Cercare l’indirizzo email di un’azienda con cui vuoi lavorare è normale. Comprare un elenco di diecimila indirizzi per mandare offerte a sconosciuti è un’altra cosa: è il modo più rapido per prendere una sanzione e per farsi bloccare la posta aziendale. In mezzo c’è un’ampia zona in cui si può lavorare bene, se si sa come.
Questa pagina spiega dove si trovano legittimamente gli indirizzi email, cosa impone il GDPR quando li raccogli senza chiederli all’interessato, e perché conviene comunque.
Prima cosa: un indirizzo email è un dato personale
Se dall’indirizzo si risale a una persona — mario.rossi@azienda.it, ma anche m.rossi@studio.it — quello è un dato personale ai sensi del Regolamento (UE) 2016/679. Raccoglierlo, conservarlo in un file o caricarlo nel CRM è un trattamento, e ogni trattamento ha bisogno di una base giuridica.
Diverso è un indirizzo generico di struttura, come info@azienda.it o ordini@azienda.it: non identifica una persona fisica, quindi il GDPR in senso stretto non si applica. Attenzione però: le regole italiane sulle comunicazioni commerciali indesiderate (art. 130 del Codice Privacy) restano, e valgono anche lì. Il fatto che un indirizzo sia pubblico non significa che sia utilizzabile per mandare pubblicità.
Le fonti legittime, in ordine di sicurezza
- Il sito dell’azienda. Se un’impresa pubblica un indirizzo nella pagina contatti, lo fa per essere contattata. È la fonte più pulita: annota dove e quando l’hai preso.
- Chiederlo. Una telefonata al centralino, un modulo sul tuo sito, un biglietto da visita a una fiera. Sembra lento, ma produce contatti che rispondono davvero.
- Registri pubblici. Le PEC di imprese e professionisti sono consultabili su INI-PEC, e le visure camerali riportano i recapiti ufficiali. Un avvertimento: essere iscritti in un registro pubblico non equivale a un consenso al marketing. Quei recapiti nascono per comunicazioni ufficiali; usarli per proposte commerciali è una strada che espone a contestazioni.
- Reti professionali. Se un professionista pubblica il proprio indirizzo sul profilo, l’ha reso accessibile di proposito. Restano i termini di servizio della piattaforma, che in genere vietano l’estrazione massiva.
Quello che è meglio non fare
Comprare elenchi di indirizzi. Chi te li vende quasi mai può dimostrare da dove vengono e con quale base giuridica sono stati raccolti: il problema diventa tuo nel momento in cui li usi. Il Garante è intervenuto più volte su campagne costruite su liste acquistate.
Estrarre indirizzi in automatico dai siti. I programmi che raccolgono indirizzi a tappeto producono liste piene di errori, di caselle-trappola e di contatti che non ti hanno mai sentito nominare. Il risultato pratico, prima ancora di quello legale, è che il tuo dominio finisce nelle liste nere e anche le email ai tuoi clienti veri smettono di arrivare.
Cercare l’indirizzo privato di una persona per contattarla senza che lo abbia dato a te. Qui non c’è nessuna interpretazione favorevole: è esattamente il caso che la normativa vuole impedire.
Se raccogli un indirizzo, hai due obblighi
Informare. Quando i dati non li ottieni dalla persona interessata, l’articolo 14 del GDPR ti obbliga a informarla: chi sei, perché tratti i suoi dati, da dove li hai presi e come può opporsi. Va fatto entro un termine ragionevole e comunque non oltre un mese. Nella pratica: la prima email che mandi contiene già queste informazioni, in fondo, in chiaro.
Permettere di dire no. Ogni comunicazione deve avere un modo semplice per chiedere la cancellazione, e quella richiesta va eseguita davvero — non basta smettere di scrivere, l’indirizzo va rimosso o messo in una lista di esclusione. Tenere traccia di chi ha detto no è un obbligo, oltre che buon senso.
E il contatto commerciale a freddo?
Verso un’azienda, un contatto mirato e pertinente è difendibile: si parla di legittimo interesse, e va documentato con una valutazione di bilanciamento — perché quel contatto è ragionevolmente atteso e perché non comprime i diritti di chi lo riceve. Vale per l’email scritta a mano al responsabile acquisti di un’azienda del tuo settore; non vale per l’invio massivo a una lista comprata.
Esiste poi una regola pratica che molti ignorano: puoi scrivere ai tuoi clienti per prodotti o servizi analoghi a quelli che ti hanno già comprato, se al momento della raccolta li hai informati e hai dato la possibilità di opporsi. È la via più solida che hai, e parte da una lista che possiedi già.
Verificare se un indirizzo esiste davvero
Domanda diversa e del tutto lecita: hai un indirizzo e vuoi sapere se è ancora attivo, prima di mandarci un preventivo. Gli strumenti di verifica controllano che il dominio esista e che il server di posta accetti quella casella. Due avvertenze: molti server rispondono “sì” a tutto per difendersi, quindi l’esito non è mai una certezza; e inviare ripetutamente messaggi di prova a caselle inesistenti peggiora la reputazione del tuo dominio.
Il punto, da chi gestisce la posta delle aziende
Nella nostra esperienza con piccole imprese e studi professionali, il danno da lista comprata arriva quasi sempre prima della sanzione: segnalazioni di spam, dominio in lista nera, e per settimane le offerte ai clienti che finiscono nella posta indesiderata. Recuperare la reputazione di un dominio costa molto più tempo di quanto ne faccia risparmiare una scorciatoia.
Se stai costruendo la lista contatti della tua azienda e vuoi farlo in modo che regga a un controllo — e che le email arrivino davvero — ci occupiamo di sicurezza e configurazione della posta elettronica (SPF, DKIM, DMARC, reputazione del dominio) e di archiviazione delle email a norma. Scrivici: si parte da una mezz’ora di analisi della situazione attuale.
Questa pagina ha finalità informative e non sostituisce il parere di un legale sulla tua situazione specifica.