nome.cognome@, n.cognome@, cognome.nome@: quante varianti prova uno strumento di prospecting prima che un indirizzo risponda? La persona presa di mira ne sa qualcosa? Dal lato del mittente il sintomo è noto: campagne che finiscono nello spam senza che nessuno sappia perché, con un hard bounce rate che sale sui contatti «trovati» invece che raccolti.
Il consenso preventivo non è richiesto d’ufficio. Nella scheda del 16 ottobre 2026, la CNIL ammette il legittimo interesse per ricostruire un indirizzo professionale, caso per caso: la persona deve poterselo aspettare e l’indirizzo viene conservato solo se avviene un primo contatto effettivo entro un termine ragionevole. Un’opposizione chiude la porta definitivamente. Senza queste condizioni restano il consenso o l’astensione.
La ricostruzione di indirizzi secondo la CNIL
Due indirizzi pubblici della stessa azienda seguono lo schema «nome.cognome@azienda.fr»; il terzo collaboratore del team non ha pubblicato alcun indirizzo. Applicare lo schema al suo nome è la ricostruzione di indirizzi. La CNIL la descrive come la deduzione di un indirizzo a partire dal nome di una persona e dal suo datore di lavoro.
La scheda, intitolata «Reconstitution d’adresses électroniques professionnelles : dans quel cadre est-ce autorisé ?», cita due usi: una base di prospecting o un contatto occasionale nelle relazioni istituzionali. Un nome associato a un datore di lavoro identifica una persona, quindi si applica il GDPR (in vigore dal 25 maggio 2018).
Perché il consenso non si impone in partenza?
La base giuridica più naturale è il legittimo interesse, articolo 6.1.f del regolamento (UE) 2016/679, il GDPR. La ricostruzione serve un trattamento principale, spesso il prospecting B2B, e può appoggiarsi sulla stessa base. La CNIL pone un limite in una formula:
«né automatica né sistematica» (CNIL, scheda del 16 ottobre 2026)
L’analisi pesa l’interesse reale dell’organizzazione contro la lesione dei diritti della persona, poi aggiunge una domanda: che cosa può ragionevolmente aspettarsi la persona? Il ragionamento si conduce caso per caso e l’organizzazione deve poterlo giustificare.
La scheda offre un metodo di analisi, senza tabelle di riferimento. L’analisi del prospecting B2B di Growth Hacker tratta le chiamate a freddo e le email indovinate viste dal lato prospecting; questo articolo si ferma alla ricostruzione in sé.
Quando la persona non si aspetta di essere contattata così
Un modulo di contatto al posto di un indirizzo. Un profilo con le impostazioni di privacy rafforzate.
La CNIL vi legge segnali di rifiuto. Una persona senza presenza online identificabile, o che ha protetto i propri recapiti e rimanda a un modulo, non può ragionevolmente aspettarsi che il suo indirizzo venga ricostruito. In linea di principio esce dal perimetro. Questi segnali si controllano prima di produrre l’indirizzo, quindi prima di qualsiasi invio.
Resta una zona grigia: un profilo compilato a metà, un indirizzo pubblicato nel 2019 e mai aggiornato. Nessuna soglia meccanica risolve questi casi.
Conservazione, informazione e opposizione
L’indirizzo si conserva solo se avviene un «primo contatto effettivo» entro un termine ragionevole. La scheda del 16 ottobre 2026 non quantifica questo termine. L’organizzazione che fa prospecting fissa quindi la propria durata di eliminazione per gli indirizzi rimasti senza risposta e la documenta.
Sul fronte dell’informazione, l’indirizzo non è stato ottenuto presso la persona: secondo il GDPR, l’articolo 14.3.b impone di dirle da dove proviene il dato e come opporsi, al più tardi alla prima comunicazione. La prima email della sequenza è l’ultimo momento possibile; l’articolo 14.3.a fissa comunque un tetto di un mese. Una frase del tipo «il tuo indirizzo è stato dedotto dal formato degli indirizzi della tua azienda» basta a indicare l’origine, ma deve essere accompagnata dal modo per rifiutare.
L’opposizione, diritto previsto dall’articolo 21 del GDPR per il prospecting, esclude la persona da qualsiasi ricostruzione futura, senza che debba giustificarsi. Cancellare l’indirizzo non basta, perché lo stesso schema lo rigenererebbe all’importazione successiva. Una scheda gemella della CNIL, «Reconstitution d’adresses électroniques professionnelles : quels sont vos droits ?», si rivolge agli interessati: i due testi si leggono insieme. Una lista di opposizione permanente, ridotta allo stretto necessario per riconoscere la persona, è la condizione pratica di questa garanzia. Le pubbliche amministrazioni dispongono di una base propria, la «missione di interesse pubblico» (articolo 6.1.e), con le stesse garanzie.
