GDPR e anagrafiche clienti: regole pratiche per aziende e studi

Un’anagrafica clienti ricade nel GDPR ogni volta che contiene informazioni su una persona fisica: il titolare di una ditta individuale, un libero professionista, il referente di una società, un cliente privato. In questi casi l’azienda che gestisce l’elenco è titolare del trattamento. Deve quindi avere una base giuridica per ogni uso dei dati, informare gli interessati, raccogliere solo i campi necessari, conservarli per un tempo definito, proteggerli con misure adeguate e rispondere alle richieste dei clienti nei termini di legge. Questa guida spiega le regole campo per campo e processo per processo, con riferimento alle indicazioni del Garante per la protezione dei dati personali.

In breve

• Sono dati personali tutte le informazioni che identificano o rendono identificabile una persona fisica: nome, codice fiscale, telefono, email nominativa, indirizzo IP.
• Ogni trattamento dell’anagrafica richiede una base giuridica: contratto, obbligo di legge, interesse legittimo o consenso, e un’informativa completa.
• I dati vanno limitati a quanto necessario e conservati con termini di cancellazione definiti per tipologia e finalità, ad esempio 10 anni per le scritture contabili.
• Gli accessi all’anagrafica devono essere individuali e tracciabili; le violazioni rilevanti vanno notificate al Garante entro 72 ore.
• I clienti possono chiedere accesso, rettifica, cancellazione e portabilità: la risposta va data entro un mese, estendibile nei casi complessi.

Indice

• Quali dati dell’anagrafica sono dati personali
• Dati particolari: quando entrano nell’anagrafica
• Base giuridica e informativa ai clienti
• Minimizzazione: quali campi tenere davvero
• Per quanto tempo conservare i dati dei clienti
• Sicurezza e controllo degli accessi
• Diritti dei clienti e tempi di risposta
• Registro, accountability e violazioni dei dati
• Checklist per un’anagrafica clienti conforme
• Il nostro punto di vista
• Anagrafiche aggiornate con TrovaPEC
• Domande frequenti
• Fonti

Quali dati dell’anagrafica sono dati personali

Il punto di partenza è la definizione. Secondo il Garante, sono dati personali le informazioni che identificano o rendono identificabile, direttamente o indirettamente, una persona fisica: dati anagrafici, numeri di telefono, codici fiscali, indirizzi IP, ma anche informazioni su abitudini, relazioni personali o situazione economica.

Il GDPR tutela le persone fisiche. Per questo, in un’anagrafica B2B, conviene ragionare campo per campo e distinguere le informazioni che riguardano un ente da quelle che riguardano una persona.

Il caso che genera più errori è quello delle imprese individuali e dei professionisti. Il loro codice fiscale coincide con quello personale, e anche un indirizzo PEC che contiene nome e cognome rende la persona identificabile. Un’anagrafica fornitori composta in gran parte da professionisti è quindi, a tutti gli effetti, un archivio di dati personali.

Dati particolari: quando entrano nell’anagrafica

L’articolo 9 del Regolamento individua le categorie particolari di dati. Come ricorda la pagina del Garante sui dati personali, si tratta dei dati che rivelano origine razziale o etnica, convinzioni religiose o filosofiche, opinioni politiche e appartenenza sindacale, oltre ai dati relativi alla salute, alla vita o all’orientamento sessuale e ai dati genetici e biometrici.

Il loro trattamento è vietato in via generale. È ammesso solo in casi specifici, come il consenso esplicito dell’interessato o la necessità per motivi di interesse pubblico rilevante previsti dal diritto dell’Unione o nazionale, come riassume la guida europea Your Europe sul RGPD. Spetta al titolare dimostrare di rientrare in una delle condizioni previste.

In un’anagrafica commerciale questi dati compaiono spesso senza che nessuno li abbia cercati:

• note libere del tipo “cliente in malattia, richiamare a fine mese”;
• preferenze alimentari annotate per un evento, che possono rivelare convinzioni religiose o condizioni di salute;
• iscrizioni a convenzioni sindacali o associative usate per applicare sconti.

