, non a un numero standard del settore.
- Chi ha fatto opt-out: conserva soltanto il dato minimo necessario a rispettare l'opposizione, con accesso ristretto e una durata giustificata.
- Fornitori: configura cancellazione, backup, esportazioni e soppressione in CRM e piattaforma; verifica che il contratto e il DPA supportino la policy scelta.
I provvedimenti del Garante che devi conoscere
La cifra teorica del GDPR (20 milioni di euro oppure il 4% del fatturato globale) dice poco. I provvedimenti italiani dicono molto, perché mostrano cosa il Garante punisce davvero.
| Provvedimento | Anno | Sanzione | Cosa era andato storto |
|---|---|---|---|
| TIM | 2020 | 27,8 milioni di euro | Anni di marketing su liste di terzi, consensi non tracciabili, opposizioni non rispettate |
| Enel Energia | 2022 | 26,5 milioni di euro | Contatti promozionali senza base giuridica dimostrabile, gestione dei consensi frammentata sulla rete di vendita |
| Wind Tre | 2020 | 16,7 milioni di euro | Comunicazioni promozionali senza consenso valido e richieste di opt-out ignorate |
| Vodafone Italia | 2020 | 12,3 milioni di euro | Uso di elenchi acquistati da intermediari senza verificare l'origine dei consensi |
| Eni Gas e Luce | 2019 | 11,5 milioni di euro in due provvedimenti | Marketing senza consenso e contratti attivati su dati non verificati |
| Sky Italia | 2020 | 3,3 milioni di euro | Acquisto di liste da fornitori terzi con consensi generici e non specifici |
Il filo comune di tutti questi casi
Sono soprattutto casi di telemarketing e non costituiscono un via libera per l'email. Mostrano problemi ricorrenti ma diversi: consenso, provenienza dei contatti, controllo dei partner, opposizioni, sicurezza e accountability. Per una campagna email devi verificare sia il file caricato sia il contenuto, il canale, la finalità e la configurazione.
Due dettagli che pesano più della cifra:
- Il divieto di trattamento. Il Garante può vietare l'ulteriore trattamento dei dati raccolti illecitamente. Per un team outbound è peggio della multa: la lista diventa inutilizzabile da subito e la pipeline si ferma nello stesso trimestre.
- Il rischio penale. L'articolo 167 del Codice Privacy prevede la reclusione per il trattamento illecito di dati su larga scala compiuto per trarne profitto, quando causa un danno. È raro, ma esiste, e non lo copre nessuna assicurazione.
Gli elementi che il Garante usa per calibrare l'importo sono quelli dell'articolo 83(2) del GDPR: gravità e durata della violazione, numero di interessati coinvolti, grado di negligenza, misure adottate per attenuare il danno, cooperazione durante l'istruttoria, precedenti. Le prime quattro le decidi tu prima della campagna. Le ultime due le decidi con la qualità della documentazione.
Francia: verificare finalità, ruolo e regole CNIL
La CNIL descrive condizioni specifiche per alcune attività di prospezione B2B, tra cui il collegamento con la professione del destinatario, l'informativa e un'opposizione semplice. Non trasferire questa impostazione all'Italia e non ridurla a «indirizzo professionale = autorizzazione»: verifica destinatario, finalità, fonte, contenuto e versione corrente delle regole francesi.
Germania: analisi separata secondo l'UWG
La sezione 7 UWG impone un'analisi rigorosa delle comunicazioni commerciali e delle eccezioni. Non assumere che telefono o LinkedIn siano scorciatoie: valuta separatamente ogni canale e non trattare una connessione, una risposta generica o un contatto telefonico come consenso email automatico.
