Interesse legítimo e identificação de visitantes

O interesse legítimo permite o tratamento de que um responsável necessita para um interesse genuíno próprio, desde que os interesses e direitos do titular dos dados não prevaleçam. As autoridades de controlo leem isto como um teste de três etapas: existe uma finalidade legítima, o tratamento é necessário para essa finalidade e a ponderação favorece o responsável?

O teste é um exercício de documentação, não uma formalidade. Espera-se que tenha registado o seu raciocínio antes de o tratamento começar, e que o consiga demonstrar se lhe for pedido. Esta página é uma explicação em linguagem simples, não aconselhamento jurídico — a decisão final cabe à sua assessoria de proteção de dados.

A finalidade aqui é a atividade comercial e de marketing B2B habitual: reconhecer quais empresas mostram interesse na sua oferta, para dar seguimento às que importam e deixar de adivinhar sobre as restantes. É um interesse comercial reconhecido, e é o mesmo motivo pelo qual existem feiras, marketing account-based e chamadas de prospeção.

O que importa para o registo é a especificidade. "Melhorar o marketing" é demasiado vago para ser testado; "identificar empresas que visitam as nossas páginas de preços e produto para que a equipa comercial possa priorizar o contacto" é uma finalidade que se pode avaliar de facto.

A necessidade pergunta se o tratamento é uma forma razoável de alcançar essa finalidade, e se existe uma via menos intrusiva. O web analytics agregado não indica qual empresa mostrou interesse; os formulários captam apenas a pequena parte dos visitantes disposta a preenchê-los. A identificação ao nível da empresa é a opção menos intrusiva que ainda assim responde à pergunta, porque termina na organização.

A necessidade também limita o âmbito. Tratar mais do que o necessário — por exemplo, resolver indivíduos ou conservar dados muito além do ciclo de vendas — enfraquece o argumento de necessidade, mesmo que a finalidade esteja correta.

A ponderação pesa os direitos e as expectativas razoáveis do visitante contra o seu interesse. Três características da identificação ao nível da empresa inclinam essa balança a seu favor: o resultado é uma pessoa coletiva e não uma pessoa singular, os dados não são combinados em perfis entre sítios, e o processamento ocorre na UE, em infraestrutura que pode analisar antes de se comprometer.

A transparência e o controlo completam o quadro. A lead.box fornece um parágrafo pronto para a política de privacidade para divulgar o tratamento, e existe uma página pública de exclusão onde um visitante pode opor-se; as empresas podem ainda solicitar uma exclusão ao nível da empresa. Mantemos um teste de ponderação documentado, que partilhamos a pedido, para que a sua própria avaliação não tenha de começar do zero.