Articolo a cura di: Redazione - Studio Legale Calvello

Inviare email pubblicitarie senza il consenso del destinatario può esporre un’azienda a contestazioni del Garante per la protezione dei dati personali, sanzioni amministrative e, in determinate circostanze, richieste di risarcimento. Il problema riguarda anche le comunicazioni commerciali B2B: il fatto che un indirizzo email appartenga a un’impresa, a un professionista o sia pubblicamente disponibile su Internet non autorizza automaticamente il suo utilizzo per campagne promozionali.

Per un imprenditore, un responsabile commerciale o un direttore marketing, la questione diventa particolarmente delicata quando l’azienda utilizza database di potenziali clienti, invia offerte tramite CRM, affida campagne a un’agenzia esterna oppure scopre di non poter dimostrare come siano stati raccolti gli indirizzi. Non tutte le email commerciali richiedono necessariamente un nuovo consenso, ma le eccezioni sono circoscritte e devono essere verificate prima dell’invio. Quando una campagna è già partita senza una base giuridica adeguata, occorre valutare tempestivamente le irregolarità, le eventuali contestazioni e le misure correttive.

Quando l’invio di email commerciali senza consenso costituisce una violazione della privacy

La disciplina italiana dell’email marketing deriva dall’applicazione congiunta del Regolamento (UE) 2016/679 (GDPR) e dell’articolo 130 del D.Lgs. 196/2003, il Codice Privacy. Quest’ultima disposizione stabilisce, come regola generale, che l’utilizzo della posta elettronica per l’invio di comunicazioni pubblicitarie, vendita diretta e ricerche di mercato richiede il consenso preventivo del destinatario, salvo le specifiche eccezioni previste dalla legge.

È necessario distinguere tra una comunicazione strettamente necessaria all’esecuzione di un contratto, una risposta a una richiesta commerciale e un messaggio che promuove prodotti o servizi. L’invio di una conferma d’ordine o di informazioni necessarie alla prestazione contrattuale non equivale, per finalità, all’invio di una newsletter pubblicitaria. Se l’azienda utilizza l’indirizzo raccolto per gestire un acquisto o rispondere a un preventivo e successivamente lo inserisce in una campagna promozionale, deve verificare che tale ulteriore utilizzo sia consentito.

Una delle situazioni più frequenti riguarda le email commerciali inviate ad aziende e professionisti senza consenso. Un’impresa può ritenere lecito contattare liberamente altre società perché gli indirizzi sono pubblicati nei rispettivi siti web, nelle directory professionali o sui profili LinkedIn. Questa convinzione è rischiosa. La pubblicazione di un recapito per consentire comunicazioni inerenti all’attività professionale non comporta, di per sé, un’autorizzazione a ricevere pubblicità. La disciplina delle comunicazioni elettroniche deve essere considerata anche quando il destinatario è un’impresa, mentre l’applicabilità delle singole disposizioni del GDPR dipende dalla presenza di dati personali.

Il medesimo problema si presenta nelle attività di cold email B2B e lead generation, quando il reparto commerciale raccoglie centinaia di indirizzi da siti aziendali, elenchi pubblici o piattaforme professionali per proporre servizi. La natura professionale del destinatario non rende automaticamente legittima la campagna. Anche l’invio di pubblicità a indirizzi PEC richiede particolare attenzione: la disponibilità del recapito in un pubblico elenco non ne consente indiscriminatamente l’impiego per finalità promozionali.

Un’altra criticità riguarda il ricorso al legittimo interesse previsto dall’articolo 6, paragrafo 1, lettera f), del GDPR. Sebbene tale base giuridica possa assumere rilievo in determinate attività di marketing diretto, non permette di superare l’obbligo di consenso preventivo imposto dall’articolo 130 del Codice Privacy quando questo trova applicazione. Un’impresa non può quindi giustificare qualsiasi campagna email sostenendo semplicemente di avere un interesse commerciale a trovare nuovi clienti.

Le conseguenze dipendono dalle caratteristiche del trattamento, dalla provenienza dei contatti, dalla quantità e frequenza delle comunicazioni e dall’eventuale mancato rispetto delle richieste dei destinatari. Per questa ragione, quando esaminiamo la legittimità di una campagna, non ci limitiamo a verificare la presenza di un’informativa privacy: ricostruiamo le modalità di raccolta degli indirizzi, le finalità originarie e le condizioni che hanno consentito l’invio dei messaggi.