Spagna, UK e altri mercati europei
| Paese | B2B opt-in richiesto? | Legge nazionale | Note |
|---|---|---|---|
| Italia | Da verificare per finalità e canale | D.Lgs. 196/2003, Art. 130 | Consenso come regola generale per email promozionali; soft spam limitato. |
| Francia | Da verificare per ruolo e finalità | CPCE/LCEN + linee guida CNIL | Applicare la dottrina CNIL corrente, informativa e opposizione. |
| Germania | Da verificare prima dell'invio | UWG, sezione 7 | Analizzare consenso ed eccezioni con consulenza locale. |
| Spagna | Da verificare prima dell'invio | LSSI-CE | Controllare relazione precedente, destinatario e guida AEPD corrente. |
| Paesi Bassi | Da verificare per tipo di recapito | Telecommunicatiewet | Non presumere che la pubblicazione dell'indirizzo autorizzi il marketing. |
| Belgio | Da verificare per destinatario | WER + regole ePrivacy | Documentare la condizione applicabile e l'opposizione. |
| Regno Unito | Da verificare per subscriber type | PECR + UK GDPR | Distinguere corporate subscriber e persona identificabile. |
| Irlanda | Da verificare per campagna | SI 336/2011 | Consultare la guida DPC e la norma corrente. |
| Polonia | Da verificare prima dell'invio | Legge nazionale vigente | Controllare la normativa aggiornata e il requisito di consenso. |
| Austria | Da verificare prima dell'invio | TKG vigente | Valutare consenso, eccezioni e destinatario. |
USA e Canada: due mondi opposti
Stati Uniti: CAN-SPAM e leggi statali
Il CAN-SPAM Act adotta un modello federale basato anche sull'opt-out, ma non autorizza qualsiasi messaggio a qualsiasi destinatario. Verifica inoltre leggi statali, contenuto, pubblico e settore prima della campagna:
- Header veritieri (campo "From" reale, non camuffato)
- Oggetto coerente con il contenuto (niente "Re:" su prima email)
- Indirizzo postale fisico nel footer
- Meccanismo di disiscrizione funzionante, onorato entro 10 giorni lavorativi
- Se appalti l'invio a un terzo, sei comunque responsabile
Sanzione: fino a 53.088 dollari per email che viola la legge (cifra aggiornata FTC, gennaio 2026). Lo Stato di Washington aggiunge il CEMA che permette cause private da 500 dollari per email con oggetto fuorviante. Quindi: se scrivi a target USA, niente "Re:" o "Fwd:" sui primi tocchi.
Canada: CASL e condizioni del consenso
CASL richiede di documentare il consenso espresso oppure una specifica forma di consenso implicito prevista dalla legge, oltre a identificazione e disiscrizione. Non presumere che un indirizzo pubblicato, una telefonata o un contatto LinkedIn soddisfino automaticamente le condizioni.
B2B contro B2C: la distinzione che decide tutto
Se di questa guida ricordi una sola cosa, ricorda questa: nella maggior parte degli ordinamenti B2B e B2C sono due categorie giuridiche diverse, non due sfumature dello stesso problema.
| Giurisdizione | Cold email B2B | Cold email B2C |
|---|---|---|
| Italia (Codice Privacy + GDPR) | Verificare consenso/soft spam e trattamento | Verificare consenso/soft spam e trattamento |
| Francia (regole CNIL) | Verificare ruolo, finalità e opposizione | Verificare consenso e eccezioni |
| Germania (UWG Sezione 7) | Verificare consenso ed eccezioni | Verificare consenso ed eccezioni |
| Spagna (LSSI-CE) | Verificare relazione e consenso | Verificare relazione e consenso |
| Paesi Bassi, Irlanda, Svezia | Verificare separatamente ogni paese | Verificare separatamente ogni paese |
| Regno Unito (PECR) | Distinguere corporate subscriber e persona | Verificare consenso ed eccezioni |
| Stati Uniti (CAN-SPAM + leggi statali) | Verificare requisiti federali e statali | Verificare requisiti federali e statali |
| Canada (CASL) | Documentare la forma di consenso applicabile | Documentare la forma di consenso applicabile |
| Australia (Spam Act 2003) | Verificare consenso ed eccezioni | Verificare consenso ed eccezioni |
| Brasile (LGPD) | Verificare base, trasparenza e canale | Verificare base, trasparenza e canale |
| Giappone, Corea del Sud, Emirati, Cina | Verificare paese e destinatario | Verificare paese e destinatario |
Come si riconosce un contatto B2C travestito da B2B
- Il dominio dell'indirizzo. gmail.com, hotmail.it, libero.it: è un indirizzo personale anche se la persona lo usa per lavorare. Trattalo come B2C.
