# Direct marketing

**Art. 130 Codice Privacy (D.Lgs 196/2003)**, *Comunicazioni indesiderate*, plus the GDPR for the processing behind it. Neither displaces the other. Verified against the Garante's consolidated text and normattiva.it, status as at 2026-08-05.

**No comma of art. 130 was abrogated by D.Lgs 101/2018.** Commi 1, 2, 3, 3-bis, 3-ter, 3-quater, 4, 5 and 6 are all in force; D.Lgs 101/2018 only amended commi 1, 3 and 3-bis. Templates asserting that parts of art. 130 fell away with the GDPR are wrong.

## Consent for electronic channels — commi 1 and 2

> **1.** Fermo restando quanto stabilito dagli articoli 8 e 21 del decreto legislativo 9 aprile 2003, n. 70, l'uso di sistemi automatizzati di chiamata o di comunicazione di chiamata senza l'intervento di un operatore per l'invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale è consentito con il consenso del contraente o utente. […]
> **2.** La disposizione di cui al comma 1 si applica anche alle comunicazioni elettroniche, effettuate per le finalità ivi indicate, mediante posta elettronica, telefax, messaggi del tipo Mms … o Sms … o di altro tipo.

Comma 5 additionally bans concealing the sender's identity and requires a valid contact address through which the recipient can exercise the Artt. 15 to 22 GDPR rights. Comma 6 lets the Garante order filtering after repeated violations.

## Soft spam — comma 4, and every condition in it

Verbatim:

> Fatto salvo quanto previsto nel comma 1, se il titolare del trattamento utilizza, a fini di vendita diretta di propri prodotti o servizi, le coordinate di posta elettronica fornite dall'interessato nel contesto della vendita di un prodotto o di un servizio, può non richiedere il consenso dell'interessato, sempre che si tratti di servizi analoghi a quelli oggetto della vendita e l'interessato, adeguatamente informato, non rifiuti tale uso, inizialmente o in occasione di successive comunicazioni. L'interessato, al momento della raccolta e in occasione dell'invio di ogni comunicazione effettuata per le finalità di cui al presente comma, è informato della possibilità di opporsi in ogni momento al trattamento, in maniera agevole e gratuitamente.

Unpacked, and all of it must hold:

1. it does not override comma 1 — automated calling and messaging systems still need consent
2. the sender must be the **titolare del trattamento** itself
3. the purpose is limited to *vendita diretta di propri prodotti o servizi* — own products or services, never a third party's
4. only **coordinate di posta elettronica** — email addresses. Not telephone, not postal mail
5. the address was **fornite dall'interessato**, supplied by the data subject himself — no purchased or scraped lists
6. supplied *nel contesto della vendita di un prodotto o di un servizio* — an actual completed sale, not an enquiry
7. *servizi analoghi a quelli oggetto della vendita* — the similarity limit
8. the data subject was *adeguatamente informato* beforehand
9. the data subject did not refuse, *inizialmente o in occasione di successive comunicazioni*
10. the notice of the right to object is given **twice**: at collection **and** in every message
11. objection must be possible *in ogni momento*, *in maniera agevole* and *gratuitamente*

So: no soft spam to a postal-only customer, no soft spam by SMS, no soft spam for an unrelated product line, no soft spam to an address collected by support, and no passing the address to a group company.

## Registro Pubblico delle Opposizioni

Verified on registrodelleopposizioni.it and garanteprivacy.it:

- **Legge 11 gennaio 2018 n. 5, art. 1 comma 2** extends the register to **all national numbers, fixed and mobile**, whether or not in public directories
- **DPR 27 gennaio 2022 n. 26** is the current implementing regulation
- **DPR 7 settembre 2010 n. 178**, the original regulation, was **abrogated** by art. 12 DPR 26/2022 from 31 July 2022. Do not cite it as current
- **DPR 8 novembre 2018 n. 149** concerns the extension to postal mail
- the register covering mobile numbers became operational on **27 luglio 2022**

Two operator duties that decide cases:

- **check the register monthly, and in any case before starting any promotional campaign.** A list scrubbed six weeks ago is not compliant
- **registration in the RPO revokes all prior consents** for that number (DPR 26/2022 art. 6 comma 7). Treating an old consent as surviving a later RPO registration is a standard cause of fines

Art. 130 comma 3-bis is the statutory hook: telephone and paper-post marketing is permitted only towards those who have not exercised the right to object through the register.

