Aristotelis Zervos
Aristotelis Zervos, direttore editoriale di 2B Advice, unisce competenze giuridiche e giornalistiche in Protezione dei dati, IT-Conformità e la regolamentazione dell'IA.
Nella sua sentenza C‑654/23, la Corte di giustizia dell'Unione europea (CGUE) fornisce chiare indicazioni. Linee guida sull'interpretazione del termine „pubblicità diretta“ ai sensi della direttiva ePrivacy e sul rapporto tra la direttiva ePrivacy e la GDPR. In particolare, la Corte di giustizia europea chiarisce a quali condizioni è consentito l'invio di newsletter a indirizzi e-mail raccolti nell'ambito di account utente gratuiti e quando non è necessaria un'autorizzazione separata. Consenso è necessario. Quali sono le conseguenze pratiche per le imprese derivanti dalla sentenza della Corte di giustizia dell'Unione europea.
Account gratuito e newsletter senza consenso
Il caso riguardava la piattaforma online rumena avocatnet.ro, che offre notizie di carattere giuridico. Inteligo Media SA, gestore della piattaforma, consentiva inizialmente agli utenti di leggere gratuitamente fino a sei articoli al mese. Per ottenere ulteriori contenuti gratuiti, gli utenti potevano creare un account gratuito, fornendo il proprio indirizzo e-mail. Una volta creato questo account gratuito, gli utenti avevano accesso a due articoli extra al mese e a una newsletter quotidiana via e-mail denominata „Personal Update“. Al momento della registrazione, potevano espressamente opporsi alla ricezione della newsletter (opt-out). Ogni newsletter conteneva inoltre un link di cancellazione per poter interrompere l’abbonamento in qualsiasi momento.
L'autorità nazionale rumena per la protezione dei dati (ANSPDCP) ha ritenuto che ciò costituisse un Violazione Contro la legge sulla protezione dei dati: Inteligo Media avrebbe utilizzato gli indirizzi e-mail raccolti per un altro scopo, ovvero per inviare pubblicità diretta tramite newsletter, senza averne ottenuto il consenso esplicito. Consenso dell'utente. È stato creato un Fine di circa 9.000 euro. Inteligo Media ha contestato l'accusa, sostenendo di aver agito in conformità con la direttiva ePrivacy e di non essere quindi soggetta ad alcuna ulteriore GDPR-Base giuridica come quella di un Consenso necessario. Infine, la Corte d'appello rumena ha sottoposto diverse questioni alla Corte di giustizia dell'Unione europea. Tra le altre cose, sulla definizione di „pubblicità diretta“, sull'interpretazione di „in relazione alla vendita di un prodotto o di un servizio“ (art. 13, paragrafo 2, della direttiva ePrivacy) e sull'applicazione della GDPR (Art. 6 e Art. 95 GDPR) in questo contesto.
Quando una newsletter è considerata pubblicità diretta?
Una questione centrale era se la newsletter inviata quotidianamente dovesse essere classificata come „pubblicità diretta“ ai sensi della direttiva ePrivacy. Inteligo Media sosteneva che la newsletter servisse principalmente a informare sulle nuove modifiche legislative e avesse carattere redazionale. La Corte di giustizia dell’Unione europea (CGUE) chiarisce tuttavia che non è solo il contenuto, ma soprattutto lo scopo perseguito dal messaggio a essere determinante. Sebbene la newsletter «Personal Update» contenga sintesi informative, essa persegue in ultima analisi un obiettivo commerciale: reindirizzare gli utenti al sito web tramite link, affinché sfruttino il loro limite gratuito e siano incentivati ad acquistare un abbonamento completo. Si tratta quindi di un approccio pubblicitario individuale rivolto agli utenti. La Corte di giustizia dell’Unione europea conferma che tali e-mail "“a fini di marketing diretto”, anche se a prima vista sembrano avere carattere redazionale.
