Useimmat B2B-personointiprojektit törmäävät samaan seinään toisella viikolla. Markkinoinnilla on segmentit ja otsikkoversiot valmiina, sitten joku lakitiimistä kysyy, miten kävijätunnistus toimii GDPR:n kannalta, eikä kenelläkään ole vastausta kirjattuna. Projekti odottaa.
Tämä artikkeli on vastaus, jonka haluaisimme nähdä kirjoitettuna. Se käsittelee B2B-verkkosivustojen personoinnin tietosuojaa kolmen eniten kysymyksiä herättävän säännöstön valossa (GDPR, EU:n evästeitä ja laitteiden käyttöä koskevat sähköisen viestinnän tietosuojasäännöt sekä Kalifornian CCPA/CPRA), mitä kukin todella vaatii, ja tarjoaa julkaisua edeltävän tarkistuslistan, jonka voit antaa lakitiimillesi. Tämä ei ole oikeudellista neuvontaa. Tavoitteena on saada markkinointi ja lakiosasto samaan keskusteluun nopeammin, ja ensisijaiset lähteet on linkitetty, jotta juristisi voi tarkistaa ne.
Miksi B2B-personoinnin tietosuojaprofiili on erilainen
Suurin osa tietosuojaohjeistuksesta on kirjoitettu kuluttajatilanteisiin: mainosseuranta ostossivustojen välillä, kolmansille osapuolille myydyt käyttäytymisprofiilit. B2B-verkkosivuston personointi näyttää yleensä erilaiselta:
- Pääsyöte on yritystason data (toimiala, koko, sijainti, käytetty teknologia), joka yleensä johdetaan kävijän IP-osoitteesta.
- Tulos on maltillinen: valmistavan teollisuuden kävijä näkee valmistavan teollisuuden asiakastarinoita fintech-tarinoiden sijaan.
- Monet kävijät tulevat yrityksistä, joille jo myyt tai joihin kohdistat, joten heille on uskottava liiketoiminnallinen syy näyttää relevanttia sisältöä.
Mikään tästä ei vapauta B2B-personointia tietosuojalainsäädännöstä. Jokaisen IP-osoitteen takana on silti ihminen, ja lait suojaavat sitä ihmistä, eivät yritystä. Muuttuvat riskitaso ja se, mikä oikeusperuste on realistinen. Tämän luokittelun saaminen oikein on suurin osa työstä.
GDPR: IP-osoitekysymys
Ensimmäinen kysymys, jonka lakitiimi esittää, on, onko IP-osoite henkilötieto. Rehellinen vastaus on ”usein kyllä, riippuen siitä, kenellä se on”. Breyer-tapauksessa (asia C-582/14) EU:n tuomioistuin katsoi, että dynaaminen IP-osoite on verkkosivuston ylläpitäjälle henkilötieto, jos ylläpitäjällä on oikeudelliset keinot tunnistaa kävijä internetpalveluntarjoajan hallussa olevien lisätietojen avulla. Tapaus ratkaistiin vanhan tietosuojadirektiivin aikana, mutta GDPR:n henkilötietojen määritelmä 4 artiklan 1 kohdassa mainitsee nimenomaisesti ”verkkotunnisteen” asiana, joka voi tehdä henkilöstä tunnistettavan, joten sama päättely pätee edelleen.
Näkemyksemme: suunnittele ikään kuin jokainen käsittelemäsi IP-osoite olisi henkilötieto. Muunlainen argumentointi säästää sinulle hyvin vähän ja saa dokumentaatiosi näyttämään valvontaviranomaisen silmissä kiertelevältä.
