Cold email B2B: si possono inviare email commerciali senza consenso in Italia?

In sintesi: in Italia l’invio di email commerciali senza consenso preventivo è illecito nella quasi totalità dei casi, anche in ambito B2B e anche quando l’indirizzo è stato reperito in un elenco pubblico. La ragione è che il marketing via posta elettronica non è regolato soltanto dal GDPR, ma dall’art. 130 del Codice Privacy — norma speciale che recepisce la direttiva ePrivacy e che impone il consenso, ammettendo una sola deroga: il cosiddetto soft spam verso clienti già acquisiti. Il legittimo interesse, invocato di frequente per giustificare le liste acquistate, non è una base giuridica valida per questa finalità: il Garante lo ha escluso in modo esplicito. Esistono però alternative pienamente lecite e, alla luce dei benchmark 2026, mediamente più efficaci del contatto a freddo.

Poche domande arrivano con la stessa frequenza sulla scrivania di chi si occupa di sviluppo commerciale B2B: possiamo scrivere a un’azienda che non ci conosce? Se l’indirizzo è pubblico, cambia qualcosa? E se scriviamo a info@ invece che a una persona? La risposta che circola online è contraddittoria, e non per caso: buona parte dei contenuti sul tema è prodotta da chi vende liste di contatti o software di invio massivo, con un evidente interesse a proporre la lettura più permissiva della norma. Questa guida ricostruisce il quadro a partire dalle fonti primarie — il Codice Privacy, il GDPR e i provvedimenti dell’Autorità Garante — e indica quali strade restano percorribili per generare domanda qualificata senza esporsi.

Una precisazione preliminare: quanto segue ha finalità informative e non sostituisce un parere legale. Per l’impostazione concreta di una campagna resta indispensabile il confronto con un legale o con il proprio Responsabile della protezione dei dati.

Si possono inviare email commerciali senza consenso a un’azienda?

No, salvo un’eccezione circoscritta. La regola generale è il consenso preventivo, e comprenderne l’origine è decisivo perché quasi tutti gli equivoci nascono da qui.

Sul trattamento dei dati personali insistono due livelli normativi distinti. Il primo è il Regolamento UE 2016/679 (GDPR), che all’art. 6 elenca sei possibili basi giuridiche, fra cui il consenso e il legittimo interesse del titolare. Il secondo è la direttiva 2002/58/CE, nota come direttiva ePrivacy, recepita in Italia nel Titolo X del Codice in materia di protezione dei dati personali (d.lgs. 196/2003, come modificato dal d.lgs. 101/2018).

Il punto dirimente è il rapporto fra i due livelli. La disciplina ePrivacy è norma speciale: quando l’attività promozionale avviene tramite strumenti di comunicazione elettronica — email, SMS, sistemi automatizzati di chiamata — prevale sulla disciplina generale del GDPR. E l’art. 130 del Codice stabilisce che tale invio è consentito soltanto con il consenso del contraente o dell’utente. Il ventaglio di basi giuridiche dell’art. 6 GDPR, in questo ambito specifico, si restringe a una sola.

È la ragione per cui l’argomento più diffuso a sostegno del cold email — “il GDPR ammette il legittimo interesse per il marketing diretto” — non regge alla verifica: è formalmente corretto in astratto, ma inapplicabile al canale email in Italia.

Perché il legittimo interesse non basta per il cold email?

L’obiezione ricorrente richiama il considerando 47 del GDPR, secondo cui il trattamento per finalità di marketing diretto può essere considerato legittimo interesse. Su questo esatto argomento il Garante si è pronunciato con il provvedimento n. 202 del 17 maggio 2023, e la motivazione merita di essere letta perché costituisce oggi il riferimento più chiaro in materia.

Il caso riguardava una società che aveva estratto nominativi di professionisti da diversi elenchi pubblici — fra cui un elenco regionale di certificatori energetici — e aveva poi inviato comunicazioni promozionali fondandosi sul legittimo interesse. L’Autorità ha respinto integralmente la tesi difensiva su due passaggi.

Il primo riguarda il valore dei considerando: l’Autorità ha ricordato che la loro efficacia giuridica è puramente interpretativa e non prescrittiva. Un considerando orienta la lettura di una norma, non ne crea una nuova né deroga a una disciplina speciale.

