L'interesse legittimo — Art. 6(1)(f) GDPR — è la base giuridica più utile e più fraintesa del regolamento. I marketer lo prediligono perché non richiede un banner di consenso; le autorità di controllo lo monitorano attentamente affinché non diventi un permesso in bianco. Questo articolo illustra ciò che dice realmente l'articolo, il test in tre fasi richiesto dai regolatori, un esempio pratico per l'identificazione dei visitatori aziendali e i limiti da non superare.
Cosa dice realmente l'Art. 6(1)(f)
L'articolo permette il trattamento dei dati personali quando è "necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato". Due parole sono fondamentali — "necessario" e "prevalgano" — mentre il terzo pilastro è implicito: l'interesse legittimo deve essere esso stesso lecito. Il fallimento di uno solo di questi tre elementi invalida la base giuridica.
Il regolatore non decide per voi. Voi eseguite l'analisi, voi la registrate e, in caso di controllo, voi la esibite. Non c'è deposito, registrazione o approvazione — ma non c'è nemmeno difesa se il bilanciamento non è stato effettivamente eseguito.
Il test di bilanciamento in tre fasi
Le autorità europee per la protezione dei dati concordano su un framework in tre fasi, talvolta chiamato LIA (Legitimate Interests Assessment). Ogni fase deve essere superata.
- Test di finalità — l'interesse è lecito, specifico e reale? Un generico "vogliamo vendere di più" non è sufficiente. "Identificare le aziende che visitano il nostro sito B2B per contattare il decisore corretto con informazioni pertinenti" lo è.
- Test di necessità — il trattamento è il modo meno intrusivo per raggiungere lo scopo? Se un metodo meno invasivo funzionasse (analytics aggregati, newsletter opt-in, un modulo), dovrebbe essere preferito. Necessità significa che non è ragionevolmente possibile procedere in altro modo.
- Test di bilanciamento — gli interessi, i diritti e le libertà dell'interessato prevalgono sui vostri? Considerate le loro ragionevoli aspettative, la natura dei dati, la sensibilità, il contesto di raccolta e le misure di salvaguardia applicate.
Esempio pratico: identificazione dei visitatori a livello aziendale
Supponiamo che una società SaaS B2B che opera nell'UE voglia identificare le organizzazioni dietro le visite al proprio sito web — identificazione a livello aziendale, senza cookie, senza identificatori personali. Ecco come appare una LIA difendibile, passo dopo passo.
Fase 1 — Finalità
Lo scopo è identificare le aziende che stanno ricercando attivamente un servizio B2B per inviare loro informazioni pertinenti e mirate (un'email personalizzata, un caso di studio, un invito a una chiamata di quindici minuti). La finalità è lecita, specifica e reale. Non si tratta di una raccolta dati "solo per evenienza".
Fase 2 — Necessità
Lo scopo potrebbe essere raggiunto in modo meno invasivo? Gli analytics aggregati rispondono a "quanti?" ma non a "chi?" — non possono adempiere allo scopo. Una newsletter generica raggiunge iscritti auto-selezionati, ma non le aziende che stanno effettuando ricerche ora. Un modulo cattura solo la piccola frazione di visitatori che fornisce i propri dati. L'identificazione a livello aziendale, che risolve l'IP in un'organizzazione senza toccare un identificatore personale, è un mezzo proporzionato e necessario per lo scopo dichiarato.
Fase 3 — Bilanciamento
Ragionevoli aspettative: i visitatori che navigano sul sito di un servizio B2B durante l'orario di lavoro generalmente si aspettano che l'operatore del sito sappia che un'azienda (non necessariamente un individuo) ha effettuato la visita. Natura dei dati: l'entità identificata è una persona giuridica (un'organizzazione), non una persona fisica. Sensibilità: non sono coinvolte categorie particolari di dati. Contesto: i dati sono stati raccolti sul sito web del titolare nel corso dell'attività ordinaria. Salvaguardie: nessun cookie, nessun fingerprinting, nessun tracciamento cross-site, nessun profilo del singolo visitatore; un opt-out accessibile per l'azienda identificata; un'informativa sulla privacy pubblica che spiega esattamente cosa accade.
