L'Autorità garante della privacy, a seguito di segnalazioni di imprese, enti e singoli cittadini, ha vietato l'ulteriore trattamento di dati personali a quattro società che inviavano pubblicità tramite fax o e-mail senza aver acquisito il consenso preventivo e specifico dei destinatari.    
Tre di esse spedivano sistematicamente fax promozionali credendo di poter disporre liberamente dei dati, estratti da elenchi categorici (Pagine Gialle, Pagine Utili, ecc.) o pubblici (ad es. banche dati delle Camere di commercio, albi professionali, ecc.).   Nel quarto caso, un messaggio via mail era stato inviato da una società che aveva rintracciato il recapito del destinatario sul web. La società che aveva effettuato lo spamming, si era considerata libera di poter disporre dei dati di un'altra azienda che si era registrata su un sito fieristico.    
Con quattro distinti provvedimenti [doc. web n. 1719901, 1719891, 1727662 e 1729175] il Garante ha riaffermato il principio che, a prescindere da dove vengano estratti i recapiti, chiunque invii messaggi promozionali mediante sistemi automatizzati (fax, e-mail, sms, mms), è sempre obbligato a raccogliere preventivamente il consenso specifico ed informato dei destinatari. Il mancato rispetto del divieto, ha ricordato il Garante, comporta le sanzioni amministrative e penali previste dal Codice privacy. Per il risarcimento di eventuali profili di danno le vittime dello spam possono comunque far valere i propri diritti in sede civile.      
La battaglia del Garante contro i fax indesiderati incontra tuttavia serissimi ostacoli nella differenza tra le legislazioni degli Stati europei. Diversi sono infatti i Paesi, come ad esempio la Gran Bretagna e la Francia , nei quali la disciplina sulla protezione dei dati personali non garantisce le persone giuridiche e che pertanto impedisce all'Autorità omologa a quella italiana di poter contrastare l'invio di fax senza consenso diretto a ditte, enti o società. Si tratta di un fenomeno che preoccupa l'Autorità italiana perché ne limita la capacità di intervento e dimostra che l'armonizzazione tra le legislazione in materia di protezione dati è ancora incompiuta.