Prospectarea B2B este permisă în România, dar nu fără reguli: GDPR se aplică doar când prelucrezi date ale unor persoane fizice (reprezentanți, angajați, PFA), iar Legea 506/2004 interzice emailurile comerciale nesolicitate și apelurile automate fără acord prealabil, inclusiv către firme. În practică, primul contact cu risc mai mic este apelul telefonic făcut de un om către numărul oficial al firmei, cu informare corectă și respectarea imediată a opoziției.
Mai jos găsești ce este și ce nu este dată personală în B2B, cum documentezi interesul legitim, ce trebuie să spui oamenilor pe care îi contactezi și o listă de verificare pe care o poți aplica echipei de vânzări. Articolul are caracter informativ și nu reprezintă consultanță juridică; verifică forma în vigoare a actelor pe legislatie.just.ro și ghidurile autorității pe dataprotection.ro.
Ce este și ce nu este dată personală în B2B
Regulamentul (UE) 2016/679 (GDPR) protejează persoanele fizice, nu firmele. Asta înseamnă că o bună parte din datele cu care lucrezi în vânzările B2B nu intră deloc sub GDPR, dar o parte intră, iar granița contează.
| Informație | Dată personală? | Observații |
|---|---|---|
| Denumire, CUI, nr. Registrul Comerțului, adresa sediului social | Nu | Date de identificare ale persoanei juridice, publice în registre. |
| Cod CAEN, cifră de afaceri, număr de angajați, statut TVA | Nu | Date despre activitatea firmei (ONRC, ANAF, Ministerul Finanțelor). |
| Email generic (office@, contact@) și telefonul fix al firmei | De regulă nu | Nu identifică o persoană; atenție însă la Legea 506/2004 pentru email. |
| Nume și prenume al administratorului sau al unui angajat | Da | Chiar dacă apar în registre publice. |
| Email nominal (ion.popescu@firma.ro) | Da | Identifică direct o persoană. |
| Mobil folosit de o singură persoană, inclusiv cel declarat pentru firmă | Poate fi | Dacă numărul poate fi legat de o persoană identificabilă, tratează-l ca dată personală. |
| Orice dată despre un PFA, II sau IF | Da | Sunt persoane fizice care desfășoară activități economice. |
Faptul că o informație este publică nu o scoate de sub GDPR. Numele unui administrator poate fi găsit în registre, dar dacă îl introduci în CRM și îl folosești pentru vânzări, prelucrezi o dată personală și ai obligațiile de mai jos. Din acest motiv, în registrul de firme BazaDate.ro includem doar persoane juridice active, fără PFA, II sau IF, iar ca date de contact afișăm telefonul declarat la ANAF și, unde există, emailul și site-ul de pe pagina publică a firmei.
Temeiul legal: de ce se folosește interesul legitim
Orice prelucrare de date personale are nevoie de un temei din art. 6 alin. (1) GDPR. Pentru prospectarea B2B, temeiul discutat cel mai des este interesul legitim, de la art. 6 alin. (1) lit. f). Considerentul 47 al GDPR menționează că prelucrarea în scopuri de marketing direct poate fi considerată ca fiind realizată în temeiul unui interes legitim. Formularea este „poate fi”, nu „este întotdeauna”: interesul tău trebuie cântărit față de drepturile și așteptările rezonabile ale persoanei.
Consimțământul este celălalt temei posibil, dar pentru primul contact de obicei nu îl ai. Nu îl invoca dacă nu îl poți dovedi (cine, când, pentru ce, cu ce formulare).