Il secondo è ancora più netto: l’attività promozionale via posta elettronica ricade sotto la disciplina originata dalla direttiva ePrivacy, e dunque sotto l’art. 130 del Codice, che ammette una sola deroga al consenso — quella del comma 4. Il Garante ha inoltre chiarito che la presenza di un link di disiscrizione non sana nulla, poiché è lo stesso invio dell’email a essere illecito, a prescindere dal contenuto e dalle misure di contenimento adottate a valle.

La sanzione, 10.000 euro a carico di una microimpresa, è stata contenuta in ragione della buona fede e della cooperazione con l’Autorità. Il principio affermato, però, prescinde dall’importo ed è quello che conta per chiunque stia valutando una campagna outbound.

Il GDPR si applica anche agli indirizzi aziendali?

Sì, ogni volta che l’indirizzo consente di identificare una persona fisica. È qui che si concentra il secondo grande equivoco.

Un indirizzo nel formato nome.cognome@azienda.it è a tutti gli effetti un dato personale: identifica una persona determinata, la sua appartenenza organizzativa e spesso il suo ruolo. La circostanza che sia un recapito professionale non lo sottrae alla disciplina.

Il caso degli indirizzi generici e impersonali — info@, amministrazione@, ordini@ — è tecnicamente diverso: se riferibile esclusivamente a una persona giuridica e non riconducibile a un individuo determinato, il dato esce dal perimetro del GDPR, che protegge le persone fisiche. Su questo appiglio si costruisce buona parte della narrazione commerciale attorno alle liste B2B.

Va però considerato con prudenza, per due ragioni concrete. La prima è che l’art. 130 del Codice fa riferimento al “contraente o utente”, nozione mutuata dalla disciplina delle comunicazioni elettroniche che ricomprende anche i soggetti diversi dalle persone fisiche: l’esclusione non è dunque così netta come viene presentata. La seconda è di ordine pratico: nelle liste acquistate sul mercato la distinzione fra caselle realmente impersonali e caselle nominative è quasi sempre approssimativa, e l’onere di dimostrare la liceità del trattamento resta in capo a chi invia.

Cosa consente davvero il “soft spam” dell’art. 130, comma 4?

Il comma 4 dell’art. 130 introduce l’unica deroga al consenso, che nella prassi viene chiamata soft spam. È molto più stretta di quanto si creda e opera solo se ricorrono congiuntamente tre condizioni:

• Origine del contatto. L’indirizzo deve essere stato fornito dall’interessato al titolare nel contesto di una vendita di beni o della prestazione di un servizio. Non un contatto raccolto altrove, non un nominativo comprato: un rapporto commerciale effettivamente esistito.
• Analogia dell’offerta. La comunicazione deve riguardare prodotti o servizi analoghi a quelli già acquistati. Promuovere una linea del tutto estranea esce dalla deroga.
• Opposizione agevole. All’interessato deve essere offerta la possibilità di opporsi in modo semplice e gratuito, sia al momento della raccolta sia in occasione di ogni invio successivo.

Il soft spam è quindi uno strumento di sviluppo sulla base clienti esistente, non una porta di accesso al contatto a freddo. Nel provvedimento del 2023 l’Autorità ha respinto proprio il tentativo di estenderlo a destinatari che non avevano alcuna conoscenza né del titolare né del trattamento.

Si possono usare gli indirizzi trovati su LinkedIn, negli elenchi pubblici o su INI-PEC?

No. È la domanda più frequente e la risposta dell’Autorità è consolidata da oltre un decennio.

Già le Linee guida in materia di attività promozionale e contrasto allo spam del 4 luglio 2013 avevano stabilito che, senza consenso, non è possibile inviare comunicazioni promozionali neppure quando i dati siano tratti da registri pubblici, elenchi, siti web, atti o documenti conoscibili da chiunque. Le stesse Linee guida escludono espressamente l’utilizzo a fini promozionali degli indirizzi PEC contenuti nell’indice nazionale delle imprese e dei professionisti (INI-PEC), istituito per lo scambio di documenti fra pubblica amministrazione, imprese e professionisti — una finalità del tutto diversa.

