Question 1

Gestisco un ecommerce di abbigliamento e ho circa 3000 clienti che hanno acquistato online negli ultimi due anni. Posso mandargli newsletter promozionali o devo richiedergli il consenso esplicito? Ho paura di violare il GDPR.

— Stefano

Accepted Answer

Per il tuo ecommerce di abbigliamento puoi inviare newsletter promozionali ai clienti esistenti sfruttando il "soft opt-in" senza consenso esplicito preventivo, ma solo se promuovi prodotti simili a quelli già acquistati, hai informato i clienti di questo utilizzo al momento della raccolta dati e includi sempre un link di disiscrizione chiaro in ogni email. Il consenso esplicito diventa obbligatorio per comunicazioni promozionali generiche non correlate agli acquisti precedenti, per attività di profilazione o per canali come WhatsApp. Ti consiglio di inviare una prima comunicazione informativa ai tuoi 3000 clienti ricordando la possibilità di opporsi, documentare tutti i consensi raccolti tramite double opt-in per future campagne e conservare le prove per almeno cinque anni per essere conforme al GDPR ed evitare sanzioni fino al 4% del fatturato.

Question 2

Ho raccolto numeri di telefono in negozio per la tessera fedeltà tre anni fa. Ora vorrei fare una campagna WhatsApp per il Black Friday. C'è una scadenza oltre la quale non posso più contattarli?

Accepted Answer

Non esiste una scadenza temporale fissa oltre la quale i numeri raccolti tre anni fa diventano inutilizzabili, ma la validità dipende dalla natura del consenso originario. Se all'epoca hai raccolto i contatti solo per la tessera fedeltà, senza un opt-in esplicito per comunicazioni promozionali via WhatsApp, non puoi usarli per il Black Friday: serve un nuovo consenso specifico, libero e informato per questa finalità e canale. Il GDPR richiede consenso granulare: una casella preimpostata su NO, con scelta chiara e separata per ogni tipo di marketing. Prima della campagna, dovresti inviare una richiesta di nuovo opt-in tramite canali già autorizzati, conservando prove del consenso e garantendo sempre la possibilità di opt-out immediato.

Question 3

Ho letto di aziende multate per decine di migliaia di euro per email non autorizzate. Se invio una campagna senza consenso corretto a 5000 contatti, quanto posso rischiare davvero?

Accepted Answer

Per marketing B2C via email e WhatsApp il consenso esplicito è sempre obbligatorio, con unica eccezione del "soft spam" per email: puoi inviare offerte simili a clienti esistenti senza consenso preventivo solo se l'indirizzo deriva da acquisti legittimi e garantisci facile opposizione tramite link di disiscrizione. Per WhatsApp non esistono eccezioni, serve sempre consenso specifico per il canale. Inviando campagne a 5000 contatti senza consenso corretto rischi sanzioni concrete tra 20.000 e 80.000 euro, considerando che il Garante ha multato aziende fino a 50.000 euro per newsletter non autorizzate, oltre a possibili ban dell'account WhatsApp e danni reputazionali. Conserva sempre traccia dei consensi con data, metodo e IP per dimostrare conformità in caso di controllo.

Question 4

Sono un commerciante e i clienti mi hanno lasciato l'email di loro spontanea volontà per sconti futuri. Non è ovvio che posso scrivergli? O devo per forza avere una spunta su una privacy policy?

Accepted Answer

Per il marketing B2C via email e WhatsApp serve sempre il consenso esplicito, anche se i clienti hanno lasciato l'email spontaneamente per sconti futuri. Il semplice conferimento dei dati non equivale automaticamente al consenso per comunicazioni promozionali: devi ottenere un'autorizzazione specifica tramite una spunta separata e non pre-selezionata nella privacy policy o in un modulo dedicato. Esiste un'eccezione solo per le email inviate a clienti che hanno già acquistato, se promuovi prodotti simili e includi un link di disiscrizione facile, ma questa deroga non vale per WhatsApp né per prodotti non correlati. Per WhatsApp il consenso esplicito è sempre obbligatorio e deve essere specifico per quel canale, distinto da quello per le email. Conserva sempre le prove del consenso ricevuto per eventuali controlli del Garante Privacy.

