Cold email legale in Italia: cosa dicono il GDPR, il Codice privacy e il Garante

La cold email è legale in Italia?

La cold email legale in Italia è quella inviata nel rispetto dell'articolo 130 del Codice privacy. Per i messaggi promozionali via email la regola è il consenso preventivo del destinatario, con una sola deroga per i clienti esistenti e servizi analoghi. Non c'è un'eccezione generale per il B2B e il link di disiscrizione non rende lecito un invio senza consenso.

La cold email è un messaggio commerciale inviato a un potenziale cliente che non l'ha richiesto e con cui non hai ancora un rapporto. Il testo dell'articolo 130 del D.lgs. 196/2003 dice che l'uso di sistemi automatizzati per l'invio di materiale pubblicitario o di vendita diretta è consentito con il consenso del contraente o utente. Il comma 2 estende la regola alle comunicazioni via posta elettronica, fax, SMS e MMS.

Molte guide parlano di cold email "legale" come se il GDPR bastasse e il legittimo interesse risolvesse tutto. In Italia il quadro è più stretto, perché sopra il GDPR c'è questa norma speciale sulle comunicazioni indesiderate. Questa guida riassume cosa dicono la norma e il Garante per la protezione dei dati personali, e come impostare una prospezione che regga. È informazione generale, non consulenza legale: prima di una campagna grande confrontati con un avvocato.

Perché in Italia il legittimo interesse non basta per la cold email?

Perché per la posta elettronica a scopo promozionale vale una regola specifica, l'articolo 130, che chiede il consenso. Il legittimo interesse dell'articolo 6, paragrafo 1, lettera f del GDPR resta una base valida per altri trattamenti, e il comma 3 dello stesso articolo 130 rinvia agli articoli 6 e 7 del GDPR per i mezzi diversi da email, SMS e chiamate automatizzate. Ma per l'email commerciale a freddo il Garante ragiona sul consenso.

Lo mostra un caso concreto, riportato nella newsletter del Garante del 28 giugno 2023. Una società aveva inviato campagne promozionali a molti destinatari, anche professionisti, dopo aver estratto i nominativi da elenchi pubblici. Si è difesa dicendo di aver trattato i dati per legittimo interesse. Il Garante ha risposto che l'invio con modalità automatizzate è consentito solo con il consenso e ha applicato una sanzione di 10.000 euro.

Del provvedimento contano tre dettagli:

• La deroga dei clienti esistenti non c'era. I destinatari non avevano mai lasciato il proprio indirizzo in un rapporto contrattuale con la società e non la conoscevano.
• Il link per disiscriversi non ha contato nulla. Secondo il Garante, prima ancora del suo contenuto è l'invio dell'email a essere illecito.
• Il danno vero è stato il database. L'Autorità ha vietato di trattare per finalità promozionali tutti i dati per cui la società non potesse dimostrare un consenso idoneo.

Società, ditte individuali, professionisti: a chi puoi scrivere?

Dipende da chi riceve il messaggio. Le persone fisiche, compresi professionisti e ditte individuali, hanno la tutela piena dell'articolo 130 e del GDPR. Le società hanno una posizione diversa, che il Garante ha spiegato nelle sue linee guida sull'attività promozionale e contro lo spam del 4 luglio 2013.

Conta soprattutto il caso delle persone giuridiche. Dal 6 dicembre 2011 non sono più "interessati" ai fini del Codice, quindi non possono presentare reclami al Garante né esercitare i diritti degli articoli 7 e seguenti. Il Garante precisa però che la qualifica di "contraente" riguarda certamente anche loro e che possono ricorrere al giudice ordinario con l'azione inibitoria o di risarcimento. Le linee guida sono precedenti al GDPR, ma l'articolo 130 è ancora in vigore e il Garante lo applica anche nel 2023.

Gli indirizzi con nome e cognome sono il caso più sottovalutato. Per il Garante un indirizzo come nome.cognome@società.com, anche se aziendale, va considerato personale e il suo assegnatario è un interessato. Se non sai come è formata una casella, leggi i formati più comuni di email aziendali: dedurre l'indirizzo di una persona non significa avere il diritto di scriverle.

Se il tuo target sono professionisti, la cold email è il canale più delicato. La guida su come acquisire clienti come avvocato mostra, dal lato di chi cerca clienti, canali che non dipendono da un invio a freddo.

Posso scrivere agli indirizzi trovati sul web o su Google Maps?

Non basta che siano pubblici. Nelle linee guida del 2013 il Garante scrive che non è possibile inviare comunicazioni promozionali con strumenti automatizzati neanche quando i dati personali sono tratti da registri pubblici, elenchi, siti web o documenti conosciuti o conoscibili da chiunque. Lo stesso vale per gli indirizzi PEC dell'indice nazionale delle imprese e dei professionisti: senza consenso preventivo non si usano per email promozionali.

Questo non rende illegale raccogliere i contatti. Sono due domande diverse: come hai costruito la lista e come usi ciò che c'è dentro. Per il primo aspetto leggi se sia legale estrarre dati da Google Maps e il quadro più ampio su web scraping e dati aziendali. Per il secondo vale tutto quello che hai letto sopra: il canale e il tipo di destinatario decidono la regola, qualunque sia la fonte.

Una lista da Google Maps resta utile, perché contiene sede, categoria, telefono e sito di attività reali. Serve a scegliere con cura chi contattare e come, per esempio con una telefonata o una visita al negozio, invece di spedire email a freddo a indirizzi che non hanno mai acconsentito.