- La forma giuridica. Ditta individuale, libero professionista, associazione: il destinatario è una persona fisica e il margine si restringe.
- La pertinenza al ruolo. Se il tuo prodotto serve alla persona e non alla sua funzione (formazione personale, servizi finanziari, benessere), stai vendendo a un consumatore anche quando scrivi a un indirizzo aziendale.
- La dimensione dell'organizzazione. Sotto i cinque dipendenti la distinzione fra patrimonio dell'azienda e patrimonio della persona è teorica, e i regolatori lo sanno.
Regola pratica: segmenta per paese, tipo di destinatario, finalità e canale; conserva per ciascun segmento la valutazione e la prova della condizione applicata. L'etichetta B2B/B2C nel CRM non determina da sola la liceità.
Framework: puoi mandare questa cold email?
Cinque domande, in questo ordine, prima di lanciare una campagna su un mercato nuovo. Vanno rifatte per ogni paese di destinazione e non per il paese dove ha sede la tua azienda: la legge applicabile è quella del destinatario.
- Dove si trova il destinatario? Se la lista mescola dieci paesi, hai dieci regimi diversi. Segmenta per paese prima di scrivere la copy, non dopo.
- Chi è il destinatario? Persona fisica, ditta individuale, corporate subscriber o casella funzionale possono seguire regole diverse. Non dedurlo soltanto dal dominio.
- Quale condizione richiede quel paese per quel canale? Consulta la norma e l'autorità competenti e documenta consenso, relazione precedente, soft spam o altra eccezione specifica. Una LIA o un indirizzo pubblicato non autorizzano automaticamente l'invio.
- Hai gli otto elementi obbligatori nel messaggio? Identità, ragione sociale, sede, oggetto onesto, origine del dato, informativa, opt-out in un clic, pertinenza al ruolo. Se ne manca uno, la base giuridica corretta non ti salva.
- Il fornitore è stato verificato? Controlla DPA, sub-responsabili, regioni di trattamento, trasferimenti, retention, sicurezza e impostazioni; nessun footer o software rende una campagna conforme ovunque.
Per un team italiano questo si traduce in una valutazione distinta per ogni canale. Email e LinkedIn sono nativi in Overloop; le Call Tasks passano dall'integrazione Aircall. Una prima risposta, una connessione LinkedIn o una telefonata non costituiscono automaticamente consenso email: se ti basi sul consenso, assicurati che sia libero, specifico, informato, inequivocabile e documentabile.
Sei controlli operativi, da integrare con la legge applicabile
Questi controlli riducono errori operativi, ma non sostituiscono consenso, base giuridica, trasparenza o requisiti locali:
- Mittente reale. Nome e cognome veri, dominio professionale, niente alias o domini comprati la settimana scorsa.
- Oggetto onesto. Riflette il contenuto. Niente "Re:" su prima email, niente clickbait.
- Indirizzo postale fisico in footer. Anche solo "Overloop, Rue des Pères Blancs 4, 1040 Bruxelles, Belgio".
- Opposizione semplice. Offri un mezzo gratuito e funzionante, ferma gli invii senza ingiustificato ritardo e testa la sincronizzazione della soppressione.
- Due diligence sui dati. Per ogni fonte, incluso un provider B2B, verifica provenienza, finalità, base, informativa e qualità; l'acquisto o la verifica di un indirizzo non trasferisce un'autorizzazione a inviare.