Testul de echilibru (LIA), pas cu pas
Evaluarea interesului legitim (în engleză „Legitimate Interest Assessment”) este un document scurt, intern, pe care îl scrii înainte de campanie și îl păstrezi ca dovadă. Structura clasică are trei pași:
| Pas | Întrebarea | Exemplu de răspuns pentru o firmă de instalații |
|---|---|---|
| 1. Scopul | Care este interesul tău și este el legitim? | Oferim servicii de întreținere pentru clădiri comerciale; vrem să contactăm administratorii de firme din domeniul imobiliar din Cluj. |
| 2. Necesitatea | Ai nevoie de date personale pentru asta? Există o cale mai puțin intruzivă? | Contactăm numărul oficial al firmei; păstrăm doar numele persoanei cu care am vorbit și funcția ei, nu alte date. |
| 3. Echilibrul | Ar anticipa persoana acest contact? Care e impactul asupra ei? Ce garanții oferi? | Oferta ține de activitatea firmei, contactul e la program, oferim informarea și opțiunea de opoziție la primul apel, nu folosim date personale sensibile. |
Dacă la pasul 3 concluzia este că persoana nu s-ar aștepta la contact (de exemplu, suni pe mobilul personal al unui angajat oarecare găsit pe o rețea socială), interesul legitim devine greu de susținut.
Obligația de informare (art. 14 GDPR)
Când datele nu sunt colectate direct de la persoana vizată, art. 14 GDPR îți cere să o informezi. Momentul: într-un termen rezonabil, dar cel târziu în cel mult o lună de la obținerea datelor, iar dacă le folosești pentru a comunica cu ea, cel târziu la primul contact. Informarea trebuie să cuprindă, pe scurt:
- cine ești (identitatea operatorului și datele de contact);
- scopul și temeiul prelucrării (de exemplu, interes legitim pentru prospectare B2B) și care este acel interes;
- categoriile de date și sursa lor (de exemplu, registre publice sau un furnizor de date);
- cât timp le păstrezi și cui le poți transmite;
- drepturile persoanei, inclusiv dreptul de opoziție și dreptul de a depune plângere la ANSPDCP.
La telefon, o formulă practică este o frază scurtă la început („Sun din partea firmei X, am găsit numărul firmei în registrele publice, vă pot spune pe scurt de ce vă sun?”) și trimiterea către o notă de informare completă pe site. Art. 14 alin. (5) prevede câteva excepții, printre care efortul disproporționat, dar ele sunt interpretate restrictiv; nu te baza pe ele fără o analiză juridică.
Dreptul de opoziție și lista internă de excludere
Art. 21 alin. (2) și (3) GDPR dau persoanei dreptul să se opună oricând prelucrării datelor sale în scop de marketing direct, iar după opoziție datele nu mai pot fi prelucrate în acest scop. Spre deosebire de alte situații, aici nu există un test de echilibru: opoziția la marketing direct este absolută.
Concret, ai nevoie de o listă de excludere pe care o verifici înainte de fiecare campanie. Păstrează în ea minimul necesar (de exemplu, CUI-ul firmei, numărul de telefon și data opoziției), tocmai ca să nu contactezi din nou persoana. Dacă reimporți periodic liste noi, compară-le cu lista de excludere după CUI și după telefon; articolul despre importul corect al firmelor în CRM arată cum marchezi câmpul de opoziție.
Legea 506/2004: emailul și apelurile automate
GDPR nu este singura regulă. Legea 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice transpune directiva ePrivacy. Art. 12 interzice efectuarea de comunicări comerciale prin poștă electronică, prin sisteme automate de apelare care nu necesită intervenția unui operator uman sau prin fax, fără consimțământul prealabil exprimat al abonatului sau utilizatorului.
Punctul care surprinde multe echipe de vânzări: în legea română, noțiunea de abonat include și persoanele juridice. Prin urmare, regula acordului prealabil se aplică și emailurilor trimise firmelor, inclusiv adreselor generice de tip office@. Excepția de la alin. (2) privește clienții existenți: dacă ai obținut adresa în contextul unei vânzări, o poți folosi pentru produse sau servicii similare, cu condiția ca la fiecare mesaj să existe o posibilitate clară, simplă și gratuită de dezabonare.
