Personalización web B2B y privacidad de datos: cómo cumplir la normativa

La mayoría de los proyectos de personalización B2B chocan con el mismo muro en la segunda semana. Marketing tiene listos los segmentos y las variantes de titular, y entonces alguien de legal pregunta cómo funciona la identificación de visitantes según el RGPD, y nadie tiene una respuesta por escrito. El proyecto se queda esperando.

Este artículo es la respuesta que nos gustaría tener por escrito. Trata la privacidad de los datos en la personalización de webs B2B según los tres marcos normativos que generan más preguntas (el RGPD, las normas de ePrivacy de la UE sobre cookies y acceso a dispositivos, y la CCPA/CPRA de California), qué exige realmente cada uno y una checklist de lanzamiento que puedes pasar a tu equipo legal. No es asesoramiento jurídico. El objetivo es que marketing y legal lleguen antes a la misma conversación, con las fuentes primarias enlazadas para que tus asesores puedan comprobarlas.

Por qué la personalización B2B tiene un perfil de privacidad distinto

La mayoría de las directrices de privacidad están escritas para escenarios de consumo: seguimiento publicitario entre webs de compras, perfiles de comportamiento vendidos a terceros. La personalización web B2B suele ser distinta:

• La entrada principal son los datos a nivel de empresa (sector, tamaño, ubicación, tecnología utilizada), normalmente obtenidos a partir de la dirección IP del visitante.
• El resultado es modesto: un visitante del sector industrial ve casos de éxito industriales en lugar de fintech.
• Muchos visitantes vienen de empresas a las que ya vendes o a las que te diriges, así que hay un motivo de negocio razonable para mostrarles contenido relevante.

Nada de eso exime a la personalización B2B de la legislación de privacidad. Detrás de cada dirección IP sigue habiendo una persona, y las leyes protegen a esa persona, no a la empresa. Lo que cambia es el nivel de riesgo y qué base legal es realista. Clasificarlo bien es la mayor parte del trabajo.

RGPD: la cuestión de la dirección IP

La primera pregunta que hará el departamento legal es si una dirección IP cuenta como dato personal. La respuesta honesta es "a menudo sí, según quién la tenga". En Breyer (asunto C-582/14), el Tribunal de Justicia de la UE declaró que una dirección IP dinámica es un dato personal para el operador de un sitio web si ese operador dispone de medios legales para identificar al visitante con información adicional en poder del proveedor de acceso a internet. El asunto se resolvió con arreglo a la antigua Directiva de protección de datos, pero la definición de datos personales del RGPD en el artículo 4(1) incluye expresamente "un identificador en línea" como algo que puede hacer identificable a una persona, así que el mismo razonamiento se mantiene.

Nuestra opinión: planifica como si todas las direcciones IP que tratas fueran datos personales. Defender lo contrario te ahorra muy poco y hace que tu documentación parezca evasiva ante un regulador.

Cómo elegir la base legal

El artículo 6 del RGPD enumera seis bases jurídicas. Dos son relevantes para la personalización web:

Aquí importan dos detalles. Primero, el comunicado de prensa sobre Breyer también recoge que, según el Tribunal, el operador de un sitio web puede tener un interés legítimo en tratar los datos de los visitantes, siempre que se pondere frente a los derechos del visitante. Ese es el ejercicio de ponderación que tu LIA tiene que demostrar. Segundo, si la personalización forma parte del marketing directo, el artículo 21(2) y (3) otorga al visitante un derecho absoluto de oposición: en cuanto se opone, paras. Implementa la opción de exclusión antes del lanzamiento, no después de la primera queja.

Lo que puede costar un error con el RGPD

Según el artículo 83, apartado 5, las infracciones de los principios del tratamiento, de las normas sobre base jurídica del artículo 6, de las condiciones del consentimiento del artículo 7 y de los derechos de los interesados de los artículos 12 a 22 pueden acarrear multas de hasta 20 millones de euros o el 4 % de la facturación anual mundial, si esta cifra es superior. Son máximos, no multas típicas. El coste más realista para un equipo B2B mid-market es una investigación del regulador que te obligue a pausar la personalización mientras preparas documentos que ya deberías tener.

ePrivacy: donde se malinterpreta lo de "sin cookies"

La Directiva sobre la privacidad y las comunicaciones electrónicas (2002/58/CE, artículo 5(3)) es la norma que hay detrás de los banners de cookies. Exige consentimiento antes de almacenar información en el dispositivo de un usuario o acceder a información almacenada en él, salvo que el almacenamiento o el acceso sean estrictamente necesarios para un servicio que el usuario ha solicitado. Se aplica junto con el RGPD, y le da igual si la información es o no un dato personal.

