In Italia il diritto dell’email marketing poggia su tre livelli: l’articolo 130 del Codice privacy (d.lgs. 196/2003), il GDPR e le decisioni del Garante per la protezione dei dati personali. La regola di base è semplice: senza consenso preventivo non si invia nulla, con una sola eccezione per i clienti.
Un punto toglie molte illusioni: il Garante non riconosce all’email un regime B2B più morbido. Per questo la pagina distingue sempre ciò che viene dalla legge italiana da ciò che viene dal GDPR.
Quale base giuridica serve per inviare un’email promozionale in Italia?
Serve il consenso preventivo del destinatario. L’articolo 130, commi 1 e 2, del Codice privacy lo impone per le comunicazioni promozionali via email, SMS, MMS e fax. Il GDPR (regolamento UE 2016/679) dà poi i criteri di validità: il consenso è libero, specifico, informato e inequivocabile (art. 4, punto 11).
Il legittimo interesse dell’articolo 6, par. 1, lett. f) non sostituisce questo consenso per il canale email. Con la decisione del 23 ottobre 2025 (registro n. 635, doc. web 10197577) il Garante ha ammonito una società che il 14 e 15 febbraio 2023 aveva scritto due email a un avvocato senza consenso. La società invocava il considerando 47 del GDPR e il soft spam. Il Garante ha respinto entrambi gli argomenti.
Il consenso deve inoltre essere documentabile. L’articolo 9 del d.lgs. 70/2003 mette a carico del mittente la prova che la comunicazione commerciale era stata sollecitata. Conserva quindi data, ora, testo dell’informativa e canale della raccolta per ogni iscritto.
B2C e B2B: cosa cambia davvero
| Caso | Base giuridica | Cosa serve | Eccezione |
|---|---|---|---|
| Privato (B2C) | Consenso, art. 130 commi 1-2 | Casella dedicata non preselezionata e informativa prima della raccolta | Soft spam per i clienti (comma 4) |
| Professionista con indirizzo nominativo (B2B) | Consenso, stesso articolo | Lo stesso consenso: l’indirizzo nome.cognome@azienda è un dato personale | Soft spam se esiste una vendita effettiva |
| Indirizzo generico di un’impresa | Art. 130 per il contraente | Consenso preventivo: le linee guida non trattano espressamente gli indirizzi generici e il consenso resta la scelta prudente | Nessuna esenzione B2B espressa |
Dal decreto «salva Italia» (d.l. 201/2011) le persone giuridiche non sono più «interessati» ai sensi del Codice. Le linee guida del Garante del 4 luglio 2013 (delibera n. 330, Gazzetta Ufficiale n. 174 del 26 luglio 2013) precisano però che il consenso resta richiesto per i messaggi promozionali automatizzati anche verso i contraenti. Non esiste quindi un lasciapassare per la cold email.
Il Registro pubblico delle opposizioni (d.P.R. 26/2022) non cambia il quadro per l’email. L’articolo 130, comma 3-bis, lo riserva al telefono e alla posta cartacea. Iscriversi al registro non è dunque un modo per ripulire una lista email.
Il soft spam: l’eccezione per i clienti, con i suoi limiti
L’articolo 130, comma 4, in vigore nella versione del d.lgs. 101/2018, permette di scrivere senza nuovo consenso a chi ha già comprato da te. L’indirizzo deve essere stato ottenuto nell’ambito della vendita di un prodotto o servizio. L’invio deve riguardare prodotti o servizi analoghi e propri.
Il cliente deve essere stato informato alla raccolta e non deve aver rifiutato. Deve poi poter opporsi in ogni momento, in modo semplice e gratuito, a ogni messaggio successivo.
Nel caso del 23 ottobre 2025 il Garante ha ribadito il punto decisivo: l’eccezione presuppone una vendita effettivamente conclusa con la persona contattata. Un contatto preso da un elenco pubblico o da un albo professionale non basta.
Cosa deve contenere ogni messaggio
Ogni email promozionale deve indicare chi scrive e offrire un recapito valido per esercitare i diritti previsti dagli articoli da 15 a 22 del GDPR, opposizione compresa. L’articolo 130, comma 5, vieta di nascondere l’identità del mittente e di omettere un indirizzo utile per esercitarli.
L’articolo 9 del d.lgs. 70/2003 (commercio elettronico) aggiunge che il messaggio deve essere riconoscibile come comunicazione commerciale fin dalla ricezione. Deve anche segnalare che il destinatario può opporsi a invii futuri. Secondo le linee guida del 2013 non è lecito chiedere il consenso nel primo messaggio promozionale: il consenso va ottenuto prima.
Altri obblighi pratici riguardano la lista stessa:
- secondo le linee guida del 2013 la comunicazione dei dati a terzi per marketing richiede un consenso separato da quello al titolare;
- i dati presenti in registri, albi o siti web non autorizzano l’invio, nemmeno se pubblici;
- negli invii di massa i destinatari vanno messi in copia nascosta, altrimenti si comunicano i loro indirizzi ad altri.