Conclusione: Le aziende possono inviare newsletter con contenuti „misti“ (informazioni più pubblicità nascosta). Pubblicità) considerati come pubblicità diretta ai sensi della normativa sulla protezione dei dati. Ciò che conta è lo scopo promozionale del messaggio, non solo il suo contenuto superficiale.
Account utente gratuito = „vendita di un servizio“?
Di particolare rilevanza pratica è la questione se la creazione di un account gratuito possa essere considerata „correlata alla vendita di un prodotto o di un servizio“ (art. 13, comma 2 della direttiva ePrivacy). Questa definizione determina se si applica la deroga del „soft opt-in“, ovvero la pubblicità diretta senza previo consenso. Consenso è consentito. La Corte di giustizia dell'Unione europea lo conferma espressamente: anche un servizio apparentemente gratuito può costituire una „vendita“ se l'utente fornisce i propri dati in cambio. È determinante il fatto che la creazione di un account dia luogo a un rapporto contrattuale tra l'utente e il fornitore e che quest'ultimo ne tragga un vantaggio economico indiretto. Nel caso in esame, il „pagamento indiretto“ consisteva nel fatto che l'offerta gratuita aveva lo scopo di promuovere la vendita dell'abbonamento premium a pagamento. La Corte di giustizia dell'Unione europea sottolinea che i costi del servizio gratuito sono economicamente inclusi nel prezzo dell'offerta a pagamento e sono quindi considerati una remunerazione indiretta.
Con questa interpretazione estensiva, già l’account gratuito soddisfa il requisito di una „vendita“ ai sensi dell’art. 13, comma 2, della direttiva ePrivacy. Le aziende che adottano modelli freemium possono quindi considerare i propri utenti gratuiti come „clienti“ ai sensi della direttiva ePrivacy e inviare loro newsletter nell’ambito della propria offerta senza previo opt-in, purché siano rispettate le altre condizioni. Rimane tuttavia poco chiaro fino a che punto si spinga questa interpretazione: la Corte di giustizia dell’Unione europea ha lasciato aperta la questione se anche i servizi puramente gratuiti, privi di qualsiasi intento di upselling, possano essere considerati una „vendita“ o se debba sempre sussistere un interesse economico proprio del fornitore. In pratica, tuttavia, le aziende dovrebbero partire dal presupposto che i dati in cambio di un servizio corrispondano a uno scambio simile a un corrispettivo: il „pagamento con i dati“ è riconosciuto come un vero e proprio modello di business.
ePrivacy vs. GDPR: non è necessaria una doppia base giuridica (lex specialis)
Di grande importanza è il chiarimento della Corte di giustizia dell'Unione europea sul rapporto tra la direttiva ePrivacy e la GDPR. Articolo 95 GDPR afferma che la GDPR non impone obblighi aggiuntivi, nella misura in cui per determinati settori (come le comunicazioni elettroniche) esistono norme specifiche con lo stesso obiettivo nella direttiva ePrivacy. La Corte di giustizia dell'Unione europea conferma ora espressamente il principio della lex specialis in questo contesto: se un'operazione di trattamento dei dati soddisfa le condizioni specifiche della direttiva ePrivacy, non è necessario ricorrere alle basi giuridiche generali della GDPR (art. 6, comma 1). In parole povere: l'art. 13, comma 2 della direttiva ePrivacy costituisce una base giuridica autonoma e definitiva per l'invio di e-mail di pubblicità diretta. Se sono soddisfatti tutti i requisiti ivi indicati, quali la possibilità di opt-out e prodotti simili, si applica la Elaborazione come legittimo. Una verifica separata ai sensi dell'art. 6 GDPR (ad es. su interessi legittimi) non è necessario.