Il principio è stato ribadito nel provvedimento del 2023 e poggia su una nozione centrale del GDPR, quella di compatibilità delle finalità: un dato reso pubblico per uno scopo determinato non diventa per ciò stesso utilizzabile per scopi ulteriori. Un professionista che compare in un albo vi compare per consentire verifiche di abilitazione, non per ricevere proposte commerciali. L’uso promozionale è incompatibile con la finalità originaria e non rientra nelle ragionevoli aspettative dell’interessato.

La medesima logica si applica ai profili sui social network, LinkedIn incluso: la reperibilità di un dato non ne autorizza l’impiego per finalità estranee, e la raccolta massiva tramite scraping aggiunge alla questione della base giuridica quella della violazione delle condizioni contrattuali della piattaforma.

Quanto rischia un’azienda che invia cold email in Italia?

Il quadro sanzionatorio è definito dall’art. 83, par. 5, del GDPR: fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore. Nella pratica gli importi vengono commisurati alla dimensione dell’impresa e alle circostanze, ma il massimo edittale resta il parametro di calcolo.

Al rischio economico si affianca un profilo che viene spesso sottovalutato. L’art. 170 del Codice punisce con la reclusione da tre mesi a due anni l’inosservanza di un provvedimento di divieto del trattamento adottato dall’Autorità: la mancata conformazione a un ordine del Garante assume rilievo penale.

L’intensità dell’attività di controllo è documentata dalla relazione annuale dell’Autorità presentata al Parlamento il 2 luglio 2026. Nel corso del 2025 il Garante ha adottato 807 provvedimenti collegiali, di cui 506 a contenuto correttivo o sanzionatorio, e ha riscosso sanzioni per circa 37,7 milioni di euro, con una crescita del 54,5% rispetto ai 24,4 milioni dell’anno precedente. Il comparto “reti telematiche e marketing” ha assorbito da solo il 93,8% delle segnalazioni ricevute. Le comunicazioni di notizia di reato trasmesse all’autorità giudiziaria sono passate da 16 a 65 in un anno.

Esiste infine un costo che nessuna norma prevede ma che si manifesta immediatamente: i sistemi antispam dei principali provider penalizzano i domini che generano segnalazioni. Una campagna a freddo mal calibrata può compromettere la recapitabilità del dominio aziendale, con effetti che ricadono anche sulla corrispondenza ordinaria e sulle comunicazioni ai clienti attivi.

Il cold email funziona ancora? I numeri del 2026

Alla valutazione giuridica conviene affiancare quella economica, perché anche prescindendo dal profilo di conformità i rendimenti si sono compressi in modo sensibile.

Il Cold Email Benchmark Report 2026 di Instantly, costruito su miliardi di interazioni, indica un tasso medio di risposta del 3,43%, con i migliori operatori oltre il 10%. Lo studio di Belkins su 7,5 milioni di email inviate nel periodo 2025-2026 restituisce valori ancora più bassi sui grandi volumi. Tradotto in termini operativi: circa diciannove messaggi su venti non ricevono alcuna risposta, e la quota di risposte effettivamente positive si colloca in genere fra lo 0,5% e il 2%.

Un dato è però istruttivo più di tutti gli altri. Le liste ristrette e accuratamente selezionate — sotto i cinquanta destinatari — registrano tassi di risposta intorno al 5,8%, contro il 2,1% degli invii massivi. La variabile determinante non è il volume, ma la pertinenza: la stessa conclusione a cui si arriva analizzando perché i lead non convertono in clienti e il motivo per cui, nella lead generation B2B, la qualità batte la quantità.

Ne discende una considerazione difficile da eludere: il contatto a freddo su larga scala presenta oggi un profilo giuridico critico e una resa marginale. È l’inverso esatto di ciò che dovrebbe orientare l’allocazione di un budget commerciale.

Cosa cambia con il Digital Omnibus e la direttiva ePrivacy?

Il quadro europeo è in movimento, ma nessuna delle novità in discussione modifica ad oggi le regole applicabili.

