Articolo a cura di: Redazione - Studio Legale Calvello

Acquistare una lista di indirizzi email, numeri telefonici o nominativi di potenziali clienti può sembrare una soluzione immediata per sviluppare nuove opportunità commerciali. Il problema nasce quando l’azienda utilizza quei dati senza aver verificato come siano stati raccolti, per quali finalità e con quali autorizzazioni. Il fatto che un database sia stato acquistato regolarmente, con fattura e contratto, non significa che i contatti possano essere utilizzati liberamente per campagne pubblicitarie. Le regole del GDPR e del Codice Privacy si applicano anche al marketing tra imprese e possono comportare responsabilità per la società che acquista e utilizza i dati, indipendentemente dalle garanzie ricevute dal venditore. Prima di avviare una campagna, occorre quindi verificare la provenienza dei contatti, la base giuridica del trattamento e la liceità dello specifico canale promozionale. Quando queste informazioni mancano o risultano insufficienti, una valutazione legale preventiva può evitare che un investimento commerciale si trasformi in una contestazione.

Acquistare liste di contatti è legale? La differenza tra comprare un database e poterlo utilizzare

La compravendita di una banca dati contenente informazioni commerciali non è, di per sé, sempre vietata. La questione giuridica riguarda la liceità della raccolta, della comunicazione e del successivo utilizzo dei dati personali. Un’impresa può acquistare un database da un fornitore specializzato, ma deve accertare che quest’ultimo abbia titolo per comunicarle i dati e che l’impiego previsto sia consentito dalla normativa applicabile.

Il Regolamento (UE) 2016/679 richiede che ogni trattamento di dati personali sia fondato su una base giuridica adeguata e rispetti i principi di liceità, correttezza, trasparenza, limitazione delle finalità e responsabilizzazione del titolare. Per le comunicazioni promozionali occorre considerare anche l’articolo 130 del D.Lgs. 196/2003, che disciplina l’utilizzo di strumenti quali posta elettronica, SMS e sistemi automatizzati di comunicazione.

Questo significa che l’acquisto di una lista email non attribuisce automaticamente il diritto di inviare messaggi pubblicitari ai destinatari. Per le comunicazioni promozionali tramite posta elettronica, la regola generale è il consenso preventivo, salvo specifiche eccezioni previste dalla legge. L’azienda deve poter dimostrare che il trattamento sia lecito e che il consenso, quando necessario, sia effettivamente riferibile alla comunicazione che intende effettuare.

Un equivoco frequente riguarda i database venduti come “GDPR compliant”, “contatti verificati” oppure “liste con consenso privacy”. Queste espressioni commerciali, da sole, non dimostrano la legittimità dell’utilizzo. Occorre verificare chi abbia raccolto i dati, quale informativa sia stata fornita agli interessati, a quali soggetti fosse destinata l’eventuale autorizzazione e se le modalità di raccolta siano compatibili con la successiva campagna.

La questione riguarda anche il marketing B2B. Il fatto che un indirizzo appartenga a un’impresa non esclude automaticamente l’applicazione della disciplina sulle comunicazioni commerciali. Un indirizzo nominativo, come nome.cognome@azienda.it, può costituire un dato personale. Anche l’utilizzo promozionale di indirizzi aziendali generici, come info@azienda.it, deve rispettare le regole applicabili alle comunicazioni elettroniche indesiderate.

Non è sufficiente neppure che il recapito sia pubblicato sul sito dell’impresa, presente in un elenco professionale o reperibile attraverso registri pubblici. La disponibilità pubblica di un indirizzo non equivale al consenso a ricevere pubblicità. La finalità per cui il dato è stato reso accessibile deve essere distinta dall’eventuale utilizzo per attività promozionali.

Un’altra situazione ricorrente riguarda l’acquisto di contatti provenienti da piattaforme di lead generation, fiere, eventi, portali professionali o intermediari commerciali. In questi casi non basta conoscere la provenienza generale del database: occorre verificare quali informazioni siano state comunicate agli interessati e se la successiva trasmissione dei dati all’azienda acquirente sia compatibile con le condizioni originarie della raccolta.

La verifica deve essere effettuata prima di importare i contatti nel CRM, inserirli in una piattaforma di email marketing o affidarli a un’agenzia incaricata della campagna. L’utilizzo operativo dei dati costituisce infatti un trattamento autonomamente rilevante, del quale l’impresa deve poter giustificare la liceità.

