Quando i dati di contatto aziendali sono dati personali

I dati di contatto aziendali sono dati personali quando identificano o rendono identificabile una persona fisica. Un record B2B può mescolare denominazione della società, casella generica, nome, email diretta e numero personale: ogni campo richiede il proprio test. Se il dato è personale, il GDPR regola il trattamento; per il marketing elettronico si aggiunge una verifica ePrivacy distinta.

Risposta rapida I dati di contatto aziendali sono dati personali se riguardano una persona fisica identificata o identificabile, anche quando usano un dominio di lavoro. I recapiti di una persona giuridica possono restare fuori dal GDPR. Prima si classifica soggetto, campo e contesto; poi si verificano uso GDPR e, separatamente, mercato, canale e regola ePrivacy.

Ultimo aggiornamento: 26 agosto 2026.

L'etichetta B2B non classifica la riga

Il GDPR protegge le persone fisiche, non le persone giuridiche in quanto tali ¹, ma da qui non segue che un database aziendale sia escluso. La stessa riga può contenere dati dell'organizzazione e dati di chi vi lavora: la denominazione può riguardare la società, mentre nome, email nominativa e telefono diretto possono identificare una persona.

La frase “i dati B2B sono esenti dal GDPR” confonde almeno tre domande, la prima delle quali è chi sia il soggetto del dato. La seconda è se il campo, da solo o insieme al contesto disponibile, identifica una persona fisica. La terza è se un determinato uso, soprattutto una comunicazione elettronica, è permesso. Una risposta positiva o negativa a una domanda non decide automaticamente le altre.

La Commissione europea distingue le informazioni relative a persone giuridiche dai dati che identificano persone fisiche nell'ambiente professionale; un indirizzo nominativo come [email protected] resta un dato personale ² e il dominio non cancella la persona. Anche ruolo, numero diretto, firma e annotazioni di relazione possono contribuire all'identificazione.

Classificate il record a livello di campo e di scopo, perché un recapito generale può essere usato per consegnare un avviso di servizio senza identificare nessuno, mentre la cronologia allegata può mostrare che una sola persona riceve e risponde. La categoria può quindi cambiare quando il campo viene combinato con altre informazioni o quando la modalità di assegnazione cambia.

Essere fuori dal GDPR non significa essere liberi da qualunque regola, perché informazioni organizzative possono essere protette da riservatezza, contratto, sicurezza o disciplina del marketing. Essere dentro il GDPR, d'altra parte, non significa che il dato sia inutilizzabile: significa che ogni finalità richiede base, trasparenza, proporzionalità e gestione dei diritti.

Partire dal soggetto, poi esaminare campo e contesto

Il primo passaggio identifica chi riguarda l'informazione, mentre il secondo verifica che cosa rivela il campo nel contesto reale, comprese informazioni collegate e modalità di instradamento.

L'esito iniziale non è una licenza d'uso, ma serve a decidere quale ramo del controllo aprire. Per i dati personali si applicano i principi e gli obblighi del GDPR; per una comunicazione elettronica si verifica anche la disciplina ePrivacy attuata nel mercato destinatario. Per i dati puramente organizzativi restano comunque le altre regole applicabili.

Documentate le informazioni che rendono una persona identificabile, senza presumere che il campo debba contenere il nome completo: un interno univoco, una combinazione di ruolo e azienda o un account assegnato possono bastare rispetto ai mezzi ragionevolmente disponibili. Al contrario, la presenza di un nome commerciale che non rinvia a una persona non trasforma automaticamente l'intera riga.

Quando il soggetto non è chiaro, non forzate una classificazione, ma limitate l'uso, assegnate la verifica e conservate l'incertezza nel registro. Una lista trattata come “non personale” per mancanza di informazioni può generare usi incompatibili prima che qualcuno scopra la persona dietro il record.

I recapiti nominativi di lavoro identificano normalmente una persona

Un indirizzo che contiene il nome di un dipendente, un numero diretto o un profilo professionale assegnato individua una persona nell'ambiente di lavoro, e l'identificazione non scompare perché il dato è stato creato dall'azienda, compare su un sito pubblico o descrive soltanto il ruolo professionale. Il GDPR comprende le persone fisiche anche quando agiscono nell'esercizio delle proprie funzioni.

