GDPR e cold email: come essere in regola nel 2026
Cold email e GDPR in Italia: legittimo interesse, informativa, art. 130 del Codice Privacy, Garante Privacy, disiscrizione obbligatoria e log. Guida di compliance 2026.
Redazione MyScraper
Il GDPR non vieta il cold email B2B, ma impone regole precise. Molte PMI italiane hanno paura di fare outreach perché temono sanzioni — paura spesso esagerata: facendolo bene, il cold email B2B si può fare in modo corretto. Questa guida copre tutti i punti critici: base giuridica (legittimo interesse), informativa obbligatoria, gestione unsubscribe, Garante Privacy italiano, sanzioni. È lettura obbligata prima di lanciare la prima campagna cold email.
Attenzione
In Italia, per le comunicazioni commerciali via email, l'art. 130 del Codice Privacy chiede il consenso preventivo anche quando l'indirizzo è pubblico, come ricordano le linee guida del Garante Privacy. Il legittimo interesse descritto in questa guida va quindi valutato caso per caso: queste sono indicazioni generali, non consulenza legale, e prima di avviare le campagne conviene farsi seguire da un consulente privacy.
Perché il GDPR si applica al cold email
Il GDPR (Reg. UE 2016/679) tutela i dati personali di persone fisiche nell'UE. Un'email professionale "mario.rossi@aziendaX.com" è potenzialmente un dato personale (identifica Mario Rossi). Quindi il cold email ricade nel GDPR, anche in contesto B2B. La domanda non è "posso evitare il GDPR?" (no, non puoi), ma "come rispettarlo semplicemente?".
La buona notizia: il GDPR prevede esplicitamente il legittimo interesse come base giuridica (Art. 6.1.f), e il Considerando 47 dice che il marketing diretto può essere considerato un interesse legittimo. Per le email, però, in Italia c'è anche l'art. 130 del Codice Privacy, che per le comunicazioni commerciali chiede di norma il consenso: il legittimo interesse non basta da solo e va valutato caso per caso.
Legittimo interesse (Art. 6.1.f) vs consenso (Art. 6.1.a)
Le due basi giuridiche principali per inviare email. Consenso esplicito: il destinatario ti ha autorizzato esplicitamente (si è iscritto, ha flaggato un checkbox). Richiesto per marketing B2C e per tipi specifici di trattamento. Legittimo interesse: l'azienda ha interesse a contattare prospect pertinenti, purché (a) l'interesse sia ragionevole, (b) non prevalgano i diritti dell'interessato, (c) ci sia trasparenza.
Per il cold email B2B su contatti professionali pertinenti molte aziende si appoggiano al legittimo interesse, ma in Italia l'art. 130 del Codice Privacy chiede di norma il consenso per le email commerciali: è un punto da far valutare a un consulente privacy. Per email marketing a consumatori finali (B2C) serve il consenso. Se hai dubbi sul tuo caso, una ditta individuale che usa un'email gmail.com è borderline B2C: per sicurezza, chiedi consenso.
I 3 test del legittimo interesse
Il legittimo interesse richiede il superamento di 3 test (LIA — Legitimate Interest Assessment):
- Test di scopo: il mio interesse è legittimo e identificato? (Sì: acquisire clienti B2B.)
- Test di necessità: il trattamento è necessario per raggiungere lo scopo? (Sì: senza contattare non acquisisco clienti.)
- Test di bilanciamento: i miei interessi prevalgono sui diritti dell'interessato? (Sì, se il messaggio è pertinente, non invasivo, e offre opt-out.)
Documenta questo test in un documento interno (LIA) prima della prima campagna. Non devi presentarlo a nessuno regolarmente, ma se arriva un controllo del Garante o una segnalazione, poter dimostrare di aver fatto il test ti tutela enormemente.
Garante Privacy italiano: cosa dice
Il Garante per la Protezione dei Dati Personali italiano ha chiarito più volte la posizione sul cold email B2B. Punti chiave dalle linee guida 2024: (1) email aziendali tipo info@, commerciale@ sono dati aziendali, meno tutelati del dato personale; (2) email nominative tipo mario.rossi@aziendaX.com richiedono il rispetto del GDPR ma ammettono legittimo interesse; (3) la prima email deve sempre contenere informativa sintetica e link opt-out; (4) il trattamento deve essere minimizzato.
Il Garante ha chiarito anche che la fonte dei dati conta: i dati pubblici (sito aziendale, Google Maps, LinkedIn pubblico) sono generalmente leciti da raccogliere. I dati sottratti a database chiusi (leak, scraping di aree protette) non lo sono. Per approfondire la fonte scraping, vedi la guida allo scraping legale.
Articoli GDPR rilevanti (e cosa richiedono)
Art. 5 — Principi: minimizzazione (prendi solo i dati necessari), limitazione finalità (usa i dati solo per lo scopo dichiarato), conservazione limitata (non tenere dati per sempre).
Art. 6 — Base giuridica: come visto, tipicamente 6.1.f (legittimo interesse) per cold email B2B.
Art. 13-14 — Informativa: il destinatario deve essere informato su identità del titolare, finalità, base giuridica, diritti. Soddisfatto con un breve paragrafo in fondo alla prima email + link a privacy policy.
Art. 21 — Diritto di opposizione: il destinatario può opporsi al trattamento in qualsiasi momento. L'opt-out deve essere facile e gestito entro 30 giorni.