Per la raccolta, il doppio opt-in resta la prova più solida. Il dettaglio sul consenso e sulla disiscrizione è nella guida al GDPR per l’email marketing. Per le liste già pronte vale un altro avviso: vedi perché comprare o affittare una lista espone a un rischio che nessun fornitore ti trasferisce.
Tracking pixel: la novità del 2026
Dal 2026 misurare le aperture con un pixel richiede in generale il consenso. Il Garante ha adottato le linee guida sui tracking pixel nelle email con il provvedimento n. 284 del 17 aprile 2026, pubblicato nella Gazzetta Ufficiale n. 98 del 29 aprile 2026.
Il fondamento è l’articolo 122 del Codice privacy (recepimento dell’articolo 5, par. 3, della direttiva ePrivacy 2002/58/CE), che vieta di archiviare o leggere informazioni sul dispositivo dell’utente senza consenso. Il pixel entra in questo campo perché la lettura dell’email restituisce un dato al mittente.
Il consenso serve quando l’analisi è individuale e serve a valutare o migliorare le campagne promozionali. Restano fuori le statistiche aggregate e anonime. Restano fuori anche la verifica di sicurezza per l’autenticazione e i messaggi di servizio obbligatori, come le comunicazioni istituzionali o di servizio che il titolare ha l’obbligo giuridico di inviare.
Il consenso al pixel può confluire in quello alle comunicazioni promozionali, purché la richiesta sia neutra. La revoca deve essere semplice e può essere parziale: l’utente continua a ricevere le email senza essere tracciato.
Il termine per adeguarsi è di sei mesi dalla pubblicazione in Gazzetta Ufficiale e scade quindi il 29 ottobre 2026. Per i trattamenti già in corso le linee guida prevedono un regime transitorio: l’informativa al primo messaggio utile e la possibilità di revoca anche granulare.
Il tasso di apertura diventa così un dato meno affidabile e meno disponibile. Conviene affiancargli indicatori che non dipendono dal pixel, come i clic e il tasso di rimbalzo.
Quali sanzioni rischi davvero
Il massimo è di 20 milioni di euro oppure, per un’impresa, il 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore. Le violazioni dell’articolo 130, commi da 1 a 5, e dell’articolo 122 rientrano nell’articolo 166, comma 2, del Codice privacy. Si applica quindi il tetto del GDPR per le violazioni più gravi (art. 83, par. 5, GDPR).
Il Garante può anche usare misure correttive meno pesanti (art. 58, par. 2, lett. b, GDPR). Nel caso dell’ottobre 2025 ha scelto un ammonimento, tenuto conto delle dimensioni dell’impresa, di soli due messaggi e del danno limitato. Il provvedimento resta però pubblicato e conta come precedente in caso di nuovo reclamo.
Esiste poi una fattispecie penale. L’articolo 167, comma 1, del Codice privacy punisce con la reclusione da sei mesi a un anno e sei mesi chi viola l’articolo 130 per trarne profitto o per recare danno, se ne deriva un nocumento all’interessato.
Il caso tipico resta una lista senza prova di consenso. Sulle caselle preselezionate vale anche la sentenza Planet49 della Corte di giustizia (1° ottobre 2019, C-673/17): essa riguarda i cookie ed esclude che una casella già spuntata sia consenso. Il considerando 32 del GDPR aggiunge il silenzio e l’inazione.
Gli errori più frequenti
- Scrivere a un professionista perché il suo indirizzo compare su un albo o sul sito dell’azienda.
- Considerare cliente chi ha solo creato un account o scaricato un contenuto, senza alcun acquisto.
- Usare un solo consenso per le newsletter, la cessione a terzi e il tracciamento.
- Non conservare la prova del consenso, che spetta al mittente.
- Lasciare attivo il pixel di apertura su iscritti che non hanno mai acconsentito al tracciamento.
Dopo la conformità, la qualità della lista
Una lista conforme non è per forza una lista pulita. Gli indirizzi raccolti con un buon consenso diventano comunque invalidi nel tempo e ogni rimbalzo pesa sulla reputazione del mittente. Una verifica della lista prima dell’invio serve a togliere gli indirizzi inesistenti prima che producano hard bounce.
Checklist prima di inviare
- Per ogni contatto esiste un consenso documentato oppure una vendita effettiva che giustifica il soft spam.
- L’informativa è stata data alla raccolta e indica finalità e canali.
- Il consenso a terzi e quello al pixel sono distinti da quello al marketing oppure chiaramente integrati.
- L’identità del mittente è chiara e il recapito di opposizione funziona.
- L’invio di massa usa la copia nascosta o una piattaforma che non espone gli indirizzi.
- I controlli tecnici finali sono nella checklist prima dell’invio.
Se la tua lista B2B nasce dalla ricerca di contatti, parti dal metodo per creare un elenco di email B2B qualificate invece di cercare scorciatoie legali che il Garante ha già escluso. Questa pagina riassume le fonti pubbliche e non sostituisce un parere legale sul tuo caso.