L’11 febbraio 2025 la Commissione europea ha formalmente ritirato la proposta di Regolamento ePrivacy, avviata nel 2017 e mai approdata a un accordo fra i colegislatori. La conseguenza è che la direttiva 2002/58/CE resta pienamente in vigore, insieme alle rispettive trasposizioni nazionali: per l’Italia, il Titolo X del Codice Privacy e il suo art. 130. L’auspicata armonizzazione europea non è arrivata e non arriverà per quella via.

Il 19 novembre 2025 la Commissione ha presentato il pacchetto Digital Omnibus, che interviene simultaneamente su GDPR, direttiva ePrivacy, Data Act, NIS 2 e altri strumenti. Il 10 febbraio 2026 il Comitato europeo per la protezione dei dati e il Garante europeo hanno adottato il Parere congiunto 2/2026, che accoglie con favore alcune misure di semplificazione ma esprime riserve nette su altre, in particolare sulla revisione della nozione di dato personale.

Per un’azienda italiana la conclusione operativa è univoca: la proposta è in fase negoziale e le regole vigenti restano invariate fino all’eventuale entrata in vigore. Non esistono margini per anticipare alleggerimenti che non hanno ancora forza di legge.

Quali sono le alternative lecite per generare lead B2B?

La chiusura del canale a freddo non chiude lo sviluppo commerciale. Sposta il baricentro dall’interruzione all’intercettazione della domanda, con quattro direttrici che possono coesistere.

Consenso raccolto in modo trasparente

Un contenuto di reale valore — un’analisi settoriale, uno strumento di calcolo, un benchmark proprietario — scambiato con un indirizzo email tramite doppio opt-in produce una lista costruita su una manifestazione di interesse esplicita. È più lenta da alimentare e incomparabilmente più redditizia, oltre che pienamente documentabile in caso di verifica.

Sviluppo della base clienti esistente

È l’ambito in cui opera il soft spam dell’art. 130, comma 4, ed è anche quello con il rapporto fra sforzo e risultato più favorevole. Clienti attivi e dormienti, contatti che hanno già acquistato, referenze: un patrimonio quasi sempre sottoutilizzato.

LinkedIn come conversazione, non come canale di invio massivo

Una richiesta di collegamento accompagnata da un messaggio pertinente si colloca su un piano giuridico diverso dall’invio automatizzato a un indirizzo di posta, perché avviene dentro una piattaforma il cui scopo dichiarato è il contatto professionale e presuppone un’accettazione da parte del destinatario. Restano essenziali la misura e la pertinenza: l’automazione massiva riporta il problema al punto di partenza. Le logiche di funnel e le metriche di riferimento sono descritte nella guida su funnel, metriche e strategia LinkedIn B2B, mentre l’alternativa a pagamento è analizzata in LinkedIn Ads e Sales Navigator: costi reali e benchmark.

Intercettazione della domanda: SEO e GEO

È la direttrice strutturale. Chi cerca su Google, o interroga ChatGPT e Perplexity, sta manifestando un’intenzione: nessun problema di base giuridica, perché è il potenziale cliente a muovere il primo passo. Presidiare quelle risposte significa lavorare insieme sul posizionamento organico e sulla Generative Engine Optimization, ossia sulla probabilità di essere selezionati e citati dai motori generativi secondo il metodo descritto in come farsi citare da ChatGPT e Perplexity. È anche il canale con il valore per contatto più elevato, come mostrano i dati sul confronto fra traffico AI e traffico organico.

Come costruire un sistema di lead generation conforme in cinque passaggi

• Verificare l’origine di ogni contatto in banca dati. Il principio di responsabilizzazione impone di poter dimostrare la liceità del trattamento. I contatti privi di origine documentata vanno segregati e non utilizzati per finalità promozionali.
• Distinguere i contatti da clienti dai contatti freddi. Solo i primi possono rientrare nel perimetro del soft spam, e solo per offerte analoghe a quelle già acquistate.
• Predisporre informativa e meccanismo di opposizione. Informativa accessibile, opposizione semplice e gratuita in ogni comunicazione, riscontro tempestivo alle richieste di cancellazione. Nel caso del 2023, il ritardo nell’esecuzione dell’opposizione ha costituito un’autonoma violazione.
• Definire il problema prima del canale. Un messaggio efficace nasce dalla comprensione della tensione organizzativa che precede l’acquisto, come illustrato nell’analisi sul problema del prospect.
• Spostare progressivamente il budget sulla domanda intercettata. Contenuti, posizionamento organico e visibilità sui motori generativi producono un capitale che si accumula, mentre l’invio a freddo consuma risorse e reputazione a ogni ciclo. La mappa completa dei canali è nella guida su come trovare clienti B2B.

