Comprare una lista non compra il consenso: due provvedimenti del Garante e le regole del telemarketing

Il 14 maggio 2026, nella stessa riunione, il Garante ha adottato due ordinanze quasi gemelle: la n. 349 nei confronti di Ventive S.r.l. e la n. 350 nei confronti di FeGi M&A Services S.r.l. Due società piccole, due settori lontani, la stessa scivolata: hanno comprato contatti da una piattaforma online e li hanno usati per farsi pubblicità. Via e-mail nel primo caso, al telefono nel secondo. Ed è il secondo a meritare più attenzione, perché è lì che il Garante mette per iscritto cosa serve prima di far partire una campagna telefonica.

Due casi, la stessa piattaforma

Ventive è una società romana attiva da tre anni, consulenza a startup e PMI. Nel febbraio 2025 un professionista accetta su LinkedIn la richiesta di collegamento di un suo dipendente e, subito dopo, riceve una e-mail promozionale sull’indirizzo di lavoro. Indirizzo che su LinkedIn non era pubblicato. Chiede da dove arrivi il suo contatto e gli rispondono con il nome di una piattaforma: Lusha. Chiede di vedere il consenso e non riceve risposta. Presenta reclamo.

L’istruttoria ricostruisce il resto: un abbonamento da 239,70 dollari al mese, circa 500 contatti scaricati, 132 effettivamente usati per inviare e-mail commerciali. La piattaforma, si scoprirà, metteva a disposizione quei dati sulla base del proprio legittimo interesse, non di un consenso alla comunicazione a terzi per finalità promozionali. La società se n’è accorta, per sua stessa ammissione, solo dopo che l’Autorità aveva bussato.

Come già affrontato a suo tempo, il caso Ventive era stato segnalato il giorno stesso del provvedimento: la scheda è nell’archivio dei provvedimenti. Qui interessa il ragionamento che c’è sotto, perché vale anche per chi in un procedimento non è mai finito.

FeGi M&A Services è ancora più piccola: un solo dipendente, fatturato pari a zero, consulenza in operazioni di fusione e acquisizione. Nell’aprile 2025 una persona segnala di aver ricevuto una telefonata commerciale su un numero che su LinkedIn non era pubblico. La società ammette di averlo preso dal plugin di Lusha installato sulla piattaforma. Il totale acquistato: circa 700 numeri di telefono e 400 indirizzi e-mail. Alla contestazione non ha nemmeno replicato, e il procedimento è andato avanti lo stesso.

Per il marketing elettronico il legittimo interesse non esiste

È la parte che spiazza chi fa marketing B2B, perché il legittimo interesse viene usato come passepartout universale. Il Garante lo chiude in una riga: il ricorso al legittimo interesse «è precluso, dal momento in cui l’ordinamento nazionale ha previsto una specifica base giuridica per il trattamento di dati personali per l’invio di materiale pubblicitario tramite posta elettronica».

Il ragionamento è di gerarchia tra norme, non di opportunità. Le comunicazioni promozionali per via elettronica sono regolate dalla direttiva 2002/58/CE, recepita nel Titolo X del Codice privacy: una disciplina speciale, che prevale sul GDPR per tutto ciò che regola direttamente. E l’art. 130, comma 2 del Codice ammette una sola base: il consenso. L’unica deroga è quella del comma 4, il cosiddetto soft spam, e ha confini stretti — vale se l’indirizzo e-mail, e solo quello, è stato dato dall’interessato nel contesto della vendita di un bene o servizio analogo. Non copre né una lista comprata né un contatto trovato online.

Tradotto: su questo canale non c’è nessun bilanciamento da fare. O c’è il consenso, o la campagna non si fa.