In questo bilanciamento, l'interesse del titolare a raggiungere un decisore con informazioni pertinenti non è, nel comune caso B2B, sovrascritto dagli interessi, diritti e libertà dell'interessato. Un trattamento diverso (ad esempio, tracciamento a livello individuale o riutilizzo dei dati per la vendita a terzi) ribalterebbe l'equilibrio: l'analisi è specifica per ciò che fate realmente.
Come si presenta concretamente la documentazione
Una LIA difendibile è un documento breve e datato — solitamente da due a quattro pagine — firmato da una persona designata. Di seguito è riportata la struttura accettata dalla maggior parte dei Garanti europei.
| Sezione | Contenuto | Lunghezza |
|---|---|---|
| Intestazione | Nome titolare, indirizzo, contatto DPO se presente, data di decorrenza | 1 riga ciascuno |
| Finalità | Interesse specifico, lecito e reale — un paragrafo | ~100 parole |
| Necessità | Alternative considerate e perché non soddisfano lo scopo | ~150 parole |
| Bilanciamento | Aspettative ragionevoli, natura, sensibilità, contesto, salvaguardie | ~300 parole |
| Salvaguardie | Misure concrete: opt-out, conservazione, assenza di identificatori personali, DPA con i responsabili | ~150 parole |
| Revisione | Firmato da (nome, ruolo); data prossima revisione (annuale) | 2 righe |
Cosa cambia a seconda del paese
L'Art. 6(1)(f) è uniforme in tutta l'UE, ma la dimensione ePrivacy (in Germania, § 25 TDDDG) disciplina se sia possibile archiviare o leggere informazioni sull'apparecchiatura terminale — cookie, local storage, fingerprinting. L'identificazione a livello aziendale senza alcun archiviazione lato client esula dal requisito di consenso del § 25; l'introduzione di qualsiasi identificatore lato client impone il consenso, indipendentemente dalla base giuridica ex Art. 6.
Quando il consenso — non l'interesse legittimo — è la base corretta
L'interesse legittimo non è un sostituto universale del consenso. La base corretta passa al consenso (Art. 6(1)(a)) in almeno tre situazioni B2B comuni.
- Ogni volta che le informazioni vengono memorizzate o lette dal dispositivo del visitatore oltre lo stretto necessario — un cookie di tracciamento, un identificatore localStorage, un fingerprint — la normativa ePrivacy richiede il consenso indipendentemente dalla base Art. 6.
- Trattamento di dati personali di persone fisiche per pubblicità comportamentale, profilazione cross-site o rivendita a terzi. Questi casi esulano da un interesse di contatto B2B proporzionato.
- Dati di categorie particolari (Art. 9) — salute, opinioni politiche, biometria — non sono mai coperti dall'ordinario interesse legittimo; è necessaria una base specifica ex Art. 9 in aggiunta all'Art. 6.
Lista di controllo operativa
- Avete una LIA scritta e datata che copre lo specifico trattamento.
- La vostra informativa sulla privacy spiega, in un linguaggio semplice, che identificate le aziende (non gli individui) e perché.
- Avete un sistema di opt-out accessibile e lo rispettate — le aziende vengono rimosse entro una finestra definita e non ri-identificate.
- Avete un DPA firmato con ogni responsabile del trattamento che tocca i dati.
- Revisionate la LIA annualmente o quando il trattamento cambia sostanzialmente.
Questo articolo è scritto a scopo informativo e non costituisce consulenza legale. Per una valutazione vincolante del proprio trattamento, consultare un legale qualificato nella propria giurisdizione.
Pubblicato da
lead.box Team
Altri articoli
Veda lead.box in azione sul Suo traffico
Inizi gratuitamente — nessuna carta, nessuna chiamata di vendita richiesta. Oppure prenoti una panoramica di 20 minuti per un tour guidato.