In Italia, comprare database aziende è legale?
Acquistare una banca dati aziendale non è vietato in sé, ma la liceità dipende dalla provenienza dei dati, dalla loro natura e dall’utilizzo previsto. Consultare un database di aziende italiane per analizzare un mercato non equivale a poter inviare messaggi promozionali a tutti i contatti presenti.
In Italia occorre distinguere gli obblighi del GDPR dalle regole del Codice Privacy sulle comunicazioni commerciali. Questa guida chiarisce il ruolo dell’interesse legittimo, del consenso e del Registro pubblico delle opposizioni prima di avviare attività commerciali B2B.
- Aziende nel database Italia
- 831 275
- Aziende nel database Italia
- Indirizzi e-mail nel database Italia
- 758 419
- Indirizzi e-mail nel database Italia
- Numeri telefonici nel database Italia
- 697 908
- Numeri telefonici nel database Italia
- File in formato XLSX e CSV
- Acquisto una tantum
- Campione gratuito di 50 righe
Il quadro normativo: GDPR e Codice Privacy
In Italia il riferimento è il GDPR, insieme al Codice in materia di protezione dei dati personali, noto come Codice Privacy: D.Lgs. 196/2003, modificato dal D.Lgs. 101/2018. L’autorità di controllo è il Garante per la protezione dei dati personali. Le norme vanno considerate insieme: il GDPR disciplina il trattamento dei dati personali, mentre il Codice Privacy contiene anche regole specifiche sulle comunicazioni promozionali.
Il primo controllo riguarda ciò che si acquista. Ragione sociale e informazioni riferite esclusivamente a una società non sono automaticamente dati personali; il nome di un referente, un indirizzo nominativo o informazioni su un imprenditore individuale possono invece identificare una persona fisica. La semplice etichetta «database B2B» non risolve questa distinzione.
Il secondo controllo riguarda il progetto concreto. Analisi del mercato, selezione di potenziali fornitori e campagne promozionali hanno finalità diverse. Chiedi al fornitore informazioni sulle fonti e sulle condizioni di utilizzo, senza considerare la disponibilità pubblica come un’autorizzazione generale. Chi decide finalità e modalità del proprio trattamento deve poter giustificare le scelte effettuate.
Interesse legittimo B2B: valutazione e informativa
L’interesse legittimo previsto dall’art. 6(1)(f) del GDPR può sostenere alcuni trattamenti di dati personali in ambito B2B, ma non costituisce un lasciapassare commerciale. Occorre individuare un interesse concreto, verificare che il trattamento sia necessario e bilanciarlo con i diritti e le ragionevoli aspettative delle persone interessate. L’esito deve essere documentato, non soltanto dichiarato.
Per esempio, individuare aziende potenzialmente interessate a una fornitura non giustifica automaticamente la raccolta di qualsiasi informazione sui loro dipendenti. Limita i dati a quelli pertinenti, valuta alternative meno invasive e stabilisci tempi di conservazione proporzionati. Anche una selezione molto accurata resta distinta dall’autorizzazione a utilizzare un determinato canale promozionale.
Quando i dati personali non sono raccolti direttamente presso l’interessato, entra in gioco l’informativa dell’art. 14. Salvo eccezioni applicabili, va fornita nei termini previsti e, se i dati sono usati per comunicare con la persona, al più tardi alla prima comunicazione. Deve spiegare anche provenienza, finalità, base giuridica e diritti. L’informativa non sostituisce il consenso eventualmente necessario per inviare quella comunicazione.
E-mail a freddo: il consenso vale anche tra imprese
Per l’e-mail marketing, l’art. 130 del Codice Privacy richiede il consenso preventivo, anche quando il destinatario è un’impresa. Non basta che l’offerta sia attinente al settore, che il messaggio sia personalizzato o che l’indirizzo compaia su un sito. Neppure l’interesse legittimo del GDPR consente di aggirare la disciplina specifica del canale.