Domande frequenti sul cold email B2B e il GDPR

Posso inviare email commerciali a un indirizzo info@ senza consenso?

Se l’indirizzo è realmente impersonale e riferibile alla sola persona giuridica, il GDPR non trova applicazione perché protegge le persone fisiche. La prudenza resta però necessaria: l’art. 130 del Codice Privacy fa riferimento al “contraente o utente”, nozione che ricomprende anche soggetti diversi dalle persone fisiche, e l’onere di dimostrare l’effettiva impersonalità della casella ricade su chi invia.

Il legittimo interesse può giustificare una campagna di cold email?

No. Per le comunicazioni promozionali via posta elettronica prevale la disciplina speciale dell’art. 130 del Codice Privacy, che richiede il consenso. Il Garante, nel provvedimento n. 202 del 17 maggio 2023, ha chiarito che il considerando 47 del GDPR ha valore interpretativo e non prescrittivo e non può fondare un trattamento in deroga alla norma speciale.

Se l’indirizzo è pubblicato sul sito dell’azienda posso scrivergli?

La pubblicazione non equivale a consenso. Il Garante ha stabilito che l’uso promozionale di dati tratti da registri pubblici, elenchi, siti web o social network è incompatibile con la finalità per cui il dato è stato reso conoscibile e non rientra nelle ragionevoli aspettative dell’interessato.

Che differenza c’è fra cold email e soft spam?

Il cold email si rivolge a destinatari che non hanno alcun rapporto pregresso con il mittente ed è illecito senza consenso. Il soft spam riguarda esclusivamente clienti che hanno fornito il proprio indirizzo nell’ambito di una vendita o di un servizio, per la promozione di prodotti analoghi e con possibilità di opposizione: è l’unica deroga prevista dall’art. 130, comma 4.

Le regole cambieranno con il Digital Omnibus?

La proposta presentata dalla Commissione il 19 novembre 2025 interviene anche sulla direttiva ePrivacy, ma è in fase negoziale e ha ricevuto rilievi significativi dal Comitato europeo per la protezione dei dati nel Parere congiunto 2/2026 del 10 febbraio 2026. Fino all’eventuale entrata in vigore le regole applicabili restano quelle attuali.

Quali sanzioni rischia chi invia email senza consenso?

L’art. 83, par. 5, del GDPR prevede fino a 20 milioni di euro o il 4% del fatturato mondiale annuo, se superiore. Gli importi effettivi sono commisurati a dimensione dell’impresa e circostanze del caso. L’inosservanza di un provvedimento di divieto adottato dal Garante rileva inoltre penalmente ai sensi dell’art. 170 del Codice.

Il cold email a freddo in Italia non è una zona grigia: è un’attività che l’ordinamento consente solo con il consenso preventivo, con un’unica deroga circoscritta ai clienti già acquisiti. La lettura permissiva fondata sul legittimo interesse è stata esaminata e respinta dall’Autorità, e i benchmark del 2026 mostrano che quella stessa pratica offre oggi rendimenti marginali. La direzione ragionevole non è cercare margini interpretativi in una norma che non li concede, ma spostare l’investimento su ciò che produce domanda qualificata in modo sostenibile: consenso raccolto con trasparenza, valorizzazione della base clienti, relazioni professionali autentiche e presidio delle risposte su Google e sui motori generativi. È anche il terreno su cui si costruisce quell’autorevolezza verificabile che, secondo la logica dell’E-E-A-T, decide oggi ranking e citazioni.

Starlead è l’agenzia di lead generation, SEO e GEO con base a Milano che costruisce pipeline B2B senza ricorrere al contatto a freddo: intercettiamo la domanda dove si manifesta, sui motori di ricerca e su quelli generativi, e la trasformiamo in contatti qualificati e tracciabili. Scopri come scegliere un’agenzia di lead generation B2B oppure contattaci per una valutazione della tua visibilità attuale.