Personalizace B2B webu a ochrana osobních údajů: jak zůstat v souladu s předpisy

Většina projektů B2B personalizace narazí ve druhém týdnu na stejnou zeď. Marketing má připravené segmenty a varianty nadpisů, pak se někdo z právního oddělení zeptá, jak funguje identifikace návštěvníků z pohledu GDPR, a nikdo nemá odpověď sepsanou. Projekt čeká.

Tento článek je odpovědí, kterou bychom sami chtěli mít sepsanou. Popisuje ochranu soukromí při personalizaci B2B webů podle tří sad pravidel, které vyvolávají nejvíc otázek (GDPR, pravidla EU ePrivacy pro cookies a přístup k zařízení a kalifornské CCPA/CPRA), co každá z nich skutečně vyžaduje, a obsahuje checklist pro spuštění, který můžete předat právnímu týmu. Nejde o právní poradenství. Cílem je dostat marketing a právní oddělení rychleji k jednomu stolu, s odkazy na primární zdroje, aby si je vaši právníci mohli ověřit.

Proč má B2B personalizace jiný profil z hlediska ochrany soukromí

Většina doporučení k ochraně soukromí je psaná pro spotřebitelské scénáře: sledování reklam napříč nákupními weby, behaviorální profily prodávané třetím stranám. Personalizace B2B webu obvykle vypadá jinak:

• Hlavním vstupem jsou data na úrovni firmy (odvětví, velikost, lokalita, používané technologie), obvykle odvozená z IP adresy návštěvníka.
• Výsledek je mírný: návštěvník z výroby vidí případové studie z výroby místo fintechových.
• Mnoho návštěvníků přichází z firem, kterým už prodáváte nebo na které cílíte, takže existuje věrohodný obchodní důvod zobrazit jim relevantní obsah.

Nic z toho B2B personalizaci nevyjímá z práva na ochranu soukromí. Za každou IP adresou stále stojí člověk a zákony chrání jeho, ne firmu. Mění se úroveň rizika a to, který právní základ je realistický. Správné zařazení je většina práce.

GDPR: otázka IP adresy

První otázka, kterou položí právní oddělení, je, zda IP adresa představuje osobní údaj. Upřímná odpověď zní „často ano, podle toho, kdo ji má“. V rozsudku Breyer (věc C-582/14) Soudní dvůr EU rozhodl, že dynamická IP adresa je pro provozovatele webu osobním údajem, pokud má tento provozovatel právní prostředky k identifikaci návštěvníka pomocí dodatečných informací, které má poskytovatel internetu. Případ byl rozhodnut podle staré směrnice o ochraně údajů, ale definice osobních údajů v GDPR v čl. 4 odst. 1 výslovně uvádí „síťový identifikátor“ jako něco, co může osobu učinit identifikovatelnou, takže stejná úvaha platí i nadále.

Náš názor: plánujte, jako by každá IP adresa, kterou zpracováváte, byla osobním údajem. Opačná argumentace vám ušetří velmi málo a vaše dokumentace pak před regulátorem působí vyhýbavě.

Volba právního základu

Článek 6 GDPR uvádí šest právních základů. Pro personalizaci webu jsou relevantní dva:

Důležité jsou zde dva detaily. Zaprvé tisková zpráva k rozsudku Breyer zmiňuje i stanovisko Soudního dvora, že provozovatel webu může mít oprávněný zájem na zpracování údajů o návštěvnících, pokud jej poměří s právy návštěvníka. Právě toto vyvážení musí vaše LIA prokázat. Zadruhé, pokud je personalizace součástí přímého marketingu, dává návštěvníkovi čl. 21 odst. 2 a 3 absolutní právo vznést námitku: jakmile ji vznese, přestanete. Možnost odhlášení postavte před spuštěním, ne až po první stížnosti.