Quando è possibile inviare email promozionali ai clienti senza un nuovo consenso

La principale eccezione al consenso preventivo è il cosiddetto soft spam, disciplinato dall’articolo 130, comma 4, del Codice Privacy. La norma consente, a determinate condizioni, di utilizzare le coordinate di posta elettronica fornite dall’interessato nel contesto della vendita di un prodotto o di un servizio per promuovere propri prodotti o servizi analoghi a quelli già acquistati.

Questa possibilità non equivale a un’autorizzazione generale all’email marketing. L’indirizzo deve essere stato acquisito nel contesto di una vendita, le comunicazioni devono riguardare prodotti o servizi analoghi e il destinatario deve essere stato adeguatamente informato, con la possibilità di opporsi fin dall’inizio e in occasione di ogni successiva comunicazione, gratuitamente e in modo agevole. L’azienda deve inoltre rispettare gli altri obblighi applicabili in materia di protezione dei dati personali.

Si pensi a un’impresa che vende un servizio di manutenzione e desidera informare i propri clienti dell’esistenza di prestazioni analoghe. La possibilità di utilizzare gli indirizzi già acquisiti deve essere valutata verificando il rapporto commerciale originario e l’effettiva analogia dei servizi proposti. La situazione cambia quando la stessa impresa utilizza gli indirizzi per pubblicizzare prodotti completamente diversi, promuovere servizi di altre società oppure contattare soggetti che hanno soltanto richiesto informazioni senza effettuare acquisti.

Il soft spam non si applica automaticamente ai potenziali clienti, ai contatti raccolti durante fiere, agli indirizzi ottenuti tramite biglietti da visita o ai nominativi estratti da database commerciali. Anche la presenza di precedenti scambi di email con un professionista non dimostra necessariamente l’esistenza dei presupposti richiesti dalla legge. Per valutare la liceità dell’invio occorre ricostruire il rapporto concreto e distinguere le comunicazioni contrattuali da quelle promozionali.

Particolare attenzione merita la prova del consenso quando l’azienda utilizza piattaforme newsletter, moduli di iscrizione o strumenti di marketing automation. Il consenso, quando richiesto, deve essere libero, specifico, informato e inequivocabile. Una casella preselezionata, un’accettazione generica delle condizioni contrattuali o una formula che unisce finalità diverse possono non soddisfare tali requisiti. Il titolare deve essere in grado di dimostrare che il destinatario abbia effettivamente espresso una scelta valida. Per approfondire le modalità di acquisizione e documentazione del consenso, abbiamo dedicato un articolo alla newsletter aziendale e GDPR: come raccogliere correttamente il consenso.

Il sistema di double opt-in, mediante il quale l’utente conferma l’iscrizione attraverso un messaggio successivo, può contribuire a documentare la volontà del destinatario e a verificare il controllo dell’indirizzo email. Non costituisce però un obbligo generalizzato imposto espressamente dal GDPR, né rende automaticamente valido un consenso raccolto attraverso un’informativa inadeguata o per finalità non chiaramente indicate.

La verifica deve comprendere anche le modalità di revoca. Se un destinatario si disiscrive o si oppone al marketing diretto, l’azienda deve interrompere il trattamento per quella finalità. L’articolo 21 del GDPR riconosce infatti il diritto di opposizione al trattamento dei dati personali per marketing diretto. Continuare a inviare messaggi promozionali dopo un’opposizione può aggravare la posizione dell’impresa, soprattutto quando il problema deriva da una gestione disorganizzata dei database o dalla mancata sincronizzazione tra CRM e piattaforme di invio.

Quali sanzioni rischia l’azienda e come intervenire quando le email sono già state inviate

Quando un’azienda invia comunicazioni pubblicitarie senza un consenso valido e in assenza delle condizioni previste per il soft spam, può essere chiamata a rispondere della violazione della normativa sulla protezione dei dati personali. L’articolo 130 del Codice Privacy disciplina l’utilizzo della posta elettronica per finalità promozionali, mentre il GDPR stabilisce ulteriori obblighi relativi alla liceità del trattamento, alla trasparenza, alla responsabilizzazione del titolare e alla tutela dei diritti degli interessati.

Le sanzioni per email marketing senza consenso non sono automatiche né vengono determinate esclusivamente in base al numero di messaggi inviati. Il Garante per la protezione dei dati personali valuta le circostanze della violazione secondo il quadro normativo applicabile. Quando ricorrono i presupposti delle disposizioni sanzionatorie del GDPR, l’articolo 83 prevede, per determinate violazioni dei principi del trattamento e delle condizioni del consenso, sanzioni amministrative fino a 20 milioni di euro oppure, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Si tratta di limiti massimi normativi, non di importi ordinariamente applicati a ogni campagna irregolare.

