GDPR e Dati Aziendali Pubblici: Cosa Dice Davvero la Normativa

Quando si parla di GDPR, la reazione tipica di chi lavora nel B2B è: "Ma io tratto aziende, non persone, quindi non mi riguarda." È una semplificazione comoda, ma sbagliata in un punto preciso: dietro quasi ogni azienda italiana di piccole dimensioni c'è una persona fisica identificabile, il titolare, l'amministratore, il socio che risponde al telefono. E il GDPR si applica a lei, non alla ragione sociale in astratto.

Il GDPR protegge le persone, non le aziende

Il Regolamento europeo 2016/679 definisce il dato personale come qualsiasi informazione riguardante una persona fisica identificata o identificabile. Una società di capitali con più soci e una struttura organizzativa complessa non è, in sé, soggetta a questa tutela: la ragione sociale, la partita IVA, l'indirizzo della sede legale sono dati aziendali. Ma nel momento in cui quell'informazione si lega a una persona specifica — "Mario Rossi, titolare della pizzeria da Mario, cellulare 333xxxxxxx" — si rientra nel perimetro del GDPR. Nella maggior parte delle micro e piccole imprese italiane, che sono la stragrande maggioranza del tessuto economico, titolare e azienda coincidono quasi sempre nella stessa persona fisica. Il tema è centrale ed è quello che sviluppiamo in Dato Pubblico o Dato Personale? La Differenza che Conta nel B2B.

Facciamo un esempio concreto. Un'azienda con venti dipendenti, un ufficio commerciale strutturato e un indirizzo email generico tipo [email protected] tratta dati che restano prevalentemente aziendali: contattare quella casella non equivale quasi mai a trattare il dato personale di una persona identificabile. Ma la stessa logica applicata a un idraulico che lavora da solo, con partita IVA individuale e un cellulare che risponde lui stesso, cambia completamente: quel numero è, di fatto, il suo numero personale, anche se compare su una scheda pensata per attirare clienti. È proprio in questa seconda categoria che rientra la maggior parte delle attività locali italiane target della lead generation B2B.

Dato pubblico non significa dato "libero"

Un equivoco frequente è confondere "pubblicamente disponibile" con "liberamente utilizzabile per qualunque scopo". Il numero di telefono di uno studio dentistico pubblicato sulla sua scheda Google Business è visibile a chiunque cerchi quello studio, ma questo non autorizza automaticamente chiunque a raccoglierlo in massa, incrociarlo con altri dati e usarlo per finalità diverse da quella per cui era stato reso pubblico, senza una base giuridica solida. È lo stesso principio alla base della sanzione di 2 milioni di euro inflitta a Lusha dal Garante Privacy italiano, un caso che vale la pena conoscere nel dettaglio: Il Caso Lusha: Cosa ha Deciso il Garante Privacy.

Le basi giuridiche che si possono davvero invocare

Chi tratta dati aziendali con riferimenti a persone fisiche deve individuare una base giuridica valida. Nella pratica della lead generation B2B le opzioni realistiche sono poche:

• Legittimo interesse, da valutare con un bilanciamento concreto tra l'interesse commerciale di chi contatta e l'impatto sulla persona contattata — non basta dichiararlo, va motivato caso per caso.
• Consenso, raro da ottenere prima del primo contatto in un contesto di prospezione commerciale, più rilevante nelle fasi successive come newsletter o marketing continuativo.
• Esecuzione di un contratto o misure precontrattuali, applicabile solo quando esiste già una trattativa in corso, non per il primo contatto a freddo.

Nessuna di queste basi è automatica: la prassi indica che vada motivata e, per chi opera su volumi importanti, verificata con un legale o un DPO per il proprio caso specifico.

Cosa comporta in pratica per chi fa outreach commerciale

Sul piano operativo, la normativa si traduce in alcuni obblighi concreti verso chi viene contattato:

• Trasparenza: chi riceve un primo contatto ha diritto a sapere chi tratta i suoi dati e con quale finalità, tipicamente tramite un'informativa sintetica nel primo messaggio.
• Diritto di opposizione: ogni comunicazione deve permettere di chiedere la cancellazione o l'esclusione da contatti futuri, in modo semplice.
• Minimizzazione: raccogliere solo i dati necessari alla finalità dichiarata, non tutto ciò che è tecnicamente disponibile.
• Conservazione limitata nel tempo: un dato raccolto per un contatto commerciale non va conservato indefinitamente se il contatto non ha esito.

Questi principi non sono un ostacolo alla lead generation, sono la differenza tra un'attività difendibile e una esposta al rischio di reclamo. Su questo si innesta anche il tema di cosa scrivere concretamente nell'informativa che accompagna un primo contatto, approfondito in Come Scrivere un'Informativa Privacy per Contatti B2B.

Come impostare un flusso di lavoro corretto fin dall'inizio

Chi lavora con lead generation locale può ridurre il rischio impostando fin da subito un processo ordinato, piuttosto che rincorrere la conformità dopo. In concreto conviene:

• Restare titolare del trattamento, evitando di acquistare liste precostituite da fornitori di provenienza non tracciabile.
• Interrogare fonti pubbliche al momento della ricerca, invece di conservare database enormi "per ogni evenienza".
• Tenere un log delle ricerche effettuate, utile sia per la trasparenza interna sia in caso di richieste da parte dell'interessato.
• Verificare periodicamente con un legale o un DPO l'impostazione generale del proprio flusso, soprattutto se i volumi crescono.

È esattamente il modello su cui è costruito LeadPyper: l'utente resta titolare del trattamento, la piattaforma interroga fonti pubbliche su richiesta invece di rivendere database, e ogni ricerca viene registrata con un log e un'informativa di riferimento. Non è una scorciatoia legale, è un modo di lavorare più ordinato, che rende più semplice rispondere se un giorno qualcuno chiede conto di come è stato raccolto un contatto. Se vuoi provarlo sul tuo mercato locale, la prova gratuita di 14 giorni parte senza carta di credito.