La pubblicazione cambia la fonte, ma non crea un'autorizzazione generale: un recapito pubblicato per ricevere domande sul servizio non è automaticamente disponibile per arricchire profili, rivenderli o inviare campagne. Chi riutilizza il dato deve definire una finalità, individuare la base applicabile, fornire le informazioni richieste e rispettare opposizioni e altre richieste.

Anche l'etichetta del venditore non decide: “conforme”, “verificato” o “solo business” può descrivere un processo commerciale, ma non prova la base per il vostro uso, l'origine di ogni campo, la trasparenza resa alla persona o la regola di marketing nel paese interessato. Chiedete evidenze a livello di insieme e conservate le decisioni a livello di campo.

Il contesto può rendere identificabile un recapito apparentemente neutro, perché un interno associato a un turno, un alias collegato in un sistema o una nota come “responsabile acquisti” in un'impresa molto piccola possono permettere l'individuazione. Il test considera i mezzi ragionevolmente utilizzabili, non soltanto la stringa visibile in una colonna.

La minimizzazione richiede di raccogliere ciò che serve alla finalità; se una comunicazione di servizio può raggiungere l'organizzazione tramite casella funzionale, acquisire nome e telefono personale “per completezza” aumenta rischio e manutenzione senza necessità. Se invece serve una persona autorizzata per un processo preciso, registrate perché il recapito nominativo è necessario e quando verrà aggiornato o rimosso.

Le caselle generiche dipendono dal record circostante

Una casella come info@ o supporto@ di solito rappresenta una funzione o l'organizzazione sulla sua faccia. Lo stesso vale per un centralino. Tuttavia il GDPR non classifica stringhe isolate: se il sistema mostra una firma nominativa, inoltra sempre a una sola persona o collega la casella a note individuali, il record complessivo può identificare quella persona.

La classificazione può mutare. Oggi una casella è gestita a rotazione senza attribuzione individuale; domani viene assegnata stabilmente a un addetto. Oppure una casella nominativa viene convertita in archivio condiviso dopo la partenza della persona, pur conservando messaggi e metadati che continuano a riguardarla. I trigger devono includere assegnazione, firma, integrazione e conservazione della cronologia.

Evitate due scorciatoie. Non trattate ogni casella generica come dato personale per cautela astratta, perché questo nasconde la distinzione utile fra persona e organizzazione. Non trattatela neppure come definitivamente esclusa, perché il contesto può cambiare. Registrate l'esito, i fattori decisivi e l'evento che richiede una nuova verifica.

Per il marketing, la genericità non chiude comunque la questione. La regola del canale può considerare categorie di abbonati o destinatari secondo l'attuazione nazionale. Perciò una casella che non identifica una persona può restare soggetta a una restrizione diversa dal GDPR; i due rami vanno mantenuti separati.

Le forme d'impresa richiedono una verifica del diritto nazionale

Le etichette delle forme organizzative non hanno un significato uniforme in tutta l'Unione. Il diritto nazionale determina natura e soggetto della forma; soltanto dopo questa verifica si applica il test europeo della persona fisica identificata o identificabile. La dipendenza dal diritto nazionale è la risposta corretta, non una riserva marginale.

Dire che una società con personalità giuridica non è una persona fisica non risolve la riga. Un contatto può contenere contemporaneamente sede della società e numero diretto di un dipendente. Il primo campo riguarda l'entità; il secondo può riguardare la persona. La classificazione per campo evita che l'esclusione della società trascini fuori anche dati individuali.

Allo stesso modo, non si può affermare a livello europeo che ogni partnership o attività individuale coincida con una persona fisica. La categoria è definita dal diritto nazionale e può produrre risultati diversi. Il metodo trasferibile è chiedere chi è il soggetto, sulla base dell'ordinamento pertinente, e poi verificare se il record identifica una persona fisica ¹.