Oikeusperusteen valinta
GDPR:n 6 artikla luettelee kuusi oikeusperustetta. Kaksi niistä on olennaisia verkkosivujen personoinnissa:
| Oikeusperuste | Mihin se sopii | Mitä olet kävijälle velkaa |
|---|---|---|
| Oikeutettu etu, 6 artiklan 1 kohdan f alakohta | Yritystason personointi IP-haun perusteella, jolloin laitteelle ei tallenneta mitään | Dokumentoitu tasapainotesti (oikeutetun edun arviointi), selkeä tietosuojaseloste ja toimiva tapa vastustaa käsittelyä Article 21 mukaisesti |
| Suostumus, 6 artiklan 1 kohdan a alakohta | Kaikki, mikä vaatii evästeitä tai vastaavaa pääsyä laitteeseen, ja kaikki nimettyyn henkilöön sidotut profiilit | Suostumus, joka on vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen ja jonka voi perua yhtä helposti kuin sen antoi (Article 7(3)) |
Kaksi yksityiskohtaa on tärkeitä. Ensinnäkin Breyer-tapauksen lehdistötiedote nostaa esiin myös tuomioistuimen kannan, jonka mukaan verkkosivuston ylläpitäjällä voi olla oikeutettu etu käsitellä kävijätietoja, kunhan sitä punnitaan kävijän oikeuksia vasten. Juuri tämän punninnan LIA-arviosi on osoitettava. Toiseksi, jos personointi on osa suoramarkkinointia, 21 artiklan 2 ja 3 kohta antavat kävijälle ehdottoman oikeuden vastustaa: kun hän vastustaa, käsittely loppuu. Rakenna kieltäytymismahdollisuus ennen julkaisua, älä vasta ensimmäisen valituksen jälkeen.
Mitä GDPR-virhe voi maksaa
Article 83(5) mukaan käsittelyn periaatteiden, artiklan 6 oikeusperustesääntöjen, artiklan 7 suostumusehtojen ja artiklojen 12–22 rekisteröidyn oikeuksien rikkomisesta voi seurata enintään 20 miljoonan euron tai 4 %:n maailmanlaajuisesta vuotuisesta liikevaihdosta suuruinen sakko sen mukaan, kumpi on suurempi. Nämä ovat enimmäismääriä, eivät tyypillisiä sakkoja. Realistisempi kustannus keskisuurelle B2B-tiimille on viranomaisen selvityspyyntö, joka pakottaa keskeyttämään personoinnin, kun tuotat asiakirjoja, joiden olisi pitänyt olla jo olemassa.
ePrivacy: missä "evästeetön" ymmärretään väärin
Sähköisen viestinnän tietosuojadirektiivi (2002/58/EY, 5 artiklan 3 kohta) on evästebannerien taustalla oleva sääntö. Se edellyttää suostumusta ennen tietojen tallentamista käyttäjän laitteelle tai pääsyä laitteella oleviin tietoihin, ellei tallentaminen tai pääsy ole ehdottoman välttämätöntä käyttäjän pyytämän palvelun tarjoamiseksi. Se pätee GDPR:n rinnalla, eikä sille ole merkitystä, ovatko tiedot henkilötietoja.
Iso-Britanniassa vastaava sääntö on PECR:ssä. ICO:n ohjeistus on selvä: suostumus on annettava aktiivisesti ja selkeästi, ja pelkästään hyödyllisetkin tai mukavuutta lisäävät evästeet vaativat sen. Personointievästeet kuuluvat tähän ryhmään.
Tämän osan monet toimittajien blogit ohittavat. Paljon personoinnin markkinoinnista sanoo ”palvelinpuolella, ilman evästeitä, joten suostumusta ei tarvita”. Se on liian yksinkertaista. EDPB:n ohjeet 2/2023 5 artiklan 3 kohdan teknisestä soveltamisalasta (lopullinen versio lokakuu 2024) toteavat, että pelkkiin IP-osoitteisiin perustuva seuranta voi kuulua 5 artiklan 3 kohdan piiriin, ja ellet pysty varmistamaan, ettei IP-osoite ole peräisin käyttäjän laitteesta, sitä on käsiteltävä soveltamisalaan kuuluvana. Samojen ohjeiden mukaan 5 artiklan 3 kohtaa sovelletaan, kun asiakaspuolen koodi käskee selainta lähettämään tunnisteita sinulle.
Mitä se tarkoittaa käytännössä:
- Kertaluontoinen palvelinpuolen IP-haku, jolla valitaan otsikko nykyiselle sivulataukselle, on pienimmän riskin malli. Jotkut lakimiehet haluavat silti sen katetuksi suostumuksella tai selkeällä poikkeusanalyysilla EDPB:n ohjeiden mukaisesti, joten kysy omaltasi.
- IP-osoitteen käyttäminen kävijän seuraamiseen sivujen tai istuntojen välillä on seurantaa, ja EDPB:n näkemyksen mukaan se vaatii saman suostumusarvioinnin kuin evästeet.
