Il GDPR non ha reso impossibile la lead generation, ha reso impossibile la sciatteria. Chi ha in ordine basi giuridiche, processi e strumenti continua a crescere. Ecco cosa devi sistemare.

I dati di contatto sono dati personali

Un indirizzo email aziendale che contiene un nome, un numero di telefono diretto, un profilo LinkedIn: secondo il GDPR sono tutti dati personali. Chi genera lead (B2B o B2C) tratta quindi dati personali e ha bisogno di una base giuridica valida.

La base giuridica: legittimo interesse o consenso

Per il marketing B2B il "legittimo interesse" è spesso la base giuridica praticabile: il marketing diretto verso decisori aziendali può rientrarvi, purché documenti il bilanciamento degli interessi e offra un opt-out chiaro. Nel marketing B2C il consenso è più spesso richiesto o più sicuro. Il consenso deve essere libero, specifico e dimostrabile: una casella pre-selezionata non vale.

Email, telefono e tracking: cosa si può fare e quando

  • Email commerciale a freddo: solo con opt-in o a condizioni rigorose; verifica il Codice delle comunicazioni elettroniche oltre al GDPR
  • Telemarketing verso aziende: consentito con opt-out, ma rispetta subito l’opposizione e registrala
  • Marketing verso consumatori: requisiti più severi; spesso consenso e rispetto dei registri di opposizione
  • Tracking e cookie di marketing sul sito: sempre consenso preventivo tramite banner, altrimenti nessun pixel

L’obbligo di informativa che quasi tutti dimenticano

Se non raccogli i dati direttamente dalla persona interessata, ad esempio tramite fornitori di dati o scraping, si applica l’articolo 14: devi comunicare all’interessato entro un mese o al primo contatto quali dati hai, per quale finalità e da dove provengono. Inseriscilo nella tua prima comunicazione o nell’informativa privacy.

Diritti degli interessati: predisponi il processo

Accesso, rettifica, cancellazione, opposizione: ogni richiesta va gestita entro un mese. In pratica significa un unico indirizzo email centrale, una lista di soppressione perché i contatti cancellati non vengano reimportati, e il log di ogni opt-out.

Lavorare in conformità è un vantaggio competitivo: dati puliti, migliore deliverability e un outreach che non sembra spam convertono in modo dimostrabilmente migliore.

La checklist pratica

  • Base giuridica documentata per ogni canale (bilanciamento degli interessi o log dei consensi)
  • Accordi di nomina a responsabile del trattamento con le piattaforme CRM, email e pubblicitarie
  • Periodi di conservazione impostati: via i lead fermi da due anni
  • Opt-out in ogni comunicazione e una lista di soppressione nel CRM
  • Banner per il consenso ai cookie, collegato al tag manager

Domande frequenti

Il GDPR vale anche per la lead generation B2C?

Sì. Il GDPR si applica a ogni trattamento di dati personali di persone fisiche nell’UE, che tu raccolga lead B2B o B2C. Nel B2C il consenso è più spesso la base giusta o più sicura, e oltre al GDPR valgono spesso regole più severe su telecomunicazioni e consumatori.

Posso usare i profili LinkedIn per outreach a freddo?

Un profilo LinkedIn contiene dati personali. Serve una base giuridica valida, devi informare l’interessato (spesso ai sensi dell’articolo 14) e rispettare l’opposizione. Lo scraping contro i termini d’uso o senza base giuridica è rischioso. Tratta i dati LinkedIn con la stessa cura di ogni altra fonte di lead.

Qual è la differenza tra consenso e legittimo interesse?

Il consenso è un sì attivo, libero e specifico dell’interessato, e deve essere dimostrabile. Il legittimo interesse richiede un bilanciamento: il tuo interesse non deve ledere in modo sproporzionato la privacy della persona, e deve esserci un opt-out chiaro. Per il marketing diretto B2B il legittimo interesse è spesso praticabile; per molti canali B2C il consenso è più solido o obbligatorio.

Per quanto tempo posso conservare i dati dei lead?

Solo per il tempo necessario allo scopo, non di più. Imposta periodi di conservazione (ad esempio cancellare o anonimizzare i lead fermi da tempo) e documentali. Il GDPR non fissa un numero di mesi; conta la proporzionalità.

Cosa fare se qualcuno si oppone o chiede la cancellazione?

Gestisci la richiesta entro un mese, cancella o blocca i dati dove necessario e metti il contatto in una lista di soppressione così non viene reimportato. Registra l’opt-out. L’opposizione al marketing diretto va in linea di principio onorata.

I cookie di marketing sulla landing page richiedono sempre il consenso?

I cookie di marketing e tracking non strettamente necessari richiedono consenso preventivo tramite banner. Senza consenso non puoi caricare un pixel di marketing. I cookie funzionali strettamente necessari al servizio di solito restano fuori da quell’obbligo.

Questo articolo contiene informazioni generali, non consulenza legale. Per la tua situazione specifica rivolgiti a un legale esperto di protezione dei dati.