Una casella generica, come quella dell’ufficio acquisti, non rende automaticamente lecito un invio promozionale. Allo stesso modo, inserire un collegamento per cancellarsi è utile per gestire le preferenze, ma non sana la mancanza del consenso richiesto prima dell’invio. Una richiesta di consenso che contiene già una proposta commerciale non è una scorciatoia sicura.
Prima di usare un elenco di indirizzi e-mail aziendali, verifica se esiste una prova adeguata del consenso per il tuo utilizzo: chi lo ha raccolto, per quali finalità e a favore di quali soggetti. Le eventuali deroghe per rapporti con clienti già esistenti hanno condizioni specifiche e non si estendono automaticamente a un elenco acquistato. In assenza di presupposti verificati, non avviare la campagna.
Telefonate commerciali e Registro pubblico delle opposizioni
Il telemarketing richiede una verifica autonoma. Dal 2022 il Registro pubblico delle opposizioni è stato esteso a tutte le numerazioni. La presenza di un recapito aziendale in una banca dati non dimostra quindi che sia utilizzabile per una chiamata promozionale, né che il destinatario non abbia esercitato il diritto di opposizione.
Prima delle campagne, verifica gli adempimenti applicabili all’operatore e consulta il Registro secondo le modalità e le scadenze previste. Valuta anche l’origine del numero e l’eventuale consenso, compresa la sua validità rispetto alle opposizioni intervenute. Le regole possono differire tra chiamate con operatore e sistemi automatizzati: una verifica fatta per un canale non autorizza automaticamente l’altro.
Definisci inoltre come identificare il chiamante, spiegare la finalità commerciale e registrare un rifiuto. Se affidi le chiamate a un soggetto esterno, chiarisci ruoli, istruzioni e controlli. Conserva una lista interna delle opposizioni con accessi limitati e dati essenziali: serve a evitare che un nuovo acquisto o una successiva importazione reinserisca nei contatti attivi chi ha già chiesto di non essere chiamato.
Dati personali e dati aziendali: la distinzione pratica
La valutazione va fatta sui singoli campi e sul loro contesto, non soltanto sul nome del file. Un database di aziende di trasporti, per esempio, può contenere informazioni puramente societarie insieme a recapiti riconducibili a persone fisiche. Quando i dati permettono un’identificazione, anche indiretta, occorre considerare il GDPR.
La tabella distingue i casi più comuni. Non attribuisce un permesso di contatto: anche quando un’informazione non è personale, possono applicarsi le regole sulle comunicazioni commerciali. Mantieni quindi separati il controllo sulla natura del dato e quello sulla liceità del suo utilizzo.
| Informazione | Possibile natura | Verifica necessaria |
|---|---|---|
| Ragione sociale di una società | Dato riferito alla persona giuridica | Provenienza e finalità dell’utilizzo |
| Sede di una società | Generalmente dato aziendale | Eventuali collegamenti con persone fisiche |
| Nome e cognome di un referente | Dato personale | Base giuridica, pertinenza e informativa |
| E-mail nominativa di lavoro | Dato personale se identifica una persona | Obblighi GDPR e consenso per l’e-mail marketing |
| Casella aziendale generica | Non necessariamente dato personale | Regole del Codice Privacy sulle e-mail promozionali |
| Numero diretto di un dipendente | Dato personale se riconducibile alla persona | Base giuridica, regole telefoniche e opposizioni |
| Informazioni su una ditta individuale | Possono identificare il titolare | Valutazione del contesto e applicazione del GDPR |
Lista di controllo: sei passaggi prima del contatto
Trasforma le verifiche legali in una procedura condivisa tra chi acquista i dati, chi gestisce i sistemi e chi contatta i destinatari. Il controllo deve precedere l’attivazione della campagna, non arrivare soltanto dopo un reclamo.
- Definisci lo scopo. Distingui ricerca di mercato, selezione commerciale e promozione. Identifica il destinatario e il canale previsto; non importare l’intero archivio nei sistemi di invio per semplice comodità.
- Verifica fonte e contenuto. Esamina il campione, chiedi chiarimenti sulla provenienza e separa dati societari da dati personali. Controlla che i campi siano pertinenti allo scopo dichiarato.