- Mikä tahansa JavaScript-koodinpätkä, joka lukee tai asettaa tunnisteita selaimessa (evästeet, paikallinen tallennustila, sormenjälkisignaalit), tarvitsee suostumuksen ennen suorittamista, ellei se ole ehdottoman välttämätön.
Yksi ajoitushuomio: suunniteltu ePrivacy-asetus, jonka piti korvata direktiivi, on kuopattu. Euroopan komissio ilmoitti vuoden 2025 työohjelmassaan vetävänsä ehdotuksen pois, ja nykyinen direktiivi sekä kansalliset täytäntöönpanolait pysyvät voimassa. Älä odota uusia EU:n evästesääntöjä ennen kuin järjestät suostumukset kuntoon.
CCPA/CPRA: koskeeko se sinua edes?
Kalifornian laki koskee vain voittoa tavoittelevia yrityksiä, jotka harjoittavat liiketoimintaa Kaliforniassa ja täyttävät vähintään yhden kynnysarvon. California Privacy Protection Agencyn mukaan ne ovat:
- Vuotuinen bruttoliikevaihto vähintään 26,625 miljoonaa dollaria (1.1.2025 alkaen tarkistettu raja).
- Vähintään 100 000 kalifornialaisen asukkaan tai kotitalouden henkilötietojen ostaminen, myyminen tai jakaminen.
- Vähintään 50 % vuotuisesta liikevaihdosta tulee Kalifornian asukkaiden henkilötietojen myynnistä tai jakamisesta.
B2B-tiimeille tärkeä tausta on, että yritysten yhteystietoja ja työntekijätietoja koskeva väliaikainen poikkeus päättyi 1.1.2023. Ostaja, joka selaa sivustoasi työläppäriltä Kaliforniassa, on lain mukaan kuluttaja.
Jos kuulut soveltamisalaan, personointia koskevat velvoitteet ovat:
- Kerro tietosuojaselosteessasi, että keräät IP-osoitteista johdettua dataa personointia varten ja mitä tietoluokkia käytät.
- Jos rikastus- tai mainoskumppanit saavat vierailijadataa tavalla, joka katsotaan ”myymiseksi” tai ”jakamiseksi” (jakaminen kattaa kontekstien välisen käyttäytymiseen perustuvan mainonnan), tarjoa ”Do Not Sell or Share My Personal Information” -linkki ja kunnioita kieltäytymisiä.
- Vastaa tieto-, poisto- ja oikaisupyyntöihin 45 kalenteripäivän kuluessa; aikaa voi jatkaa toisella 45 päivällä, jos ilmoitat siitä henkilölle, CPPA:n UKK:n mukaisesti.
Seuraamuksia korotettiin inflaation vuoksi 1.1.2025: hallinnolliset sakot ovat enintään 2 663 dollaria rikkomusta kohden ja 7 988 dollaria tahallista rikkomusta kohden CPPA:n tiedotteen mukaan. Muilla Yhdysvaltain osavaltioilla on omat kattavat tietosuojalakinsa eri kynnysarvoin, joten jos sinulla on merkittävästi liikennettä näistä osavaltioista, kartoita ne erikseen äläkä oleta Kalifornian analyysin kattavan sinua.
Toimiva viitekehys: kolme datatasoa
Helpoin tapa pitää tämä hallinnassa on luokitella jokainen personoinnin käyttämä syöte ennen kuin rakennat mitään.