La soluzione più efficace è organizzativa: eliminare o limitare i campi di testo libero e stabilire regole chiare su cosa può essere annotato. Per i settori in cui questi dati sono necessari, come quello sanitario, la valutazione va fatta con il proprio DPO o con un consulente privacy.

Base giuridica e informativa ai clienti

Ogni uso dell’anagrafica deve poggiare su una base giuridica. Le indicazioni del Garante sui doveri del titolare elencano, tra le principali, il consenso, l’esecuzione di un contratto, l’adempimento di un obbligo di legge e il legittimo interesse.

In pratica, la stessa anagrafica serve finalità diverse, ciascuna con la propria base:

• fatturazione e gestione dell’ordine: esecuzione del contratto;
• tenuta delle scritture contabili e adempimenti fiscali: obbligo di legge;
• recupero crediti e tutela in giudizio: tipicamente legittimo interesse;
• newsletter e promozioni: di norma consenso, salvo le eccezioni previste dalla normativa.

Quando la base è il consenso, questo è valido solo se l’interessato è stato informato e lo ha espresso in modo libero e inequivocabile, con un consenso specifico per ciascuna finalità. Deve essere revocabile e non può essere tacito o presunto: le caselle già spuntate non sono ammesse. Per chi usa la PEC anche a fini commerciali, la guida su gestione dei consensi PEC approfondisce come documentarli negli invii massivi.

Cosa deve contenere l’informativa

L’informativa è il documento che rende trasparente il trattamento. Deve indicare almeno:

1. identità e dati di contatto del titolare;
2. finalità del trattamento e relativa base giuridica;
3. tempi di conservazione dei dati;
4. destinatari o categorie di destinatari;
5. eventuali trasferimenti verso Paesi extra UE;
6. diritti dell’interessato e modalità per esercitarli.

Un’informativa unica e generica, valida per ogni scopo, è uno degli errori più frequenti. È preferibile un testo ordinato per finalità, coerente con quanto è davvero registrato nel gestionale.

Minimizzazione: quali campi tenere davvero

Il principio di minimizzazione richiede che i dati siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità. Lo stesso insieme di principi impone di non conservarli oltre il tempo necessario.

Applicato all’anagrafica, significa porsi una domanda per ogni campo: a quale finalità serve? Se la risposta non c’è, il campo non andrebbe raccolto. Alcuni esempi concreti:

• la data di nascita del referente di un’azienda cliente raramente serve a fatturare;
• il cellulare personale non è necessario se esiste un numero aziendale;
• i duplicati moltiplicano copie dello stesso dato e rendono difficile rettificarlo o cancellarlo ovunque.

La minimizzazione si progetta negli strumenti. Un gestionale o un CRM per agenzie di marketing configurato con campi obbligatori ridotti al minimo, menu a scelta al posto del testo libero e profili di accesso distinti rende la conformità parte del lavoro quotidiano. Questo è il senso della protezione dei dati fin dalla progettazione e per impostazione predefinita.

Anche la qualità del dato è un tema di conformità: un’anagrafica con indirizzi errati o doppioni non è esatta né aggiornata. Le guide su come deduplicare le anagrafiche e sulla pulizia dei CSV anagrafici descrivono un metodo ripetibile.

Per quanto tempo conservare i dati dei clienti

Il GDPR non fissa una durata unica. I tempi di cancellazione vanno individuati per tipologia di dato e per finalità. Il Garante, nella pagina sul registro delle attività di trattamento, porta un esempio utile: in caso di rapporto contrattuale, il registro può indicare 10 anni dall’ultima registrazione, in base all’articolo 2220 del codice civile sulla conservazione delle scritture contabili.

Uno schema di lavoro per un’anagrafica tipica:

Oltre al termine finale servono controlli periodici: una partita IVA cessata, un professionista che ha cambiato studio o una PEC non più attiva rendono il dato inesatto. Per la parte di comunicazioni certificate, la pagina sulla retention policy PEC indica cosa conservare e per quanto.

Sicurezza e controllo degli accessi

Le misure di sicurezza devono essere adeguate ai rischi e aggiornate rispetto agli sviluppi tecnologici e ai nuovi rischi. Il Garante ammette che nel registro vengano descritte rinviando a procedure interne o a una security policy.

