Email a freddo B2B in Spagna: cosa dicono la LSSI e il GDPR

Avviso: questo articolo spiega cosa dice la normativa spagnola ed europea sulle email commerciali inviate alle aziende. Se scrivi ad aziende in Italia o in altri paesi, valgono anche le regole nazionali di ciascuno. Non è una consulenza legale: se fai prospezione via email, chiedi a un avvocato come si inquadra il tuo caso specifico.

Se vendi ad altre aziende, prima o poi ti fai questa domanda: posso scrivere a un'azienda che non mi conosce per proporle quello che vendo? In Spagna la risposta breve è scomoda, ed è meglio conoscerla prima di lanciare la prima campagna: come regola generale, la legge vieta di inviare email commerciali che non siano state richieste o autorizzate, anche alle aziende.

In questo articolo vediamo cosa dicono esattamente le due norme che si applicano —la LSSI (la legge spagnola sui servizi della società dell'informazione) e il GDPR—, perché scrivere a info@ non è come scrivere a maria@, quali sanzioni prevede la legge e quali pratiche riducono il rischio se decidi di fare prospezione via email.

Due norme diverse che si applicano insieme

Il primo equivoco è pensare che esista una sola legge. In realtà, quando invii un'email commerciale a un'azienda si applicano due norme con oggetti diversi:

Rispettarne una non ti esonera dall'altra. Puoi avere una base giuridica perfetta per conservare l'indirizzo email di una persona (GDPR) e, nonostante questo, violare la LSSI se le invii pubblicità che non ha chiesto.

Cosa dice l'articolo 21 della LSSI

L'articolo 21.1 della LSSI è il cuore della questione. Dice, testualmente, che è vietato l'invio di comunicazioni pubblicitarie o promozionali tramite posta elettronica o altro mezzo di comunicazione elettronica equivalente che non siano state previamente richieste o espressamente autorizzate dai rispettivi destinatari.

Tre dettagli importanti:

• Non distingue tra privati e aziende. L'articolo parla di «destinatari», senza escludere le persone giuridiche. Un'email commerciale a un'azienda è soggetta alla stessa regola di una inviata a un privato.
• L'autorizzazione deve essere preventiva ed espressa. Non basta che l'indirizzo sia pubblico o compaia sul sito dell'azienda: pubblicare un indirizzo di contatto non equivale ad autorizzare l'invio di pubblicità.
• «Comunicazione commerciale» è un concetto ampio. La legge la definisce come qualsiasi forma di comunicazione destinata a promuovere, direttamente o indirettamente, l'immagine o i beni o servizi di un'impresa. Un'email che presenta i tuoi servizi con l'obiettivo di vendere rientra in pieno nella definizione.

L'eccezione: il rapporto contrattuale precedente

L'articolo 21.2 prevede l'eccezione principale: il divieto non si applica quando esiste un rapporto contrattuale precedente, a condizione che tu abbia ottenuto i dati del destinatario in modo lecito e gli invii comunicazioni su prodotti o servizi della tua azienda simili a quelli che ha acquistato. Anche in questo caso, devi offrirgli in ogni comunicazione la possibilità di opporsi.

In altre parole: l'eccezione vale per i tuoi clienti, non per i potenziali clienti che ancora non lo sono.

Cosa deve avere qualsiasi email commerciale

Oltre al divieto, la LSSI impone due obblighi a qualsiasi comunicazione commerciale che invii:

• Identificazione (articolo 20). L'email deve essere chiaramente riconoscibile come commerciale e deve essere chiaro chi la invia.
• Disiscrizione semplice e gratuita (articolo 22). Il destinatario può revocare il consenso in qualsiasi momento con una procedura semplice e gratuita, e devi mettergli a disposizione un indirizzo o un mezzo per farlo.

Info@ o maria@: cosa cambia

Ecco il secondo equivoco frequente. Molti pensano che scrivere a un indirizzo aziendale generico (info@, ciao@, contatti@) sia consentito e scrivere a una persona no. La realtà è più sfumata:

Per la LSSI non cambia niente. L'articolo 21 tutela il destinatario della comunicazione, che sia una persona o un'azienda. Un'email pubblicitaria non richiesta inviata a info@clinica.es è soggetta allo stesso divieto di una inviata a maria@clinica.es.

Per il GDPR sì, cambia. Un indirizzo aziendale generico normalmente non è un dato personale, perché non identifica una persona fisica. Un indirizzo nominativo (maria.roig@clinica.es) invece lo è, e allora si aggiungono gli obblighi di protezione dei dati che vediamo qui sotto.

In sintesi: scrivere a info@ ti risparmia gli obblighi in materia di protezione dei dati, ma non ti esonera dalla LSSI.

Cosa richiede il GDPR se il destinatario è una persona

Quando l'indirizzo che usi identifica una persona, il GDPR ti chiede almeno tre cose.