## Double opt-in

**Not a statutory obligation.** But single opt-in evidenced only by log files is repeatedly held insufficient to discharge the Art 7(1) GDPR burden, and the Garante fines for it.

**Provvedimento n. 330 del 4 giugno 2025** (doc. web 10143278, EUR 45,000), in the Garante's own words:

> …con riguardo all'inesistenza di un espresso obbligo normativo rispetto alla qualificazione del consenso con modalità double opt-in, si osserva che … tra i requisiti di liceità del consenso di cui all'art. 7 del Regolamento, si prefigura l'obbligo per il titolare di dimostrare che l'interessato ha prestato il proprio consenso. Tale dimostrazione … non può considerarsi sufficientemente resa attraverso la presentazione di stampigliature — qualificate come file di log — recanti dati spesso disconosciuti…

Restated in **provvedimento n. 170 del 12 marzo 2026** (doc. web 10233396, Enel Energia): a confirmation procedure such as double opt-in *o un altro meccanismo ugualmente efficace* is what works, and accountability leaves room for other equally effective measures.

State it accurately: double opt-in is the cheapest way to discharge a burden that is mandatory. It is not itself mandatory.

## Separate consents

**Linee guida in materia di attività promozionale e contrasto allo spam, provvedimento n. 330 del 4 luglio 2013** (doc. web 2542348, G.U. n. 174 del 26 luglio 2013):

> il titolare del trattamento deve acquisire un consenso specifico per ciascuna distinta finalità quali ad esempio: marketing, profilazione, comunicazione a terzi dei dati
> la comunicazione o cessione a terzi di dati personali per finalità di marketing non può fondarsi sull'acquisizione di un unico e generico consenso.

The substance is reaffirmed under the GDPR by **provvedimento n. 114 del 27 febbraio 2025** (doc. web 10114967), which held that even three separate boxes fail where the third-party consent is not granular by merchandise category and recipient, and again by **provvedimento n. 312 del 29 aprile 2026** (doc. web 10255198).

[[UNVERIFIED: whether the 2013 linee guida remain integrally in force. The page carries no repeal notice, but no express Garante act confirming continued validity was found. Cite 2542348 for the three-way rule and 10114967 for the current granularity standard.]]

## Codice di condotta per il telemarketing e il teleselling

- approved by **provvedimento n. 70 del 9 marzo 2023** (doc. web 9868813), with effect suspended pending accreditation of the monitoring body
- **delibera n. 148 del 7 marzo 2024** (doc. web 9993808) granted final approval and accredited the *organismo di monitoraggio*; published in **G.U. n. 73 del 27 marzo 2024**, so the code took full effect on **28 marzo 2024**
- **provvedimento n. 624 del 17 ottobre 2024** (doc. web 10079413) re-accredited the monitoring body in a new composition

## Enforcement — the Garante is active on this

| Provvedimento | Date | doc. web | Addressee | Fine |
|---|---|---|---|---|
| n. 170 | 12 marzo 2026 | 10233396 | Enel Energia S.p.A. | EUR 563,052 |
| n. 352 | 14 maggio 2026 | 10262507 | Energia Sostenibile S.r.l. | EUR 100,000 |
| n. 433 | 11 giugno 2026 | 10266250 | Green Partner S.r.l.s. | EUR 15,300 |
| n. 312 | 29 aprile 2026 | 10255198 | Nuova Corrente S.r.l. | EUR 15,000 |
| n. 330 | 4 giugno 2025 | 10143278 | anonymised | EUR 45,000 |

Note also that an art. 130 breach carries criminal exposure under art. 167 comma 1 Codice Privacy where the specific intent and actual harm are present, on top of the Art 83(5) GDPR ceiling under art. 166 comma 2.

## Tracking pixels in email

Open tracking is a separate matter governed by art. 122 and the Garante's **provvedimento n. 284 del 17 aprile 2026** on tracking pixels, with a compliance deadline of **29 October 2026**. Soft spam under art. 130 comma 4 may cover the send, but does not dispense with the pixel analysis. See `cookie-tracker.md`.

