A resposta curta é sim — com três condições. O processamento deve permanecer ao nível da empresa, deve ser divulgado de forma transparente no seu aviso de privacidade e os titulares dos dados precisam de um meio funcional para se oporem. Abaixo está a resposta longa, escrita para quem realmente precisa de defender a ferramenta numa reunião com o departamento jurídico ou o DPO.
O IP de uma empresa é sequer um dado pessoal?
Para o GDPR, um endereço IP é tratado como dado pessoal sempre que possa, através de medidas razoáveis, ser associado a uma pessoa singular (Breyer, C-582/14). Um IP de empresa que apenas resolve para uma entidade jurídica continua a ser um dado pessoal no sentido formal — algum indivíduo está por trás da ligação — mas a identificação que realizamos nunca se anexa a uma pessoa. Resolvemos o IP para uma organização, eliminamos o IP bruto após a resolução e não armazenamos identificadores ao nível do utilizador.
Esta é a distinção crucial: os dados pessoais são processados no momento em que o IP atinge o servidor e são imediatamente reduzidos a um registo ao nível da organização. O GDPR ainda se aplica a esse breve processamento, pelo que é necessária uma base jurídica — e o interesse legítimo é a solução natural.
Interesse legítimo sob o Art. 6(1)(f)
O Art. 6(1)(f) permite o processamento quando um responsável pelo tratamento tem um interesse legítimo que não é sobreposto pelos direitos e interesses do titular dos dados. Para a identificação de visitantes B2B, o teste de ponderação é um terreno bem conhecido e apresenta-se desta forma.
| Elemento | Avaliação |
|---|---|
| Interesse legítimo | Análise de vendas / marketing no seu próprio site — reconhecido pelos considerandos 47 e 48 como um interesse comercial legítimo. |
| Necessidade | A resolução da empresa é o meio menos intrusivo para identificar quais as organizações que visitam o site — não é criado qualquer perfil pessoal. |
| Proporcionalidade | O IP é eliminado após a resolução, não há perfis cross-site, nem publicidade comportamental, nem venda de dados. |
| Expectativa razoável | Um visitante de uma rede empresarial espera que a presença do seu empregador num site de um fornecedor seja visível; a identificação individual não é prometida nem entregue. |
| Salvaguardas | Aviso de privacidade transparente, opt-out disponível, TOMs padrão, processamento na UE, janelas de retenção curtas. |
O equilíbrio inclina-se a seu favor quando — e apenas quando — o processamento se mantém ao nível da empresa. No momento em que começa a associar visitas a indivíduos nomeados sem uma base jurídica separada, a análise inverte-se.
E quanto à diretiva ePrivacy (TDDDG / § 25)?
A ePrivacy (implementada na Alemanha como TDDDG, anteriormente TTDSG § 25) regula o acesso a informações já armazenadas num dispositivo terminal — a razão clássica pela qual existem banners de cookies. A identificação ao nível da empresa via resolução de IP não armazena nem lê informações no dispositivo do visitante. Sem cookies, sem localStorage, sem fingerprinting. Portanto, o § 25 não é acionado e não é necessário um banner de consentimento para esta finalidade específica.
Onde as equipas continuam a precisar de um banner de consentimento
Quase todos os sites reais utilizam ferramentas de análise adicionais ou pixéis publicitários que acedem ao dispositivo (Google Analytics, LinkedIn Insight, Meta Pixel, widgets de chat com armazenamento de sessão). Esses continuam a precisar de uma Plataforma de Gestão de Consentimento (CMP) adequada. A identificação ao nível da empresa simplesmente não é uma das ferramentas que o obriga a utilizar um banner.
O que o cliente deve fazer
A ferramenta estar em conformidade com o GDPR é uma parte; a outra parte cabe ao operador do site. Três ações resolvem o problema — nenhuma delas demora mais do que o tempo de um café.
- Atualize o seu aviso de privacidade. Adicione um parágrafo sobre a identificação de visitantes ao nível da empresa, o interesse legítimo, a etapa de resolução e o opt-out. Um snippet pronto a copiar está na nossa página de GDPR.
- Celebre o DPA. Sob o Art. 28 do GDPR, deve celebrar um acordo de processamento de dados connosco — digitalmente, nas definições do workspace. Consulte a nossa página de DPA para obter o anexo, o resumo das TOMs e a lista de sub-processadores.
- Publique um opt-out funcional. Ligue a página /opt-out a partir do seu aviso de privacidade para que os visitantes se possam opor. Honramos a objeção ao nível do resolvedor.
O opt-out
A oposição é um direito ao abrigo do Art. 21 do GDPR, e um opt-out funcional não é apenas um requisito legal — é o que torna o argumento do interesse legítimo credível em primeiro lugar. Dois canais estão sempre abertos: um formulário de self-service em /opt-out que qualquer visitante pode usar sem conta, e um e-mail para info@lead.box que processamos manualmente no prazo de dez dias úteis.
Transferências internacionais
Todos os dados de clientes, todo o processamento de resolução e todas as cópias de segurança encontram-se na UE, em centros de dados com certificação ISO 27001. Não existe transferência para países terceiros como parte do produto padrão. Se ativar uma integração específica que envie dados para fora da UE (escolha sua, o seu CRM, o seu destino de webhook), essa transferência é da sua responsabilidade como responsável pelo tratamento; nós documentamos o que sai no DPA.
Este artigo fornece orientações gerais, não aconselhamento jurídico. Para uma avaliação vinculativa da sua configuração específica, consulte um advogado qualificado ou o seu DPO.
Publicado por
lead.box Team
Mais artigos
Veja o lead.box no seu próprio tráfego
Comece gratuitamente — sem cartão, sem necessidade de chamada de vendas. Ou reserve uma demonstração de 20 minutos se preferir uma visita guiada.