Accettare un collegamento su LinkedIn non è un consenso

Ventive aveva costruito la propria difesa su un’idea che gira parecchio: chi accetta il collegamento di un professionista si aspetta di essere contattato per lavoro. Il Garante la smonta senza sfumature. All’accettazione di una richiesta di collegamento «non può attribuirsi un significato diverso da quello derivante dalle ordinarie dinamiche di funzionamento della citata piattaforma», e nulla — né le regole d’uso, né le condizioni contrattuali, né alcuna norma — consente di leggerla come una «aspettativa qualificata di interlocuzione professionale».

Cade anche l’argomento della pertinenza. Aver scritto di un tema attinente all’attività del destinatario, osserva l’Autorità, «non dimostra l’aspettativa dello stesso a ricevere tali comunicazioni via e-mail, […] ma solo l’interesse economico della Società ad effettuarla». Che il messaggio fosse mirato, singolo e non ripetuto non lo rende lecito: lo rende un messaggio promozionale ben fatto.

Il telemarketing ha una regola in più

Qui si entra nel merito della seconda ordinanza, ed è la parte più utile da conoscere. Anche la telefonata promozionale rientra nel Titolo X del Codice, ma l’art. 130 ha un comma dedicato, il 3-bis, che apre una porta stretta: il telemarketing si può fare con il consenso oppure, unica alternativa ammessa, utilizzando numerazioni presenti negli elenchi telefonici pubblici e non iscritte al Registro Pubblico delle Opposizioni.

Sono due condizioni cumulative, e vale la pena leggerle bene: escludono in partenza quasi tutto ciò che si compra online. Un numero diretto o un cellulare aziendale preso da una piattaforma di lead generation non è «presente negli elenchi telefonici», quindi la deroga non si applica e resta solo la strada del consenso.

Il Garante ribadisce poi un punto fermo dal 2013, dalle Linee guida in materia di attività promozionale e contrasto allo spam (provv. n. 330 del 4 luglio 2013): il consenso serve anche quando i dati sono presi «da registri pubblici, elenchi, siti internet, piattaforme digitali, atti o documenti conosciuti o conoscibili da chiunque». Pubblico non significa disponibile per farci marketing — una confusione che continuo a incontrare nelle aziende.

Il Registro delle Opposizioni è una pre-condizione, non un controllo finale

Sul RPO il provvedimento usa una formula che vale la pena citare per intero, perché sposta il momento in cui la verifica va fatta: il riscontro nel Registro «deve considerarsi quale pre-condizione per poter svolgere correttamente attività di telemarketing e la mancata consultazione non può che determinare l’impossibilità di avviare qualsivoglia campagna promozionale per la quale è previsto l’utilizzo del mezzo telefonico».

Non è una spunta da mettere a valle, quando la lista è già in mano al call center: è il presupposto per iniziare. Senza quella verifica, documentata, la campagna non parte. E l’obbligo è di chi la campagna la commissiona, non di chi materialmente telefona.

Il codice di condotta dice già cosa fare

Il Garante richiama il Codice di condotta per le attività di telemarketing e teleselling, approvato con provvedimento n. 148 del 7 marzo 2024, che elenca gli adempimenti in modo abbastanza puntuale da poterci costruire sopra una procedura interna:

• è titolare del trattamento chi esegue o commissiona la campagna telefonica, a prescindere dalla provenienza dei dati e anche senza mai toccarli materialmente;
• il titolare deve attuare misure tecniche e organizzative adeguate ed essere in grado di dimostrarlo, non solo di affermarlo;
• nella scelta dei partner commerciali va data preferenza agli aderenti al codice di condotta, con contratti conformi all’art. 28 del GDPR;
• prima di avviare la campagna le liste vanno sottoposte al Registro delle Opposizioni, tenendo traccia dell’esito della verifica;
• vanno esaminate le informative rese al momento della raccolta e il modo in cui il consenso è stato chiesto: richieste chiare, non vincolate, facilmente revocabili;
• va verificata la reperibilità del fornitore e, se ha sede fuori dall’Unione, l’esistenza di uno stabilimento UE o di un rappresentante ex art. 27.

