In breve Per mandare email, sms o messaggi promozionali serve, di regola, il consenso della persona (art. 130 del Codice privacy). Per cedere il lead a un'altra azienda ne serve un altro, separato da quello per il tuo marketing, che dica a chi vanno i dati o almeno a quali categorie di aziende. Niente caselle già spuntate, niente consenso unico per tutto. E il consenso va dimostrato, lead per lead (art. 7, par. 1, GDPR).
Che cos'è un consenso valido
Il GDPR definisce il consenso all'art. 4, punto 11: una manifestazione di volontà «libera, specifica, informata e inequivocabile», espressa con una dichiarazione o con un'azione positiva. L'art. 6, par. 1, lett. a) lo rende una base giuridica solo per «una o più specifiche finalità».
L'art. 7 aggiunge quattro condizioni:
- chi tratta i dati deve poter dimostrare che il consenso c'è (par. 1);
- se la richiesta sta in un modulo che parla anche d'altro, deve essere chiaramente distinguibile e scritta in modo semplice (par. 2);
- la persona può revocare in qualsiasi momento, e revocare deve essere facile quanto dare il consenso (par. 3);
- il consenso non è libero se il servizio è condizionato a un consenso che non serve a erogarlo (par. 4).
Il considerando 32 chiude la questione delle caselle: il silenzio, l'inattività o la preselezione di caselle non sono consenso. Le Linee guida EDPB 05/2020 lo ripetono: le caselle già spuntate non valgono.
Quando serve il consenso per il marketing
L'art. 130 del Codice privacy (d.lgs. 196/2003) chiede il consenso per le comunicazioni promozionali con sistemi automatizzati e, al comma 2, per email, sms, mms, fax e messaggi simili. Per il telefono con operatore e la posta cartacea la regola è un'altra (commi 3 e 3-bis): valgono le basi giuridiche del GDPR e, per i numeri e gli indirizzi presi dagli elenchi pubblici, si può contattare chi non si è iscritto al Registro pubblico delle opposizioni.
Per le email c'è una sola eccezione, il cosiddetto soft spam (art. 130, comma 4). Vale solo se:
- l'indirizzo è stato dato dalla persona durante la vendita di un prodotto o servizio;
- chi scrive promuove propri prodotti o servizi, analoghi a quelli venduti;
- la persona è stata informata e può opporsi subito e in ogni messaggio, gratis e in modo semplice.
Il soft spam quindi non copre mai le offerte di altre aziende né la cessione del contatto a terzi.
Resta sempre il diritto di opposizione. Per il marketing diretto la persona può opporsi in qualsiasi momento e, se lo fa, i dati non si usano più per quello scopo (art. 21, par. 2 e 3, GDPR). Va informata di questo diritto al più tardi alla prima comunicazione, in modo chiaro e separato dal resto (par. 4).
Cedere un lead: serve un secondo consenso
Le «Linee guida in materia di attività promozionale e contrasto allo spam» del Garante (4 luglio 2013) sono chiare: la comunicazione o la cessione a terzi per marketing non può basarsi su un unico e generico consenso. Chi raccoglie i dati deve:
- dire nell'informativa chi sono i terzi, uno per uno, oppure a quali categorie economiche o merceologiche appartengono (gli esempi del Garante sono «finanza», «editoria», «abbigliamento»);
- chiedere un consenso specifico per la cessione, distinto da quello per il proprio marketing.
Le linee guida sono anteriori al GDPR e citano articoli del vecchio Codice, ma il Garante ha ripreso il principio anche dopo. Con il provvedimento n. 114 del 27 febbraio 2025 ha sanzionato un venditore di luce e gas che usava consensi raccolti su portali di terzi. I moduli avevano tre caselle separate e non spuntate, eppure il consenso alla cessione non è stato ritenuto valido: copriva una platea ampia e indistinta di aziende di settori molto diversi. Secondo il Garante la persona deve poter scegliere almeno per macro-categorie (telefonia, energia, assicurazioni, moda, auto) o per categorie di destinatari, e anche i canali con cui essere contattata. La newsletter del 21 marzo 2025 lo riassume così: stop ai consensi «omnibus».
Nomi o categorie: le fonti non coincidono
Su questo punto le indicazioni non sono uguali. Il Garante ammette le categorie e, dal 2025, chiede che la persona possa sceglierle. L'EDPB è più severo: se altri titolari vogliono usare il consenso che hai raccolto, «dovrebbero essere tutti nominati» (Linee guida 05/2020, par. 65). Nell'esempio 7 delle stesse linee guida il consenso alla cessione vale per ogni partner la cui identità è stata comunicata al momento della raccolta. Un partner aggiunto dopo, quindi, non è coperto.
La scelta più prudente è un elenco di destinatari con il nome, raggruppati per categoria, con una casella per categoria. Va decisa con un legale.