- Documenta tutto. Ogni LIA, ogni opt-out, ogni richiesta di accesso ai dati. Se il Garante chiama, vinci con la documentazione.
Come mandare cold email nel modo giusto, dall'Italia
Ecco il processo che usano i team che fanno outbound serio in Europa:
- Definisci l'ICP stretto. Più stretto è, più solido è il legittimo interesse. "CFO di SaaS B2B 50-200 dipendenti in Italia e Francia" è difendibile. "Tutti i C-level in Europa" non lo è.
- Valuta ogni fonte. Pubblicazione online, database o profilo LinkedIn non equivalgono a consenso. Registra provenienza, finalità, base e informativa dovuta.
- Verifica con waterfall. Riduci il bounce rate sotto il 2% prima di inviare. Bounce alti, reputazione dominio rovinata in due giorni.
- Configura il dominio e l'invio. Verifica autenticazione, limiti del provider e deliverability su un campione; non confondere una buona consegna tecnica con la conformità legale.
- Personalizza il primo tocco. Una variabile dinamica vera (azienda, ruolo, segnale recente) batte 10 token generici.
- Frequenza proporzionata. Definisci numero e intervallo dei tocchi in base a finalità, aspettative, opposizioni e rischio; una sequenza breve non sana un invio non autorizzato.
- Footer chiaro. Indirizzo, nome legale dell'azienda, link di disiscrizione, motivo per cui scrivi.
7 errori che aumentano il rischio di violazione
- Comprare una lista e chiamarla database. Nessun venditore di liste ti trasferisce una base giuridica, perché il consenso non è cedibile e il legittimo interesse è tuo, non suo. Nei provvedimenti Sky Italia e Vodafone il punto centrale era esattamente questo.
- Usare le PEC dei registri pubblici. INI-PEC e i registri camerali hanno una finalità amministrativa. Riusarli per promozione viola il principio di limitazione della finalità, e il fatto che il dato sia pubblico non cambia niente.
- Avere una sola informativa privacy per clienti e prospect. Basi giuridiche diverse, fonti diverse, tempi di conservazione diversi. Una policy che parla solo di clienti non copre l'outbound, ed è la prima cosa che si controlla.
- Mettere l'opt-out solo nell'ultima email della sequenza. Va in ognuna, primo tocco compreso. È l'errore più frequente nei template scritti dai commerciali e il più facile da contestare, perché basta guardare il messaggio.
- Cambiare dominio dopo un opt-out. L'opposizione riguarda il titolare del trattamento, non il dominio di invio. Riprovare da un secondo dominio produce un reclamo e trasforma una svista in condotta intenzionale, che l'articolo 83(2) valuta come aggravante.
- Non firmare l'accordo con i fornitori. Lo strumento di invio, il CRM e il provider di arricchimento trattano dati per te: senza nomina a responsabile ai sensi dell'articolo 28 la violazione è tua, indipendentemente da come si comportano loro.
- Tenere i prospect per sempre. Un CRM con contatti mai ingaggiati del 2019 viola il principio di limitazione della conservazione, e in un'istruttoria è una delle prime cose che emergono, perché si vede in due clic.
In sintesi
Non esiste una regola unica che renda la cold email B2B conforme in Italia o in Europa. Per ogni campagna verifica destinatario, paese, finalità e canale; documenta consenso o eccezione, base del trattamento, informativa, opposizione, fonte e retention. Completa la due diligence su DPA, sub-responsabili, regioni di trattamento, trasferimenti e configurazione.
Overloop offre email e LinkedIn nativi, controlli di invio, verifica e funzioni configurabili di opt-out/soppressione; le Call Tasks richiedono Aircall. Nessuno strumento garantisce la conformità: verifica DPA, sub-responsabili, regioni di trattamento, retention e impostazioni correnti prima dell'uso. Valuta Overloop.
Aggiornato il 23 aprile 2026.
