Sì, la GDPR si applica anche se lavorate esclusivamente con altre aziende. Il regolamento non guarda chi è vostro cliente, ma cosa elaborate: non appena registrate il nome, l'indirizzo e-mail, il numero di telefono o la funzione di una persona di contatto, state elaborando un dato personale. Il fatto che questa persona contatti per conto di un'azienda non fa alcuna differenza per la legge.
La confusione nasce perché le persone associano la GDPR ai dati dei consumatori: ordini, account cliente, newsletter. Ma un indirizzo di fatturazione con il nome di un acquirente, una registrazione CRM con il numero di cellulare di una persona di contatto, o una corrispondenza e-mail con un fornitore rientrano tutti nelle stesse regole. Si tratta di dati di una persona fisica, non del tipo di relazione che avete con quell'azienda.
Cosa cambia e cosa non cambia in B2B
Il fatto di operare in un ambiente B2B non cambia il nucleo della GDPR, ma ne modifica il peso pratico. Molti degli obblighi che sembrano gravosi per i dati dei consumatori, come chiedere il consenso per il marketing o spiegare perché si raccolgono i dati, hanno spesso un'interpretazione diversa e più leggera per i dati di contatto commerciali. Ad esempio, è spesso più giustificato contattare una persona su un incarico in corso che contattare un consumatore casuale. Ciò non toglie il fatto che dovete comunque saper spiegare perché conservate questi dati e per quanto tempo.
Anche questo non cambia: l'obbligo di conservare questi dati in modo sicuro e il diritto della persona di contatto stessa di chiedere quali informazioni avete registrato su di lei. Un responsabile acquisti di un cliente può teoricamente presentare una richiesta di accesso, proprio come un cliente privato. La GDPR non fa distinzioni in base a chi presenta la richiesta.
Esempi pratici
Un'azienda di installazione che lavora solo con altre aziende ha solitamente un CRM pieno di nomi, numeri di telefono e indirizzi e-mail di persone di contatto presso clienti e fornitori. Un responsabile delle risorse umane che conserva curriculum vitae di candidati elabora dati personali, anche se l'offerta di lavoro riguarda una posizione tecnica all'interno di un'azienda B2B. Un responsabile amministrativo che fa firmare i visitatori al loro arrivo registra anche i nomi di persone che vengono per conto di un'altra azienda.
In nessuno di questi casi si tratta di dati dei consumatori nel senso classico, eppure rientrano nello stesso regolamento. La distinzione che conta nella pratica non è B2B rispetto a B2C, ma: si tratta di una persona fisica identificabile, o di dati completamente anonimizzati o puramente commerciali come un numero di iscrizione al registro commerciale o un indirizzo generico info@ senza nome.
Cosa significa questo per il vostro registro delle attività di trattamento
Poiché i dati di contatto commerciali rientrano nella GDPR, devono figurare anche nel vostro registro delle attività di trattamento: da dove provengono, perché li conservate, chi vi ha accesso e per quanto tempo li conservate. In molte PMI, questa è proprio la categoria che viene trascurata, perché l'attenzione si concentra sui fascicoli del personale o sui dati dei clienti finali. In la base di conoscenze con spiegazioni per ogni situazione trovate ulteriori approfondimenti su quando i dati sono considerati dati personali e quando no.
Se utilizzate strumenti SaaS per il vostro CRM, la corrispondenza e-mail o la fatturazione, questi strumenti spesso elaborano anche questi dati di contatto commerciali. Questo è rilevante per i contratti di trattamento che avete o che dovreste avere con questi fornitori, e per la questione di quali dati elabora esattamente ogni strumento. Via le domande più frequenti sulla GDPR nella pratica scoprite come si collega ai vostri obblighi più generali.
Se la vostra situazione specifica rientra in determinate eccezioni, o quale sia esattamente la base giuridica applicabile al vostro modo di operare, è una questione che varia da azienda ad azienda e su cui, in caso di dubbio, è consigliabile consultare un avvocato o l'Autorità per la protezione dei dati. Quello che vale però per praticamente ogni azienda: se registrate dati personali di persone di contatto senza sapere esattamente quali e perché, è un buon punto di partenza per mettervi in ordine.
Verificare autonomamente la vostra situazione
Volete vedere rapidamente quali flussi di dati nella vostra azienda rilevano, inclusi i dati di contatto commerciali di clienti e fornitori? Eseguite la scansione rapida gratuita o leggete prima come gdpria.eu struttura le informazioni della Regolamento UE 2016/679 e delle autorità di controllo, e crei un account aziendale se desiderate far costruire il vostro registro dagli strumenti che già utilizzate.