Cold Email e GDPR in Italia: Art. 130 e Soft Spam
Cold email e GDPR in Italia: cosa dice l'art. 130 del Codice Privacy, come funziona l'eccezione soft spam e come impostare campagne conformi.
Indice
Un team commerciale che lancia una campagna di cold email in Italia finisce quasi sempre per porsi la stessa domanda: questa email rientra nel marketing diretto regolato dall'art. 130 del Codice Privacy, oppure nella prospezione B2B basata su legittimo interesse? La distinzione non è accademica — determina se serve un consenso preventivo o se è sufficiente un'informativa chiara con diritto di opposizione.
Questa guida spiega cosa dice l'art. 130 del Codice Privacy sulle comunicazioni indesiderate, come funziona l'eccezione nota come "soft spam" e come impostare una campagna di cold email che regge a un controllo, senza congelare l'attività commerciale per eccesso di prudenza.
Cosa dice l'art. 130 del Codice Privacy sul cold email?
L'art. 130 del D.Lgs. 196/2003 (Codice Privacy) vieta l'uso di email, SMS e chiamate automatizzate per finalità di marketing senza il consenso preventivo del destinatario. È la norma italiana che recepisce la direttiva ePrivacy sulle comunicazioni indesiderate. Si applica a persone fisiche identificabili — non solo ai consumatori privati, ma anche ai contatti aziendali quando l'email è nominativa.
Cold email B2B: marketing diretto o legittimo interesse?
Qui sta il punto che genera più confusione nei team vendita. Non tutte le email a freddo sono "marketing diretto" ai sensi dell'art. 130:
- Comunicazione promozionale generica (invio massivo di un'offerta commerciale a una lista acquistata, senza personalizzazione) — rientra tipicamente nel perimetro dell'art. 130 e richiede consenso preventivo, salvo l'eccezione soft spam vista sotto.
- Prospezione B2B mirata (un primo contatto personalizzato, pertinente al ruolo professionale del destinatario, con opt-out chiaro) — può basarsi sul legittimo interesse ex art. 6 GDPR, con obbligo di informativa e diritto di opposizione immediato, senza consenso preventivo.
Il confine tra le due dipende da fattori concreti: quanto il messaggio è personalizzato, se il contatto è pertinente al ruolo del destinatario, e se la campagna è mirata o massiva. Un invio automatizzato a migliaia di indirizzi generici scaricati da un database precompilato assomiglia più al primo scenario; un outreach mirato a 50 decisori di un settore specifico, con un messaggio su misura, assomiglia più al secondo. Per un quadro più ampio sulle basi giuridiche della prospezione B2B, oltre alla sola email, vedi la guida GDPR e prospezione B2B in Italia.
Cos'è il soft spam e quando si applica
Il "soft spam" è l'eccezione prevista dall'art. 130, comma 4 del Codice Privacy: permette di inviare comunicazioni di marketing senza consenso preventivo a chi è già cliente, per prodotti o servizi analoghi a quelli già acquistati, a condizione che il destinatario possa opporsi facilmente in ogni momento, sia al primo contatto sia in ciascuna comunicazione successiva.
Tre condizioni devono essere tutte presenti perché il soft spam si applichi:
- Esiste già una relazione commerciale — il contatto ha acquistato un prodotto o servizio, non si tratta di un lead mai convertito.
- L'offerta è analoga — un cliente che ha comprato un software di contabilità può ricevere via soft spam la promozione di un modulo aggiuntivo dello stesso fornitore, non un prodotto scollegato.
- L'opposizione è immediata e senza attrito — un link di disiscrizione visibile fin dalla prima comunicazione, non solo dopo un reclamo.
Il soft spam non copre il cold email verso lead mai convertiti: è un'eccezione pensata per il marketing verso clienti esistenti, non una scorciatoia per la prospezione a freddo.
Checklist pratica per una campagna di cold email conforme
| Passaggio | Cosa verificare |
|---|---|
| Base giuridica | Prospezione mirata → legittimo interesse; invio massivo/promozionale → consenso o soft spam se cliente esistente |
| Pertinenza del contatto | Il ruolo del destinatario è coerente con l'offerta inviata |
| Informativa | Una riga su chi tratta i dati e un link a un'informativa completa, presente fin dal primo messaggio |
| Opt-out | Link di disiscrizione o istruzione chiara ("rispondi STOP"), visibile in ogni email |
| Fonte del contatto | Provenienza e base giuridica di raccolta documentate, verificabili in caso di controllo |
| Conservazione | I contatti mai attivati in nessuna campagna non restano nel CRM senza limite di tempo |
Se la campagna combina email a freddo e chiamate telefoniche, ricorda che le due regole non coincidono del tutto: il Registro Pubblico delle Opposizioni regola i numeri di telefono di persone fisiche, con criteri di applicabilità al B2B diversi da quelli dell'art. 130 sull'email.
Un punto spesso trascurato è la fonte del dato stesso: i fornitori che vendono accesso a database precompilati raccolgono e conservano dati personali di milioni di contatti europei prima ancora che un cliente li richieda, il che pone loro stessi domande sulla base legale della raccolta iniziale. Un tool di data enrichment che recupera il dato in tempo reale, al momento della richiesta, invece di conservarlo in una base precostituita, riduce uno di questi rischi strutturali — ma non sostituisce il rispetto delle regole viste sopra lato campagna.
Domande frequenti
Il cold email è legale in Italia con il GDPR?
Sì, se è una prospezione mirata e pertinente basata sul legittimo interesse, con informativa chiara e opt-out immediato. Diventa più rischioso quando assomiglia a un invio massivo e generico: in quel caso ricade nel perimetro dell'art. 130 e serve un consenso preventivo, salvo l'eccezione soft spam per clienti già esistenti.
Cosa succede se invio cold email senza rispettare l'art. 130?
Il Garante per la protezione dei dati personali può ricevere reclami e avviare istruttorie; le sanzioni previste dal GDPR per trattamenti non conformi possono essere significative. Prima ancora del rischio sanzionatorio, è un rischio reputazionale: reclami e segnalazioni spam danneggiano la deliverability del dominio mittente.
Il soft spam si applica anche ai nuovi lead mai contattati?
No. Il soft spam copre solo le comunicazioni verso chi ha già una relazione commerciale con un'offerta analoga a quella già acquistata. Per un lead mai convertito serve un'altra base giuridica — tipicamente il legittimo interesse per una prospezione mirata, o il consenso per un invio massivo.
Qual è la differenza tra GDPR e Codice Privacy in questo contesto?
Il GDPR è il regolamento europeo che disciplina il trattamento dei dati personali in generale (basi giuridiche, informativa, diritti dell'interessato). Il Codice Privacy (D.Lgs. 196/2003) è la normativa italiana di attuazione, e il suo art. 130 è la disposizione specifica sulle comunicazioni indesiderate a scopo di marketing — email, SMS, chiamate.
Se vuoi impostare la tua prospezione su un flusso di arricchimento in tempo reale invece che su un database precompilato, crea un account gratuito su Enrich-CRM — 100 crediti al mese, nessuna carta di credito richiesta.