Kolik může stát chyba v GDPR

Podle čl. 83 odst. 5 mohou porušení zásad zpracování, pravidel právního základu v článku 6, podmínek souhlasu v článku 7 a práv subjektů údajů v článcích 12 až 22 vést k pokutám až do výše 20 milionů EUR nebo 4 % celosvětového ročního obratu, podle toho, která částka je vyšší. Jde o maxima, ne o typické pokuty. Realističtějším nákladem pro mid-market B2B tým je šetření dozorového úřadu, které vás donutí personalizaci pozastavit, zatímco budete dodávat dokumenty, které už jste měli mít.

ePrivacy: kde se „bez cookies“ chápe špatně

Směrnice ePrivacy (2002/58/ES, čl. 5 odst. 3) je pravidlo, které stojí za cookie lištami. Vyžaduje souhlas před ukládáním informací do zařízení uživatele nebo před získáním přístupu k nim, pokud ukládání nebo přístup nejsou nezbytně nutné pro službu, o kterou uživatel požádal. Platí vedle GDPR a nezáleží jí na tom, zda jde o osobní údaje.

Ve Spojeném království je ekvivalentní pravidlo v PECR. Pokyny ICO jasně uvádějí, že souhlas musí být udělen aktivně a jednoznačně a že ho vyžadují i cookies, které jsou jen užitečné nebo pohodlné. Personalizační cookies patří do této skupiny.

Tuhle část mnoho blogů dodavatelů přeskakuje. Spousta marketingu personalizace tvrdí „na straně serveru, bez cookies, takže souhlas není potřeba“. To je příliš zjednodušené. Guidelines 2/2023 on the technical scope of Article 5(3) od EDPB (finální verze z října 2024) uvádějí, že sledování založené pouze na IP adresách může spadat pod článek 5(3) a že pokud nedokážete zajistit, že IP adresa nepochází ze zařízení uživatele, musíte ji považovat za pokrytou. Tytéž pokyny uvádějí, že článek 5(3) se uplatní, když kód na straně klienta dá prohlížeči pokyn, aby vám odeslal identifikátory.

Co to znamená v praxi:

• Jednorázové vyhledání IP na straně serveru, použité k výběru nadpisu pro aktuální zobrazení stránky, je nejméně rizikový vzor. Někteří právníci ho přesto budou chtít pokrýt souhlasem nebo jasnou analýzou výjimky podle pokynů EDPB, proto se zeptejte svého.
• Použití IP adresy ke sledování návštěvníka napříč stránkami nebo relacemi je sledování a podle EDPB vyžaduje stejnou analýzu souhlasu jako cookies.
• Jakýkoli JavaScriptový snippet, který v prohlížeči čte nebo nastavuje identifikátory (cookies, local storage, signály pro fingerprinting), potřebuje před spuštěním souhlas, pokud není nezbytně nutný.

Jedna poznámka k načasování: plánované nařízení ePrivacy, které mělo nahradit směrnici, je ze stolu. Evropská komise ve svém pracovním programu na rok 2025 oznámila, že návrh stáhne, a stávající směrnice spolu s národními prováděcími zákony zůstávají v platnosti. Nečekejte na nová pravidla EU pro cookies a nastavte souhlasy správně už teď.

CCPA/CPRA: týká se vás vůbec?

Kalifornský zákon se vztahuje jen na ziskové firmy, které podnikají v Kalifornii a splňují alespoň jednu hranici. Podle California Privacy Protection Agency to jsou:

1. Hrubé roční tržby ve výši 26,625 milionu USD nebo více (částka upravená od 1. ledna 2025).
2. Nákup, prodej nebo sdílení osobních údajů 100 000 a více obyvatel nebo domácností Kalifornie.
3. Získávání 50 % nebo více ročních tržeb z prodeje nebo sdílení osobních údajů obyvatel Kalifornie.

Pro B2B týmy je důležité, že dočasná výjimka pro obchodní kontaktní údaje a údaje o zaměstnancích vypršela 1. ledna 2023. Kupující, který prochází váš web z pracovního notebooku v Kalifornii, je podle zákona spotřebitelem.

