Email marketing e privacy: un sottile equilibrio

Tra consenso, soft spam e trasparenza: le nuove sfide per le aziende

L’email marketing continua a rappresentare uno degli strumenti più apprezzati dalle aziende per mantenere vivo il dialogo con clienti e potenziali consumatori.

Nonostante l’avvento di nuove piattaforme e tecniche digitali, la posta elettronica rimane uno dei canali a più alto tasso di conversione, capace di raggiungere in modo diretto e misurabile milioni di persone. Tuttavia, dietro questa apparente semplicità si nasconde un terreno normativo sempre più delicato.

Il confine tra comunicazione commerciale lecita e spam è sottile, e sempre più spesso il Garante per la protezione dei dati personali interviene per sanzionare comportamenti ritenuti illeciti o poco trasparenti. Il messaggio che emerge con forza è chiaro: il marketing via email non può prescindere da un’effettiva attenzione alla privacy degli utenti.

Vuoi mettere finalmente a norma la tua azienda? Parlane con noi!

Email marketing e privacy: il consenso al centro della questione

Il punto cardine del rapporto tra email marketing e privacy è, da sempre, il consenso dell’interessato.

Secondo quanto stabilito dal GDPR e dal Codice Privacy italiano, le comunicazioni promozionali inviate tramite email possono essere considerate legittime solo se l’utente ha espresso in modo libero, specifico, informato e inequivocabile il proprio consenso, o “consenso preventivo” salvo casi particolari come il soft spam.

Il consenso preventivo è uno dei presupposti fondamentali per il trattamento lecito dei dati personali a fini di marketing, secondo quanto stabilito dal GDPR (art. 6, par. 1, lett. a) e dall’art. 130 del Codice Privacy. Deve essere libero, specifico, informato e inequivocabile, espresso prima dell’inizio del trattamento, ad esempio tramite una checkbox non preselezionata. Senza questo consenso, l’invio di comunicazioni promozionali è vietato, salvo le eccezioni previste dalla legge (come il soft spam). La prova del consenso spetta al titolare del trattamento.

Il cosiddetto soft spam è disciplinato dall’art. 130, comma 4, del Codice Privacy (D.lgs. 196/2003, come modificato dal D.lgs. 101/2018) e consente l’invio di email promozionali senza consenso preventivo, ma solo a clienti già acquisiti, per promuovere prodotti o servizi analoghi a quelli già acquistati. Il trattamento è lecito se: (1) l’indirizzo email è stato raccolto nel contesto della vendita; (2) l’interessato è stato informato dell’uso dei dati a fini promozionali; (3) gli è garantito il diritto di opposizione semplice e gratuito, anche in ogni successiva comunicazione. Il Garante ricorda che si tratta di un’eccezione da applicare in modo restrittivo e non estensibile a terzi o a categorie merceologiche differenti.

Tradotto in pratica: niente caselle preselezionate, niente informative generiche, niente raccolte massificate di dati tramite form poco chiari. Ogni trattamento deve poggiare su basi trasparenti, e chi raccoglie i dati deve essere in grado di dimostrare in qualsiasi momento la validità di quel consenso. Non è sufficiente, ad esempio, dire che “l’utente aveva accettato”, ma bisogna poter provare quando, come e con quale informativa è stato acquisito quel sì.

Email marketing e privacy: il “caso Energia Pulita” e la fine del consenso omnibus

Uno dei provvedimenti più significativi adottati dal Garante negli ultimi mesi riguarda una società attiva nella promozione di servizi energetici. Il caso, noto anche come “provvedimento omnibus”, ha messo sotto la lente d’ingrandimento l’abitudine – purtroppo diffusa – di raccogliere consensi generici per trattamenti promozionali di varia natura, spesso legati a settori del tutto eterogenei (energia, auto, telefonia, ecc.).

In questo caso, il Garante ha evidenziato come l’assenza di una reale distinzione tra le finalità rendesse quel consenso invalido. L’utente non era messo nella condizione di scegliere cosa volesse realmente ricevere né da chi. Non si trattava di una vera espressione di volontà, ma di una richiesta “tutto incluso”, priva delle caratteristiche minime previste dalla normativa. Il risultato? Una sanzione di 300.000 euro e l’obbligo per la società di rivedere completamente le proprie modalità di raccolta e gestione dei consensi.

Provvedimento integrale: Provvedimento del 27 febbraio 2025 [10114967] - Garante Privacy

Email marketing e privacy: il ruolo cruciale dei fornitori

Un altro aspetto emerso con forza nei recenti provvedimenti è la responsabilità delle aziende nella gestione dei fornitori e dei partner che effettuano attività promozionali per loro conto.

È il caso di un rivenditore online di automobili, recentemente sanzionato per 45.000 euro. L’azienda, infatti, si appoggiava a soggetti terzi per l’invio di email promozionali, ma non era in grado di dimostrare che quei destinatari avessero prestato un consenso valido. Non solo: anche in presenza di richieste di opposizione o disiscrizione da parte degli utenti, la comunicazione promozionale continuava ad arrivare, perché i fornitori non venivano adeguatamente controllati.

Il Garante ha sottolineato un principio fondamentale: delegare non significa abdicare. Chi promuove i propri servizi tramite terzi resta pienamente responsabile della liceità del trattamento. Questo implica la necessità di contratti chiari, nomine formali (laddove i soggetti agiscano da responsabili del trattamento), audit periodici e soprattutto una verifica puntuale del rispetto dei diritti degli interessati.

Provvedimento Integrale: Provvedimento del 4 giugno 2025 [10143278] - Garante Privacy

La trasparenza non è un optional

Oltre alla questione del consenso, un altro nodo cruciale è quello della trasparenza.

Le informative devono essere chiare, comprensibili, complete. Devono spiegare chi tratta i dati, per quali finalità, con quali strumenti, per quanto tempo e a chi verranno eventualmente comunicati. Non basta scrivere “riceverai comunicazioni commerciali”: bisogna indicare se si tratta di email, sms, telefonate automatizzate, e se i dati saranno trasmessi a terzi per campagne promozionali diverse.

La mancanza di chiarezza, o peggio ancora l’utilizzo di informative volutamente ambigue, può portare a sanzioni anche molto rilevanti.

Un altro esempio emblematico riguarda una società sanzionata con oltre 800.000 euro per attività di telemarketing e invio di SMS a numeri iscritti nel Registro Pubblico delle Opposizioni. Anche in questo caso, il punto critico era la gestione dei consensi “antichi” o raccolti in modo poco chiaro, oltre all’assenza di un sistema efficace per rispettare le opposizioni manifestate dagli utenti (provvedimento integrale: Provvedimento del 27 febbraio 2025 [10112979] - Garante Privacy).

Verso un email marketing consapevole e conforme

L’email marketing resta uno strumento potente e strategico, ma non può più prescindere da una gestione consapevole e conforme dei dati personali. Le recenti pronunce del Garante mostrano con chiarezza che il tempo delle “zone grigie” è finito: ogni comunicazione deve poggiare su basi giuridiche solide, informative trasparenti e consensi validamente raccolti.

Le aziende sono chiamate a un cambio di passo: non basta “fare marketing”, occorre farlo nel rispetto dei diritti degli interessati, con processi documentabili e controlli puntuali, anche sui fornitori. La compliance non è un ostacolo alla creatività, ma il presupposto per costruire una relazione di fiducia duratura con i propri clienti. In un contesto sempre più attento alla tutela della privacy, è proprio questa fiducia a fare la differenza.