Il messaggio inviato dopo
L’invio rientra nelle regole del prospecting: per un professionista, l’articolo L.34-5 del Codice francese delle poste e delle comunicazioni elettroniche regola l’invio e la CNIL non esige il consenso preventivo se il messaggio ha attinenza con la sua funzione, a condizione di informarlo e di lasciargli una disiscrizione semplice. Il nostro articolo sul GDPR nell’email marketing approfondisce prova e disiscrizione.
La scheda della CNIL non modifica la regola italiana. Nell’ordinanza ingiunzione del 7 maggio 2015 nei confronti di Preventivi Italia, il Garante ha applicato l’art. 130, comma 1, del Codice privacy al marketing diretto verso imprese: serve il consenso del contraente, indipendentemente dalla sua natura giuridica di persona fisica o giuridica. L’eccezione dell’art. 130, comma 4, vale solo se ricorrono i suoi presupposti, tra cui l’uso del solo indirizzo di posta elettronica e l’informazione sulla possibilità di opporsi in ogni momento.
La menzione dell’origine sta in una riga, per esempio «Il tuo indirizzo è stato dedotto dal formato degli indirizzi pubblici della tua azienda; rispondi STOP per non essere più contattato». Se la sequenza misura anche le aperture tramite pixel, la raccomandazione della CNIL sui pixel di tracciamento delle aperture pone condizioni proprie, distinte da quelle della ricostruzione.
Il caso LinkedIn Sales Navigator
Sales Navigator mostra il nome di una persona e il suo ruolo in un’azienda, senza indirizzo email. Lo strumento da solo non ricostruisce nulla. Sono le estensioni che gli si agganciano a estrarre i profili e a indovinare l’indirizzo.
Queste estensioni incontrano due ostacoli. Il contratto d’uso di LinkedIn vieta l’estrazione automatizzata, e i criteri della scheda si applicano a ogni persona estratta. La CNIL ha sanzionato la società Kaspr il 5 dicembre 2024 (240.000 €, decisione resa pubblica il 19 dicembre) per aver raccolto i recapiti di membri LinkedIn che ne avevano limitato la visibilità. Secondo la CNIL, quella raccolta eccedeva ciò che i membri di una rete professionale possono ragionevolmente aspettarsi: è la stessa logica di aspettativa ragionevole della scheda. Il quadro giuridico dello scraping di dati sociali è oggetto di un articolo a parte.
La responsabilità è condivisa. L’editore di un’estensione o di un servizio di ricerca di indirizzi decide in autonomia di raccogliere e conservare i recapiti delle persone prese di mira. Nella decisione Kaspr, la CNIL lo tratta come responsabile di quell’archivio e gli contesta l’assenza di una base giuridica valida, un’informazione tardiva delle persone e una conservazione giudicata eccessiva. Il team commerciale che lo usa resta responsabile dei propri invii: giustifica il proprio legittimo interesse e informa la persona fin dal primo messaggio. Il contratto firmato con lo strumento non sposta nessuno di questi obblighi. La decisione Kaspr è l’unica sanzione della CNIL citata qui e riguarda l’editore dello strumento. Il rischio contrattuale viene da altrove: LinkedIn ha citato in giudizio fornitori di estrazione. Proxycurl ha dovuto cancellare i dati ottenuti e cessare di accedervi sotto ingiunzione permanente; ProAPIs è stata accusata, a ottobre 2025, di aver creato milioni di account falsi per aspirare profili.
Gli strumenti che ricostruiscono o estraggono indirizzi non si equivalgono. La tabella riprende ciò che ogni editore dichiara sul proprio metodo nelle sue pagine (rilevato il 21 ottobre 2026), tranne per Kaspr, Proxycurl e ProAPIs, documentati sopra. Nessuno è illegale per natura: la fragilità dipende dall’origine del dato e dall’uso che ne fa chi invia. La scheda della CNIL non cita nessuno di questi strumenti.