| Taso | Data | Tyypillinen oikeudellinen asema | Käynnistysjärjestys |
|---|---|---|---|
| 1. Yritystasolla, pyyntökohtaisesti | Toimiala, koko ja sijainti palvelinpuolen IP-haulla, laitteelle ei tallenneta mitään | GDPR:n oikeutettu etu ja tasapainotestin (LIA) arviointi; tarkista ePrivacy-näkökulma lakimiehen kanssa | Ensimmäinen |
| 2. Käyttäytymiseen ja laitteeseen perustuva | Paluukäynnit, katsotut sivut, evästeisiin tai paikalliseen tallennustilaan tallennetut sitoutumispisteet | Suostumus ePrivacy-säännösten mukaan ennen kuin mitään asetetaan; oikeusperuste GDPR:n mukaan | Kun suostumusasetuksesi toimivat |
| 3. Yksilöprofiili | Nimetyt kontaktit, selaamiseen linkitetyt sähköpostiosoitteet, CRM:n kaupan vaihe, henkilöstä rikastettu third-party-data | Suostumus tai huolellisesti dokumentoitu peruste, DPA:t jokaisen toimittajan kanssa, rekisteröidyn oikeudet kokonaisuudessaan | Viimeisenä ja vain siellä, missä se kannattaa |
Näkemyksemme: aloita tasolla 1. Logistiikkayritykselle logistiikka-asiakastarinan näyttäminen ei vaadi mitään tietoa sen lukijasta. Suurin osa ilmeisistä personoinnin voitoista (toimialaotsikko, osuva todiste, yrityksen kokoon perustuva hinnoittelun painotus) on tasolla 1. Tasot 2 ja 3 tuovat lisäarvoa, mutta myös suostumusriippuvuuksia ja paperityötä, joten lisää ne vasta, kun taso 1 on mitattu ja vakaa.
Vaihe vaiheelta: säännösten mukainen käynnistys
1. Jaa kokemus suostumuksen mukaan
Yleinen virhe on estää kaikki personointi, kunnes kävijä klikkaa ”Hyväksy”. Parempi ratkaisu:
- Ennen suostumusta: vain tason 1 personointi palvelinpuolen haun perusteella, ilman laitteelle tallennettuja tunnisteita. Ei käyttäytymishistoriaa.
- Personointievästeiden hyväksymisen jälkeen: aloita paluukäyntien ja sitoutumisen tallentaminen ja käytä niitä tason 2 säännöissä.
- Lomakkeen lähettämisen jälkeen: yhdistä asiakkuus CRM-dataan (taso 3), kun tietosuojaselosteesi ja oikeusperusteesi kattavat sen.
Testaa se tylsällä tavalla: avaa sivusto puhtaalla selainprofiililla, hylkää kaikki ja tarkista DevToolsin Application-välilehti. Personointievästettä tai local storage -avainta ei pitäisi näkyä. Hyväksy sitten ja tarkista uudelleen.
2. Tee suostumuskategorioista todellisuutta vastaavia
Kävijä, joka hyväksyy ”analytiikan”, ei ole hyväksynyt ”personointia”. Jos suostumustyökalussasi on tarkat kategoriat, lisää personointikategoria (tai sijoita personointi olemassa olevaan ”toiminnalliset”- tai ”markkinointi”-kategoriaan, joka kuvaa sitä tarkasti) ja varmista, että personointiskripti kuuntelee juuri sitä kategoriaa.
3. Auditoi jokainen toimittaja datavirrassa
Kirjaa jokaisesta kävijädataa käsittelevästä toimittajasta (IP-rikastus, analytiikka, CDP, CRM, suostumustyökalu):
- Mitä dataa ne saavat sivustoltasi ja mitä ne lähettävät takaisin.
- Missä he säilyttävät ja käsittelevät sitä ja mikä siirtomekanismi kattaa mahdolliset siirrot ETA-alueen ulkopuolelle.
- Käyttävätkö ne kävijädataasi omiin tuotteisiinsa. Jos käyttävät, ne saattavat toimia rekisterinpitäjänä eikä käsittelijänä, mikä muuttaa sopimuksiasi ja tietosuojaselostettasi.
- Onko tietojenkäsittelysopimus allekirjoitettu ja missä se on arkistoitu.
Sopimus kattaa vain puolet; toinen puoli on se, miten kukin toimittaja todellisuudessa suojaa datan. Jos tiimilläsi ei ole omaa tietoturvaosaamista, ulkopuoliset kyberturvallisuuspalvelut voivat arvioida toimittajien pääsynhallinnan ja tallennuksen ennen kuin allekirjoitat.
Esimerkki siitä, mitä tämä auditointi tyypillisesti löytää (havainnollistava): analytiikkatyökalu, jonka ehdot sallivat sen käyttää asiakasdataa omien yleisötuotteidensa rakentamiseen. Se ei ole käsittelijäsuhde, joten joko neuvottelet uudelleen, kerrot siitä asianmukaisesti tai vaihdat työkaluun, joka pysyy käsittelijän roolissa, kuten personointianalytiikan toteutukseen, joka käsittelee dataa vain sinun ohjeidesi mukaan.
