Raccogliere lead in fiera in regola con il GDPR

Raccogliere lead in fiera in regola con il GDPR non è un adempimento da rimandare. Allo stand passa un dato personale ogni due minuti, e il DPO e l’Head of Sales raramente parlano la stessa lingua. Questa è la versione operativa: cosa serve davvero, cosa è teatro.

In breve:

• La base giuridica più usata per il lead B2B raccolto allo stand è il legittimo interesse (art. 6.1.f GDPR), non il consenso. Il consenso esplicito serve per newsletter/marketing massivo.
• L’informativa (art. 13) deve essere accessibile allo stand: un QR che porta a una pagina è sufficiente. Niente moduli cartacei firmati a ogni contatto.
• La conservazione segue il principio di limitazione (art. 5.1.e): definite un periodo proporzionato (molte aziende B2B: 12-24 mesi), scrivetelo e rispettatelo.
• L’enrichment da fonti pubbliche è compatibile se serve lo stesso scopo dichiarato e informate l’interessato.
• Tenete i dati nel CRM, non nell’app della fiera: un titolare, un periodo di conservazione, un export pulito.

La domanda sbagliata: “serve il consenso?”

La prima cosa che chiede chi non ha lavorato a uno stand è: “facciamo firmare il consenso?”. Quasi sempre la risposta è no. Se un visitatore vi lascia il biglietto o vi fa scansionare il badge per essere ricontattato su un’offerta B2B, esiste un’aspettativa ragionevole di contatto commerciale. La base giuridica corretta è spesso il legittimo interesse (art. 6.1.f GDPR).

Il consenso esplicito serve in casi precisi: iscrizione a newsletter, marketing automatizzato di massa, profilazione spinta. Confondere i due piani porta a due errori opposti: chiedere consenso quando non serve (e perdere lead per attrito), o fare email marketing senza consenso quando invece servirebbe.

La regola pratica: per il follow-up commerciale 1:1 post-fiera, legittimo interesse. Per inserire il contatto in flussi di marketing automatizzato, valutate il consenso. Documentate la scelta con un balancing test minimo.

L’informativa allo stand, senza teatro

L’art. 13 GDPR chiede che l’interessato sappia, al momento della raccolta: chi è il titolare, perché trattate il dato, su quale base, per quanto lo conservate, come esercita i diritti.

Nella pratica fieristica questo si risolve con:

• un QR allo stand che porta a una pagina informativa, oppure
• una riga nel form di qualifica digitale con link all’informativa estesa.

Non serve far firmare un modulo cartaceo a ogni contatto: rallenta la conversazione e produce carta che nessuno archivia. Quello che serve è la prova che l’informazione era disponibile al momento della raccolta. Se usate un sistema di lead capture in fiera digitale, la timestamp della scansione è già la vostra prova.

Conservazione: il numero che dovete decidere voi

Il GDPR non dice “24 mesi”. Dice principio di limitazione della conservazione (art. 5.1.e): tenete il dato solo per il tempo necessario allo scopo. Lo scopo lo definite voi.

Dalla nostra esperienza, molte aziende B2B adottano:

• lead convertiti in cliente → conservazione legata al rapporto contrattuale;
• lead qualificati non convertiti → 12-24 mesi, poi revisione, cancellazione o anonimizzazione;
• contatti freddi raccolti a volume → finestra più breve.

La parte che fa la differenza in un audit non è il numero scelto, è la coerenza: averlo scritto nell’informativa e averlo rispettato nel CRM. Un dato “dimenticato” in un Excel sul desktop di un commerciale è il vero rischio, non il periodo di retention.

Enrichment automatico e GDPR

L’arricchimento da fonti pubbliche è una zona grigia solo se la trattate con leggerezza. Se arricchite per lo stesso scopo già dichiarato (qualificare un contatto commerciale B2B) e da fonti pubbliche, è compatibile. Resta l’obbligo di informare l’interessato che integrate dati da fonti pubbliche.

Qui conta dove gira il sistema. Linkly arricchisce da 30+ fonti dati pubbliche e gira su infrastruttura UE GDPR compliant: il dato non lascia l’Unione. È un dettaglio che il DPO controlla per primo.

Il rischio vero: la frammentazione

La non-conformità in fiera raramente nasce da una base giuridica sbagliata. Nasce dalla frammentazione: badge fotografati col telefono personale, biglietti in tasca, app della fiera, un Google Sheet “che sistemiamo lunedì”. Più posti dove vive il dato personale, meno controllo avete su conservazione, accesso e cancellazione.

La pulizia operativa è anche pulizia GDPR: ogni contatto raccolto atterra subito nel CRM aziendale, con tag evento, base giuridica e periodo di conservazione coerenti. Un titolare, un sistema, un export. Questo è il punto dove compliance e produttività commerciale coincidono.

Quando il fai-da-te basta

Se fate una fiera l’anno con dieci contatti, un’informativa via QR e un foglio cancellato dopo 18 mesi possono bastare, gestiti con disciplina. Il problema scala quando i contatti sono centinaia, le persone diverse, gli eventi multipli: lì serve un processo, non la buona volontà del singolo commerciale.

Il prossimo passo

Se volete capire come tenere insieme conformità e velocità di follow-up, prenotate una demo: vi mostriamo il flusso badge → CRM con base giuridica, tag e retention coerenti, su infrastruttura UE.