Newsletter ai clienti senza consenso: le regole del soft spam dopo la Cassazione

Molte PMI italiane trattano la newsletter ai propri clienti come una zona franca: sono già clienti, quindi si può scrivere. La legge, in parte, dà loro ragione. Ma il perimetro di quella libertà è più stretto di come viene raccontato nelle riunioni marketing, e negli ultimi tredici mesi si è ristretto ancora.

Il 13 giugno 2025 la Corte di Cassazione ha stabilito chi può essere considerato “cliente” ai fini dell’esenzione dal consenso. Nel 2026 il Garante per la protezione dei dati personali ha sanzionato due volte aziende che avevano invocato quella stessa esenzione fuori dai suoi confini. Vale la pena rileggere la norma prima della prossima campagna.

Cosa dice davvero l’articolo 130?

La regola generale è nel comma 2 dell’art. 130 del Codice Privacy (D.lgs. 196/2003, come modificato dal D.lgs. 101/2018): per inviare materiale pubblicitario o comunicazioni commerciali via posta elettronica serve il consenso del destinatario. Punto di partenza rigido, e non negoziabile con la creatività del copy.

L’eccezione è al comma 4, che il testo coordinato pubblicato dal Garante riporta così:

“Fatto salvo quanto previsto nel comma 1, se il titolare del trattamento utilizza, a fini di vendita diretta di propri prodotti o servizi, le coordinate di posta elettronica fornite dall’interessato nel contesto della vendita di un prodotto o di un servizio, può non richiedere il consenso dell’interessato, sempre che si tratti di servizi analoghi a quelli oggetto della vendita e l’interessato, adeguatamente informato, non rifiuti tale uso, inizialmente o in occasione di successive comunicazioni.”

È questo il meccanismo che gli operatori chiamano soft spam. Tre dettagli del testo pesano più di quanto sembri.

Vale solo per la posta elettronica. Le “coordinate di posta elettronica” sono l’unico canale coperto. Telefono, SMS e posta cartacea seguono altre regole, e le linee guida del Garante in materia di attività promozionale sono esplicite sul punto: l’eccezione del soft spam ricorre per la sola posta elettronica.

Vale solo per prodotti e servizi propri. Non si può usare la propria base clienti per promuovere l’offerta di un partner, di una società del gruppo o di un fornitore.

Vale solo per servizi analoghi. La norma non dice “qualsiasi cosa vendiate”. Dice analoghi a quelli oggetto della vendita. Chi ha comprato un impianto non ha implicitamente acconsentito a ricevere offerte sul software gestionale che l’azienda ha lanciato l’anno dopo.

Chi è cliente ai fini del soft spam?

Qui arriva il contributo della Cassazione. Con l’ordinanza n. 15881 del 13 giugno 2025, la seconda sezione civile si è occupata di un portale che funzionava da aggregatore di offerte: gli utenti si registravano e finivano in una mailing list, ricevendo newsletter promozionali senza aver espresso un consenso specifico. La società invocava il comma 4.

La Corte ha respinto la tesi con una precisazione che vale per qualsiasi azienda: il termine “vendita” è usato in senso tecnico e richiede che tra titolare del trattamento e destinatario si sia stabilito un rapporto contrattuale a titolo oneroso. Serve una vendita vera, con un corrispettivo.

Da qui la conseguenza operativa, che è la parte da portare in riunione. Secondo l’ordinanza il consenso resta necessario quando l’interessato si è soltanto registrato sul sito web, quando ha concluso un contratto di prova, oppure quando ha concluso un contratto a titolo gratuito.

Tradotto nel linguaggio di un funnel B2B: chi ha scaricato un whitepaper non è un cliente. Chi ha attivato una trial gratuita non è un cliente. Chi si è iscritto alla newsletter è iscritto alla newsletter, e quella iscrizione da sola non apre la porta a nient’altro. Cliente, ai fini del comma 4, è chi ha pagato.

Consenso, legittimo interesse e soft spam: dove sta la differenza?

Le tre basi vengono spesso confuse, e la confusione costa. Il provvedimento del 12 febbraio 2026 del Garante è la lettura più utile in circolazione perché smonta due difese in una volta.

Il caso: una società comasca, Bressanelli Galli Gelpi Porta & C. S.r.l., aveva inviato email promozionali su servizi assicurativi e fondi pensione a due persone che poi hanno presentato reclamo. Quattro email a una, tre all’altra, tra ottobre e dicembre 2024. In difesa la società ha invocato sia il soft spam sia il legittimo interesse. Il Garante ha escluso entrambi e ha applicato una sanzione di 15.000 euro.

Il consenso è la base ordinaria per l’email marketing: preventivo, specifico, libero e documentato, con una spunta separata per ciascuna finalità.

Il legittimo interesse non è una base disponibile per il marketing diretto via email. Il Garante lo ha escluso con un argomento strutturale: l’art. 130 comma 2 è norma speciale e prevale sulla disciplina generale dell’art. 6 del GDPR. Non esiste un bilanciamento di interessi che possa sostituire il consenso su questo canale.