Conservate la fonte della verifica nazionale nel fascicolo dell'organizzazione, ma non usatela per trasformare una guida europea in un'affermazione nazionale generalizzata. Se non disponete di competenza sufficiente sulla forma, assegnate la questione a chi può risolverla e sospendete gli usi non necessari. Un campo “forma da verificare” è più affidabile di una supposizione autorevole nel tono.

Nei database transfrontalieri, evitate una regola unica basata sul testo del campo “tipo impresa”. La stessa etichetta può derivare da traduzioni o classificazioni commerciali. Mantenete paese, denominazione giuridica e data della verifica, quindi collegate l'esito ai campi interessati. Il controllo va riaperto quando la forma cambia o quando un record passa a un altro soggetto.

La natura personale non concede il permesso di usare il dato

Classificare un dato come personale apre il controllo GDPR; non decide la liceità di una finalità. Per ogni uso occorrono uno scopo determinato, una base giuridica adeguata e il rispetto di trasparenza, minimizzazione, accuratezza, conservazione, sicurezza e diritti. Un dato necessario per gestire un contratto può non essere necessario per costruire un profilo commerciale.

La base deve corrispondere ai fatti. Un interesse dichiarato non basta senza valutarne necessità e bilanciamento quando quella è la base considerata; il consenso non va usato come formula se non può essere libero, specifico, informato e revocabile. L'origine pubblica del recapito non è una base. Registrate finalità e ragionamento prima dell'uso, non dopo un'obiezione.

La trasparenza segue la raccolta diretta o indiretta. Se acquistate o ricavate un contatto, dovete poter spiegare fonte, categorie, finalità, base, destinatari, conservazione e diritti nei termini applicabili. Se la fonte non consente di ricostruire queste informazioni, la lista non è pronta. Un dato accurato senza provenienza resta un rischio di trasparenza; una provenienza nota non garantisce accuratezza.

L'accuratezza è particolarmente fragile nei recapiti professionali. Le persone cambiano ruolo, azienda o numero; gli account vengono riassegnati. Stabilite segnali di aggiornamento, scadenze e regole di rimozione. Non conservate indefinitamente un dato solo perché potrebbe tornare utile. Il periodo deve derivare dalla finalità e dalle evidenze di relazione.

Un dato fuori dal GDPR non diventa “libero per il marketing”. Possono applicarsi regole ePrivacy, obblighi contrattuali, riservatezza, sicurezza e norme nazionali. La classificazione corretta evita obblighi inventati, ma non elimina il secondo ramo della decisione.

Il marketing elettronico aggiunge un secondo livello giuridico

Il GDPR risponde al trattamento dei dati personali; la disciplina ePrivacy risponde anche al mezzo di comunicazione. L'articolo 13 della direttiva 2002/58/CE stabilisce regole sulle comunicazioni indesiderate, attuate dagli Stati membri ³. Per questo non esiste una singola esenzione B2B valida in tutta l'Unione.

Una lista può quindi passare un ramo e fallire l'altro. Un indirizzo generico potrebbe non essere dato personale sulla sua faccia, ma una comunicazione inviata a quell'indirizzo può ancora essere regolata dalla disciplina nazionale del canale. Viceversa, un'email nominativa può essere trattata lecitamente per un servizio e non essere utilizzabile per una campagna senza la verifica ePrivacy.

La parola B2B descrive il contesto commerciale, non una base giuridica né un'eccezione uniforme. L'esenzione che molte persone ricordano appartiene spesso a una specifica regola nazionale di marketing, con destinatari e condizioni limitati. Non va trasformata in “il GDPR non si applica alle aziende” e non va trasferita da uno Stato membro all'altro.

Per ogni campagna registrate mercato, canale, categoria del destinatario, fonte del contatto, relazione preesistente, messaggio previsto e regola nazionale applicata. Se il venditore della lista non fornisce questi elementi, la promessa “B2B” non colma la lacuna. Il mittente conserva la responsabilità della propria decisione.