Pokud se vás to týká, povinnosti související s personalizací jsou:

• V zásadách ochrany osobních údajů uveďte, že pro personalizaci sbíráte data odvozená z IP adres a jaké kategorie dat používáte.
• Pokud partneři pro obohacování dat nebo reklamu dostávají data o návštěvnících způsobem, který se počítá jako „prodej“ nebo „sdílení“ (sdílení zahrnuje behaviorální reklamu napříč kontexty), nabídněte odkaz „Do Not Sell or Share My Personal Information“ a respektujte odhlášení.
• Na žádosti o informace, výmaz nebo opravu odpovězte do 45 kalendářních dnů, s možností prodloužení o dalších 45 dnů, pokud o tom osobu informujete, podle FAQ CPPA.

Pokuty byly 1. ledna 2025 navýšeny o inflaci: správní pokuty až 2 663 USD za porušení a 7 988 USD za úmyslné porušení, podle oznámení CPPA. Další státy USA mají vlastní komplexní zákony o ochraně soukromí s jinými prahy, takže pokud z těchto států máte významnou návštěvnost, zmapujte je zvlášť, místo abyste předpokládali, že vás pokryje analýza pro Kalifornii.

Funkční rámec: tři úrovně dat

Nejsnazší způsob, jak to zvládnout, je klasifikovat každý vstup, který vaše personalizace používá, dřív, než cokoli postavíte.

Náš pohled: začněte úrovní 1. Ukázat logistické firmě vaši logistickou případovou studii nevyžaduje vědět cokoli o člověku, který ji čte. Většina zjevných výher personalizace (odvětvový nadpis, relevantní důkazy, důraz na cenu podle velikosti firmy) leží v úrovni 1. Úrovně 2 a 3 přidávají hodnotu, ale také závislost na souhlasu a papírování, proto je přidejte, až bude úroveň 1 změřená a stabilní.

Krok za krokem: spuštění v souladu s předpisy

1. Rozdělte zážitek podle souhlasu

Častou chybou je blokovat veškerou personalizaci, dokud návštěvník neklikne na „Přijmout“. Lepší řešení:

1. Před udělením souhlasu: pouze personalizace úrovně 1 z vyhledávání na straně serveru, bez ukládání identifikátorů do zařízení. Žádná historie chování.
2. Po souhlasu s personalizačními cookies: začněte zaznamenávat opakované návštěvy a engagement a používejte je pro pravidla úrovně 2.
3. Po odeslání formuláře: propojte účet s daty v CRM (úroveň 3), pokud to pokrývají vaše informace o ochraně osobních údajů a právní základ.

Otestujte to nudnou cestou: otevřete web v čistém profilu prohlížeče, vše odmítněte a zkontrolujte záložku Application v DevTools. Neměla by se objevit žádná personalizační cookie ani klíč v local storage. Pak souhlas přijměte a zkontrolujte znovu.

2. Sjednoťte kategorie souhlasu se skutečností

Návštěvník, který přijme „analytiku“, nesouhlasil s „personalizací“. Pokud má váš nástroj pro správu souhlasů podrobné kategorie, přidejte kategorii personalizace (nebo personalizaci zařaďte do existující kategorie „funkční“ či „marketingové“, která ji přesně popisuje) a zajistěte, aby personalizační skript reagoval právě na tuto kategorii.

3. Prověřte každého dodavatele v toku dat

U každého dodavatele, který pracuje s daty návštěvníků (obohacení IP, analytika, CDP, CRM, nástroj pro souhlas), si zapište:

• Jaká data dostávají z vašeho webu a co posílají zpět.
• Kde je ukládají a zpracovávají a jaký mechanismus pokrývá případný přenos mimo EHP.
• Zda vaše data o návštěvnících používají pro vlastní produkty. Pokud ano, mohou vystupovat jako správce, nikoli zpracovatel, což mění vaše smlouvy i informace o ochraně osobních údajů.
• Zda je podepsaná smlouva o zpracování osobních údajů a kde je založená.

