Cold email in Italia: è legale scrivere a un'azienda che non ti conosce?
Per le email promozionali la legge italiana chiede il consenso preventivo, e la regola vale anche fra aziende: l'articolo 130 del Codice privacy è una norma speciale e il legittimo interesse non è una strada disponibile. Che cosa resta permesso, che cosa dicono i provvedimenti del Garante e come si verifica se puoi scrivere a un indirizzo.
Il consenso non è una formalità: in Italia è l'unica base per scrivere a freddo
No, non senza consenso: per le email promozionali la legge italiana lo chiede anche fra aziende. Che cosa dice l'art. 130 Codice privacy, come lo applica il Garante, e quali invii restano permessi senza chiedere niente a nessuno.
In Italia le comunicazioni promozionali via email richiedono il consenso preventivo del destinatario, anche quando il destinatario è un'azienda: lo stabilisce l'articolo 130 del Codice privacy, e il Garante lo ha confermato anche per gli indirizzi raccolti da fonti pubbliche.
È legale mandare cold email a un'azienda in Italia?
No: in Italia mandare una cold email promozionale a un'azienda non è legale senza il consenso preventivo del destinatario. La norma è l'articolo 130 del Codice privacy, che il Garante applica come norma speciale rispetto alle basi giuridiche del Regolamento UE 2016/679: dove arriva l'articolo 130, il legittimo interesse non è una strada disponibile. La cold email b2b, da questo punto di vista, non sta in una categoria a parte.
Questo non vuol dire che scrivere a chi non ti ha ancora comprato niente sia sempre vietato. Vuol dire che «cold email legale» non è un tipo di messaggio, ma una questione di base giuridica: la domanda utile non è «posso fare cold email?» ma «su che base sto scrivendo a questo indirizzo?». Le basi sono poche e si riconoscono in fretta. Sul come scrivere, una volta che la base c'è, c'è un pezzo a parte: come scrivere una cold email che riceve risposte.
In sintesi
- Per le email promozionali l'articolo 130 del Codice privacy chiede il consenso preventivo, anche verso le aziende.
- Il legittimo interesse non è disponibile: l'articolo 130 è una norma speciale e prevale sulla libera scelta della base giuridica.
- Un indirizzo trovato su un sito, in un elenco pubblico o su un social non è un consenso, e il Garante lo ha detto per iscritto.
- L'unica deroga è il soft spam dell'articolo 130 comma 4: indirizzo dato dal destinatario acquistando un servizio analogo, con la possibilità di dire no in ogni messaggio.
- Il Registro Pubblico delle Opposizioni riguarda telefono e posta cartacea, non l'email.
Perché il legittimo interesse non basta, se il messaggio è promozionale?
Perché accanto al Regolamento europeo c'è una norma che riguarda soltanto le comunicazioni elettroniche, e l'email marketing senza consenso non ha una base alternativa su cui appoggiarsi. L'articolo 130 del Codice privacy attua la direttiva ePrivacy e per l'invio di messaggi promozionali via email chiede il consenso: è una lex specialis, una regola speciale che prevale su quella generale. Il Regolamento ti lascia scegliere fra sei basi giuridiche; l'articolo 130 te ne lascia una. Le due decisioni del Garante che lo dicono nel modo più diretto sono il provvedimento del 12 febbraio 2026 e, molto prima, quello dell'11 dicembre 2008.
-
L'articolo 130 vale anche per le aziende
La direttiva ePrivacy lascia a ogni Stato la scelta di estendere la tutela alle persone giuridiche, e l'Italia l'ha estesa. È la ragione per cui le prassi che si leggono sugli strumenti anglosassoni non si trasferiscono qui: nascono in ordinamenti che il B2B lo trattano in un altro modo.
-
«L'ho trovato su internet» non è una base
Nel provvedimento del febbraio 2026 il Garante ha respinto la difesa di chi aveva raccolto gli indirizzi da «elenchi pubblici online, siti o social»: la presenza del dato in una fonte accessibile non ne autorizza l'uso promozionale, perché quella finalità è estranea a quella per cui il dato era pubblico.
-
Non si aggira con «posso scriverti?»
Già nel 2008 il Garante aveva chiarito che la regola non si elude mandando una prima email che chiede il consenso avendo però contenuto promozionale. Un messaggio che presenta l'azienda e i suoi servizi è promozionale, anche se finisce con una domanda.
Come si verifica se puoi scrivere a un indirizzo?
Guarda da dove viene l'indirizzo
Guarda che rapporto c'è
Guarda che cosa stai mandando
Metti per iscritto come si esce
Guarda da dove viene l'indirizzo
Guarda che rapporto c'è
Guarda che cosa stai mandando
Metti per iscritto come si esce
Un caso tipico: quattrocento indirizzi in un foglio
Prima
Una lista costruita in sei mesi: aziende trovate sulle mappe, indirizzi copiati dai siti, qualche contatto raccolto in fiera e un po' di ex clienti, tutti nella stessa colonna. L'invio parte a tutti, perché la lista è una.
