Legittimo interesse: la valutazione di bilanciamento

Il GDPR permette di trattare dati sulla base del legittimo interesse (art. 6, par. 1, lett. f) soltanto dopo averlo verificato con una valutazione scritta, la LIA (Legitimate Interest Assessment). La LIA fa tre controlli: finalità, necessità e bilanciamento. DepthX la pubblica per intero, perché chiunque possa vedere perché il contatto verso le aziende è legittimo e cosa facciamo per proteggere le persone.

Il trattamento valutato

DepthX cerca attività locali (aziende, professionisti, ditte individuali) attraverso dati aziendali pubblici, prepara una proposta su misura e scrive un primo messaggio all'email aziendale o al profilo social aziendale, per presentarsi e chiedere il permesso di mandare il materiale. I dettagli sono nell'informativa per i potenziali clienti.

Controllo 1: finalità

Domanda: l'interesse di DepthX è legittimo?

• DepthX vuole far conoscere i suoi servizi (siti web, contenuti 3D e CGI) alle aziende a cui possono servire. È un interesse economico reale e attuale.
• La libertà d'impresa è tutelata dall'art. 16 della Carta dei diritti fondamentali dell'Unione Europea.
• Il considerando 47 del GDPR riconosce che il marketing diretto può essere svolto sulla base del legittimo interesse.
• Il contatto è rivolto alle attività, non alle persone come privati.

Controllo 2: necessità

Domanda: serve davvero trattare questi dati, e servono tutti?

• Per presentare un servizio a un'attività bisogna sapere chi è, di cosa si occupa e come contattarla.
• DepthX usa soltanto dati aziendali che l'attività stessa ha reso pubblici per farsi trovare: scheda Google Maps, sito, profili social, recensioni pubbliche.
• DepthX non usa email personali, telefoni personali o dati delle persone come privati.
• Non esiste un modo meno invasivo per raggiungere un'attività che non conosce ancora DepthX: il primo messaggio chiede proprio il permesso prima di mandare qualsiasi materiale.
• I dati vengono tenuti soltanto per il tempo necessario e cancellati entro 72 ore se l'attività non è interessata.

Controllo 3: bilanciamento

Domanda: l'interesse di DepthX prevale sui diritti e sul possibile fastidio di chi riceve il messaggio?

Aspettative ragionevoli

Un'attività che pubblica un'email generica, come info@, lo fa per essere contattata da clienti e fornitori. Ricevere un singolo messaggio professionale e mirato da un'azienda del settore è un evento che può ragionevolmente aspettarsi.

Natura dei dati

Dati aziendali, già pubblici, nessun dato delle categorie particolari, nessun dato di minori.

Impatto sulle persone

Basso: un solo messaggio, personale, senza link e senza solleciti, che si ferma con una parola. Nessuna profilazione, nessuna decisione automatica, nessuna cessione dei dati.

Le tutele in pratica

• Niente link nel primo contatto: nessuna demo e nessun collegamento, così il messaggio non è spam.
• Contatto sporadico: un primo messaggio, personale, non continuativo.
• Permesso prima del materiale: la demo arriva soltanto a chi risponde di sì.
• STOP sempre valido: basta rispondere STOP per entrare nell'elenco degli esclusi e non essere più contattati.
• Cancellazione: chi rifiuta o non risponde è "non interessato"; lavoro e dati vengono cancellati entro 72 ore.
• Trasparenza: ogni primo messaggio dice come trattiamo i dati e porta all'informativa.
• Recensioni con la fonte: sempre con il rimando alla pagina Google dell'attività.

Conclusione della valutazione

I tre controlli sono superati: il primo contatto commerciale verso le aziende, svolto con queste regole, si basa in modo legittimo sull'art. 6, par. 1, lett. f GDPR.

Come opporsi

Rispondi STOP a qualsiasi nostro messaggio oppure scrivi a [email protected]. L'opposizione al contatto commerciale viene sempre accolta, senza bisogno di motivarla (art. 21, par. 2 e 3 GDPR).