La Corte UE interviene chiarendo i confini tra Newsletter e Soft Spam ai fini della necessità di ricevere il consenso ai sensi del GDPR nei servizi cc.dd. freemium.
Introduzione
Con la sentenza del 13 novembre 2025 nella causa C-654/23, la Corte di Giustizia dell’Unione Europea (CGUE) ha fornito chiarimenti essenziali sull’interpretazione dell’articolo 13 della Direttiva 2002/58/CE (Direttiva e-Privacy) e sul suo coordinamento con il Regolamento (UE) 2016/679 (GDPR).
La pronuncia affronta la legittimità dell’invio di comunicazioni commerciali indesiderate (newsletter) verso utenti registrati a servizi gratuiti, ridefinendo il perimetro del cosiddetto “soft spam” e risolvendo il conflitto normativo tra le basi giuridiche del GDPR e le norme speciali sulla e-Privacy.
Il contesto è quello dei servizi cc.dd. “freemium”, contrazione dei termini free, inteso come gratuito, e premium che rappresenta una strategia di marketing che consiste nell’offrire gratuitamente una versione di base di un prodotto proprietario ed eventualmente nel proporre a pagamento funzionalità aggiuntive
I Fatti Rilevanti
La controversia originale vede contrapposte una società editrice di una testata giornalistica online e l’Autorità nazionale di controllo per il trattamento dei dati personali della Romania.
La società gestiva una piattaforma che consentiva la visualizzazione gratuita di un numero limitato di articoli.
Per accedere a contenuti aggiuntivi, l’utente doveva creare un account gratuito, accettando le condizioni contrattuali.
Tale iscrizione comportava la ricezione automatica di una newsletter quotidiana contenente notizie legislative e link agli articoli (alcuni accessibili solo a pagamento).
Sebbene l’utente potesse opporsi alla ricezione al momento dell’iscrizione o successivamente, l’Autorità garante ha sanzionato la società ritenendo che i dati fossero stati trattati in assenza di un consenso esplicito e per finalità incompatibili con la raccolta iniziale.
Il giudice del rinvio ha sollevato questioni pregiudiziali chiedendo se l’ottenimento dell’email in un contesto di servizio gratuito potesse rientrare nella nozione di “vendita di un prodotto o servizio” ai sensi dell’art. 13, par. 2, della Direttiva 2002/58, legittimando così l’eccezione al consenso preventivo.
La Decisione della Corte
La Corte ha strutturato la decisione su due pilastri fondamentali:
1. Estensione della nozione di “Vendita” e “Marketing Diretto”
La Corte ha stabilito che l’indirizzo email di un utente si considera ottenuto “nel contesto della vendita di un prodotto o servizio” anche quando l’utente crea un account gratuito che dà accesso a contenuti limitati, qualora tale servizio sia volto a promuovere abbonamenti a pagamento.
Secondo i giudici, una remunerazione indiretta o integrata nel prezzo di vendita dell’abbonamento completo soddisfa il requisito della vendita.
Inoltre, la trasmissione di una newsletter contenente sintesi e link a contenuti a pagamento costituisce “uso a scopi di commercializzazione diretta”, poiché mira a promuovere la vendita di tali contenuti.
2. Rapporto tra GDPR e Direttiva e-Privacy
In merito al coordinamento tra le normative, la Corte ha chiarito che l’art. 13, par. 2, della Direttiva 2002/58 costituisce una norma speciale (lex specialis) rispetto al GDPR.
Pertanto, se un trattamento rientra nell’ambito di applicazione di tale articolo (soft opt-in), il titolare deve rispettare esclusivamente le condizioni ivi previste.
Ne consegue che, in presenza dei requisiti per il soft opt-in, non è necessario (né corretto) verificare ulteriormente le condizioni di liceità generale previste dall’art. 6 del GDPR (come il legittimo interesse o il consenso specifico).
Analisi Giuridica
La sentenza C-654/23 consolida l’istituto del soft spam (o soft opt-in), armonizzando la disciplina europea con i modelli di business digitali moderni basati su servizi freemium.
Il principio di diritto enunciato conferma che l’assenza di una transazione monetaria diretta al momento della raccolta del dato non esclude l’applicabilità dell’art. 13, par. 2, della Direttiva e-Privacy, purché esista un contesto commerciale volto alla futura vendita di servizi analoghi.
Cruciale è l’interpretazione dell’art. 95 del GDPR: il Regolamento non impone obblighi supplementari nelle materie disciplinate specificamente dalla Direttiva e-Privacy.
Ciò semplifica l’onere di compliance per gli operatori, che devono focalizzarsi sul rispetto rigoroso dei requisiti del soft opt-in (raccolta nel contesto di vendita, prodotti analoghi, possibilità di opposizione chiara e distinta) senza dover ricercare una base giuridica alternativa nel GDPR.
17 novembre 2025