4. Kirjoita kolme dokumenttia
- Tietosuojaselosteen osio. Mitä keräät (IP-pohjainen yritysdata, käyttäytymisdata suostumuksella), miksi (relevantin sisällön näyttämiseksi), oikeusperuste, säilytysaika, palveluntarjoajat ja miten vastustaa.
- Oikeutetun edun arviointi. Tarkoitustesti (relevantin sisällön näyttäminen yrityskävijöille), välttämättömyystesti (miksi yritystason data riittää etkä tarvitse enempää), tasapainotesti (ei arkaluonteista dataa, yritystason tulos, helppo vastustaa, lyhyt säilytys).
- Evästekäytäntö. Jokainen personointijärjestelmän asettama eväste tai tallennusavain, sen tarkoitus, voimassaoloaika ja luokka.
5. Aseta säilytysajat, joita pystyt noudattamaan
GDPR:n 5 artiklan 1 kohdan e alakohdan säilytyksen rajoittamisen periaate tarkoittaa, ettei henkilötietoja säilytetä pidempään kuin käyttötarkoitus vaatii. Laki ei määrää lukua, joten valitse se itse ja perustele. Esimerkki: käyttäytymisdata 90 päivää, rikastettu yritysdata 12 kuukautta tyypillisen B2B-myyntisyklin kattamiseksi. Mitä tahansa valitsetkin, määritä se työkaluihin niin, että poisto tapahtuu automaattisesti.
6. Harjoittele rekisteröidyn pyyntöä
12 artiklan 3 kohdan mukaan sinun on vastattava pääsy-, poisto- ja vastustamispyyntöihin ilman aiheetonta viivytystä ja kuukauden kuluessa, jota voidaan tarvittaessa jatkaa kahdella kuukaudella. Kaliforniassa aikaa on 45 päivää. Tee testipyyntö ennen käyttöönottoa: valitse kollega, joka on käynyt sivustolla, ja yritä löytää, viedä ja poistaa kaikki, mitä teknologiapinosi hänestä säilyttää. Jos kävijöiden tunnistuksen työkalusi ei pysty tähän IP-osoite- tai kontaktikohtaisesti, sinulla on ratkaistava ongelma ennen käyttöönottoa.
Yleiset vaatimustenmukaisuusvirheet
Yritysdatan kutsuminen ”anonyymiksi”
Yrityksen tunnistaminen ei ole sama asia kuin anonyymin datan käsittely. Haussa käyttämäsi IP-osoite on henkilötieto useimmissa realistisissa tilanteissa. Kerro se dokumentaatiossasi, nojaa dokumentoituun oikeusperusteeseen ja jatka eteenpäin.
Oletetaan, että ”palvelinpuolinen” tarkoittaa ”ei vaadi suostumusta”
Kuten yllä todettiin, EDPB tulkitsee Article 5(3) -kohdan niin laajasti, että se kattaa IP-pohjaisen seurannan ja selainpuolen tunnisteiden keräämisen. Palvelinpuolen pyyntökohtaiset yrityshaut ovat matalimman riskin ratkaisu, mutta ne ovat suunnitteluvalinta, josta keskustellaan juristin kanssa, eivät automaattinen poikkeus.
Ei vastustamispolkua
Jos oikeusperusteesi on oikeutettu etu, kävijä voi vastustaa käsittelyä. Tietosuojaselosteen linkki sähköpostilaatikkoon, jota kukaan ei seuraa, ei kelpaa. Anna kävijälle asetus, joka kytkee personoinnin pois, ja noudata sitä personointimoottorissa.
Kolmannen osapuolen ostoaikeen datan syöttäminen tarkistamatta sen alkuperää
Kolmannen osapuolen ostoaiedata rakennetaan usein sivustojen välisestä selaamisesta. Jos palveluntarjoaja ei pysty osoittamaan, miten suostumus tai muu oikeusperuste keruulle saatiin, perit tuon heikkouden heti, kun käytät dataa. Pyydä datan alkuperädokumentaatio ennen allekirjoittamista ja suosi ensimmäisen osapuolen käyttäytymissignaaleja. Käsittelemme kompromisseja tarkemmin oppaassamme ostoaikeen datasta B2B-verkkosivuston personoinnissa.