Opposizioni e revoche devono raggiungere entrambi i rami. La persona può opporsi al marketing diretto ai sensi del GDPR e il canale deve offrire l'uscita prevista dalla disciplina applicabile. Una lista di soppressione, protetta e limitata allo scopo di non ricontattare, può essere necessaria anche quando gli altri dati vengono rimossi.

Trasformare la lista in decisioni a livello di campo

Un audit utile non assegna un solo colore all'intero file. Produce una decisione per campo, finalità e canale, con un'azione che può essere eseguita.

Le questioni irrisolte non devono scomparire in una nota. Attribuite proprietario, scadenza e limitazione: per esempio “nessun invio finché la forma non è verificata”. Se la verifica non è proporzionata o possibile, la scelta può essere eliminare il campo o usare un recapito organizzativo ottenuto direttamente.

La soppressione non è una lista di prospect inattivi. Conservate soltanto gli identificatori necessari a riconoscere e bloccare un nuovo invio, limitate accessi e uso e definite come confrontare nuove importazioni. Cancellare completamente l'opposizione e ricomprare lo stesso contatto vanificherebbe il diritto.

Collegate l'audit ai sistemi. Se il foglio decide “solo servizio”, il sistema non deve includere il contatto in una campagna. Se un campo è “da verificare”, l'esportazione deve escluderlo. La qualità del registro si misura nel comportamento che produce, non nella precisione delle sue etichette.

Campionate anche righe già classificate. Un venditore può cambiare fonti, una casella può diventare nominativa e una società può cambiare forma. Il campione deve cercare proprio questi cambiamenti e alimentare regole di importazione, formazione e controlli automatici senza delegare alla macchina la decisione giuridica.

Le due diramazioni di una riga mista portano ad azioni diverse

Considerate una riga con denominazione e numero di registrazione di una persona giuridica, un indirizzo generico, il nome di un referente, la sua email diretta e due finalità: gestione del servizio e ricerca di nuovi clienti. La riga non ha un'unica natura. Denominazione e numero possono riguardare l'entità; nome ed email identificano la persona; la casella generica dipende dal contesto.

Nel ramo del servizio, l'impresa definisce quali recapiti sono necessari per eseguire il rapporto, sceglie una base adeguata, informa la persona e conserva i dati per un periodo collegato alla relazione. Può preferire la casella funzionale quando basta, mantenendo il contatto nominativo soltanto se serve a un compito autorizzato. Cambi di ruolo e cessazione del rapporto attivano aggiornamento o cancellazione.

Nel ramo della promozione, lo stesso dato richiede una nuova finalità e un controllo separato. L'impresa verifica base e trasparenza per i dati personali, quindi mercato, canale, categoria del destinatario e attuazione nazionale ePrivacy. Un uso lecito per assistere un cliente non diventa automaticamente lecito per inviare una campagna; la relazione precedente può essere rilevante solo nei limiti della specifica norma applicabile.

Se la forma del soggetto è incerta, il ramo non viene deciso dall'etichetta “partnership” o “attività individuale”. Si verifica il diritto nazionale, poi si applica il test della persona fisica. Nel frattempo, la riga può restare utilizzabile per una comunicazione strettamente necessaria al servizio se esiste un percorso fondato, mentre il marketing viene sospeso. Le finalità non devono attendere o avanzare insieme.

Quando la persona si oppone al marketing, fermate quel ramo e mantenete una soppressione minima. Non è sempre necessario cancellare il contatto richiesto per un servizio ancora attivo; è invece necessario impedire che la presenza nel sistema venga interpretata come autorizzazione promozionale. Campi, finalità e regole del canale devono produrre segmenti tecnici distinti.

Il ramo britannico del marketing richiede una risposta separata

Il test che chiede se il record identifica una persona fisica è ampiamente comparabile, ma il ramo del marketing elettronico non va unificato. Nel Regno Unito la PECR utilizza proprie categorie di abbonati; nell'Unione la direttiva ePrivacy opera attraverso l'attuazione di ciascuno Stato membro. Una possibilità prevista nel primo ordinamento non entra nella risposta europea e non deve essere applicata a una campagna nell'Unione.