Telemarketing B2B e GDPR: cosa cambia con il Registro delle opposizioni?

Il telemarketing B2B segue una logica opposta alla cold email: invece del consenso preventivo vale l'opt-out. L'articolo 130, comma 3-bis, consente il trattamento dei dati per telefonate con operatore e posta cartacea nei confronti di chi non ha esercitato il diritto di opposizione iscrivendosi al Registro pubblico delle opposizioni (RPO).

Secondo la pagina del Garante sul telemarketing, il RPO è stato esteso a tutti i numeri nazionali riservati, cellulari compresi. L'iscrizione è gratuita per il cittadino, il Registro dipende dal Ministero delle Imprese e del Made in Italy ed è gestito dalla Fondazione Ugo Bordoni. L'iscrizione impedisce agli operatori di trattare i dati per fini di pubblicità, vendita diretta o ricerche di mercato, e annulla i consensi al telemarketing dati in precedenza.

La pagina del Garante parla di tutti i numeri nazionali e non esclude quelli aziendali, e l'intestatario di un numero può essere un libero professionista o una ditta individuale. Per prudenza, tratta il RPO come un passaggio obbligato anche per il B2B. Un processo semplice per le chiamate:

1. Segmenta la lista per tipo di intestatario. Società, ditte individuali e professionisti vanno tenuti distinti.
2. Consulta il RPO prima di ogni campagna, non una volta sola: le iscrizioni cambiano.
3. Identificati subito: nome, azienda e motivo della chiamata.
4. Registra ogni opposizione e non richiamare chi ha detto di non volere altre chiamate.

Come impostare una cold email che regga davanti al Garante?

Parti dal destinatario. L'unica deroga al consenso è il comma 4 dell'articolo 130: puoi usare senza consenso l'indirizzo che un cliente ti ha dato comprando un tuo prodotto o servizio, solo per servizi analoghi, se è stato informato e non rifiuta. In ogni messaggio devi inoltre rispettare il comma 5, che vieta di camuffare l'identità del mittente e di omettere un recapito per esercitare i diritti. Una sequenza pratica:

1. Classifica il destinatario. Società, persona fisica o indirizzo personale: la riga della tabella decide il resto.
2. Per persone fisiche e indirizzi personali ottieni il consenso prima, per esempio con un modulo, una richiesta di contatto o un incontro in cui lo chiedi in modo esplicito.
3. Identifica il mittente con nome, ragione sociale e un recapito reale.
4. Offri un recapito per esercitare i diritti e rispetta subito ogni opposizione. Come gestire le richieste è spiegato nella guida sulle richieste di cancellazione dei dati.
5. Tieni una lista di soppressione e controllala prima di ogni invio, così un contatto che ha detto no non riceve più nulla.
6. Conserva le prove: data e modalità del consenso, fonte del contatto, richieste ricevute.

Per tenere insieme questi dati usa un CRM con campi dedicati. Il modello di database clienti con campi e stati GDPR propone una struttura di partenza.

Quali sanzioni rischia chi fa cold email senza consenso?

Le sanzioni possono arrivare a livelli molto alti, ma il rischio concreto è spesso un altro. Per le violazioni sul telemarketing il Garante richiama l'articolo 83, paragrafo 5 del GDPR: fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo se superiore. Il caso delle email del 2023 si è chiuso con una multa di 10.000 euro, ben lontana dal tetto, ma con un divieto pesante.

Quel divieto pesa più della multa. Se non puoi trattare per fini promozionali i dati del tuo database senza prova di consenso, la lista che hai costruito in mesi diventa inutilizzabile: per un freelance o una piccola agenzia può contare più della multa stessa.

Come usare Vonsel per una prospezione B2B conforme?

Usa Vonsel per costruire e organizzare la lista, poi scegli il canale in base al destinatario. Cerca su Google Maps e premi Start: Vonsel raccoglie le attività dei risultati mentre esplori la mappa. Google Maps non fornisce le email delle attività, quindi Vonsel visita i siti disponibili per trovare email pubblicate, altri numeri di telefono e link ai social supportati. I risultati dipendono da ciò che ogni sito pubblica.

1. Scegli categoria e zona. Per esempio "idraulici a Bologna" o "studi dentistici a Torino".
2. Raccogli le attività e i contatti pubblicati. Le attività restano sulla mappa e nel CRM, divise per fase.
3. Segna il canale consentito. Con note, etichette e campi personalizzati puoi annotare chi ha dato il consenso, chi va chiamato dopo il controllo del RPO e chi non va contattato.
4. Contatta con il canale giusto. Telefonata dopo il RPO, visita in sede, oppure email solo dove hai consenso o una deroga.

Se preferisci vedere l'estrazione in pratica, guarda il tutorial in video. Per sapere cosa include ogni piano consulta la pagina dei prezzi. Vonsel non decide la tua base giuridica e non controlla il RPO al posto tuo: la responsabilità su come contatti ogni attività resta tua.

La versione breve

• Per l'email commerciale a freddo l'articolo 130 chiede il consenso; le deroghe sono poche e il link di disiscrizione non sana un invio illecito.
• Società, ditte individuali, professionisti e indirizzi nome.cognome@ non hanno lo stesso trattamento: classifica il destinatario prima di scrivere.
• Per telefono e posta cartacea il regime è l'opt-out e il Registro delle opposizioni va consultato prima di ogni campagna.
• Un dato pubblico non è un consenso: costruisci la lista con cura e documenta fonte, canale e opposizioni.