Email marketing e GDPR: consenso, soft spam e indicazioni del Garante

Il Garante privacy ha sanzionato Altroconsumo Edizioni per 280 mila euro anche per aver inviato email promozionali a utenti che non avevano confermato la registrazione. Il provvedimento del 18 giugno 2026 divide così l’importo: 180 mila euro per il trattamento illecito dei dati, email comprese, e 100 mila per il mancato riscontro alle richieste dell’Ufficio. La vicenda mette in crisi una difesa comune: i destinatari sono già nostri clienti.

Il modulo sul sito prevedeva soltanto la presa visione dell’informativa, senza alcun consenso al marketing. Gli invii, circa 16-20 comunicazioni commerciali al mese, poggiavano sul presunto rapporto contrattuale e sulla deroga dell’articolo 130, comma 4, del Codice privacy. Chi non confermava l’account riceveva due solleciti e poi le promozioni. L’Autorità ha escluso la deroga: mancavano la conferma dell’account e una prova attendibile del contratto, affidata a un file Excel di log privo di garanzie di immodificabilità.

La regola di partenza è il consenso preventivo

L’articolo 130 del Codice privacy ammette le email promozionali solo con il consenso del destinatario. Le linee guida del Garante del 4 luglio 2013, scritte prima del GDPR, ne fissano i requisiti: libero, informato, specifico e documentato. Una casella già spuntata non vale, come non vale un consenso imposto per accedere a un prodotto o a un servizio. La forma scritta non è obbligatoria, ma chi invia deve poter dimostrare chi ha acconsentito e quando.

Il consenso non si può chiedere con una prima email promozionale, e quel primo invio non si sana avvisando che ci si può opporre ai successivi. Un’unica autorizzazione può coprire canali automatizzati e tradizionali soltanto se l’informativa li indica con chiarezza, e l’interessato conserva il diritto di opporsi anche solo in parte, per esempio ai soli invii automatizzati. Per cedere i dati a terzi a fini di marketing serve un consenso separato, e l’informativa deve nominare i destinatari o indicarne la categoria economica.

Le basi giuridiche alternative non reggono. Nel provvedimento del 17 aprile 2026 il Garante ha scritto che l’invio di email commerciali, regolato dall’articolo 130, non può poggiare su contratto o legittimo interesse.

Soft spam: una deroga stretta, solo per l’email

Il comma 4 dell’articolo 130 consente di fare a meno del consenso a queste condizioni, tutte necessarie:

• l’indirizzo è stato fornito dall’interessato nell’ambito della vendita di un prodotto o di un servizio;
• la promozione riguarda prodotti o servizi propri e analoghi a quelli venduti;
• il cliente è stato informato e non ha rifiutato quell’uso;
• può opporsi in ogni momento, gratuitamente e in modo semplice.

Le linee guida del 2013 limitano la deroga alla posta elettronica. Per la redazione restano fuori, o molto esposti, i contatti arrivati da un ebook gratuito, da un preventivo non accettato o da un biglietto da visita scambiato in fiera, perché una vendita non c’è stata. Sempre a nostro giudizio, chi ha comprato un corso può ricevere la proposta di un corso affine, mentre un prodotto di tutt’altra linea esce dal perimetro dell’analogia. Nel dubbio conviene raccogliere il consenso.

Liste comprate e indirizzi trovati online

Tre decisioni del 2026 colpiscono pratiche comuni tra le piccole imprese. Nel caso di aprile una microimpresa di consulenza informatica aveva ricavato gli indirizzi con LinkedIn Sales Navigator e sosteneva che il consenso fosse implicito nell’accettazione delle condizioni di LinkedIn. Il Garante ha respinto la tesi: i dati pubblicati online non diventano liberamente utilizzabili per promuovere servizi, e leggere l’informativa di un altro titolare non equivale a consentire.

A febbraio una società di formazione ha giustificato come errore umano una promozione inviata a due avvocati con lo stesso cognome: un indirizzo reperito online per valutare una possibile docenza era finito in una lista di marketing. Il provvedimento non ha accettato la scusa: i contatti professionali vanno tenuti separati dalle liste di marketing, che devono provenire da fonti con un consenso documentato.

A maggio è toccato a una società con un solo dipendente, che tramite una piattaforma di contatti aveva acquisito circa 700 numeri e 400 indirizzi email. La contestazione nasceva da una telefonata, ma il principio affermato riguarda chiunque si rifornisca da terzi: le garanzie contrattuali o formali del fornitore non sollevano il titolare dal dovere di controllare i dati acquisiti.

Dove si concentra il rischio economico

In due di queste decisioni gli importi seguono una gerarchia inattesa. Per la microimpresa di aprile l’invio senza consenso si è chiuso con un ammonimento, mentre la mancata risposta a una richiesta di accesso è costata mille euro. Per la società di formazione una sola email a ciascun destinatario ha portato a un ammonimento e il silenzio sulle richieste di accesso a 15 mila euro, pari allo 0,075% del massimo edittale di 20 milioni indicato nel provvedimento. Le dimensioni dell’impresa e il carattere isolato della vicenda hanno pesato a favore, e nulla garantisce lo stesso esito in altri casi. Ad Altroconsumo la voce sul trattamento illecito è costata più di quella sul mancato riscontro all’Ufficio, e la società del caso di maggio ha ricevuto una sanzione di mille euro proprio per il marketing senza consenso e la mancata informativa. Una lista di contatti è anche un archivio di dati da proteggere, tema affrontato parlando di cybersicurezza e privacy nelle imprese.

Che cosa controllare adesso

Le verifiche che seguono sono indicazioni della redazione e non sostituiscono una consulenza legale:

• Origine di ogni contatto. Un campo nel database che dica da dove arriva, quando e su quale base.
• Prova del consenso. Data, testo dell’informativa mostrato, modulo usato, conservati in un sistema non modificabile a mano.
• Double opt-in reale. Il Garante considera utile l’email di conferma per verificare l’identità di chi si registra. Se la procedura la prevede, chi non conferma deve restare fuori dagli invii.
• Liste separate. Clienti, potenziali clienti e contatti professionali non vanno mescolati.
• Mittente e recapito. L’articolo 130, comma 5, vieta gli invii che celano l’identità del mittente o non indicano un recapito per esercitare i diritti.
• Richieste degli interessati. Una casella e un responsabile, perché cancellare un nome dalla lista non equivale a rispondere.