Sul fornitore non si scarica niente

Entrambe le società si erano affidate alle dichiarazioni di conformità della piattaforma. Una aveva persino controllato le certificazioni ISO esposte sul sito del fornitore. Non è bastato, e la motivazione spiega perché: il principio di responsabilizzazione non si trasferisce con un contratto. «Il controllo della filiera nell’effettuazione di attività promozionali», scrive il Garante, «è la misura sulla quale è richiesto al titolare di profondere i maggiori sforzi essendo questo uno dei punti più vulnerabili del trattamento nelle attività di marketing».

C’è poi un passaggio identico in entrambe le ordinanze, che sembra scritto come avvertimento al mercato: l’Autorità dice di rilevare un aumento di piattaforme che, a pagamento, mettono a disposizione dati di contatto «senza offrire adeguate e sostanziali garanzie né documentazione sulla liceità della raccolta», e che gli acquirenti vi si affidano acriticamente, «talvolta facendo mero affidamento sulla loro notorietà nel settore», rendendosi direttamente responsabili delle violazioni. Da notare: le sanzionate sono le due società che hanno comprato, non la piattaforma che ha venduto.

La buona fede non è una scusa

Ventive ha giocato la carta dell’inesperienza e dell’errore in buona fede. Il Garante risponde con la giurisprudenza di legittimità: l’esimente vale solo quando l’errore è inevitabile, cioè quando un elemento esterno ha ingenerato il convincimento della liceità e il trasgressore ha fatto tutto il possibile per conformarsi alla legge (Cass. civ., sez. II, 29 novembre 2023, n. 33121). Leggere l’informativa del fornitore rientrava nel possibile. L’aggravante contestata è proprio questa: la disciplina non è cambiata con il GDPR ed esistono linee guida dal 2013, quindi la novità della materia non si può invocare.

Quanto è costato, e perché la cifra non è la notizia

Le sanzioni sono piccole: 4.000 euro per Ventive, lo 0,03% del massimo edittale, e 1.000 euro per FeGi, lo 0,01%. Pesano le dimensioni ridotte, l’assenza di precedenti e, per Ventive, la cessazione immediata con la riorganizzazione dei processi su base opt-in.

Ma fermarsi all’importo fa perdere le due conseguenze che pesano davvero. La prima: a FeGi, che non aveva rimediato né risposto, il Garante ha imposto il divieto di trattamento e la cancellazione dei dati raccolti. Millecento contatti pagati e poi da distruggere — per una società con un dipendente, quello è il vero costo. La seconda: entrambe le ordinanze sono pubblicate per esteso sul sito del Garante come sanzione accessoria, con nome, sede e codice fiscale. Restano lì, indicizzate, e chiunque faccia una verifica su quelle aziende le trova.

Cosa farei domani mattina, se compraste liste

Il messaggio pratico di queste due decisioni è che la lead generation acquistata non è vietata in sé, ma non porta con sé il consenso, e il consenso è l’unica cosa che serve. Quindi:

• guardate come il fornitore dichiara di operare: se la sua base giuridica è il legittimo interesse, quei contatti non sono utilizzabili per e-mail o telefonate promozionali, per quanto la piattaforma sia nota;
• fatevi consegnare l’evidenza del consenso al trasferimento per finalità di marketing di terzi, non una dichiarazione generica di conformità;
• se il canale è telefonico, verificate il Registro delle Opposizioni prima di partire e conservate l’esito;
• inviate l’informativa dell’art. 14 al più tardi al primo contatto: entrambe le società sono state sanzionate anche per questo, ed è la parte più facile da sistemare;
• tenete traccia scritta delle verifiche fatte sul fornitore: in un procedimento è l’unica cosa che distingue la diligenza dall’affidamento acritico.

E soprattutto: smettete di leggere l’accettazione di un contatto su un social professionale come un’apertura al marketing. È una cortesia, non un consenso, e ora c’è un provvedimento che lo dice a chiare lettere.