Smlouva pokrývá jen polovinu; druhou polovinou je, jak každý dodavatel data skutečně chrání. Pokud váš tým nemá vlastní odborníky na bezpečnost, mohou externí služby kybernetické bezpečnosti před podpisem prověřit řízení přístupu a úložiště dodavatelů.

Příklad toho, co tento audit obvykle odhalí (ilustrativní): analytický nástroj, jehož podmínky mu umožňují používat zákaznická data k tvorbě vlastních produktů s publiky. To není vztah zpracovatele a buď smlouvu znovu vyjednáte, řádně to zveřejníte, nebo přejdete na nástroj, který zůstává v roli zpracovatele, například nastavení analytiky personalizace, které zpracovává data jen podle vašich pokynů.

4. Sepište tři dokumenty

• Sekce v zásadách ochrany osobních údajů. Co sbíráte (údaje o firmě odvozené z IP, behaviorální data se souhlasem), proč (abyste zobrazovali relevantní obsah), právní základ, dobu uchování, dodavatele a jak vznést námitku.
• Test oprávněného zájmu. Test účelu (zobrazování relevantního obsahu firemním návštěvníkům), test nezbytnosti (proč stačí data na úrovni firem a víc nepotřebujete), test vyvážení (žádné citlivé údaje, výstup na úrovni firem, snadné vznesení námitky, krátké uchovávání).
• Zásady cookies. Každá cookie nebo klíč úložiště, které personalizační systém nastavuje, jejich účel, doba platnosti a kategorie.

5. Stanovte lhůty uchovávání, které dokážete vymáhat

Zásada omezení uložení v GDPR v čl. 5 odst. 1 písm. e) znamená uchovávat osobní údaje jen po dobu, kterou účel vyžaduje. Zákon nestanoví konkrétní číslo, takže si jedno vyberte a zdůvodněte ho. Příklad: behaviorální data 90 dní, obohacená data o účtech 12 měsíců, aby pokryla typický B2B obchodní cyklus. Ať zvolíte cokoli, nastavte to v nástrojích tak, aby mazání probíhalo automaticky.

6. Nacvičte vyřízení žádosti subjektu údajů

Podle Article 12(3) musíte na žádosti o přístup, výmaz a námitku odpovědět bez zbytečného odkladu a do jednoho měsíce, s možností prodloužení o další dva měsíce, je-li to nutné. Kalifornie dává 45 dní. Před spuštěním proveďte zkušební žádost: vyberte kolegu, který web navštívil, a zkuste najít, exportovat a smazat vše, co o něm váš stack uchovává. Pokud to váš nástroj pro identifikaci návštěvníků nedokáže podle IP adresy nebo kontaktu, máte problém, který je potřeba vyřešit před spuštěním.

Časté chyby v compliance

Označovat firemní data za „anonymní“

Identifikace firmy není totéž co zpracování anonymních dat. IP adresa, kterou jste k vyhledání použili, je ve většině realistických scénářů osobním údajem. Uveďte to ve své dokumentaci, opřete se o zdokumentovaný právní základ a jděte dál.

Předpoklad, že „server-side“ znamená „bez souhlasu“

Jak bylo uvedeno výše, EDPB vykládá článek 5(3) dost široce na to, aby zahrnoval sledování založené na IP a sběr identifikátorů na straně klienta. Vyhledávání firmy na straně serveru u každého požadavku je nejméně rizikový design, ale je to designové rozhodnutí, které je třeba probrat s právníkem, ne automatická výjimka.

Chybí cesta pro námitku

Pokud je vaším právním základem oprávněný zájem, může návštěvník vznést námitku. Odkaz v zásadách ochrany osobních údajů, který vede do e-mailové schránky, kterou nikdo nesleduje, se nepočítá. Dejte mu nastavení, které personalizaci vypne, a respektujte ho v personalizačním enginu.

