Email B2B senza consenso: l'indirizzo pubblico non basta da solo

Se hai cercato «posso scrivere un'email commerciale B2B senza consenso se il dato è pubblico», probabilmente hai in mano un indirizzo trovato da qualche parte che sembrava, lì per lì, già abbastanza legittimo da usare: l'albo di un ordine professionale, l'elenco soci di una camera di commercio, la pagina «contatti» di un sito aziendale. La risposta onesta è che dipende da un dettaglio che le guide generiche su questo tema quasi mai nominano: quell'indirizzo identifica una persona, oppure un'azienda.

A maggio ho scritto di un'altra multa del Garante, quella riguardava contatti comprati a crediti da una piattaforma dati: lì il dato si pagava, e il problema era cosa ne era stato fatto dopo averlo comprato. Qui il dato non costa niente, si trova gratis su un registro pubblico, ed è proprio per questo che sembra più innocuo. Un provvedimento del 23 ottobre 2025 dice che non lo è sempre.

Il caso, così come lo scrive il Garante (registro n. 635, doc web 10197577): un avvocato riceve, il 14 e il 15 febbraio 2023, due email promozionali da una società, Giambanet S.r.l., che gliele aveva mandate tramite un proprio agente commerciale. L'agente aveva preso l'indirizzo dall'albo degli avvocati, un registro pubblico, consultabile da chiunque voglia verificare che un professionista sia iscritto. Di fronte alla contestazione, la società ha prima provato a scaricare la responsabilità sull'autonomia dell'agente.

Il Garante ha scritto una frase che vale la pena riportare quasi testualmente: non è consentito usare dati contenuti in banche dati o registri — come quelli degli ordini professionali — creati per finalità diverse da quella promozionale. L'albo esiste perché un cliente possa verificare che un avvocato sia iscritto, non perché chiunque possa scrivergli per vendergli qualcosa. Essere pubblico, per quel dato, non vuol dire essere libero da vincoli: vuol dire pubblico per uno scopo preciso, e quello scopo non è il marketing.

La società si è difesa invocando il legittimo interesse, una base giuridica che in alcuni casi regge davvero il marketing B2B — l'ho scritto anche nell'articolo di maggio. Qui il Garante l'ha respinta, perché l'indirizzo di un avvocato preso dal suo albo professionale resta, agli effetti della legge, l'indirizzo di una persona fisica identificabile: il fatto che lo usi nel suo lavoro non lo rende un dato dell'azienda per cui lavora. E un dato che identifica una persona fisica è un dato personale, e un dato personale per finalità promozionali chiede il consenso — con un'unica eccezione stretta, quella dell'articolo 130 comma 4 del Codice privacy, riservata a chi è già cliente e per prodotti simili a quelli già acquistati, con la possibilità di opporsi a ogni contatto. Un avvocato contattato a freddo non rientra in quella eccezione.

Qui si apre la distinzione che la traccia di questo articolo voleva mettere a fuoco, e che il provvedimento illustra senza doverla scrivere per esteso: un indirizzo nominativo — nome.cognome@studio.it, o un indirizzo generico che sai essere letto da una persona precisa, individuabile — resta sempre sotto la stessa regola dell'avvocato dell'albo. Un indirizzo aziendale generico — info@, amministrazione@, commerciale@ — è un'altra cosa, perché non identifica nessuno in particolare. E il regolamento europeo sulla protezione dei dati lo dice in modo esplicito, nel considerando 14: «il presente regolamento non disciplina il trattamento dei dati personali relativi a persone giuridiche, in particolare imprese dotate di personalità giuridica, compresi il nome e la forma della persona giuridica e i suoi dati di contatto».

Vuol dire che scrivere a info@aziendaspa.it non è, agli occhi del GDPR, trattare il dato di nessuno: non c'è una persona fisica identificata o identificabile dietro quell'indirizzo, quindi non c'è, in senso stretto, il dato personale che l'articolo 130 e il resto del Codice privacy proteggono. È lo spazio in cui il legittimo interesse può reggere davvero, e in cui una prima mail commerciale a un'azienda — non alla persona che la gestisce — non parte già in debito di consenso. Ma reggere «in teoria» non vuol dire scrivere senza condizioni: il contenuto deve riguardare davvero l'attività di quell'azienda, non un prodotto qualsiasi, e chi scrive deve restare riconoscibile e facile da bloccare a ogni messaggio — la stessa logica di trasparenza e di opt-out che l'articolo 130 chiede esplicitamente nell'eccezione per i clienti già acquisiti, applicata qui per buona pratica più che per obbligo di legge.

C'è un caso di mezzo che vale la pena nominare, perché è quello in cui la maggior parte degli errori succede davvero: un indirizzo che sembra generico ma che, nei fatti, sai a chi appartiene. Se trovi commerciale@azienda.it sul sito ma poi scopri, da LinkedIn o da una telefonata, che a rispondere è sempre la stessa persona, e la nomini per nome nella mail, quell'indirizzo torna a essere, nella sostanza, l'indirizzo di una persona identificata — e con lei torna anche l'obbligo di consenso. Non è la forma dell'indirizzo a decidere, alla fine, ma se dietro c'è o no una persona che puoi riconoscere.

Anche quando il legittimo interesse regge sulla carta, resta vero quello che scrivo quasi in ogni articolo di questo diario, e qui vale allo stesso modo: scrivere a un indirizzo generico senza un motivo vero legato a quell'azienda — solo perché «siete nel settore giusto» — non diventa una buona mail solo perché è legale. Il Garante stabilisce cosa puoi fare senza rischiare una sanzione; non stabilisce se quello che scrivi merita una risposta. Sono due domande diverse, e vale la pena tenerle separate prima ancora di aprire il foglio dei contatti.

Non sono un avvocato e questo non è un parere legale: se fai lead generation B2B via email e usi indirizzi presi da albi, elenchi pubblici o pagine di contatto, la cosa più sensata resta farti rivedere la distinzione tra indirizzi nominativi e aziendali, caso per caso, da chi se ne occupa di mestiere. Quello che posso dire con certezza è il punto operativo: un indirizzo trovato gratis e pubblicamente non è, da solo, un via libera — è un indirizzo che va prima guardato per capire a chi appartiene davvero.

Nel mio lavoro questa distinzione la faccio prima ancora di arrivare al motivo per cui scrivere: se l'indirizzo che trovo è quello di una persona identificabile, lo tratto come tale e non scrivo senza una base valida; se è un indirizzo aziendale generico, cerco comunque — come faccio sempre — un fatto vero su quella specifica azienda, perché un indirizzo legittimo da usare non è ancora un motivo per scrivere. Se vuoi vedere come distinguerei, nella tua lista di contatti, gli indirizzi da trattare come personali da quelli aziendali su cui puoi scrivere con un motivo reale, prova Orfeo gratis: tre domande su cosa vendi e a chi, e ti mostro subito tre aziende a cui scriverei e la prima riga della mail.