Nella valutazione assumono rilievo la natura e la gravità della condotta, la durata del trattamento, il numero degli interessati coinvolti, l’eventuale carattere intenzionale o colposo della violazione e le misure adottate per attenuarne le conseguenze. Anche precedenti violazioni, collaborazione con l’autorità e modalità con cui l’irregolarità è stata conosciuta possono incidere sulla determinazione della sanzione. Una PMI non è esente da responsabilità per il solo fatto di avere dimensioni ridotte, ma la valutazione deve rispettare i criteri di effettività, proporzionalità e dissuasività previsti dalla normativa.

Il rischio diventa particolarmente concreto quando l’impresa utilizza un database commerciale senza conoscere l’origine dei contatti, invia ripetutamente offerte a destinatari che non hanno mai richiesto comunicazioni oppure continua a contattarli dopo una richiesta di disiscrizione. Un’ulteriore criticità riguarda l’impossibilità di dimostrare il consenso: l’articolo 7 del GDPR impone al titolare, quando il trattamento si basa sul consenso, di poter provare che l’interessato lo abbia prestato. La semplice presenza di un indirizzo nel CRM o in una piattaforma newsletter non costituisce tale prova.

Se l’azienda scopre di avere inviato email commerciali senza un presupposto legittimo, occorre anzitutto interrompere gli invii irregolari e ricostruire le modalità di acquisizione dei contatti. La verifica deve riguardare l’origine degli indirizzi, le informative utilizzate, gli eventuali consensi registrati, le finalità delle comunicazioni e le richieste di opposizione ricevute. Non è sufficiente aggiungere successivamente una casella di consenso al sito web o modificare l’informativa: tali interventi non rendono retroattivamente leciti i trattamenti già effettuati.

Una particolare attenzione deve essere riservata alle campagne affidate a fornitori esterni. L’impresa non può presumere di essere esonerata dalle proprie responsabilità perché l’invio è stato materialmente effettuato da un’agenzia di marketing o da una piattaforma automatizzata. Occorre individuare correttamente i ruoli privacy, verificare le istruzioni impartite e, quando il fornitore opera come responsabile del trattamento, controllare la presenza e l’adeguatezza dell’accordo previsto dall’articolo 28 del GDPR. La ripartizione delle responsabilità dipende dalle effettive decisioni sulle finalità e sui mezzi del trattamento, non soltanto dalle qualificazioni contenute nel contratto.

Quando arriva una richiesta di chiarimenti o una contestazione del Garante Privacy, la situazione richiede un esame ancora più accurato. L’azienda deve ricostruire i fatti, conservare la documentazione pertinente, rispettare i termini indicati dall’autorità e predisporre risposte coerenti con le attività realmente svolte. Una dichiarazione generica di conformità, priva di riscontri documentali, può risultare insufficiente. In questi casi è opportuno valutare tempestivamente l’assistenza di un avvocato esperto in privacy e GDPR per aziende, soprattutto quando la contestazione riguarda campagne ripetute, numerosi destinatari o trattamenti proseguiti nonostante precedenti opposizioni.

Il problema può assumere anche una dimensione risarcitoria. L’articolo 82 del GDPR riconosce il diritto al risarcimento del danno materiale o immateriale subito a causa di una violazione del Regolamento, purché ricorrano i relativi presupposti. La violazione, da sola, non determina automaticamente un diritto al risarcimento: occorre verificare l’esistenza del danno e il nesso causale. Per l’impresa è quindi necessario distinguere il procedimento amministrativo davanti al Garante dalle eventuali pretese civilistiche avanzate dai destinatari.

Un esempio pratico: campagne commerciali inviate a contatti senza prova del consenso

Consideriamo il caso ipotetico di una società di servizi che utilizza un CRM contenente indirizzi raccolti negli anni da commerciali, fiere di settore, richieste di preventivo e precedenti rapporti con clienti. Il reparto marketing avvia una campagna promozionale verso l’intero database, senza distinguere la provenienza dei contatti. Dopo alcune richieste di cancellazione, la direzione scopre che per una parte dei destinatari non esiste documentazione idonea a dimostrare il consenso e che alcuni indirizzi appartengono a soggetti che non hanno mai acquistato servizi.