Con ciò la Corte di giustizia dell’Unione europea contraddice l’opinione, un tempo diffusa, secondo cui, oltre all’eccezione prevista dalla direttiva ePrivacy, dovesse comunque sussistere un GDPR-Motivo di autorizzazione (spesso l’art. 6, comma 1, lett. f GDPR, interesse legittimo, impegno). Nella pratica, molte aziende avevano già adottato una soluzione separata nei casi di soft opt-in. Consenso rinunciato e ha invece accettato l'interesse legittimo. Secondo la sentenza, è chiaro che la regola del soft opt-in fornisce di per sé la necessaria autorizzazione. Importante: ciò non significa che la GDPR non trova alcuna applicazione. Tutti gli altri obblighi (ad es. Obbligo di informazione, Sicurezza dei dati, Diritti degli interessati) rimangono ovviamente in vigore. Non è però più necessario, per la stessa operazione, presentare parallelamente alla normativa ePrivacy anche un GDPR-Motivo giuridico (come Consenso o LI).
Suggerimento di lettura: Dati personali e pseudonimizzazione – La Corte di giustizia dell’Unione europea chiarisce i requisiti
Newsletter senza consenso: a cosa bisognerà prestare attenzione in futuro?
In linea di principio, la direttiva ePrivacy richiede una previa autorizzazione per le comunicazioni elettroniche non richieste a fini pubblicitari. Consenso il destinatario (opt-in, art. 13, par. 1 della direttiva ePrivacy). L'art. 13, par. 2 della direttiva ePrivacy contiene tuttavia la nota eccezione („soft opt-in“) per la pubblicità rivolta ai clienti esistenti, che nella legislazione tedesca è recepita, ad esempio, nel § 7, par. 3 della legge sulla concorrenza sleale (UWG). La sentenza della Corte di giustizia dell'Unione europea chiarisce ora come applicare tale eccezione e ne sottolinea le rigide condizioni:
- Relazione con il cliente: Deve sussistere un rapporto con il cliente, compresi i rapporti remunerati indirettamente, come nel modello freemium. Un account utente gratuito può quindi essere considerato un „cliente“, a condizione che faccia parte di uno scambio commerciale di prestazioni (ad esempio, accesso in cambio di dati).
- Prodotto/servizio simile: Il Pubblicità può riferirsi esclusivamente a prodotti o servizi propri dello stesso tipo. Nel caso Inteligo, la newsletter era incentrata sui contenuti della propria piattaforma, il che rientra nella categoria dei servizi simili. Chi desidera invece pubblicizzare prodotti di terzi o completamente diversi non può avvalersi di questa eccezione.
- Opt-out nella raccolta dei dati: Già al momento della raccolta dei dati (ad esempio, al momento della creazione dell’account), il cliente deve aver avuto la possibilità, in modo chiaro e inequivocabile, di opporsi all’utilizzo del proprio indirizzo e-mail. Nel caso specifico, ciò avveniva tramite una casella di selezione da deselezionare „Non desidero ricevere la newsletter“. Questa opzione di rinuncia deve essere gratuita e semplice.
- Opt-out in ogni messaggio: Ogni e-mail pubblicitaria inviata deve contenere un chiaro riferimento alla possibilità di opporsi (link di cancellazione). I destinatari devono poter annullare l'iscrizione in qualsiasi momento e in modo semplice.
Solo se tutte queste condizioni sono soddisfatte, è possibile inviare una newsletter senza previo consenso opt-in. Se una delle condizioni non è soddisfatta, ad esempio perché il contenuto pubblicizzato non può più essere classificato come „simile“ o perché al momento del contatto iniziale non è stata data la possibilità di opt-out, l'eccezione non si applica. In questi casi, prima di inviare la newsletter è necessario ottenere un consenso esplicito. Consenso è necessario che gli utenti rispettino i rigorosi GDPR-deve soddisfare determinati criteri (volontario, informato, verificabile ecc.).
Conseguenze pratiche per le imprese
La sentenza della Corte di giustizia dell’Unione europea ha ripercussioni pratiche sulla gestione degli abbonamenti alle newsletter e sulle strategie di marketing. Le aziende dovrebbero ora verificare i propri processi e, se necessario, adeguarli:
- Utilizzare i modelli freemium in modo legalmente sicuro: Le aziende che offrono account utente gratuiti o offerte „freemium“ possono ora utilizzare il soft opt-in in modo più sicuro dal punto di vista legale. Utilizzate gli indirizzi e-mail delle registrazioni gratuite per la pubblicità diretta delle vostre offerte premium, senza bisogno di un consenso separato. Consenso. Ma solo se sono state rispettate le condizioni di opt-out. Assicurati che già al momento della registrazione sia presente un chiaro riferimento all'invio della newsletter e che sia possibile deselezionarla.
