Per spam s'intende un trattamento illecito di dati personali, che si realizza mediante l'invio di comunicazioni promozionali (es. pubblicità commerciale) senza preventivo consenso informato. Queste comunicazioni sono risultano così lesive del diritto alla riservatezza e alla protezione dei dati personali.
Le comunicazioni a contenuto promozionale sono trasmesse tramite mail, SMS, app di messaggistica o altri sistemi automatizzati di contatto, anche senza intervento umano.

Il fenomeno è regolato dall’articolo 130 del Codice in materia di protezione dei dati personali (d.lgs. n. 196 del 2003) e dal Regolamento (UE) 2016/679 generale sulla protezione dei dati personali (General Data Protection Regulation -GDPR), secondo cui qualsiasi attività di marketing diretto condotta attraverso mezzi elettronici presuppone il consenso informato dell’interessato. Se manca il consenso quindi il trattamento dei dati a fini promozionali è illecito
La normativa prevede un'eccezione a tale regola nel caso del cosiddetto soft spam o soft opt-in, che consiste nell'invio com mail di comunicazioni promozionali ai propri clienti aventi ad oggetto prodotti o servizi analoghi a quelli già acquistati In questa ipotesi il consenso è presupposto, purché ricorrano alcune specifiche condizioni: l’indirizzo e-mail è stato acquisito nel contesto della vendita di un prodotto o servizio; il cliente non ha espressamente rifiutato la ricezione di messaggi di qeusto tipo (cosiddetto opt-out); al cliente è sempre data la possibilità di opporsi agevolmente e gratuitamente in ogni successiva comunicazione. Si tratta di una eccezione che presuppone l'esistenza di una relazione commerciale in cui cui coestino più interessi.

La pratica dello spam può essere sanzionata come violazione amministrativa dall'Autorità garante per la protezione dei dati personali (v. per esempio le Linee guida in materia di attività promozionale e contrasto allo spam del 2013) e illecito penale. In questo secondo caso, infatti, la presenza di condotte sistematiche, intrusive o fraudolente, potrebbe configurare reati come il trattamento illecito di dati personali (art. 167, d.lgs. n. 196 del 2003) o, in casi più gravi, molestie o disturbo alle persone (art. 660, c.p.).