| Canal | Regula principală | Recomandare prudentă |
|---|---|---|
| Email comercial către o firmă nouă | Acord prealabil (Legea 506/2004 art. 12) | Nu trimite campanii în masă către liste cumpărate. |
| Email către clienți existenți | Excepția art. 12 alin. (2) | Produse similare, dezabonare la fiecare mesaj. |
| Apel automat, mesaj preînregistrat | Acord prealabil (art. 12) | Evită pentru prospectare. |
| Apel făcut de un om | Nu intră sub art. 12; GDPR dacă numărul identifică o persoană | Informare la început, opoziție respectată imediat. |
De aceea recomandăm ca primul contact cu firme noi să fie telefonic sau, dacă preferi emailul, o cerere de acord trimisă prin canalele pe care firma le oferă explicit. Detalii practice despre script și organizare găsești în ghidul de prospectare telefonică B2B, iar despre ce poți face legal prin email în ghidul de cold emailing.
Legea 190/2018 și ANSPDCP
Legea 190/2018 stabilește măsuri de punere în aplicare a GDPR în România (de exemplu, reguli privind anumite categorii de date și sancțiuni pentru autoritățile publice). Autoritatea de supraveghere este Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), care primește plângeri, face investigații și aplică sancțiuni. Pe dataprotection.ro poți urmări deciziile publicate; multe dintre ele privesc tocmai comunicări comerciale nesolicitate.
Păstrarea datelor și evidența prelucrărilor
Cât timp păstrezi datele
Principiul limitării stocării (art. 5 alin. (1) lit. e) GDPR) înseamnă că nu păstrezi date personale mai mult decât ai nevoie pentru scop. Pentru prospecți, o regulă internă frecventă este ștergerea sau anonimizarea datelor persoanelor care nu au devenit clienți după o perioadă definită (de exemplu 12 sau 24 de luni). Alege o durată pe care o poți justifica și scrie-o în nota de informare. Datele despre firmă (CUI, denumire, cifră de afaceri) nu sunt afectate de această regulă.
Evidența activităților de prelucrare
Art. 30 GDPR cere o evidență a activităților de prelucrare. Există o excepție pentru organizațiile sub 250 de angajați, dar ea nu se aplică dacă prelucrarea nu este ocazională, iar prospectarea continuă rareori este ocazională. Chiar și acolo unde nu e obligatorie, evidența te ajută să răspunzi la o plângere: ce date ai, de unde, de ce, cât timp.
Sursa datelor
Notează pentru fiecare firmă și persoană de unde provin datele. Dacă lucrezi cu o bază de date externă, păstrează dovada achiziției și descrierea surselor. În cazul nostru, sursele sunt publice și oficiale: ONRC (open data pe data.gov.ro), ANAF, Ministerul Finanțelor și portal.just.ro, detaliate în articolul despre ce conține o bază de date cu firme din România.
Lista de verificare pentru echipa de vânzări
- Separă în CRM datele despre firmă de datele despre persoane; lucrează cât mai mult cu datele firmei.
- Exclude PFA, II și IF din campaniile tratate ca B2B sau tratează-le explicit ca persoane fizice.
- Scrie testul de echilibru (LIA) pentru fiecare tip de campanie și păstrează-l.
- Pregătește o notă de informare conform art. 14 și o frază scurtă pentru primul contact.
- Nu trimite emailuri comerciale nesolicitate către firme noi; folosește telefonul sau o cerere de acord.
- Nu folosi apeluri automate sau mesaje preînregistrate fără acord prealabil.
- Ține o listă de excludere și verific-o înainte de fiecare campanie și de fiecare import.
- Stabilește durata de păstrare pentru prospecți și aplic-o efectiv (ștergere sau anonimizare).
- Notează sursa și temeiul pentru fiecare înregistrare.
- Instruiește oamenii care sună: ce spun, cum notează opoziția, ce nu notează.
Pentru a construi lista de firme de la care pornești, poți filtra firmele care au telefon declarat la ANAF pe domeniu și localitate; pașii sunt descriși în ghidul despre cum faci o listă de clienți B2B pe domeniu și oraș. Reamintim că acest articol este informativ și nu înlocuiește consultanța unui avocat sau a unui specialist în protecția datelor.