Cosa richiede davvero l'art. 6(1)(f)
Il legittimo interesse consente un trattamento di cui il titolare ha bisogno per un proprio interesse autentico, a condizione che gli interessi e i diritti dell'interessato non prevalgano. Le autorità di controllo lo interpretano come un test in tre fasi: c'è una finalità legittima, il trattamento è necessario per essa, e il bilanciamento va a favore del titolare?
Il test è un esercizio di documentazione, non una formalità. Ci si aspetta che tu abbia messo per iscritto il tuo ragionamento prima dell'inizio del trattamento e che tu possa mostrarlo se richiesto. Questa pagina è una spiegazione in linguaggio semplice, non una consulenza legale — la decisione finale spetta al tuo consulente per la protezione dei dati.
Fase 1 — finalità
La finalità qui è la normale attività di vendita e marketing B2B: riconoscere quali aziende mostrano interesse per la tua offerta, così da poter dare seguito a quelle che contano ed evitare di indovinare per il resto. È un interesse commerciale riconosciuto, ed è lo stesso motivo per cui esistono fiere, account-based marketing e chiamate a freddo.
Ciò che conta per la documentazione è la specificità. "Migliorare il marketing" è troppo vago per essere valutato; "identificare le aziende che visitano le nostre pagine prezzi e prodotto perché il team vendite possa dare priorità al follow-up" è una finalità che si può effettivamente valutare.
Fase 2 — necessità
La necessità chiede se il trattamento è un modo ragionevole per raggiungere quella finalità e se esiste un percorso meno invasivo. La web analytics aggregata non può dirti quale azienda era interessata; i moduli catturano solo la piccola quota di visitatori disposti a compilarli. L'identificazione a livello aziendale è l'opzione meno invasiva che risponda comunque alla domanda, perché si ferma all'organizzazione.
La necessità vincola anche l'ambito. Trattare più dati del necessario — ad esempio risolvere le persone individuali, o conservare i dati molto più a lungo del ciclo di vendita — indebolisce l'argomento della necessità anche quando la finalità è corretta.
Fase 3 — bilanciamento
Il bilanciamento pesa i diritti e le aspettative ragionevoli del visitatore rispetto al tuo interesse. Tre caratteristiche dell'identificazione a livello aziendale spostano l'equilibrio a tuo favore: il risultato è un soggetto giuridico e non una persona, i dati non vengono combinati in profili cross-site, e il trattamento avviene nell'UE su un'infrastruttura che puoi verificare prima di impegnarti.
Trasparenza e controllo completano il quadro. lead.box ti fornisce un paragrafo già pronto per l'informativa privacy con cui dichiarare il trattamento, ed esiste una pagina pubblica di opt-out dove un visitatore può opporsi; le aziende possono inoltre richiedere un opt-out a livello aziendale. Manteniamo un test di bilanciamento documentato e lo condividiamo su richiesta, così la tua valutazione non deve partire da zero.
Domande correlate
Verificalo prima di acquistare
DPA, elenco dei sub-responsabili e paragrafo per l'informativa privacy sono tutti pubblici, così la revisione legale può avvenire durante i 14 giorni di prova gratuita — senza carta di credito.