Consenso marketing raccolto da terzi: quali verifiche deve effettuare l’azienda prima di utilizzare i contatti acquistati

Quando il venditore dichiara di aver raccolto il consenso degli interessati, l’azienda acquirente deve verificare che tale consenso sia valido rispetto alla propria attività promozionale. Ai sensi degli articoli 4 e 7 del GDPR, il consenso deve essere libero, specifico, informato e inequivocabile. Deve inoltre essere dimostrabile da parte del titolare del trattamento che intende farvi affidamento.

Una dichiarazione generica del fornitore secondo cui tutti i nominativi sarebbero autorizzati a ricevere comunicazioni commerciali non costituisce, da sola, una prova sufficiente. È necessario esaminare concretamente il processo di raccolta, il testo dell’informativa, la formulazione dell’eventuale consenso e la documentazione disponibile.

Particolare attenzione merita il caso in cui il consenso sia stato raccolto per ricevere offerte da “partner commerciali” o “aziende terze”. Una formula generica non rende automaticamente legittima qualsiasi successiva comunicazione pubblicitaria. Occorre valutare se l’interessato fosse stato informato in modo sufficientemente preciso dell’identità o delle categorie dei soggetti destinatari, delle finalità perseguite e delle conseguenze della propria scelta. Per l’utilizzo di liste acquistate destinate all’invio di email promozionali, la possibilità di fare affidamento su un consenso originariamente raccolto da altri richiede particolare cautela.

Il contratto con il venditore può prevedere dichiarazioni e garanzie sulla provenienza lecita dei dati, sull’acquisizione dei consensi e sulla disponibilità della relativa documentazione. Può anche disciplinare responsabilità, obblighi di collaborazione e conseguenze dell’eventuale irregolarità del database. Queste clausole sono utili nei rapporti tra le parti, ma non sostituiscono gli obblighi che il GDPR pone direttamente a carico dell’azienda che utilizza i contatti.

Un ulteriore controllo riguarda l’informativa prevista dall’articolo 14 del GDPR per i dati personali non raccolti direttamente presso l’interessato. L’azienda deve valutare quando e come comunicare le informazioni richieste, comprese quelle relative all’origine dei dati e alle finalità del trattamento. L’adempimento informativo non costituisce però un’autorizzazione autonoma all’invio di pubblicità: se manca il presupposto necessario per utilizzare il canale promozionale, fornire l’informativa non sana tale mancanza. Per approfondire gli obblighi di trasparenza, è possibile consultare il nostro articolo dedicato alle informative privacy e alle informazioni che devono contenere.

È altrettanto importante distinguere il consenso dal legittimo interesse. L’articolo 6 del GDPR contempla il legittimo interesse tra le possibili basi giuridiche del trattamento e il considerando 47 richiama il marketing diretto tra le attività che possono, in determinate circostanze, essere svolte sulla base di tale interesse. Questo non consente però di superare le disposizioni specifiche del Codice Privacy che richiedono il consenso per determinate comunicazioni promozionali. Il legittimo interesse non può essere utilizzato come giustificazione generale per inviare email pubblicitarie a liste acquistate.

Non bisogna confondere questa situazione con il cosiddetto soft spam, disciplinato dall’articolo 130, comma 4, del Codice Privacy. L’eccezione riguarda, in presenza delle condizioni previste dalla norma, l’utilizzo dell’indirizzo email acquisito dal titolare nel contesto della vendita di un prodotto o servizio per promuovere propri prodotti o servizi analoghi. Non rappresenta quindi una deroga generale utilizzabile per contattare nominativi acquistati da un intermediario. Abbiamo affrontato le conseguenze delle comunicazioni promozionali non autorizzate nell’approfondimento dedicato all’email marketing senza consenso e ai rischi di sanzione per l’azienda.

Quando l’impresa intende utilizzare i dati per telefonate commerciali, SMS, messaggi WhatsApp o campagne pubblicitarie basate sul caricamento di elenchi di clienti nelle piattaforme digitali, la verifica deve considerare le regole specifiche del canale scelto. Per il telemarketing telefonico assumono rilievo anche la disciplina del Registro pubblico delle opposizioni e le modalità tecniche della chiamata. Per le campagne basate su elenchi caricati nelle piattaforme pubblicitarie occorre valutare le basi giuridiche dei trattamenti e le condizioni applicabili alla comunicazione dei dati ai gestori dei servizi.

Prima dell’utilizzo di una lista acquistata, noi riteniamo opportuno esaminare la documentazione del fornitore e confrontarla con l’attività concretamente programmata dall’impresa. La verifica deve riguardare anche l’eventuale presenza di opposizioni, revoche del consenso, dati non aggiornati e informazioni di provenienza incerta. Quando il database presenta criticità, può essere necessario sospenderne l’utilizzo fino al completamento degli accertamenti, anziché procedere sulla base delle sole rassicurazioni commerciali ricevute.