Questa distinzione cambia il percorso di lavoro: una lista destinata a più mercati deve registrare separatamente ordinamento, canale e categoria del destinatario, senza usare una conclusione britannica come regola predefinita per l'Unione. Il confronto resta limitato a questo punto; classificazione dei campi e controlli GDPR della pagina continuano a seguire il ramo europeo.

Domande frequenti

Un'email nominativa di lavoro è un dato personale?

Sì: se l'indirizzo identifica o rende identificabile una persona fisica, resta un dato personale anche con dominio aziendale. Nome, ruolo, pubblicazione sul sito e uso professionale non concedono un'autorizzazione generale; per impiegarlo occorre definire finalità e base, fornire trasparenza, limitare dati e durata, mantenere accuratezza e gestire diritti, mentre il marketing elettronico richiede il controllo separato del canale.

Una casella info@ è sempre esclusa?

No: sulla sua faccia una casella generica di solito indica l'organizzazione, ma firma, assegnazione stabile, inoltro esclusivo, cronologia o note collegate possono identificare una persona. Classificate il record nel contesto e registrate il fattore decisivo, riesaminando l'esito quando cambiano instradamento o titolare della casella. Anche se il campo resta organizzativo, una comunicazione elettronica può essere soggetta alle regole nazionali ePrivacy.

I dati di una società con personalità giuridica sono personali?

Le informazioni che riguardano soltanto la persona giuridica, come denominazione o recapito generale, non sono di per sé dati personali, ma la riga può contenere nome, email diretta, interno o firma di una persona fisica. Separare i campi evita di estendere l'esclusione della società ai suoi contatti individuali; dopo la classificazione, verificate comunque finalità e regola del canale per l'uso previsto.

Una partnership è automaticamente una persona fisica?

No: status e soggetto della forma dipendono dal diritto nazionale, quindi l'etichetta partnership non produce un esito uniforme nell'Unione. Verificate prima come l'ordinamento pertinente qualifica l'entità, poi chiedete se il campo, da solo o nel contesto, identifica una persona fisica; se la questione resta aperta, limitate l'uso e assegnate la verifica invece di scegliere la risposta più prudente soltanto nel nome.

Una persona che commercia tramite un'attività è sempre identificabile?

Non per la sola etichetta dell'attività, perché il diritto nazionale stabilisce chi è il soggetto della forma, mentre il record stabilisce se una persona fisica è identificata o identificabile. Denominazione, indirizzo, identificativo o recapito possono rinviare direttamente a una persona, ma non va presunto in ogni ordinamento; conservate l'esito della verifica e riapritelo quando cambiano forma, intestazione o campi collegati.

La dicitura B2B basta per inviare marketing?

No: B2B non è una base del GDPR né un'esenzione europea uniforme. Classificate prima i dati personali e documentate finalità, base e trasparenza, poi controllate mercato, canale, categoria del destinatario e attuazione nazionale dell'articolo 13 ePrivacy. La promessa di un venditore non sostituisce queste verifiche; se mancano fonte, prova o regola applicabile, sospendete l'invio invece di attribuire alla lista un permesso generico.

Che cosa deve mostrare il registro di audit?

Per ogni campo deve mostrare fonte e data, contesto, soggetto, finalità e base, trasparenza, accuratezza, conservazione, diritti o soppressioni, controllo di marketing e azione finale, con proprietario, data e trigger. Un'incognita deve produrre una limitazione concreta; la soppressione conserva soltanto gli identificatori necessari a prevenire un nuovo contatto, con accessi e uso ristretti a questo scopo.

Perché la risposta britannica è separata?

Perché la somiglianza del test sulla persona non elimina la divergenza nel marketing elettronico: la disciplina britannica usa categorie proprie, mentre il percorso europeo dipende dall'attuazione dell'articolo 13 in ciascuno Stato membro. La separazione impedisce di importare un permesso da un ordinamento all'altro; per dubbi sul percorso istituzionale italiano, consultate il Garante per la protezione dei dati personali.