- Verifica di somiglianza della Pubblicità: Verificate che i contenuti pubblicitari pianificati riguardino effettivamente solo i vostri prodotti/servizi simili. Pubblicità per prodotti non specialistici, offerte di terzi o servizi completamente nuovi dell'azienda non rientra nell'eccezione e richiede Consenso. Tenete Marketing-Contenuti strettamente correlati al prodotto originariamente acquistato.
- Applicare con coerenza l'opt-out: Documentate le opzioni di disiscrizione nei vostri sistemi. Ogni e-mail pubblicitaria dovrebbe contenere un link di disiscrizione ben visibile. Ciò contribuisce anche a rafforzare la fiducia dei clienti. Verificate regolarmente che le disiscrizioni vengano gestite in modo tecnicamente affidabile.
- Nessun collegamento nascosto: Rinunciate a offrire newsletter nascoste come parte di un „pacchetto obbligatorio“. Se volete una Consenso (poiché il soft opt-in non è applicabile), questa non deve essere collegata all'utilizzo dell'account. Gli utenti devono poter usufruire dell'offerta gratuita anche se rifiutano la newsletter, altrimenti la Consenso inefficace (Divieto di legatura).
- Trasparenza nelle informative sulla privacy: Adeguate la vostra informativa sulla privacy e le informazioni per i clienti. Spiegate chiaramente per quali scopi utilizzate l'indirizzo e-mail (ad es. invio di una newsletter gratuita su offerte simili) e che l'utente può opporsi in qualsiasi momento. Ciò sottolinea la vostra Conformità e informa gli interessati ai sensi dell'art. 13. GDPR.
- Documentazione la base giuridica: Individuate la base giuridica su cui inviate le newsletter. Potete fare riferimento al § 7 comma 3 UWG / Art. 13 comma 2 ePrivacy-RL (soft opt-in) oppure sussiste una Consenso prima? Una pulita Documentazione aiuta a dimostrare che il vostro studio è conforme alla normativa vigente.
Conclusione: newsletter senza consenso in condizioni rigorose
La sentenza della Corte di giustizia dell’Unione europea C‑654/23 Inteligo Media offre alle imprese una chiarezza che facilita la loro attività: il regolamento ePrivacy relativo a Marketing via e-mail costituisce una lex specialis e consente, a condizioni rigorose, l’invio di newsletter senza previo opt-in, qualora tali comunicazioni siano finalizzate alla pubblicità diretta, anche se il loro contenuto è apparentemente informativo.
Le aziende farebbero bene ad adeguare ora i propri processi relativi alle newsletter: chi desidera avvalersi dell'eccezione del soft opt-in deve soddisfare tutti i requisiti. In caso contrario, è necessaria un'esplicita Consenso del destinatario. Nel complesso, la sentenza rafforza gli approcci pratici nel marketing diretto e tiene conto della realtà dei servizi online „gratuiti“. Per i responsabili della protezione dei dati e i decisori ciò significa maggiore certezza giuridica nella progettazione di Marketing via e-mail, Tuttavia, è necessario prestare attenzione per mantenere la fiducia degli utenti ed evitare rischi legali.
Fonte: Sentenza della Corte di giustizia dell’Unione europea C‑654/23 del 13 novembre 2025
Aristotelis Zervos è direttore editoriale di 2B Advice, avvocato e giornalista esperto di protezione dei dati, GDPR, IT-Conformità e la governance dell'IA. Pubblica regolarmente articoli approfonditi sulla regolamentazione dell'IA, GDPR-Conformità e la gestione dei rischi. Per saperne di più su di lui, visitate il suo Pagina del profilo dell'autore.
German 
English 
Italian 
French