Un riferimento concreto arriva da un provvedimento del 2015 relativo a un CRM nel settore della moda: nella verifica preliminare del Garante l’Autorità ha richiesto credenziali o dispositivi di autenticazione individuali, in modo da identificare chi accedeva o modificava i dati, da quale postazione e a che ora.

Tradotto in misure per l’anagrafica clienti:

• utenze nominative, mai credenziali condivise tra colleghi;
• profili di autorizzazione differenziati: chi fattura non ha bisogno di esportare l’intero database;
• registrazione degli accessi e delle modifiche, con conservazione dei log;
• autenticazione a più fattori per gli account con privilegi elevati, anche con chiavi di sicurezza YubiKey compatibili con le principali piattaforme;
• regole sulle esportazioni: file CSV su chiavette o allegati email sono una fonte ricorrente di incidenti.

Diritti dei clienti e tempi di risposta

I clienti possono esercitare i diritti di accesso, rettifica, cancellazione e portabilità, oltre a opporsi a determinati trattamenti. Secondo la guida del Garante all’applicazione del Regolamento, il titolare deve rispondere entro un mese, termine estendibile fino a tre mesi nei casi di particolare complessità.

La risposta, come precisa la pagina sui diritti degli interessati, deve essere intelligibile, concisa, trasparente e in linguaggio semplice. Di regola è scritta e gratuita; un contributo può essere chiesto solo per richieste manifestamente infondate, eccessive o ripetitive, o per copie ulteriori.

Per rispettare i tempi serve una procedura interna:

1. un canale unico di ricezione, indicato nell’informativa;
2. la verifica dell’identità del richiedente;
3. la ricerca del dato in tutti i sistemi: gestionale, CRM, fogli di calcolo, archivi email;
4. l’esecuzione della richiesta e la risposta scritta, con data tracciata.

Il punto 3 è il più critico. Se la stessa persona compare in tre archivi con grafie diverse, la cancellazione rischia di restare incompleta. Alcune piattaforme integrano già flussi dedicati alla gestione GDPR dei dati personali nel CRM, utili per tracciare richieste e scadenze.

Registro, accountability e violazioni dei dati

Nei casi previsti dall’articolo 30 del RGPD, il titolare deve redigere e tenere aggiornato il registro delle attività di trattamento. Il registro riporta, tra l’altro, finalità, categorie di interessati e di dati, destinatari, trasferimenti e termini di cancellazione. Per l’anagrafica clienti è il documento in cui le scelte descritte finora diventano verificabili.

Il principio di accountability chiede al titolare comportamenti proattivi e misure dimostrabili. In alcuni casi è obbligatoria la valutazione d’impatto (DPIA), che analizza i rischi per i diritti e le libertà degli interessati e individua le misure per ridurli: per esempio quando l’anagrafica alimenta profilazioni estese.

Se si verifica una violazione, come un accesso non autorizzato o un’esportazione finita nelle mani sbagliate, il titolare deve notificarla al Garante senza ingiustificato ritardo ed entro 72 ore, quando ritiene probabile un rischio per i diritti e le libertà degli interessati. Una procedura scritta e un referente interno già individuato fanno la differenza in quelle ore.

Checklist per un’anagrafica clienti conforme

1. Mappare i dati: elencare i campi presenti in ogni archivio e distinguere quelli relativi a persone fisiche.
2. Associare finalità e base giuridica a ciascun gruppo di dati.
3. Aggiornare l’informativa perché rispecchi i trattamenti reali.
4. Ridurre i campi: eliminare quelli non necessari e limitare il testo libero.
5. Fissare i tempi di conservazione e pianificare cancellazioni periodiche.
6. Verificare l’esattezza: deduplicare, normalizzare indirizzi e comuni, controllare lo stato delle partite IVA.
7. Configurare gli accessi: utenze individuali, profili, log, autenticazione forte.
8. Preparare la procedura per i diritti con tempi e responsabili.
9. Aggiornare il registro e valutare la necessità di una DPIA.
10. Predisporre la procedura per i data breach.

