Cold email B2B e GDPR: cosa si può fare davvero in Italia

L’email a freddo verso le aziende è legale in Italia? La risposta corta: non esiste una norma che la vieti in blocco, ma non esiste nemmeno un via libera generalizzato. La liceità dipende da chi si contatta, con quali dati, con quali cautele. Chi vi dice “è tutto vietato” e chi vi dice “nel B2B si può fare tutto” stanno sbagliando entrambi. Vediamo il quadro, con l’avvertenza d’obbligo: questo è un articolo di stampa, non un parere legale. Prima di impostare un’attività di outreach, il passaggio dal proprio consulente privacy non è opzionale.

Quali norme si applicano all’email a freddo?

Tre livelli, da conoscere per nome.

Il GDPR, il regolamento europeo 2016/679, si applica ogni volta che si trattano dati personali. E l’indirizzo nominativo di un dipendente o di un titolare, tipo nome.cognome@azienda.it, è un dato personale a tutti gli effetti. Il GDPR richiede una base giuridica per il trattamento: per il marketing diretto, le basi invocate sono il consenso oppure, a certe condizioni, il legittimo interesse del titolare. Il legittimo interesse non è un’autocertificazione: richiede una valutazione documentata del bilanciamento tra l’interesse di chi invia e i diritti di chi riceve.

Il Codice privacy italiano, all’articolo 130, disciplina le comunicazioni commerciali con strumenti automatizzati, email comprese, e ruota attorno al principio del consenso preventivo per le comunicazioni promozionali automatizzate. È la norma su cui si concentra la maggior parte del dibattito sull’outreach B2B, perché la sua applicazione ai contatti aziendali presenta distinzioni non banali tra persone fisiche, persone giuridiche e indirizzi riferibili a individui.

Le indicazioni del Garante. Il riferimento più organico restano le Linee guida in materia di attività promozionale e contrasto allo spam del 4 luglio 2013, che dedicano attenzione specifica al marketing verso i contatti trovati online e alla responsabilità di chi commissiona campagne a terzi. Sono precedenti al GDPR ma non superate: i principi su trasparenza, pertinenza e responsabilità del committente sono stati confermati dalla prassi successiva dell’Autorità.

Cosa distingue una pratica difendibile da una sanzionabile?

Al netto delle distinzioni tecniche, la prassi del Garante e degli operatori più prudenti converge su alcuni punti fermi.

La provenienza dei dati conta quanto l’invio. Contattare un indirizzo pubblicato dall’azienda per finalità professionali è una cosa; usare liste comprate di provenienza non documentata è un’altra. Chi non sa dire da dove arriva ogni singolo contatto in lista non è in grado di difendere il proprio trattamento, qualunque base giuridica invochi.

La trasparenza è un obbligo, non una cortesia. Chi riceve deve poter capire chi scrive, perché ha ricevuto quel messaggio e come far cessare i contatti. L’informativa va resa disponibile e l’opposizione va gestita davvero: un “non contattatemi più” ignorato è la via più diretta verso un reclamo.

La pertinenza è la migliore difesa sostanziale. Un messaggio individuale, riferito all’attività professionale del destinatario, su un tema attinente al suo ruolo, si colloca in un territorio molto diverso da un invio massivo indifferenziato. Non è solo buon senso commerciale: è esattamente la logica del bilanciamento richiesto dal legittimo interesse.

Delegare non esonera. Le linee guida del 2013 lo dicono con chiarezza: chi commissiona una campagna a un fornitore esterno risponde delle modalità con cui viene eseguita. Il contratto con l’agenzia non è uno scudo.

C’è infine una distinzione di buon senso che la prassi conferma: l’indirizzo generico aziendale, come info@ o commerciale@, riferito all’organizzazione e non a una persona, pone problemi diversi rispetto all’indirizzo nominativo di un individuo. Non è un lasciapassare, perché anche dietro una casella generica ci sono persone e restano gli obblighi di trasparenza e opposizione, ma è una delle variabili che il consulente valuterà nel disegnare l’attività.

Cosa rischia chi sbaglia?

Il GDPR prevede sanzioni amministrative che possono essere rilevanti anche per una PMI, oltre al danno reputazionale di un provvedimento pubblicato sul sito dell’Autorità. Ma il rischio più frequente, nella pratica, è più prosaico: reclami, segnalazioni, richieste di esercizio dei diritti a cui l’azienda non sa rispondere perché non ha mai documentato nulla. La documentazione preventiva, registro dei trattamenti, valutazione del legittimo interesse, tracciatura delle fonti, è ciò che trasforma una contestazione in una pratica gestibile.

In pratica: da dove cominciare

Chi vuole fare outreach via email in modo difendibile parte da quattro adempimenti: mappare la provenienza di ogni lista, documentare la valutazione della base giuridica con il proprio consulente, predisporre informativa e meccanismo di opposizione funzionante, vincolare per contratto i fornitori esterni alle stesse regole. Sono ore di lavoro, non mesi. E valgono anche come criterio di selezione al contrario: un fornitore di lead generation che non sa discutere questi punti si è appena squalificato da solo.

Questa testata segue il tema in modo continuativo, come annunciato nel manifesto di lancio: ogni provvedimento rilevante del Garante verrà raccontato con la stessa domanda, cosa cambia per chi vende.

Fonti: Regolamento UE 2016/679; Garante per la protezione dei dati personali, Linee guida in materia di attività promozionale e contrasto allo spam, 4 luglio 2013.