Responsabilità e sanzioni GDPR: cosa rischia l’azienda che utilizza liste di contatti acquistate senza le necessarie verifiche

Quando un’azienda utilizza un database acquistato per inviare comunicazioni commerciali, assume responsabilità proprie rispetto ai trattamenti effettuati. La circostanza che i dati siano stati forniti da una società specializzata non esonera l’impresa dall’obbligo di verificarne la liceità. Questo aspetto diventa particolarmente delicato quando il fornitore garantisce genericamente la conformità al GDPR, ma non è in grado di documentare l’origine dei nominativi o le condizioni alle quali sono stati raccolti.

Se l’azienda determina autonomamente finalità e modalità della campagna, opera normalmente come titolare del trattamento. Deve quindi rispettare gli obblighi previsti dal GDPR e dalla normativa nazionale applicabile alle comunicazioni promozionali. Il venditore del database può essere a sua volta titolare del trattamento per le attività di raccolta e comunicazione dei dati. La qualificazione dei ruoli dipende dalle attività concretamente svolte e non dalla semplice denominazione utilizzata nel contratto.

Le irregolarità possono riguardare diversi aspetti: assenza di una base giuridica adeguata, utilizzo dei contatti per finalità incompatibili con quelle originarie, consenso non dimostrabile, informativa incompleta, mancato rispetto delle opposizioni degli interessati oppure conservazione dei dati oltre il periodo giustificato. Una lista acquistata con un consenso non verificabile può esporre l’azienda a contestazioni anche quando il pagamento al fornitore è stato regolarmente effettuato.

Il rischio aumenta quando il database viene utilizzato per campagne ripetute, affidato a più agenzie o inserito in sistemi automatizzati che inviano comunicazioni a migliaia di destinatari. L’estensione del trattamento, il numero degli interessati coinvolti, la durata dell’eventuale violazione e il comportamento dell’impresa sono elementi che possono assumere rilievo nella valutazione delle responsabilità.

Le violazioni delle disposizioni del GDPR possono comportare sanzioni amministrative pecuniarie secondo i criteri e i limiti stabiliti dall’articolo 83 del Regolamento. Per determinate violazioni dei principi fondamentali del trattamento, comprese quelle relative alle condizioni del consenso, il limite massimo previsto per le imprese può raggiungere 20 milioni di euro oppure il 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore. Questi importi rappresentano limiti massimi normativi, non sanzioni automaticamente applicabili a ogni campagna irregolare. La valutazione concreta dipende dalla natura della violazione e dalle circostanze del caso.

Un destinatario può inoltre esercitare i diritti previsti dal GDPR, chiedere informazioni sull’origine dei propri dati, opporsi al trattamento per marketing diretto o presentare reclamo al Garante per la protezione dei dati personali. L’articolo 21 del GDPR riconosce il diritto di opporsi in qualsiasi momento al trattamento per finalità di marketing diretto: quando tale opposizione viene esercitata, i dati personali non possono più essere trattati per queste finalità.

Se l’azienda riceve una contestazione, deve essere in grado di ricostruire la provenienza dei dati, la documentazione ricevuta dal venditore, la base giuridica individuata e le modalità di utilizzo dei contatti. La mancanza di registrazioni attendibili sull’acquisizione del consenso può rendere particolarmente difficile dimostrare la liceità della campagna.

Per questo motivo, prima di acquistare una lista commerciale, è opportuno effettuare un controllo documentale sul fornitore, sulle condizioni contrattuali e sulle modalità di raccolta dei dati. Quando il database è già stato acquistato, la verifica dovrebbe precedere qualsiasi ulteriore utilizzo. Se emergono irregolarità, occorre valutare la sospensione delle campagne, la cancellazione dei dati non utilizzabili e gli eventuali interventi correttivi, senza presumere che sia possibile sanare retroattivamente ogni trattamento illecito.

La gestione di queste situazioni richiede un approccio coerente con il principio di responsabilizzazione previsto dal GDPR. L’impresa deve poter dimostrare le valutazioni effettuate e le decisioni adottate. Il nostro approfondimento sull’accountability GDPR e sulla documentazione necessaria per dimostrare la conformità aziendale affronta questo profilo organizzativo.

Un esempio pratico: l’azienda acquista un database B2B ma non riesce a verificare il consenso dei contatti

Consideriamo il caso ipotetico di una società di servizi che acquista da un intermediario un database contenente indirizzi email di amministratori e responsabili acquisti di altre imprese. L’obiettivo è avviare una campagna commerciale per presentare i propri servizi. Il fornitore dichiara che i contatti sono conformi al GDPR e che possono essere utilizzati per attività promozionali.