Používání záměrových dat třetích stran bez ověření jejich původu

Záměrová data třetích stran se často sestavují ze sledování prohlížení napříč weby. Pokud poskytovatel nedokáže doložit, jak pro tento sběr získal souhlas nebo jiný právní základ, převezmete tuto slabinu ve chvíli, kdy data použijete. Před podpisem si vyžádejte dokumentaci o původu dat a dávejte přednost first-party behaviorálním signálům. Kompromisy podrobněji popisuje náš průvodce záměrovými daty pro personalizaci B2B webu.

Neomezené uchovávání

Personalizační nástroje si často ve výchozím nastavení uchovávají všechno. Zkontrolujte nastavení uchovávání u každého nástroje ve stacku, nejen u hlavní personalizační platformy.

Checklist před spuštěním

1. Inventura dat hotová, každý vstup zařazen do úrovně 1, 2 nebo 3.
2. Právní základ zdokumentovaný pro každou úroveň, s LIA pro úroveň 1.
3. Analýza vyhledání IP a všech skriptů na straně klienta podle ePrivacy zkontrolovaná právníkem.
4. Lišta souhlasu obsahuje kategorii pokrývající personalizaci a test v čistém prohlížeči potvrzuje, že se před udělením souhlasu nic neukládá.
5. Smlouvy o zpracování údajů podepsané se všemi dodavateli; místa uložení a mechanismy předávání zaznamenány.
6. Zásady ochrany osobních údajů a zásady cookies aktualizovány.
7. Cesta pro námitku a odhlášení funguje a personalizační engine ji respektuje.
8. Lhůty uchovávání nastavené v každém nástroji.
9. Testovací žádost subjektu údajů vyřízena ve lhůtách podle GDPR a CCPA.
10. Působnost CCPA ověřena podle tří hranic a zmapovány zákony dalších států USA, pokud odtud máte návštěvnost.

Proč omezení ochrany soukromí vedou k lepší personalizaci

Tohle je názorová část a některé týmy s ní nebudou souhlasit. Práce v rámci pravidel ochrany soukromí vás tlačí k personalizaci, která obvykle funguje tak jako tak.

Segmenty na úrovni firem zasáhnou každého návštěvníka, včetně těch, kteří cookies odmítnou, takže váš první test není omezen na podmnožinu, která klikla na „Přijmout“. Pro méně širších segmentů (například pět nebo šest podle odvětví a velikosti firmy) se dobrý obsah píše snáz než pro desítky mikrosegmentů postavených na vzorcích prohlížení a každý segment má dost provozu na měření. A když se nemůžete opřít o data třetích stran, investujete do strategie first-party dat postavené na tom, jak lidé skutečně používají váš vlastní web, což jsou data, která odrážejí jejich zájem právě o vás.

Pokud chcete pro tyto segmenty výchozí bod, náš článek o firmografických segmentech, které konvertují popisuje, jak je vybrat, a článek jak funguje identifikace návštěvníků na úrovni firem vysvětluje, co vám vyhledávání podle IP řekne a co ne.

Jak začít a neuváznout v právní kontrole

Reálným rizikem pro většinu B2B týmů není pokuta. Jsou to měsíce dohadování, protože nikdo nedal právnímu oddělení konkrétní návrh k posouzení. Dejte mu ho:

1. Jednostránkový diagram toku dat, který ukazuje vyhledání IP adresy, co se vrací a co se ukládá.
2. Výše uvedená tabulka úrovní vyplněná pro váš stack.
3. Návrh LIA a příslušné části zásad ochrany osobních údajů.
4. Výsledky testu souhlasu v čistém prohlížeči.

Pak spusťte úroveň 1 na několika stránkách s vysokou návštěvností, 30 dní měřte a úroveň 2 přidejte, jakmile budou fungovat souhlasy a čísla to ospravedlní.

Markettailor do tohoto pořadí kroků zapadá: jeho firmografická segmentace pracuje s daty na úrovni firem, takže můžete začít pravidly úrovně 1, zatímco se dokončuje práce na souhlasech. Pokud chcete tarify porovnat ještě před rozhovorem s právníky, podívejte se na ceny Markettailoru.