Prospezione B2B via e-mail: cosa è consentito in Francia, Germania, Spagna e Italia

In Francia un'e-mail di prospezione può essere inviata a un professionista senza il suo consenso preventivo, a condizione che riguardi la sua attività, che lo informi e che gli consenta di opporsi in modo semplice. La Germania e l'Italia richiedono invece un consenso preventivo, anche tra imprese; lo stesso vale per la Spagna secondo la sua autorità per la protezione dei dati, anche se questa lettura è discussa per gli indirizzi generici. Fuori dall'UE, il Regno Unito e gli Stati Uniti sono più aperti, il Canada più rigoroso.

Questo articolo ha carattere informativo generale ed è aggiornato al 13 ottobre 2026. Non costituisce una consulenza legale.

Quale legge si applica quando si scrive a un'impresa estera?

Il riflesso «invio dalla Francia, quindi si applica il diritto francese» è rischioso. La direttiva europea sul commercio elettronico esclude dal principio del paese d'origine l'ammissibilità delle comunicazioni commerciali non sollecitate per posta elettronica (direttiva 2000/31/CE, allegato). L'ipotesi prudente consiste quindi nell'applicare la regola del paese del destinatario. Il Canada lo prevede espressamente: la sua legge si applica ai messaggi consultati dal Canada (Mystrika).

Ricorrono due nozioni. Il regime di opposizione (opt-out) consente l'invio finché il destinatario non vi si è opposto. Il regime di consenso (opt-in) richiede un accordo preventivo, libero e verificabile.

Che cosa consente la Francia?

La CNIL ammette la prospezione B2B sulla base del legittimo interesse quando il messaggio è attinente alla professione del destinatario, questi è stato informato e può opporsi; ogni messaggio deve identificare il mittente e offrire un mezzo semplice per rifiutare gli invii successivi. Gli indirizzi generici delle persone giuridiche, come contact@ o info@, non sono soggetti a queste regole (CNIL, 10 giugno 2026).

Quando gli indirizzi provengono da fonti pubbliche, la fonte deve essere indicata al più tardi al momento della prima comunicazione (CNIL, 30 aprile 2020). Anche la raccolta in sé è sottoposta a controllo: il 5 dicembre 2024 la CNIL ha inflitto una sanzione di 240.000 € a KASPR, che raccoglieva i recapiti di membri di LinkedIn che avevano limitato la propria visibilità e li conservava per cinque anni, in una banca dati di circa 160 milioni di contatti (CNIL, 19 dicembre 2024). Per lo scraping di pagine web, la CNIL chiede in particolare di rispettare i file robots.txt e i CAPTCHA (CNIL, 19 giugno 2025).

Perché la Germania è la più rigorosa?

L'articolo 7 della legge contro la concorrenza sleale (UWG) qualifica come pubblicità molesta qualsiasi pubblicità via e-mail inviata senza un consenso preventivo, espresso e dimostrabile, sia tra imprese sia nei confronti dei consumatori; un consenso presunto non basta (IHK). L'unica eccezione riguarda i clienti esistenti, per prodotti simili (IT-Recht Kanzlei).

Restano aperti due canali. La telefonata B2B è ammessa sulla base di un consenso presunto se esiste un legame concreto con l'attività dell'impresa chiamata; la semplice presenza in un elenco non basta. La posta cartacea nominativa è in linea di principio consentita (IHK). Il rischio principale è di natura civile: concorrenti o associazioni possono agire per ottenere un'inibitoria (IT-Recht Kanzlei).

Che cosa prevedono l'Italia e la Spagna?

In Italia, l'articolo 130 del Codice in materia di protezione dei dati personali richiede il consenso preventivo del destinatario. Il Garante ha precisato che questo obbligo si applica qualunque sia la sua natura giuridica, persona fisica o giuridica (Garante, 7 maggio 2015): un indirizzo info@ non fa eccezione.