| Strumento | Come si ottiene l’indirizzo | Punto di fragilità |
|---|---|---|
| Hunter | Deduce l’indirizzo dal formato dell’azienda e da indirizzi trovati sul web pubblico; afferma di non usare alcuna base di terzi. | Dichiara una lista di soppressione: un indirizzo rimosso non torna né per raccolta né per deduzione. L’utente resta responsabile del proprio uso. |
| Dropcontact | Genera e testa gli indirizzi con algoritmi propri, senza base di terzi secondo l’editore. | Argomento di conformità dell’editore, non verificato. I criteri della scheda si applicano a chi lo usa. |
| lemlist | Cerca l’indirizzo a cascata presso più fornitori. La sua estensione Chrome invia a una campagna i profili di una ricerca Sales Navigator. | L’origine del dato si perde nella cascata. L’estensione tocca il contratto di LinkedIn. |
| Snov.io | Estensione Chrome sui profili e sulle ricerche Sales Navigator, deduzione tramite formato dell’indirizzo poi verifica, base dichiarata di 500 milioni di indirizzi. | Estrazione da LinkedIn: contratto di LinkedIn e criterio dell’aspettativa ragionevole. |
| Evaboot | Esporta con un clic le ricerche Sales Navigator, poi cerca l’indirizzo. Dichiara di non usare database e di limitare le esportazioni giornaliere. | Estrazione automatizzata di Sales Navigator, il caso previsto dal contratto di LinkedIn. |
| PhantomBuster | Automatizza azioni ed estrazioni su LinkedIn con la sessione dell’utente. | Il suo stesso blog parla di zona grigia e lascia la responsabilità dell’uso all’utente. |
| Waalaxy | Cascata di fornitori (BetterContact, FullEnrich, poi Dropcontact secondo il suo articolo di gennaio 2026). | Bisogna poter dire alla persona da dove viene l’indirizzo (art. 14), cosa che la cascata complica. |
| Lusha | Community di utenti che condividono le proprie firme email, elenchi su licenza, fonti pubbliche. Dichiara di non estrarre dai social network. | Si appoggia sul legittimo interesse, con modulo di rimozione e lista di soppressione. |
| Apollo | Rete di contributori, esplorazione del web pubblico e fornitori terzi. | Si appoggia sul legittimo interesse. I dati già esportati restano, secondo l’editore, sotto la responsabilità del cliente. |
| Kaspr | Estensione che mostra i recapiti dei profili LinkedIn. | Multa di 240.000 € della CNIL (5 dicembre 2024) per la raccolta di profili a visibilità limitata. |
| Proxycurl, ProAPIs | Servizi di estrazione di profili LinkedIn. | Citati in giudizio da LinkedIn sul terreno del contratto (Proxycurl a gennaio 2025, ProAPIs a ottobre 2025). |
In pratica, pochi profili pubblici mirati, contattati in fretta con una menzione dell’origine, restano difendibili rispetto alla scheda del 2026, da valutare caso per caso. Interi elenchi estratti e poi inviati in sequenza automatica sono fragili: nessuno controlla i segnali di rifiuto, e la conservazione senza primo contatto diventa la norma.
La verifica dell’indirizzo risolve la questione?
No. Un test SMTP non invia alcuna email. L’indirizzo però è già stato prodotto a partire da dati personali, quindi la base giuridica e l’informazione della persona restano da stabilire prima. La verifica limita i rimbalzi e non dice nulla sulla conformità.
Sul piano tecnico, un indirizzo indovinato su un dominio che non ha quella casella torna con l’errore 550 5.1.1 (destinatario sconosciuto, codice definito dalla RFC 3463), notificato da un rapporto di mancata consegna: è un hard bounce. I tentativi moltiplicati per varianti ne producono a catena. Gmail e Outlook, come gli altri mailbox provider, integrano questi rimbalzi nella sender reputation del dominio mittente; gli effetti si leggono poi in Google Postmaster Tools. L’obiezione abituale, «non possiamo semplicemente filtrare dopo?», non regge: il rimbalzo è già stato conteggiato quando lo si constata.
Altra trappola: i domini catch-all accettano qualsiasi messaggio indirizzato al dominio. Un indirizzo indovinato lì sembra valido al test, senza alcuna garanzia che un essere umano lo legga. Il funzionamento dei catch-all spiega perché questi indirizzi restano a parte in una list hygiene seria. Email Finder vs Email Verifier approfondisce la differenza tra trovare un indirizzo e verificarlo.
Prima della prossima campagna su una base ricostruita, passa un campione di 200 indirizzi alla verifica e confronta il suo hard bounce rate con quello degli indirizzi raccolti presso le persone.
Un indirizzo indovinato resta il nome di qualcuno.