Question 5

Se mando una campagna WhatsApp e qualcuno si lamenta dicendo che non ha dato il consenso, cosa rischio? Il Garante Privacy mi controlla subito o devo prima ricevere segnalazioni?

Accepted Answer

Per campagne marketing B2C via WhatsApp o email serve sempre il consenso esplicito preventivo: l'utente deve spuntare volontariamente una casella non preflaggata, informata sulla specifica finalità e canale di invio. Se ricevi una lamentela per messaggi senza consenso, rischi sanzioni amministrative dal Garante Privacy fino a 10.000 euro o superiori, oltre a possibili blocchi dell'account WhatsApp da parte della piattaforma stessa. Il Garante non controlla in tempo reale ma interviene su segnalazioni formali, reclami o verifiche mirate: una singola lamentela può innescare un'istruttoria durante la quale dovrai dimostrare di aver raccolto consensi validi e granulari. Messaggi transazionali come conferme d'ordine non richiedono consenso promozionale ma devono rispettare limiti tecnici e finalità legittime senza scopi commerciali nascosti.

Question 6

Voglio partire con email marketing ma voglio essere sicura di avere tutto in regola. Devo avere privacy policy, registro consensi, opt-out... ma cosa esattamente devo conservare per dimostrare di essere in regola?

— Chiara

Accepted Answer

Per il marketing B2C via email e WhatsApp serve sempre il consenso esplicito dell'utente, raccolto tramite checkbox non preselezionata e con formula chiara che specifichi la finalità promozionale. L'unica eccezione è il cosiddetto "soft spam" rivolto a clienti già acquisiti per promuovere prodotti simili, ma anche in questo caso devi garantire un meccanismo di opt-out immediato in ogni comunicazione. Per dimostrare la conformità al GDPR devi conservare: il registro dei consensi con timestamp, IP e testo della formula accettata; la privacy policy completa accessibile dai form e dal footer delle email; le prove documentali di ogni consenso raccolto e delle eventuali revoche gestite; l'identità del mittente con indirizzo fisico in ogni email; il link di disiscrizione funzionante in ogni comunicazione. Conserva questa documentazione per almeno dieci anni ed evita assolutamente liste acquistate o consensi generici, pena sanzioni fino al quattro percento del fatturato globale annuo.

Question 7

Il mio CRM ha 8000 contatti raccolti prima del GDPR, senza nessuna spunta per marketing. Alcuni hanno comprato, altri solo richiesto info. Posso ricontattarli o devo ricominciare da zero?

Accepted Answer

Per marketing B2C via email e WhatsApp serve sempre il consenso esplicito del destinatario, raccolto tramite una spunta attiva e specifica per ogni canale di comunicazione. I tuoi 8000 contatti pre-GDPR raccolti senza consenso marketing non possono essere utilizzati per invii promozionali, nemmeno se hanno acquistato o richiesto informazioni in passato. Devi ricominciare raccogliendo nuovi consensi validi: puoi inviare una comunicazione neutra (non promozionale) per invitarli a registrarsi nuovamente tramite form con opt-in chiaro e separato per email e WhatsApp. Utilizzare i contatti attuali senza consenso rischia sanzioni del Garante fino a 20 milioni di euro o il 4% del fatturato annuo.

Question 8

Ho ricevuto una richiesta di chiarimenti dal Garante Privacy dopo un reclamo. Mi chiedono di dimostrare i consensi per una campagna email. Posso contestare o devo per forza pagare la sanzione se non ho tutto?

— Davide

Accepted Answer

Nel marketing B2C via email e WhatsApp il consenso esplicito è sempre obbligatorio per comunicazioni promozionali: deve essere libero, specifico, informato e dimostrabile secondo il GDPR. Non puoi affidarti al silenzio-assenso e devi conservare prove della raccolta come timestamp, IP e form con spunta volontaria. Ricevuta la richiesta del Garante, non sei obbligato a pagare immediatamente: hai diritto di contestare presentando memorie difensive entro 30 giorni, allegando le prove dei consensi validi o dimostrando l'applicabilità di eccezioni come il soft spam per clienti esistenti. Il Garante valuta caso per caso e le sanzioni scattano solo dopo accertamento della violazione, quindi è fondamentale preparare una difesa documentata con l'assistenza di un avvocato specializzato in privacy.