Il soft spam spetta soltanto al titolare che ha realizzato la vendita. Nel caso comasco la società aveva riutilizzato come titolare autonomo dati acquisiti in qualità di responsabile del trattamento per conto della compagnia assicurativa, e quella compagnia non l’aveva autorizzata a promuovere in proprio i suoi prodotti. L’esenzione non si eredita e non si presta.

Nello stesso provvedimento il Garante ha contestato anche la mancata risposta a una richiesta di accesso, arrivata con 228 giorni di ritardo. Il dettaglio dice qualcosa sul modo in cui queste istruttorie nascono: quasi sempre da un reclamo di una singola persona che non è stata ascoltata.

Cosa serve nell’informativa?

Il comma 4 impone due momenti informativi distinti, e la seconda parte della norma è quella che le aziende dimenticano: l’interessato va informato “al momento della raccolta e in occasione dell’invio di ogni comunicazione”, della possibilità di opporsi in ogni momento al trattamento, “in maniera agevole e gratuitamente”.

Significa che l’informativa raccolta in fase di vendita deve già dire, in chiaro, che l’indirizzo email verrà usato anche per proporre prodotti o servizi analoghi. Se quella frase non c’era quando il cliente ha comprato, il soft spam non si recupera a posteriori.

Significa anche che ogni singolo invio deve contenere un meccanismo di opposizione funzionante e gratuito. Agevole vuol dire un clic, non un modulo da compilare, non una richiesta via PEC, non una telefonata al servizio clienti. E la disiscrizione deve propagarsi a tutti i sistemi che spediscono: se il CRM registra l’opt-out ma la piattaforma di invio continua a pescare dalla lista vecchia, il trattamento illecito prosegue.

Il comma 5 chiude il cerchio: è vietato inviare comunicazioni promozionali camuffando o celando l’identità del mittente, o senza fornire un recapito idoneo presso il quale esercitare i diritti previsti dagli articoli da 15 a 22 del GDPR. Mittenti generici e indirizzi no-reply senza alternative sono un problema, non una scelta di stile.

Quali errori il Garante ha già sanzionato?

Le liste comprate. Con il provvedimento del 14 maggio 2026 il Garante ha sanzionato una ditta individuale attiva nella lead generation B2B che aveva acquistato 2.500 contatti (nome, email, telefono, mansione) da una piattaforma di dati per 224 euro, usandoli poi per campagne DEM senza verificare i consensi. Sanzione di 1.500 euro, oltre alla violazione degli obblighi informativi dell’art. 14 del GDPR. Il punto di principio è semplice: una lista acquistata non ha mai comprato nulla da voi, quindi il comma 4 non è nemmeno in discussione. Le regole del primo contatto a freddo sono un capitolo a sé, che seguiamo sulla testata sorella venditeb2b.it.

Le iscrizioni implicite. Il biglietto da visita raccolto allo stand in fiera è forse l’equivoco più diffuso nel B2B italiano. Chi lo consegna sta dando un recapito per quella conversazione, non sottoscrivendo una lista. Le linee guida del Garante escludono presunzioni di consenso implicito: il consenso va acquisito in modo preventivo, specifico, libero e documentato. E poiché in fiera non c’è stata alcuna vendita a titolo oneroso, non c’è nemmeno lo spazio per il soft spam. Lo stesso vale per i contatti presi da LinkedIn, dai siti aziendali o dalle richieste di preventivo mai concluse.

L’analogia tirata troppo. Usare la base clienti di una linea di prodotto per promuoverne una del tutto diversa porta fuori dal comma 4. Se la newsletter mensile è un contenitore che parla di tutto il catalogo, l’esenzione regge male.

Cosa può fare una PMI B2B, concretamente

Una lettura prudente della norma e delle tre decisioni porta a un impianto semplice. Tenere due liste separate: da un lato i clienti paganti, raggiungibili via email su prodotti e servizi analoghi grazie al comma 4; dall’altro tutti gli altri contatti, raggiungibili solo con un consenso raccolto e documentato.

Verificare che l’informativa consegnata in fase di vendita contenga già il riferimento al marketing diretto su prodotti analoghi, perché è il presupposto dell’intera costruzione. Mettere un link di disiscrizione visibile in ogni invio e assicurarsi che l’opt-out arrivi a tutti i sistemi. Conservare la prova di quando e come ogni contatto è entrato in lista, perché in caso di reclamo l’onere di dimostrarlo è dell’azienda. Rispondere alle richieste degli interessati nei termini, che è il modo meno costoso di chiudere una questione prima che diventi un’istruttoria.

Il soft spam resta uno strumento legittimo e, per chi ha una base clienti reale, generoso. Non è una scorciatoia per far partire una lista qualsiasi.

---

Questo articolo ha finalità informative e non costituisce consulenza legale. Per valutare la conformità delle proprie attività di email marketing è necessario rivolgersi a un professionista qualificato.