In Spagna, l'articolo 21 della LSSI vieta le e-mail commerciali che non siano state richieste o espressamente autorizzate dai destinatari, salvo un precedente rapporto contrattuale relativo a prodotti simili (BOE). L'AEPD applica questa regola alle persone giuridiche (AEPD, E/01415/2017). Una guida pubblicata da un fornitore di software nel maggio 2026 sostiene il contrario per gli indirizzi generici o legati alla funzione (Overloop): questa posizione non vincola l'autorità. Un invio non conforme costituisce un'infrazione lieve, sanzionabile fino a 30.000 €; un invio massivo, o più di tre messaggi allo stesso destinatario in un anno, diventa un'infrazione grave, da 30.001 a 150.000 € (LSSI, artt. 38 e 39).

E fuori dall'UE: Regno Unito, Stati Uniti, Canada?

Nel Regno Unito, il regolamento PECR consente di scrivere senza consenso agli «abbonati persone giuridiche»: società di capitali, società di persone scozzesi, LLP e amministrazioni pubbliche. Gli imprenditori individuali e alcune società di persone sono trattati come privati. Il mittente deve identificarsi e fornire un indirizzo valido per la disiscrizione (ICO). Con il Data (Use and Access) Act 2025, entrato in vigore per la maggior parte il 5 febbraio 2026, le sanzioni PECR possono raggiungere 17,5 milioni di sterline o il 4% del fatturato mondiale (Harper James, marzo 2026).

Negli Stati Uniti, la legge CAN-SPAM non prevede alcuna eccezione B2B. Impone un'intestazione esatta, l'indicazione della natura pubblicitaria, un indirizzo postale valido e la gestione delle disiscrizioni entro 10 giorni lavorativi, con una sanzione che può raggiungere 53.088 $ per ogni e-mail non conforme (FTC).

In Canada, la legge anti-spam (CASL) richiede un consenso espresso o tacito. Il consenso tacito può derivare da un indirizzo pubblicato in modo ben visibile, senza indicazione di rifiuto, se il messaggio riguarda la funzione del destinatario (CRTC). Per un'impresa le sanzioni amministrative arrivano fino a 10 milioni di dollari canadesi per violazione (Mystrika).

Quale regime si applica, paese per paese?

Quali regole di deliverability si aggiungono al diritto?

Un invio lecito può restare invisibile. Google chiede a tutti i mittenti di mantenere un tasso di spam inferiore allo 0,3% in Postmaster Tools e raccomanda di restare sotto lo 0,1%. Oltre 5.000 messaggi al giorno verso Gmail, esige anche SPF, DKIM, DMARC e la disiscrizione con un solo clic (Google).

Dal 5 maggio 2025 Microsoft impone ai domini che inviano più di 5.000 messaggi al giorno verso Outlook.com, Hotmail e Live di pubblicare SPF, DKIM e DMARC; i messaggi non conformi finiscono dapprima nella posta indesiderata (Microsoft, 2 aprile 2025). Un messaggio mirato, breve e utile limita le segnalazioni, che pesano sull'intero dominio di invio.

Come costituire un archivio di prospezione senza rischi?

I dati aziendali (ragione sociale, attività, sito web) non sono dati personali; i nomi e gli indirizzi nominativi lo sono. Tre regole riducono il rischio:

1. Scegliere fonti riutilizzabili. Le condizioni d'uso di un sito possono vietare l'estrazione, anche da una banca dati non protetta (CGUE, 15 gennaio 2015). LinkedIn vieta gli strumenti automatizzati di estrazione e di invio (LinkedIn).
2. Informare e limitare la conservazione. In Spagna, nel 2025 l'AEPD ha inflitto una sanzione di 1,8 milioni di euro a Informa D&B per aver trattato senza base giuridica né informativa i dati di 1,6 milioni di imprenditori individuali tratti da un censimento pubblico (PPC Land).
3. Tenere una lista di opposizione comune a tutte le campagne, applicata in ogni paese.

La Francia resta l'unico dei quattro paesi in cui l'invio B2B senza consenso preventivo è chiaramente ammesso. In Germania, in Italia e in Spagna il primo contatto passa per altri canali: fiere, posta, contenuti che portano il potenziale cliente a dare il proprio consenso.