- Documenta la base giuridica. Per i dati personali, individua il presupposto applicabile. Se ricorri all’interesse legittimo, registra necessità e bilanciamento; se serve il consenso, verifica che sia dimostrabile e pertinente.
- Controlla il canale. Per le e-mail promozionali verifica il consenso preventivo o una deroga effettivamente applicabile. Per il telefono valuta gli obblighi del Registro pubblico delle opposizioni e le caratteristiche della chiamata.
- Predisponi informativa e gestione dei diritti. Spiega il trattamento in modo comprensibile, organizza le risposte alle richieste e assicurati che un’opposizione blocchi i successivi contatti promozionali nei sistemi coinvolti.
- Limita, proteggi e riesamina. Assegna accessi solo a chi ne ha bisogno, stabilisci tempi di conservazione e controlla le liste prima del riutilizzo. Conserva evidenza delle verifiche e aggiorna la procedura quando cambiano finalità o canali.
Avvertenza: questa guida non è consulenza legale
Questa guida ha finalità informative e non certifica la liceità di un database o di una campagna. Le conclusioni dipendono da dati, destinatari, consensi e modalità operative. Prima di avviare attività promozionali, verifica la normativa vigente e le indicazioni del Garante con un professionista qualificato.
Domande frequenti su GDPR e contatti B2B
Il GDPR vieta l’acquisto di database aziendali?
No, il GDPR non vieta in generale l’acquisto di banche dati aziendali. Quando le informazioni identificano persone fisiche, però, il loro trattamento richiede una base giuridica e il rispetto degli altri obblighi applicabili. L’acquisto non prova inoltre che sia consentito inviare e-mail promozionali o effettuare telefonate commerciali.
Quando si può usare l’interesse legittimo nel B2B?
L’interesse legittimo può sostenere alcuni trattamenti se esistono una finalità concreta, una necessità effettiva e un bilanciamento favorevole rispetto ai diritti delle persone. Occorre documentare la valutazione e adottare misure proporzionate. Non basta dichiarare che il pubblico è professionale, né questa base sostituisce il consenso richiesto per l’e-mail marketing.
Il GDPR richiede un’informativa per i contatti acquistati?
Se i contatti contengono dati personali raccolti presso altri soggetti, si applica in linea generale l’informativa dell’art. 14, salvo eccezioni previste. Bisogna indicare anche la provenienza dei dati e rispettare i termini applicabili. Fornire l’informativa non autorizza però una comunicazione promozionale che richiede un consenso non disponibile.
Le e-mail a freddo sono consentite alle aziende italiane?
Per le e-mail promozionali, la regola italiana è il consenso preventivo previsto dall’art. 130 del Codice Privacy, anche verso le imprese. Un’offerta pertinente o un indirizzo pubblicato online non bastano. Le eventuali deroghe devono essere verificate nel caso concreto e non derivano semplicemente dall’acquisto di un elenco.
Un’e-mail a freddo a una casella generica richiede consenso?
La natura generica della casella non elimina le regole italiane sull’e-mail marketing. Anche se l’indirizzo non identifica una persona fisica, l’invio promozionale resta soggetto al Codice Privacy. Prima di utilizzarlo, verifica il consenso richiesto o l’esistenza di una deroga applicabile; il solo collegamento di cancellazione non è sufficiente.
Come incide il Registro pubblico delle opposizioni sul telemarketing?
Il Registro pubblico delle opposizioni è un controllo essenziale per le campagne telefoniche ed è stato esteso a tutte le numerazioni dal 2022. L’operatore deve verificare gli obblighi applicabili, consultare il Registro secondo le regole previste e gestire le opposizioni. Avere acquistato il numero non costituisce un’autorizzazione alla chiamata.
Esamina i dati prima di scegliere il database completo
Inizia dal campione gratuito di 50 righe per valutare struttura e contenuto del file. Se risponde alle tue esigenze, il database Italia completo è disponibile in XLSX e CSV a 199 €, con acquisto una tantum. Il campione aiuta a valutare i dati; la verifica della liceità dei contatti resta un passaggio separato, da completare prima di qualsiasi campagna.