Ciò che hai il DIRITTO di vendere (GDPR e monetizzazione)

Prima di monetizzare dati, una domanda prevale su tutte le altre: hai il diritto di venderli? (Questa guida semplifica regole stabilite e non costituisce un consiglio legale: per il tuo caso specifico, consulta il tuo DPO, la CNIL o un avvocato.)

Tutto inizia con una distinzione: il dato è personale? Un dato che permette di identificare una persona, direttamente o indirettamente, è personale e rientra nel GDPR (art. 4(1)). Segue una sfumatura decisiva: un dato anonimo — cioè reso irreversibilmente non identificabile — esce dal GDPR (considerando 26), mentre un dato solo pseudonimizzato rimane personale (art. 4(5)). La CNIL impone tre test per parlare di anonimizzazione: impossibilità di individualizzare, correlare e inferire.

Per cedere un dato personale, è necessaria una base legale (art. 6(1)): il consenso, o l'interesse legittimo corredato da un test di bilanciamento. Attenzione, «vendere sotto interesse legittimo» non è una regola generale — è caso per caso. Altra trappola: rivendere un dato costituisce una nuova finalità rispetto alla raccolta (art. 5(1)(b) e 6(4)); in pratica, ciò richiede un nuovo consenso, e le CGU accettate «in blocco» non valgono consenso (CNIL). Sul fronte della prospezione, il canale elettronico richiede un consenso preventivo, mentre la via postale o telefonica può basarsi sull'interesse legittimo con diritto di opposizione.

Il B2B non sfugge al GDPR: un indirizzo generico «contatto@società» è fuori campo (considerando 14), ma un'email nominativa «nome.cognome@» o il nome di un dipendente rimangono dati personali (CGUE, C-710/23); per un autoimprenditore, i «dati dell'azienda» identificano spesso la persona. Da qui una checklist in cinque domande: il dato è personale? Ho una base legale per cederlo? È compatibile con la finalità iniziale? Le persone sono informate e possono opporsi? Gli oppositori sono esclusi, con prova a sostegno?

Non è teorico: il 15 maggio 2025, la CNIL ha sanzionato Solocal Marketing Services (900 000 €) e Caloga (80 000 €) per uso e rivendita di dati di prospezione senza base legale valida. La lezione: un dato conforme si vende, un dato non conforme viene sanzionato. Privilegiare l'aggregato e l'anonimizzato, e far qualificare i propri dati prima di metterli sul mercato.