Dopo
Lo stesso foglio diviso in tre: chi ti ha dato l'indirizzo, chi è cliente o lo è stato per un servizio simile, e tutti gli altri. Ai primi due gruppi si scrive, con l'uscita dichiarata in ogni messaggio. Il terzo non si contatta via email.
Che cosa è cambiato
Gli invii sono molti meno, e vanno alle persone che avevano una ragione per risponderti. Soprattutto: se qualcuno ti chiede su che base lo hai contattato, la risposta esiste, ed è la stessa per ogni riga della lista.
Le sei convinzioni che fanno sbagliare
La pubblicità del dato riguarda la sua reperibilità, non le finalità per cui si può usare. Il Garante lo ha scritto in modo esplicito: la presenza in elenchi pubblici, siti o social network non autorizza l'uso promozionale, perché quella finalità è estranea a quella per cui il dato era stato reso pubblico.
Su una casella generica, non attribuibile a una persona identificata, l'argomento ha un fondamento — ma non risolve il problema. L'articolo 130 non tutela soltanto le persone fisiche, e in Italia la tutela verso le persone giuridiche è stata estesa. Il vincolo resta anche dove il Regolamento, da solo, non arriverebbe.
È la frase più diffusa e, in Italia, la meno vera. Il legittimo interesse è una delle basi del Regolamento, ma per le email promozionali l'articolo 130 ne ammette una sola. In alcuni paesi europei il ragionamento regge; qui no.
Il modo semplice per opporsi è obbligatorio, ma è un requisito che si aggiunge alla base giuridica, non che la sostituisce. Un invio senza base non diventa lecito perché è facile uscirne.
Il Registro riguarda le telefonate e la posta cartacea. Per l'email non esiste un registro da consultare: l'elenco delle persone da non contattare lo tieni tu, e sei tu a doverlo controllare prima di ogni invio.
Il Garante ha chiuso questa strada nel 2008: la prima email non può chiedere il consenso avendo contenuto promozionale. Se il messaggio presenta te e i tuoi servizi, è già una comunicazione promozionale.
Cosa fare adesso
- Dividi la lista che hai per provenienza, prima di mandare qualunque altra cosa: la domanda «da dove viene questo indirizzo?» deve avere una risposta per ogni riga.
- Metti l'uscita in ogni messaggio e tieni un elenco di esclusione che venga controllato prima dell'invio, non a memoria.
- Se il contatto a freddo ti serve davvero, parlane con chi fa consulenza privacy di mestiere prima di partire, non dopo il primo reclamo.
AraLith, software house in provincia di Roma attiva dal 2007, costruisce software per il prospecting via email: questo articolo è la sua lettura del quadro normativo, con le fonti citate, e non sostituisce una consulenza legale sul tuo caso.
Domande frequenti sulla liceità delle cold email
Sì. L'articolo 130 non distingue fra persone fisiche e aziende, e in Italia la tutela è stata estesa alle persone giuridiche. Scrivere a un professionista o a una società non cambia la base richiesta.
È la deroga dell'articolo 130 comma 4: se il destinatario ti ha dato il suo indirizzo nel contesto dell'acquisto di un servizio, puoi proporgli un servizio analogo senza un consenso separato — purché fosse informato al momento della raccolta e possa dire no in ogni messaggio.
Dipende dal caso, e non è una risposta che si possa dare in generale. Nel provvedimento del febbraio 2026 il Garante ha scelto l'ammonimento senza sanzione economica, considerando minore la violazione: una sola email per destinatario, cancellazione immediata dei dati, piccola impresa, nessun precedente e misure correttive adottate. Sono circostanze di quel caso, non una regola.
No: il problema si sposta soltanto. Chi vende la lista dovrebbe aver raccolto un consenso valido anche per la comunicazione da parte di terzi, e quel consenso dovrebbe essere dimostrabile indirizzo per indirizzo. La responsabilità di chi invia resta comunque la sua.
Perché la direttiva ePrivacy lascia a ogni Stato la scelta su quanto proteggere le persone giuridiche dalle comunicazioni non richieste, e l'Italia ha scelto di estendere la tutela. Le prassi degli strumenti e dei blog anglosassoni nascono in ordinamenti diversi dal nostro.
Con le regole di sempre sul contenuto: un messaggio per destinatario, pertinente, breve, con un motivo chiaro per cui stai scrivendo a lui e non a un elenco. Il metodo è in come scrivere una cold email che riceve risposte.
Hai una lista e non sai su che base è costruita?
AraLith Mailable tiene insieme la lista, i messaggi e l'elenco di esclusione controllato prima di ogni invio, con l'invio uno a uno dalla tua casella.
