Email a freddo alle aziende e GDPR: cosa è lecito nel 2026 e cosa no

La domanda arriva identica da ogni imprenditore che valuta un'attività di contatto diretto: si può scrivere a un'azienda che non ci conosce? Nel B2B, sì. Ma le condizioni contano, e sono le stesse che separano un'attività professionale da un invio massivo.

La base giuridica

Il GDPR consente il trattamento di dati personali per legittimo interesse del titolare (art. 6, par. 1, lett. f), a patto che non prevalgano i diritti dell'interessato. Il contatto professionale verso un ruolo aziendale, pertinente all'attività dell'azienda del destinatario, rientra in questo quadro secondo l'orientamento prevalente. Non è un via libera generale: è un bilanciamento che va documentato.

I quattro elementi

Dati professionali, non personali: nome, ruolo, azienda, recapito aziendale, da fonti pubbliche o lecitamente accessibili. Pertinenza: il messaggio riguarda l'attività dell'azienda, non la persona. Informativa: ogni messaggio dice chi scrive, perché, e da dove vengono i dati. Opposizione immediata: un modo semplice per non essere più contattati, gestito davvero e per sempre.

Cosa non è lecito

Comprare liste di indirizzi senza sapere da dove vengono. Scrivere a indirizzi personali. Ignorare un'opposizione. Inviare dal dominio aziendale volumi da campagna, mettendo a rischio la posta di tutta l'azienda: non è una violazione del GDPR, ma è il modo più rapido per finire in blacklist.

Chi è titolare

Quando un'azienda affida l'attività a un fornitore, l'azienda è titolare del trattamento e il fornitore responsabile, con un accordo scritto ai sensi dell'art. 28. Le informative devono citare entrambi. Se il fornitore non propone questo accordo, è un segnale.