Vorrei sottolineare che:

1. Chiunque faccia un trattamento dei dati deve per legge avere ricevuto l'autorizzazione. Per poterteli comunicare deve aver ottenuto il consenso anche a comunicarti tali dati.

2. Quando tu compri sei l'unico responsabile: se chi ti vende non aveva le autorizzazioni necessarie ci rimetti tu e lui no (non puoi dire "ma mi avevi garantito che erano "puliti").

3. Quando ottieni un db con indirizzi autentici e "autorizzazione assolta" dovrai prima di tutto inviare una email NON-promozionale per spiegare chi sei, come hai ottenuto i loro dati e chiedere loro il consenso al trattamento di quei dati da parte tua a fini promozionali. Una volta ricevuto il consenso potrai procedere con gli invii promozionali.

Detto questo credo che ti convenga cercare un referente diverso: non qualcuno che ti venda delle liste di indirizzi ma qualcuno che faccia un invio promozionale con i tuoi contenuti sulla propria lista. Normalmente puoi scegliere in base alla tipologia di lista e se pagare per numero di email promozionali inviate (sconsigliabile), per numero di clic effettuati (già meglio visto che questi li puoi misurare tu) o addirittura accordarti per un prezzo per lead.