Säilytys toistaiseksi
Personointityökalut säilyttävät usein kaiken oletuksena. Tarkista säilytysasetus jokaisesta pinon työkalusta, ei vain pääasiallisesta personointialustasta.
Tarkistuslista ennen julkaisua
- Datainventaario tehty, jokainen syöte luokiteltu tasolle 1, 2 tai 3.
- Oikeusperuste dokumentoitu tasoittain, tasolle 1 LIA-arvio.
- Lakimiehen tarkistama ePrivacy-analyysi IP-hausta ja mahdollisista asiakaspuolen skripteistä.
- Evästebannerissa on kategoria, joka kattaa personoinnin, ja testi puhtaalla selaimella vahvistaa, ettei mitään tallenneta ennen suostumusta.
- Tietojenkäsittelysopimukset allekirjoitettu jokaisen toimittajan kanssa; tallennuspaikat ja siirtomekanismit kirjattu.
- Tietosuojaseloste ja evästekäytäntö päivitetty.
- Vastustamis- ja kieltäytymispolku toimii, ja personointimoottori kunnioittaa sitä.
- Säilytysajat määritetty jokaiseen työkaluun.
- Testipyyntö rekisteröidyn oikeuksista hoidettu GDPR:n ja CCPA:n määräajoissa.
- CCPA:n soveltamisala tarkistettu kolmea kynnysarvoa vasten, ja muiden Yhdysvaltain osavaltioiden lait kartoitettu, jos sinulla on niistä liikennettä.
Miksi tietosuojarajoitteet tekevät personoinnista parempaa
Tämä on mielipideosuus, ja jotkin tiimit ovat siitä eri mieltä. Tietosuojasääntöjen puitteissa toimiminen ohjaa sinua kohti personointia, joka yleensä toimii joka tapauksessa.
Yritystason segmentit tavoittavat jokaisen kävijän, myös evästeistä kieltäytyvät, joten ensimmäinen testisi ei rajoitu siihen joukkoon, joka klikkasi ”Hyväksy”. Vähemmän ja laajempia segmenttejä (esimerkiksi viisi tai kuusi toimialan ja yrityskoon mukaan) on helpompi palvella hyvällä sisällöllä kuin kymmeniä selailukuvioista rakennettuja mikrosegmenttejä, ja jokainen segmentti saa tarpeeksi liikennettä mittaamiseen. Ja kun et voi nojata kolmannen osapuolen dataan, panostat ensimmäisen osapuolen datastrategiaan, joka perustuu siihen, miten ihmiset oikeasti käyttävät omaa sivustoasi, eli dataan, joka heijastaa heidän kiinnostustaan juuri sinuun.
Jos haluat lähtökohdan näille segmenteille, artikkelimme konvertoivista yrityssegmenteistä käy läpi, miten ne valitaan, ja miten yritystason kävijätunnistus toimii selittää, mitä IP-haku pystyy ja ei pysty kertomaan.
Näin pääset alkuun jumittumatta juridiseen tarkastukseen
Useimmille B2B-tiimeille realistinen riski ei ole sakko. Se on kuukausien edestakainen keskustelu, koska kukaan ei antanut lakitiimille konkreettista suunnitelmaa arvioitavaksi. Anna heille sellainen:
- Yhden sivun tietovirtakaavio, joka näyttää IP-haun, mitä sieltä palautuu ja mitä tallennetaan.
- Yllä oleva tasotaulukko täytettynä omalle pinollesi.
- Luonnos LIA:sta ja tietosuojaselosteen osiosta.
- Puhtaalla selaimella tehdyn suostumustestin tulokset.
Käynnistä sitten taso 1 muutamalla paljon liikennettä saavalla sivulla, mittaa 30 päivää ja lisää taso 2, kun suostumukset toimivat ja luvut sen oikeuttavat.
Markettailor sopii tähän toimintajärjestykseen: sen yritysdataan perustuva segmentointi toimii yritystason datalla, joten voit aloittaa tason 1 säännöillä, kun suostumustyö on vielä kesken. Jos haluat vertailla paketteja ennen keskustelua lakiosaston kanssa, katso Markettailorin hinnoittelu.