La risposta breve è sì — a tre condizioni. Il trattamento deve rimanere a livello aziendale, deve essere divulgato in modo trasparente nella vostra informativa sulla privacy e gli interessati devono avere un modo efficace per opporsi. Di seguito è riportata la risposta lunga, scritta per chi deve effettivamente difendere lo strumento in una riunione con l'ufficio legale o il DPO.
L'IP di un'azienda è un dato personale?
Per il GDPR, un indirizzo IP è trattato come dato personale ogni volta che può essere collegato a una persona fisica attraverso passaggi ragionevoli (Breyer, C-582/14). Un IP aziendale che riconduce solo a una persona giuridica è ancora un dato personale in senso formale — poiché un individuo siede dietro la connessione — ma l'identificazione che eseguiamo non è mai collegata a una persona. Risaliamo dall'IP all'organizzazione, scartiamo l'IP grezzo dopo la risoluzione e non memorizziamo identificatori a livello di utente.
Questa è la distinzione cruciale: il dato personale viene elaborato nel momento in cui l'IP raggiunge il server e viene immediatamente ridotto a un record a livello di organizzazione. Il GDPR si applica comunque a questo breve trattamento, quindi è necessaria una base giuridica — e il legittimo interesse è la scelta naturale.
Legittimo interesse ai sensi dell'Art. 6(1)(f)
L'Art. 6(1)(f) consente il trattamento laddove il titolare abbia un legittimo interesse che non prevalga sui diritti e gli interessi dell'interessato. Per l'identificazione dei visitatori B2B, il test di bilanciamento è un terreno consolidato e si presenta così.
| Elemento | Valutazione |
|---|---|
| Legittimo interesse | Analisi di vendita / marketing sul proprio sito — riconosciuto dai considerando 47 e 48 come un legittimo interesse commerciale. |
| Necessità | La risoluzione aziendale è il mezzo meno intrusivo per sapere quali organizzazioni visitano il sito — non viene costruito alcun profilo personale. |
| Proporzionalità | L'IP viene scartato dopo la risoluzione, nessun profilo cross-site, nessuna pubblicità comportamentale, nessuna vendita di dati. |
| Ragionevole aspettativa | Un visitatore da una rete aziendale si aspetta che la presenza del suo datore di lavoro sul sito di un fornitore sia visibile; l'identificazione individuale non è promessa né fornita. |
| Garanzie | Informativa privacy trasparente, opt-out disponibile, TOMs standard, elaborazione in UE, brevi periodi di conservazione. |
Il bilanciamento pende a vostro favore quando — e solo quando — il trattamento rimane a livello aziendale. Nel momento in cui si iniziano a collegare le visite a individui nominati senza una base giuridica separata, l'analisi si ribalta.
E la direttiva ePrivacy (TDDDG / § 25)?
L'ePrivacy (in Germania implementata come TDDDG, in precedenza TTDSG § 25) disciplina l'accesso alle informazioni già memorizzate sul dispositivo terminale — il motivo classico per cui esistono i banner sui cookie. L'identificazione a livello aziendale tramite risoluzione IP non memorizza né legge informazioni sul dispositivo del visitatore. Niente cookie, niente localStorage, niente fingerprinting. Pertanto, il § 25 non scatta e non è richiesto alcun banner di consenso per questo scopo specifico.
Dove i team hanno ancora bisogno di un banner di consenso
Quasi ogni sito reale esegue analisi aggiuntive o pixel pubblicitari che accedono al dispositivo (Google Analytics, LinkedIn Insight, Meta Pixel, widget di chat con session storage). Questi necessitano ancora di una corretta Consent Management Platform. L'identificazione a livello aziendale semplicemente non è uno degli strumenti che vi obbligano all'uso del banner.
Cosa deve fare il cliente
La conformità dello strumento al GDPR è una metà del compito; l'altra metà spetta al gestore del sito. Tre azioni coprono questo aspetto — nessuna richiede più tempo di un caffè.
- Aggiornate la vostra informativa sulla privacy. Aggiungete un paragrafo sull'identificazione dei visitatori a livello aziendale, il legittimo interesse, il passaggio di risoluzione e l'opt-out. Un testo pronto da copiare si trova nella nostra pagina GDPR.
- Concludete il DPA. Ai sensi dell'Art. 28 GDPR, stipulate un accordo sul trattamento dei dati con noi — digitalmente, dalle impostazioni dell'area di lavoro. Consultate la nostra pagina DPA per l'allegato, il riepilogo delle TOMs e l'elenco dei sub-responsabili.
- Pubblicate un opt-out funzionante. Inserite il link alla pagina /opt-out nella vostra informativa sulla privacy in modo che i visitatori possano opporsi. Onoriamo l'opposizione a livello di risoluzione.
L'opt-out
L'opposizione è un diritto ai sensi dell'Art. 21 GDPR, e un opt-out funzionante non è solo richiesto legalmente — è ciò che rende credibile l'argomentazione del legittimo interesse in primo luogo. Due canali sono sempre aperti: un modulo self-service alla pagina /opt-out che ogni visitatore può usare senza account, e un'e-mail a info@lead.box che elaboriamo manualmente entro dieci giorni lavorativi.
Trasferimenti internazionali
Tutti i dati dei clienti, tutta l'elaborazione del resolver e tutti i backup risiedono nell'UE, in data center certificati ISO 27001. Non vi è alcun trasferimento verso un paese terzo come parte del prodotto standard. Se si attiva un'integrazione specifica che invia dati al di fuori dell'UE (vostra scelta, vostro CRM, vostra destinazione webhook), tale trasferimento è sotto la vostra responsabilità di titolari; noi documentiamo ciò che viene trasmesso nel DPA.
Questo articolo fornisce un orientamento generale, non una consulenza legale. Per una valutazione vincolante della vostra configurazione specifica, consultate un consulente qualificato o il vostro DPO.
Pubblicato da
lead.box Team
Altri articoli
Veda lead.box in azione sul Suo traffico
Inizi gratuitamente — nessuna carta, nessuna chiamata di vendita richiesta. Oppure prenoti una panoramica di 20 minuti per un tour guidato.