Il nostro punto di vista

Ogni giorno lavoriamo con elenchi di partite IVA e codici fiscali forniti da aziende, studi professionali ed enti. L’esperienza ci dice che la conformità al GDPR di un’anagrafica dipende molto dalla sua qualità. Un archivio pieno di doppioni, partite IVA cessate e indirizzi non più validi è difficile da proteggere, da aggiornare e da cancellare quando un cliente lo chiede.

Per questo consigliamo di partire dalle fonti istituzionali. Gli indirizzi PEC di imprese e professionisti sono pubblicati nell’Indice Nazionale degli Indirizzi PEC, ma la loro disponibilità pubblica non autorizza qualsiasi uso: restano valide le regole su finalità e base giuridica, come spieghiamo nella guida su privacy e dati di INI-PEC. Un dato verificato alla fonte e aggiornato con regolarità soddisfa il principio di esattezza e riduce il rischio di inviare comunicazioni certificate a soggetti sbagliati.

Il secondo consiglio riguarda il metodo: la verifica va fatta in modo sistematico, non quando emerge un problema. Un controllo periodico delle partite IVA e degli indirizzi PEC è una misura semplice da documentare e coerente con l’accountability.

— Alessandro

Anagrafiche aggiornate con TrovaPEC

TrovaPEC aiuta aziende, studi professionali e pubbliche amministrazioni a mantenere anagrafiche esatte e aggiornate. A partire da elenchi di partite IVA o codici fiscali, la piattaforma esegue la ricerca massiva di PEC ufficiali con dati aggiornati tramite l’Indice Nazionale degli Indirizzi PEC, e offre la normalizzazione e correzione delle anagrafiche. Per controllare lo stato dei clienti è disponibile la verifica massiva delle partite IVA, anche su VIES. Chi vuole automatizzare i controlli nei propri sistemi può integrare la PEC con il CRM tramite web services e API.

Domande frequenti

La partita IVA di un cliente è un dato personale?

Dipende dal soggetto. La partita IVA di una società di capitali riguarda una persona giuridica e di regola non rientra nel GDPR. Quella di una ditta individuale o di un libero professionista, invece, è riconducibile a una persona fisica ed è quindi un dato personale.

Serve il consenso per conservare i dati dei clienti in anagrafica?

Non sempre. Per gestire ordini, fatture e adempimenti fiscali le basi giuridiche sono il contratto e l’obbligo di legge, senza bisogno di consenso. Il consenso diventa necessario per finalità ulteriori, come di norma le comunicazioni promozionali.

Per quanto tempo si possono tenere i dati di un ex cliente?

Ogni tipologia di dato ha il proprio termine. I dati legati alle scritture contabili possono essere conservati 10 anni dall’ultima registrazione, secondo l’articolo 2220 del codice civile. I dati usati per altre finalità, come il marketing, vanno cancellati quando la finalità si esaurisce o il consenso viene revocato.

Entro quanto bisogna rispondere a un cliente che chiede la cancellazione?

Entro un mese dalla richiesta. Il termine può essere esteso fino a tre mesi nei casi complessi, informando l’interessato. La cancellazione non riguarda i dati che la legge impone di conservare, come quelli contabili.

Gli indirizzi PEC presi da INI-PEC si possono usare liberamente?

Sono pubblici, ma il loro uso deve rispettare finalità e base giuridica. Se l’indirizzo appartiene a un professionista o a una ditta individuale è un dato personale, quindi l’invio di comunicazioni promozionali richiede le stesse cautele previste per gli altri canali.

Fonti

• Garante Privacy: cosa intendiamo per dati personali
• Your Europe: protezione dei dati personali e RGPD
• Garante Privacy: doveri, come trattare correttamente i dati
• Garante Privacy: principi fondamentali del trattamento
• Garante Privacy: registro delle attività di trattamento
• Garante Privacy: verifica preliminare su un sistema CRM (2015)
• Garante Privacy: guida all’applicazione del Regolamento UE 2016/679
• Garante Privacy: diritti degli interessati
• Garante Privacy: approccio basato sul rischio e accountability

Raccomandati

• CSV anagrafiche pulizia: il metodo giusto per aziende e studi
• Correzione indirizzi postali: guida alla validazione massiva PEC
• Come deduplicare le anagrafiche in modo sicuro e ripetibile