En el Reino Unido, la norma equivalente está en PECR. Las directrices de la ICO dejan claro que el consentimiento debe darse de forma activa y clara, y que las cookies que solo son útiles o prácticas también lo necesitan. Las cookies de personalización entran en ese grupo.

Esta es la parte que se saltan muchos blogs de proveedores. Mucho marketing de personalización dice "en el servidor, sin cookies, así que no hace falta consentimiento". Es demasiado simple. Las Directrices 2/2023 del CEPD sobre el alcance técnico del artículo 5(3) (versión final de octubre de 2024) dicen que el seguimiento basado solo en direcciones IP puede entrar en el artículo 5(3) y que, salvo que puedas garantizar que una dirección IP no procede del dispositivo del usuario, debes tratarla como incluida. Las mismas directrices dicen que el artículo 5(3) se aplica cuando el código del lado del cliente indica al navegador que te envíe identificadores.

Qué significa esto en la práctica:

• Una búsqueda de IP puntual en el servidor para elegir un titular en la página vista actual es el patrón de menor riesgo. Algunos abogados querrán igualmente cubrirla con consentimiento o con un análisis claro de exención según las directrices del CEPD, así que consulta al tuyo.
• Usar la dirección IP para seguir a un visitante entre páginas o sesiones es seguimiento, y el criterio del EDPB es que requiere el mismo análisis de consentimiento que las cookies.
• Cualquier snippet de JavaScript que lea o establezca identificadores en el navegador (cookies, almacenamiento local, señales de fingerprinting) necesita consentimiento antes de ejecutarse, salvo que sea estrictamente necesario.

Una nota sobre los plazos: el Reglamento ePrivacy previsto, que debía sustituir a la Directiva, ya no existe. La Comisión Europea anunció en su programa de trabajo para 2025 que retiraría la propuesta, y la Directiva vigente y las leyes nacionales que la transponen siguen en vigor. No esperes a nuevas normas europeas sobre cookies para configurar bien el consentimiento.

CCPA/CPRA: ¿te afecta siquiera?

La ley de California solo se aplica a empresas con ánimo de lucro que operan en California y cumplen al menos uno de estos umbrales. Según la California Privacy Protection Agency, son:

1. Ingresos brutos anuales de 26,625 millones de USD o más (cifra actualizada a partir del 1 de enero de 2025).
2. Comprar, vender o compartir la información personal de 100.000 o más residentes u hogares de California.
3. Obtener el 50 % o más de los ingresos anuales de vender o compartir información personal de residentes en California.

Para los equipos B2B, el dato histórico importante es que la exención temporal para los datos de contacto profesionales y de empleados expiró el 1 de enero de 2023. Un comprador que navega por tu sitio desde un portátil del trabajo en California es un consumidor a efectos de la ley.

Si te afecta, las obligaciones relacionadas con la personalización son:

• Indica en tu política de privacidad que recoges datos derivados de la IP para la personalización y qué categorías de datos usas.
• Si los socios de enriquecimiento o publicidad reciben datos de visitantes de una forma que cuenta como "vender" o "compartir" (compartir incluye la publicidad comportamental entre contextos), ofrece un enlace "Do Not Sell or Share My Personal Information" y respeta las solicitudes de exclusión.
• Responde a las solicitudes de acceso, eliminación o rectificación en un plazo de 45 días naturales, ampliable otros 45 días si se lo notificas a la persona, según las FAQ de la CPPA.

Las sanciones se actualizaron según la inflación el 1 de enero de 2025: multas administrativas de hasta 2.663 USD por infracción y 7.988 USD por infracción intencionada, según el anuncio de la CPPA. Otros estados de EE. UU. tienen sus propias leyes integrales de privacidad con umbrales distintos, así que, si recibes un tráfico significativo de esos estados, analízalos por separado en lugar de dar por hecho que el análisis de California te cubre.

Un marco práctico: tres niveles de datos

La forma más sencilla de que esto sea manejable es clasificar cada dato que usa tu personalización antes de construir nada.

Nuestra opinión: lanza con el Nivel 1. Mostrar a una empresa de logística tu caso de éxito de logística no requiere saber nada de la persona que lo lee. La mayoría de las victorias evidentes de la personalización (titular por sector, pruebas relevantes, énfasis en precios según el tamaño de la empresa) están en el Nivel 1. Los niveles 2 y 3 aportan valor, pero también añaden dependencias del consentimiento y papeleo, así que añádelos cuando el Nivel 1 esté medido y estable.

