Dati dei richiedenti all'ingrosso e GDPR: perché cancellare è meglio che anonimizzare

Le richieste di account all'ingrosso raccolgono esattamente i dati che il GDPR tratta con maggiore cautela: nomi, indirizzi aziendali, contatti e a volte un identificativo simile a un documento. La maggior parte dei negozi gestisce bene le approvazioni e male i rifiuti — il richiedente che avete respinto è quello i cui dati non avete alcuna ragione legittima di conservare, e «li anonimizziamo» di solito non è la risposta che si crede. Questa guida illustra cosa conservare, per quanto tempo e perché la cancellazione è preferibile all'anonimizzazione per i richiedenti aziendali.

Il richiedente rifiutato è il caso difficile

Un richiedente approvato diventa cliente: c'è un contratto, un record aziendale, ordini e fatture che siete tenuti per legge a conservare. La base giuridica è chiara e il periodo di conservazione è fissato dal diritto tributario, non dalle preferenze.

Un richiedente rifiutato non ha nulla di tutto questo. Nessun contratto, nessuna relazione in corso e, dopo la comunicazione della decisione, di norma nessuna finalità residua. Il principio di limitazione della conservazione (art. 5, par. 1, lett. e GDPR) vuole che i dati non siano conservati più a lungo di quanto necessario per le finalità di raccolta. Dal momento in cui avete deciso di non fare affari con qualcuno, la richiesta ha esaurito la sua finalità.

L'obiezione consueta: si vuole una traccia nel caso in cui la persona si ricandidi, o in caso di controversia. Entrambe possono essere legittime, ma vanno dichiarate come finalità con un termine, non lasciate come intenzione vaga. Una posizione difendibile suona così: «le richieste rifiutate sono cancellate dopo 90 giorni; conserviamo la decisione e la sua data per 12 mesi per gestire nuove candidature e controversie». Non è difendibile conservare la richiesta completa a tempo indeterminato perché nessuno ha costruito il percorso di cancellazione.

Perché qui l'anonimizzazione di solito fallisce

L'anonimizzazione attrae perché fa uscire i dati dall'ambito del GDPR — i dati anonimi non sono dati personali. Il problema è il criterio: i dati sono anonimi solo se la re-identificazione non è ragionevolmente possibile da parte di nessuno, con qualsiasi mezzo ragionevolmente utilizzabile.

I dati dei richiedenti aziendali superano raramente questa soglia. Un nome aziendale più una partita IVA distano una consultazione di registro pubblico da una persona identificata — è esattamente lo scopo dei registri. Per una ditta individuale, il nome dell'azienda è spesso il nome della persona. Togliete nome del contatto ed e-mail, tenete «Müller Handel, DE123456789, richiesta il 4 marzo, rifiutata», e avete un record che identifica una persona per chiunque abbia un browser.

Lo schema «anonimizzare invece di cancellare» che funziona per le statistiche web non si trasferisce dunque alle richieste B2B. La cancellazione è più semplice, più facile da spiegare e raggiunge davvero l'obiettivo. Se volete statistiche, conservate conteggi — richieste al mese, tasso di approvazione — non righe pseudonimizzate.

Chi è il titolare del trattamento?

Il punto si confonde appena entra in gioco un'app. Il commerciante decide di avviare un programma all'ingrosso, decide le domande del modulo e decide chi viene approvato: il commerciante è titolare del trattamento dei dati dei richiedenti. Un'app che tratta quei dati per suo conto è responsabile del trattamento e necessita di un contratto ai sensi dell'art. 28 per essere lecita.

Due conseguenze pratiche. Primo: il periodo di conservazione è una decisione del commerciante, non l'impostazione predefinita dell'app — deve quindi essere configurabile, e l'app non deve conservare i dati più a lungo di quanto indicato. Secondo: l'esercizio dei diritti arriva al commerciante, e l'app deve poter rispondere: trovare il record, esportarlo, cancellarlo. Un'app che non può cancellare un singolo richiedente su richiesta non è utilizzabile da un titolare che deve conformarsi.

Consultazioni dei registri e minimizzazione

La verifica è un punto in cui è facile trasmettere più del necessario. Controllare un'impresa presso VIES, Zefix o Companies House richiede un identificativo aziendale — una partita IVA, un numero di iscrizione. Non richiede nome, e-mail o indirizzo del richiedente, e inviarli a un terzo sarebbe un trattamento senza finalità.

Mantenete la separazione netta: il registro riceve l'identificativo e restituisce uno stato; i dati personali del richiedente non lasciano mai i vostri sistemi. È minimizzazione ai sensi dell'art. 5, par. 1, lett. c, e una risposta molto più breve quando qualcuno chiede cosa ricevono i vostri sub-responsabili.

Conservate però la prova del controllo. Per le cessioni intra-UE la validità della partita IVA dell'acquirente è una condizione sostanziale dell'esenzione: l'identificativo di consultazione VIES e la data appartengono ai vostri archivi — allegati all'azienda, non dispersi in un log. È una finalità di conservazione con una vera base giuridica, da distinguere dalla richiesta stessa.

Cosa deve stare nell'informativa privacy

Il modulo all'ingrosso è un punto di raccolta e merita un proprio paragrafo, non un rimando a un'informativa generale. Ciò che i richiedenti dovrebbero poter leggere prima di inviare:

• Cosa viene raccolto e quali campi sono obbligatori o facoltativi.
• Che i dati aziendali sono verificati presso registri pubblici, e quali.
• Per quanto tempo una richiesta è conservata se approvata e se rifiutata — con numeri reali.
• Chi la tratta oltre a voi, e dove (l'area di hosting non è indifferente agli acquirenti europei).
• Come chiedere accesso o cancellazione, e che la decisione non è presa unicamente in modo automatizzato — oppure, se lo è, dirlo, perché l'art. 22 vi collega dei diritti.

Quest'ultimo punto merita attenzione. Le regole di approvazione automatica sono comode e difendibili per i casi a basso rischio, ma «la sua richiesta è stata rifiutata automaticamente» è una posizione giuridica diversa da «l'abbiamo esaminata». Se i rifiuti sono automatizzati, i richiedenti hanno diritto all'intervento umano.

Un modello di conservazione che regge

Una struttura che copre i casi realistici:

• Approvato e diventato cliente — conservato nell'ambito del rapporto con il cliente; le fatture seguono il diritto tributario (in Germania 8 anni), non il calendario della richiesta.
• Approvato ma senza ordini — un record aziendale senza transazioni. Dategli una scadenza: senza ordini entro, per esempio, 24 mesi, è un record dormiente senza finalità.
• Rifiutato — cancellare la richiesta con tempi brevi; conservare decisione e data solo finché esiste una ragione dichiarata.
• Ritirato o abbandonato — un modulo compilato a metà è un dato che non è mai servito. Da cancellare per primo.

Qualunque siano i numeri, la pulizia deve davvero essere eseguita. Una policy di conservazione che esiste solo nell'informativa è peggio di nessuna: avete pubblicato una promessa che state violando.

In breve

I dati dei richiedenti sono il rischio di un programma all'ingrosso, e sui rifiuti si accumulano. Cancellare invece di anonimizzare, perché un nome aziendale più una partita IVA re-identifica una ditta individuale. Inviare ai registri solo un identificativo, ma conservare la prova della verifica con una base giuridica propria. Scrivere termini reali nell'informativa, renderli configurabili dal commerciante che è titolare — e assicurarsi che qualcosa di automatico li applichi.

Riassunto in linguaggio semplice, non consulenza legale: termini e base giuridica del vostro programma valgono mezz'ora di avvocato.