Una valutazione legale della situazione richiederebbe di esaminare le fonti di acquisizione, separare i clienti per i quali potrebbero ricorrere le condizioni del soft spam dai destinatari per i quali è necessario il consenso e verificare le opposizioni già ricevute. Le campagne prive di un presupposto legittimo dovrebbero essere sospese, mentre CRM e piattaforma di invio andrebbero riorganizzati per impedire il reinserimento automatico dei contatti esclusi. L’aspetto più delicato sarebbe ricostruire le operazioni pregresse e individuare le misure correttive appropriate, senza presumere che la successiva regolarizzazione elimini ogni possibile responsabilità per gli invii precedenti.

Domande frequenti sulle email commerciali senza consenso e sulle sanzioni GDPR

Un’azienda può inviare una prima email commerciale per chiedere il consenso a ricevere pubblicità?

In linea generale, non è consentito utilizzare un indirizzo email per inviare una comunicazione promozionale finalizzata esclusivamente a ottenere il consenso per successive campagne, quando manca già un presupposto che legittimi il primo contatto. Anche una richiesta di autorizzazione può avere finalità di marketing. Occorre quindi verificare preventivamente la liceità dell’utilizzo dell’indirizzo e la natura effettiva del messaggio.

È possibile inviare offerte commerciali agli indirizzi info@ delle aziende senza consenso?

La presenza di un indirizzo generico come info@, commerciale@ o amministrazione@ non autorizza automaticamente l’invio di pubblicità. Anche le comunicazioni elettroniche rivolte a recapiti aziendali devono rispettare l’articolo 130 del Codice Privacy. La circostanza che un indirizzo non identifichi direttamente una persona fisica può incidere sull’applicabilità del GDPR, ma non elimina necessariamente i vincoli previsti dalla disciplina italiana sulle comunicazioni promozionali.

Se l’azienda ha inviato poche email pubblicitarie senza consenso può comunque essere sanzionata?

Sì. La normativa non prevede una soglia minima generale di messaggi al di sotto della quale l’invio promozionale diventa automaticamente lecito. Anche una campagna di dimensioni contenute può integrare una violazione. Il numero dei destinatari, la durata della condotta, le conseguenze e le altre circostanze del caso concreto assumono rilievo nella valutazione dell’eventuale intervento sanzionatorio.

Chi risponde se le email senza consenso sono state inviate da un’agenzia di marketing?

La responsabilità dipende dai ruoli effettivamente assunti dalle parti. Quando l’azienda determina le finalità e i mezzi essenziali della campagna, conserva le responsabilità proprie del titolare del trattamento anche se affida materialmente gli invii a un fornitore. L’agenzia può assumere responsabilità proprie in relazione alle attività svolte e alle decisioni adottate. Occorre quindi esaminare il contratto, le istruzioni, l’origine dei contatti e le modalità operative della campagna.

Un’azienda può regolarizzare un database email raccolto senza consenso?

È possibile intervenire per correggere le modalità di gestione del database, ma la regolarizzazione non rende automaticamente leciti gli invii già effettuati. Occorre individuare i contatti utilizzabili sulla base di un valido presupposto giuridico, escludere quelli privi dei requisiti necessari e verificare le modalità con cui acquisire eventuali nuovi consensi senza effettuare ulteriori comunicazioni promozionali illegittime. Le misure da adottare dipendono dalla provenienza degli indirizzi e dalle attività precedentemente svolte.

Email marketing senza consenso: richiedi una valutazione legale dei rischi per la tua azienda

Se la tua azienda invia email commerciali a potenziali clienti, utilizza database acquisiti nel tempo oppure ha già ricevuto contestazioni per comunicazioni promozionali non autorizzate, è opportuno verificare la legittimità delle campagne e la documentazione disponibile. La presenza di un database, di un’informativa privacy o di un contratto con un’agenzia di marketing non è sufficiente, da sola, a dimostrare la conformità degli invii.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le imprese nella valutazione degli obblighi GDPR, nella verifica delle procedure di email marketing, nella gestione delle irregolarità e nei rapporti con il Garante per la protezione dei dati personali. Esaminiamo le circostanze specifiche, la provenienza dei contatti, le modalità di acquisizione del consenso e gli eventuali profili di responsabilità, individuando gli interventi giuridici e organizzativi appropriati.

Per sottoporci una campagna commerciale, un database di contatti o una contestazione già ricevuta, richiedi una valutazione legale in materia di privacy e GDPR aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni che richiedono assistenza professionale.