Prima dell’invio, il responsabile commerciale chiede di verificare la documentazione privacy. Dall’esame emerge che il contratto contiene una generica garanzia di liceità, mentre l’informativa utilizzata per raccogliere i dati non identifica chiaramente le aziende destinatarie delle comunicazioni commerciali. Mancano inoltre elementi sufficienti per dimostrare l’esistenza di consensi validi rispetto alla campagna programmata.

In una situazione di questo tipo, la decisione corretta non può basarsi esclusivamente sulla dichiarazione commerciale del venditore. Occorre richiedere la documentazione disponibile, verificare le condizioni originarie della raccolta e valutare separatamente la liceità dell’acquisizione e dell’utilizzo dei dati. Se non emergono presupposti sufficienti per procedere, l’azienda deve evitare di utilizzare quei contatti per la campagna prevista.

La verifica legale permette anche di individuare eventuali criticità contrattuali nei rapporti con il fornitore e di stabilire quali procedure introdurre per i successivi acquisti di database. L’esempio mostra perché il controllo preventivo debba riguardare la concreta utilizzabilità dei dati e non soltanto la regolarità formale della compravendita.

Domande frequenti sull’acquisto e sull’utilizzo di liste di contatti per marketing

Un’azienda può acquistare una lista di email e utilizzarla subito per inviare offerte commerciali?

Non automaticamente. Prima dell’invio occorre verificare la provenienza dei contatti, la liceità della loro comunicazione all’azienda acquirente e l’esistenza dei presupposti necessari per utilizzare la posta elettronica a fini promozionali. Il contratto di acquisto e la dichiarazione del venditore secondo cui il database sarebbe conforme al GDPR non sono sufficienti, da soli, a dimostrare che i destinatari possano essere contattati.

Se il fornitore garantisce che tutti i contatti hanno prestato il consenso, l’azienda è tutelata?

La garanzia contrattuale può assumere rilievo nei rapporti con il fornitore, ma non elimina le responsabilità dell’impresa che utilizza i dati. È necessario verificare che il consenso sia documentabile, sufficientemente specifico e riferibile alle comunicazioni programmate. Quando il venditore non fornisce elementi adeguati, l’azienda non dovrebbe considerare automaticamente utilizzabile il database.

È possibile inviare una prima email ai contatti acquistati soltanto per chiedere il consenso?

Di regola, non è consentito aggirare l’obbligo del consenso preventivo inviando un messaggio promozionale finalizzato proprio a ottenere l’autorizzazione per successive comunicazioni commerciali. Anche il primo contatto deve rispettare la disciplina applicabile. La presenza di un collegamento per disiscriversi non sostituisce il consenso richiesto dalla normativa.

Se la lista contiene soltanto indirizzi email aziendali, il consenso non è necessario?

Non esiste un’esenzione generale per il marketing B2B. Gli indirizzi nominativi possono costituire dati personali e l’articolo 130 del Codice Privacy disciplina l’invio di comunicazioni promozionali mediante posta elettronica anche quando i destinatari operano in ambito professionale. La natura aziendale dell’indirizzo non autorizza, di per sé, l’invio di pubblicità senza i presupposti richiesti dalla legge.

Cosa deve fare un’impresa che ha già acquistato e utilizzato una lista di contatti senza verificare i consensi?

È opportuno verificare tempestivamente la documentazione disponibile, le modalità di raccolta dei dati e le campagne già effettuate. Se non è possibile dimostrare la liceità dell’utilizzo, occorre valutare la sospensione delle comunicazioni, la gestione delle eventuali opposizioni e le misure correttive necessarie. In presenza di reclami o richieste del Garante Privacy, è consigliabile effettuare una valutazione legale specifica prima di predisporre risposte o assumere iniziative che possano incidere sulla posizione dell’azienda.

Liste di contatti acquistate e GDPR: richiedi una valutazione legale prima di utilizzare il database

Se la tua azienda ha acquistato una lista di contatti commerciali, sta valutando l’acquisto di un database B2B oppure ha già avviato campagne utilizzando nominativi forniti da terzi, possiamo esaminare la liceità dell’utilizzo dei dati, la documentazione dei consensi, le garanzie contrattuali del fornitore e le eventuali responsabilità dell’impresa.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste le aziende nelle problematiche relative alla privacy, al GDPR e alle contestazioni connesse al trattamento dei dati personali. La valutazione deve tenere conto delle caratteristiche del database, della provenienza dei contatti e delle modalità concrete con cui l’impresa intende utilizzarli.

Per sottoporci la situazione della tua azienda, richiedi una valutazione legale in materia di GDPR e privacy aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare gli aspetti che necessitano di approfondimento e le possibili modalità di assistenza.