## What must be in every message

- the sender's identity, without opening a link — concealment is banned by art. 130 comma 5
- the identification data owed for the site itself, since a mailing is a commercial communication under art. 8 D.Lgs 70/2003, which requires it to be identifiable as such from the first transmission, with the person on whose behalf it is sent, and the conditions of any promotional offer or competition
- a valid contact address for exercising data subject rights (art. 130 comma 5)
- a one-click unsubscribe with no login, no password, no reason and no survey
- no misleading subject line, no false "Re:" or "Fwd:"

## Records to keep, per subscriber

| Field | Why |
|---|---|
| timestamp of the signup | proves when |
| IP address or equivalent source identifier | proves from where |
| the exact consent text shown, with a version identifier | proves to what |
| timestamp of the double opt-in confirmation | proves the address holder acted |
| each purpose consented to, separately | proves specificity |
| withdrawal timestamp and channel | proves the opt-out was honoured |

Keep the record for as long as the address is used, plus the limitation period. Deleting the evidence on unsubscribe destroys the only defence for the period before.

## Template — signup consent

```html
<!-- BOZZA – non approvata legalmente -->
<form>
  <label for="email">Indirizzo e-mail</label>
  <input type="email" id="email" name="email" required>

  <label>
    <input type="checkbox" name="consenso_marketing" value="1">
    Acconsento a ricevere da [[Denominazione]] comunicazioni commerciali via
    e-mail relative a [[prodotti o servizi, indicati in modo concreto]].
    Il consenso è facoltativo e revocabile in qualsiasi momento tramite il link
    presente in ogni messaggio o scrivendo a [[indirizzo]]. La revoca non
    pregiudica la liceità del trattamento effettuato in precedenza.
  </label>

  <label>
    <input type="checkbox" name="consenso_profilazione" value="1">
    Acconsento all'analisi dei miei acquisti e delle mie interazioni per
    ricevere comunicazioni personalizzate.
  </label>

  <label>
    <input type="checkbox" name="consenso_terzi" value="1">
    Acconsento alla comunicazione dei miei dati a [[categorie di destinatari,
    indicate per settore merceologico]] per finalità di marketing proprie di
    tali soggetti.
  </label>

  <p>Informazioni complete nell'<a href="/privacy">informativa privacy</a>.</p>
  <button type="submit">Iscriviti</button>
</form>
```

Three purposes, three boxes, none pre-ticked, none bundled with the terms of sale. The third-party box must be granular by category and recipient, or it fails.

## Template — footer of every mailing

```html
<!-- BOZZA – non approvata legalmente -->
<p>
  Questo messaggio è stato inviato a [[indirizzo del destinatario]] da
  [[Denominazione]], [[sede legale completa]],
  P. IVA [[numero]], iscritta al Registro delle imprese di [[CCIAA]],
  REA [[sigla provincia]] [[numero]].
  Per l'esercizio dei diritti previsti dagli articoli da 15 a 22 del
  Regolamento (UE) 2016/679: [[indirizzo]].
</p>
<p>
  Ricevi questo messaggio perché [[hai prestato il consenso il [[data]] /
  hai acquistato da noi il [[data]] e non ti sei opposto all'invio di
  comunicazioni relative a servizi analoghi]].
</p>
<p><a href="[[link di disiscrizione a un clic]]">Cancella l'iscrizione</a></p>
```

## Checkpoints

- [ ] Marketing consent is a separate, unticked box, not bundled with the contract
- [ ] Profiling has its own consent
- [ ] Third-party communication has its own consent, granular by category and recipient
- [ ] Double opt-in active, confirmation email free of advertising
- [ ] Consent record complete per subscriber, including the consent text version
- [ ] Soft spam, if relied on: email only, own similar services, address from an actual sale, notice given at collection and in every message
- [ ] Unsubscribe works in one click, without login, in every message, and is applied across all tools
- [ ] Sender identity not concealed; valid rights-contact address in every message
- [ ] Telephone campaigns: RPO checked monthly and immediately before the campaign
- [ ] RPO registration treated as revoking earlier telephone consents
- [ ] No purchased or scraped lists
- [ ] Email open tracking treated as a separate consent under art. 122 — deadline 29 October 2026
- [ ] All `[[…]]` placeholders resolved or reported as open