Informativa privacy: esempio corretto
Nella prima email, aggiungi un paragrafo tipo: "Abbiamo ottenuto il tuo contatto da fonti pubblicamente disponibili (tuo sito web, LinkedIn, Google Maps). Ti scriviamo sulla base del legittimo interesse ai sensi dell'Art. 6.1.f GDPR. Se preferisci non ricevere altre email, puoi rispondere con OPT-OUT e cancelleremo i tuoi dati immediatamente. Titolare del trattamento: NomeAzienda Srl, privacy policy: nomeazienda.it/privacy".
Frase breve, chiara, non nasconde nulla. Spesso basta questa in fondo alla firma. Nei follow-up successivi, puoi abbreviarla (es. "Per non ricevere altre email, rispondi con OPT-OUT").
Unsubscribe: gestione obbligatoria
Ogni email deve avere meccanismo chiaro di opt-out. Due modalità: link "Unsubscribe" nel footer (standard), oppure invito a rispondere con OPT-OUT (più semplice per cold email). Quando ricevi la richiesta: entro 30 giorni devi cancellare i dati o flaggare il contatto come "non contattabile" in modo che nessuna sequenza futura lo raggiunga.
MyScraper gestisce la disiscrizione in automatico: in ogni email c'è il link per disiscriversi in un clic, più l'intestazione che Gmail e Yahoo usano per il loro pulsante, e chi lo usa, o segnala l'email come spam, esce da tutte le campagne. Chi risponde esce comunque dal flusso e la sua risposta arriva nell'app, nella campagna e nello storico del lead, così puoi gestire la richiesta.
Tenuta dei log (accountability)
Il GDPR richiede di dimostrare la compliance (principio di accountability, Art. 5.2). In pratica: conserva log delle campagne inviate, richieste di opt-out ricevute, azioni di cancellazione. Se il Garante chiede "dimostrami che hai gestito le richieste di opt-out", devi poter mostrare i log.
In MyScraper ogni apertura, clic e risposta torna nello storico del lead nel CRM, e la campagna tiene i contatori di consegne, rimbalzi, segnalazioni spam e disiscritti, con le liste esportabili in CSV. Conserva queste prove: sono la base della tua accountability in caso di controllo.
Sanzioni del Garante italiano
Il GDPR prevede sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale annuo (art. 83), e il Garante pubblica i suoi provvedimenti sul proprio sito, dove puoi verificare importi e motivazioni. I casi tipici riguardano invii massivi senza una base giuridica valida, la mancata gestione delle opposizioni e l'uso di database acquistati da fonti non documentate.
Il punto chiave: le sanzioni colpiscono chi trascura la compliance, non chi fa cold email B2B con metodo. Seguire questa guida riduce il rischio; il software ti aiuta sulla parte operativa, ma non sostituisce le tue valutazioni.
Attenzione
La vendita di liste email raccolte da siti aziendali senza informativa è tra i casi più sanzionati. L'uso interno B2B corretto è un'altra cosa.
Cosa fa MyScraper per la compliance (e cosa resta a te)
MyScraper ti dà le regole di invio già attive: link di disiscrizione in un clic in ogni email, esclusione di chi segnala spam, invio solo nella finestra oraria che scegli (per impostazione predefinita dalle 8 alle 18) e lo storico di invii, aperture, clic e risposte di ogni lead. Le funzioni del servizio girano su Google Cloud in Europa (europe-west1, Belgio).
Non significa che puoi delegare tutto al software: la base giuridica, il LIA, l'informativa e la risposta alle richieste degli interessati restano a te. L'email marketing parte dal piano Basic a 49 €/mese (IVA esclusa), con queste regole di invio già attive.
Come si fa in MyScraper
Le guide passo per passo, con le foto dell'app e i costi in crediti: Aggiungere i destinatari, La lista «non chiamare». Le trovi tutte nel Centro assistenza.
Domande frequenti
Posso inviare cold email senza opt-in esplicito?
L'impostazione di questa guida è il legittimo interesse documentato per il B2B; per l'email, però, l'art. 130 del Codice Privacy prevede il consenso preventivo, quindi valuta il tuo caso con un consulente privacy. Per B2C o settori sensibili (sanità, finanza a privati), serve il consenso.
Quanto conservo i dati dei prospect?
Minimizza: tieni il dato finché serve alla finalità. Standard pratico: 6-12 mesi dalla raccolta o dall'ultima interazione. Dopo, anonimizza o cancella.
Devo citare l'azienda del titolare del trattamento?
Sì. L'informativa deve indicare chi è il titolare (tu/la tua azienda), con recapiti per esercizio dei diritti. Basta una riga in fondo all'email.
Conclusione
Il cold email B2B in Italia si imposta in modo corretto partendo da 5 punti: legittimo interesse documentato, informativa in prima email, opt-out funzionante, log delle campagne, minimizzazione dei dati. MyScraper automatizza la parte operativa (disiscrizioni, esclusioni, storico); il resto è documentazione tua. Guarda i piani e, per i dubbi sul tuo caso, senti un consulente privacy. Per la strategia operativa, leggi la guida al cold email B2B.
Dalla guida all'app · Email Marketing AI
Le regole di invio, già attive
Disiscrizione in un clic in ogni email, chi segnala spam escluso dagli invii, finestra oraria da ufficio. Le valutazioni legali restano tue.
20 crediti di prova, senza carta · App per Mac, Windows in arrivo
Redazione MyScraper
Guide pratiche sulla lead generation B2B in Italia. Funzioni, limiti e prezzi di MyScraper citati nell'articolo sono verificati sull'app alla data di aggiornamento: . I prezzi sono IVA esclusa.