1. Una base giuridica per trattare i suoi dati

Quella invocata di solito nella prospezione B2B è il legittimo interesse (articolo 6.1.f del GDPR). Il considerando 47 riconosce che il trattamento per finalità di marketing diretto può essere considerato effettuato per un interesse legittimo. In Spagna, l'articolo 19 della LOPDGDD presume lecito il trattamento dei dati di contatto professionali delle persone che lavorano in un'azienda, purché vengano usati solo per contattarle a livello professionale e allo scopo di intrattenere rapporti con l'azienda per cui lavorano.

Ma va ribadito: il legittimo interesse giustifica il trattamento dei dati; non autorizza l'invio di comunicazioni commerciali elettroniche che la LSSI vieta.

2. Informare la persona

Se non hai ottenuto i dati direttamente da lei —per esempio, li hai trovati sul sito della sua azienda—, l'articolo 14 del GDPR ti obbliga a informarla su chi sei, per cosa usi i suoi dati, da dove li hai presi e quali diritti ha. Quando userai i dati per comunicare con lei, queste informazioni vanno fornite al più tardi nella prima comunicazione.

3. Rispettare la sua opposizione

L'articolo 21 del GDPR riconosce il diritto di opporsi in qualsiasi momento al trattamento per finalità di marketing diretto. Se la persona si oppone, devi smettere di usare i suoi dati per quello scopo, senza scuse e senza tempi lunghi.

Quali sanzioni prevede la legge

La LSSI classifica le infrazioni nell'articolo 38 e fissa le sanzioni nel 39:

• Infrazione grave: l'invio massivo di comunicazioni commerciali via email a destinatari che non le hanno richieste o autorizzate, oppure l'invio di più di tre comunicazioni commerciali non richieste allo stesso destinatario nell'arco di un anno. Multa da 30.001 a 150.000 euro.
• Infrazione lieve: l'invio di comunicazioni commerciali che non rispettano i requisiti dell'articolo 21 quando non arriva a essere grave. Multa fino a 30.000 euro.

A sanzionare la violazione di queste regole sulle email commerciali è l'Agencia Española de Protección de Datos (AEPD), l'autorità spagnola per la protezione dei dati. Se in più si viola il GDPR, le sanzioni in materia di protezione dei dati possono sommarsi.

Come ridurre il rischio se fai prospezione via email

Con questo quadro normativo, l'unico modo per avere rischio zero è scrivere solo a chi ti ha dato il consenso o è già cliente. Se decidi comunque di contattare aziende che non ti conoscono, queste pratiche riducono il rischio e, soprattutto, il fastidio che puoi causare a chi riceve l'email:

1. Consulta un avvocato prima di iniziare. Il tuo caso specifico —a chi scrivi, da dove, con quale contenuto— può cambiare la valutazione.
2. Scrivi poco e a pochissime persone. La legge punisce in particolare l'invio massivo e l'insistenza. Un'email pertinente a un'azienda specifica non è come una campagna a migliaia di indirizzi.
3. Non insistere. La legge stessa considera infrazione grave superare le tre comunicazioni non richieste all'anno allo stesso destinatario. Se non rispondono, fermati.
4. Identificati sempre. Il tuo nome, la tua azienda e come contattarti, ben visibili.
5. Offri una vera disiscrizione in ogni email e rispettala all'istante. Tieni una lista di soppressione per non scrivere più a chi ti ha detto di no.
6. Se il destinatario è una persona, informala nella prima email su dove hai preso i suoi dati e sui suoi diritti (articolo 14 del GDPR).
7. Tieni traccia di da dove arriva ogni contatto e delle disiscrizioni e opposizioni che ricevi.
8. Dai la priorità al consenso. Moduli, eventi, contenuti scaricabili o segnalazioni: qualsiasi canale in cui è l'azienda a chiederti informazioni è molto più sicuro dell'email non richiesta.

E nel resto d'Europa

La LSSI è il recepimento spagnolo della Direttiva 2002/58/CE relativa alla vita privata e alle comunicazioni elettroniche, che lascia a ogni Stato un certo margine per regolare le email commerciali alle aziende. Per questo le regole cambiano da un paese all'altro: alcuni consentono le email B2B non richieste a determinate condizioni, altri le limitano quanto la Spagna. Se scrivi ad aziende di altri paesi, Italia compresa, verifica la normativa di ciascuno.

In sintesi

• In Spagna, l'articolo 21 della LSSI vieta le email pubblicitarie non richieste né autorizzate, anche alle aziende.
• L'eccezione principale è il rapporto contrattuale precedente, per prodotti o servizi simili.
• Scrivere a info@ invece che a una persona non ti esonera dalla LSSI, anche se ti risparmia alcuni obblighi del GDPR.
• Il legittimo interesse del GDPR permette di trattare i dati di contatto professionali, ma non autorizza l'invio che la LSSI vieta.
• Le multe arrivano fino a 30.000 euro (lievi) e vanno da 30.001 a 150.000 euro (gravi, come l'invio massivo).
• Se fai prospezione, fallo con una consulenza legale, volumi bassi, identificazione, una vera disiscrizione e senza insistere.