Paso a paso: un lanzamiento conforme a la normativa

1. Divide la experiencia en función del consentimiento

El error habitual es bloquear toda la personalización hasta que el visitante hace clic en "Aceptar". Un diseño mejor:

1. Antes del consentimiento: solo personalización de nivel 1 a partir de una consulta del lado del servidor, sin almacenar identificadores en el dispositivo. Sin historial de comportamiento.
2. Tras el consentimiento a las cookies de personalización: empieza a registrar las visitas de regreso y la interacción, y úsalas para las reglas del nivel 2.
3. Tras el envío de un formulario: vincula la cuenta con los datos del CRM (nivel 3) cuando tu aviso de privacidad y tu base jurídica lo cubran.

Pruébalo de la forma aburrida: abre la web en un perfil de navegador limpio, rechaza todo y revisa la pestaña Application de DevTools. No debería aparecer ninguna cookie ni clave de local storage de personalización. Después acepta y vuelve a comprobarlo.

2. Haz que las categorías de consentimiento reflejen la realidad

Un visitante que acepta “analítica” no ha aceptado “personalización”. Si tu herramienta de consentimiento tiene categorías granulares, añade una categoría de personalización (o incluye la personalización en una categoría existente, como “funcional” o “marketing”, que la describa con precisión) y asegúrate de que el script de personalización atiende específicamente a esa categoría.

3. Audita a cada proveedor del flujo de datos

Para cada proveedor que toque datos de visitantes (enriquecimiento de IP, analítica, CDP, CRM, herramienta de consentimiento), anota:

• Qué datos reciben de tu sitio y qué devuelven.
• Dónde los almacenan y procesan, y qué mecanismo de transferencia cubre cualquier transferencia fuera del EEE.
• Si usan los datos de tus visitantes para sus propios productos. Si lo hacen, pueden estar actuando como responsables del tratamiento en lugar de como encargados, lo que cambia tus contratos y tu aviso de privacidad.
• Si hay un contrato de encargo de tratamiento firmado y dónde está archivado.

El contrato solo cubre la mitad; la otra mitad es cómo protege realmente los datos cada proveedor. Si tu equipo no tiene experiencia interna en seguridad, unos servicios de ciberseguridad externos pueden revisar los controles de acceso y el almacenamiento de los proveedores antes de firmar.

Ejemplo de lo que suele detectar esta auditoría (ilustrativo): una herramienta de analítica cuyas condiciones le permiten usar los datos de los clientes para crear sus propios productos de audiencia. Eso no es una relación de encargado del tratamiento, así que o renegocias, lo comunicas correctamente o cambias a una herramienta que se mantenga en el papel de encargado, como una configuración de analítica de personalización que solo trate los datos siguiendo tus instrucciones.

4. Redacta los tres documentos

• Sección de la política de privacidad. Qué recopilas (datos de empresa derivados de la IP, datos de comportamiento con consentimiento), para qué (mostrar contenido relevante), base legal, conservación, proveedores y cómo oponerse.
• Evaluación del interés legítimo. Prueba de finalidad (mostrar contenido relevante a visitantes profesionales), prueba de necesidad (por qué los datos a nivel de empresa bastan y no necesitas más) y prueba de ponderación (sin datos sensibles, resultado a nivel de empresa, oposición sencilla, conservación breve).
• Política de cookies. Cada cookie o clave de almacenamiento que establece el sistema de personalización, con su finalidad, duración y categoría.

5. Fija límites de conservación que puedas hacer cumplir

El principio de limitación del plazo de conservación del RGPD, en el Article 5(1)(e), implica no conservar los datos personales más tiempo del que requiere la finalidad. La ley no fija una cifra, así que elige una y justifícala. Ejemplo: datos de comportamiento durante 90 días y datos de cuenta enriquecidos durante 12 meses para cubrir un ciclo de ventas B2B típico. Elijas lo que elijas, configúralo en las herramientas para que el borrado se haga automáticamente.

6. Ensaya una solicitud de un interesado

Según el artículo 12(3), tienes que responder a las solicitudes de acceso, supresión y oposición sin dilación indebida y en el plazo de un mes, prorrogable otros dos meses cuando sea necesario. California da 45 días. Haz una solicitud de prueba antes del lanzamiento: elige a un compañero que haya visitado el sitio e intenta encontrar, exportar y eliminar todo lo que tu stack guarda sobre él. Si tu herramienta de identificación de visitantes no puede hacerlo por dirección IP o por contacto, tienes un problema que resolver antes de salir en vivo.

Errores habituales de cumplimiento normativo

Llamar "anónimos" a los datos de empresa

Identificar una empresa no es lo mismo que tratar datos anónimos. La dirección IP que usaste para la consulta es un dato personal en la mayoría de los escenarios realistas. Dilo en tu documentación, apóyate en una base legal documentada y sigue adelante.