Consensi cumulativi e filiera
Un consenso per ogni finalità. Il Garante lo dice dal 2013 (marketing, profilazione e comunicazione a terzi sono finalità distinte) e l'EDPB lo ripete (par. 44): mettere più finalità in una sola richiesta toglie libertà al consenso. Il Garante ammette invece un consenso unico per le diverse attività di marketing dello stesso titolare, come pubblicità, vendita diretta e ricerche di mercato. Lo ammette anche per i canali tradizionali e automatizzati insieme, purché la persona possa opporsi anche solo a una parte.
Conta anche la filiera. Nelle linee guida del 2013, chi promuove la campagna e decide come si svolge è titolare del trattamento anche quando usa agenti, e deve sapere se l'agente si appoggia ad altri. Il 31 luglio 2026 il Garante ha comunicato una sanzione a un operatore telefonico per richieste di ricontatto («lead») create con un SMS e un modulo dopo telefonate indesiderate. L'Autorità ha ricordato che aderire a un codice di condotta non esonera dal vigilare sui partner lungo tutta la filiera. Per un editore vuol dire una cosa sola: chi compra i tuoi lead verificherà come sono nati, e tu devi poterlo mostrare.
Come si dimostra il consenso
L'onere della prova è di chi tratta i dati (art. 7, par. 1). Il GDPR non dice come, ma l'EDPB dà indicazioni precise (Linee guida 05/2020, par. 104-108). Bisogna poter mostrare come, quando e con quali informazioni il consenso è stato dato. Online si possono conservare i dati della sessione in cui è stato espresso, la documentazione del percorso di raccolta e una copia del testo mostrato. Non basta dire che il sito era configurato bene. La prova si tiene finché dura il trattamento e, dopo, solo quanto serve per obblighi di legge o per difendersi in giudizio. E non si raccolgono più dati del necessario solo per provarlo.
Per ogni consenso conviene registrare:
- data e ora;
- il testo esatto mostrato, con la sua versione;
- le singole finalità accettate o rifiutate;
- i destinatari o le categorie indicati in quel momento;
- la pagina e il modulo di raccolta;
- ogni revoca, come riga nuova, senza cancellare quella precedente.
Checklist per il modulo
- Una casella per finalità: marketing tuo, profilazione, cessione a terzi.
- Nessuna casella preselezionata e nessuna casella obbligatoria per inviare la richiesta.
- Per la cessione, l'elenco dei destinatari o delle categorie, da scegliere una per una.
- I canali (email, sms, telefono) indicati in modo chiaro.
- Un'informativa breve accanto al modulo e quella completa a un clic (art. 13 GDPR).
- Una revoca semplice, per singola finalità, anche dal link in ogni email.
- Un accordo con chi riceve i lead. Chi li riceve deve dare la sua informativa entro un mese e comunque alla prima comunicazione (art. 14, par. 3, GDPR).
Come lo stiamo progettando in Markmatix
Markmatix è in costruzione: quello che segue è il progetto, non una funzione disponibile. Il registro dei consensi terrà una riga nuova per ogni consenso o revoca, con finalità, testo esatto e sua impronta, versione, data, pagina e modulo. Le finalità resteranno distinte: marketing dell'editore, profilazione, cessione a terzi per destinatario o per categoria, misurazione di aperture e clic. Allo smistamento la piattaforma bloccherà la cessione a un destinatario che il consenso non copre, e le revoche arriveranno da sole ai partner che hanno ricevuto il lead. Se vuoi seguirne lo sviluppo, c'è la lista d'attesa.
Fonti
- Regolamento (UE) 2016/679 (GDPR) del 27 aprile 2016: art. 4, punto 11; art. 6, par. 1, lett. a); artt. 7, 13, 14 e 21; considerando 32. EUR-Lex
- Decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali), art. 130. Normattiva
- Garante per la protezione dei dati personali, «Linee guida in materia di attività promozionale e contrasto allo spam», 4 luglio 2013, registro dei provvedimenti n. 330 (G.U. n. 174 del 26 luglio 2013), doc. web n. 2542348. garanteprivacy.it
- Garante per la protezione dei dati personali, provvedimento n. 114 del 27 febbraio 2025 (telemarketing, consenso alla cessione a terzi), doc. web n. 10114967. garanteprivacy.it
- Garante per la protezione dei dati personali, Newsletter n. 533 del 21 marzo 2025, «Telemarketing: Garante privacy, stop ai consensi omnibus», doc. web n. 10114986. garanteprivacy.it
- Garante per la protezione dei dati personali, comunicato stampa del 31 luglio 2026 su telemarketing, consensi e controlli sulla filiera, doc. web n. 10277228. garanteprivacy.it
- EDPB, Linee guida 05/2020 sul consenso ai sensi del regolamento (UE) 2016/679, versione 1.1, adottate il 4 maggio 2020: par. 44-45, 65, 104-108. edpb.europa.eu
Questa guida spiega le regole in generale e non è una consulenza legale: per il tuo caso chiedi a un avvocato.