Suponer que "del lado del servidor" significa "sin consentimiento"

Como se ha explicado antes, el CEPD interpreta el artículo 5, apartado 3, de forma lo bastante amplia como para incluir el seguimiento basado en IP y la recogida de identificadores del lado del cliente. Las consultas de empresa en el servidor, por solicitud, son el diseño de menor riesgo, pero son una decisión de diseño que debes comentar con tu asesoría legal, no una exención automática.

Sin vía para objeciones

Si tu base jurídica es el interés legítimo, el visitante puede oponerse. Un enlace en la política de privacidad que lleva a un buzón de email que nadie revisa no cuenta. Dale un ajuste que desactive la personalización y respétalo en el motor de personalización.

Incorporar datos de intención de terceros sin comprobar su procedencia

Los datos de intención de terceros a menudo se construyen a partir de la navegación entre sitios. Si el proveedor no puede demostrar cómo obtuvo el consentimiento u otra base legal para esa recopilación, heredas esa debilidad en cuanto los usas. Pide su documentación sobre la procedencia de los datos antes de firmar y da preferencia a las señales de comportamiento first-party. Analizamos estas contrapartidas con más detalle en nuestra guía sobre datos de intención para la personalización web B2B.

Conservación indefinida

Las herramientas de personalización suelen guardarlo todo por defecto. Revisa la configuración de conservación de cada herramienta del stack, no solo de la plataforma de personalización principal.

Checklist previa al lanzamiento

1. Inventario de datos hecho, cada input clasificado como nivel 1, 2 o 3.
2. Base jurídica documentada por nivel, con una LIA para el nivel 1.
3. Análisis de ePrivacy de la búsqueda de IP y de cualquier script en el cliente revisado por un asesor jurídico.
4. El banner de consentimiento tiene una categoría que cubre la personalización, y una prueba con un navegador limpio confirma que no se guarda nada antes del consentimiento.
5. Contratos de encargo de tratamiento (DPA) firmados con todos los proveedores; ubicaciones de almacenamiento y mecanismos de transferencia registrados.
6. Política de privacidad y política de cookies actualizadas.
7. La vía de oposición y baja funciona y el motor de personalización la respeta.
8. Límites de conservación configurados en todas las herramientas.
9. Solicitud de prueba de un interesado completada dentro de los plazos del RGPD y la CCPA.
10. Alcance de la CCPA comprobado con los tres umbrales, y otras leyes estatales de EE. UU. analizadas si tienes tráfico allí.

Por qué las restricciones de privacidad dan lugar a una mejor personalización

Esta es la parte de opinión, y algunos equipos no estarán de acuerdo. Trabajar dentro de las normas de privacidad te empuja hacia la personalización que, de todos modos, suele funcionar.

Los segmentos a nivel de empresa llegan a todos los visitantes, incluidos los que rechazan las cookies, así que tu primera prueba no se limita al subconjunto que hizo clic en "Aceptar". Es más fácil escribir buen contenido para menos segmentos y más amplios (por ejemplo, cinco o seis por sector y tamaño de empresa) que para decenas de microsegmentos construidos a partir de patrones de navegación, y cada segmento recibe tráfico suficiente para medir. Y cuando no puedes apoyarte en datos de terceros, inviertes en una estrategia de datos propios basada en cómo usa realmente la gente tu web, que son los datos que reflejan su interés en ti en concreto.

Si quieres un punto de partida para esos segmentos, nuestro artículo sobre segmentos firmográficos que convierten explica cómo elegirlos, y cómo funciona la identificación de visitantes a nivel de empresa explica qué puede y qué no puede decirte la consulta de IP.

Cómo empezar sin quedarte atascado en la revisión legal

El riesgo realista para la mayoría de los equipos B2B no es una multa. Son meses de idas y venidas porque nadie le dio al departamento legal un diseño concreto que revisar. Dáselo:

1. Un diagrama de flujo de datos de una página que muestre la consulta de IP, qué se obtiene y qué se almacena.
2. La tabla de niveles anterior, rellenada para tu stack.
3. Un borrador de LIA y de la sección de la política de privacidad.
4. Los resultados de la prueba de consentimiento en un navegador limpio.

Después, lanza el nivel 1 en unas pocas páginas con mucho tráfico, mide durante 30 días y añade el nivel 2 cuando el consentimiento funcione y las cifras lo justifiquen.

Markettailor encaja con este orden de operaciones: su segmentación firmográfica funciona con datos a nivel de empresa, así que puedes empezar con reglas de nivel 1 mientras se termina el trabajo de consentimiento. Si quieres comparar planes antes de hablar con legal, consulta los precios de Markettailor.