Personnalisation de site B2B et protection des données : comment rester conforme

La plupart des projets de personnalisation B2B se heurtent au même mur dès la deuxième semaine. Le marketing a préparé les segments et les variantes de titres, puis quelqu'un du service juridique demande comment fonctionne l'identification des visiteurs au regard du RGPD, et personne n'a de réponse écrite. Le projet est mis en attente.

Cet article est la réponse que nous aurions voulu trouver par écrit. Il traite de la protection des données dans la personnalisation des sites web B2B au regard des trois corpus de règles qui suscitent le plus de questions (le RGPD, les règles ePrivacy de l'UE sur les cookies et l'accès aux terminaux, et le CCPA/CPRA californien), de ce que chacun exige réellement, et propose une checklist de lancement à transmettre à votre service juridique. Il ne s'agit pas d'un conseil juridique. L'objectif est d'amener plus vite le marketing et le juridique à la même conversation, avec les sources primaires en lien pour que votre conseil puisse les vérifier.

Pourquoi la personnalisation B2B présente un profil de confidentialité différent

La plupart des recommandations sur la vie privée sont écrites pour des scénarios grand public : suivi publicitaire sur des sites marchands, profils comportementaux revendus à des tiers. La personnalisation de site B2B se présente généralement autrement :

• La principale donnée d'entrée est l'information au niveau de l'entreprise (secteur, taille, localisation, technologies utilisées), généralement déduite de l'adresse IP du visiteur.
• Le résultat est modeste : un visiteur du secteur industriel voit des études de cas industrielles au lieu d'études de cas fintech.
• De nombreux visiteurs viennent d'entreprises auxquelles vous vendez déjà ou que vous ciblez : il existe donc une raison commerciale plausible de leur montrer un contenu pertinent.

Rien de tout cela n'exempte la personnalisation B2B du droit de la protection des données. Il y a toujours une personne derrière chaque adresse IP, et la loi protège cette personne, pas l'entreprise. Ce qui change, c'est le niveau de risque et la base légale réaliste. Bien établir cette qualification représente l'essentiel du travail.

RGPD : la question de l'adresse IP

La première question que posera le service juridique est de savoir si une adresse IP constitue une donnée personnelle. La réponse honnête est « souvent oui, selon qui la détient ». Dans l'arrêt Breyer (affaire C-582/14), la Cour de justice de l'UE a jugé qu'une adresse IP dynamique est une donnée personnelle pour l'exploitant d'un site si celui-ci dispose de moyens légaux lui permettant d'identifier le visiteur grâce aux informations supplémentaires détenues par le fournisseur d'accès à internet. L'affaire a été tranchée sous l'ancienne directive sur la protection des données, mais la définition des données personnelles du RGPD à l'article 4(1) cite explicitement « un identifiant en ligne » parmi les éléments permettant d'identifier une personne, de sorte que le même raisonnement s'applique.

Notre avis : partez du principe que chaque adresse IP que vous traitez est une donnée personnelle. Soutenir le contraire vous fait gagner très peu et donne à votre documentation un air évasif aux yeux d'une autorité de contrôle.

Choisir une base légale

L'article 6 du RGPD énumère six bases légales. Deux concernent la personnalisation de site web :

Deux points comptent ici. D'abord, le communiqué de presse sur l'arrêt Breyer rappelle aussi que, selon la Cour, l'exploitant d'un site peut avoir un intérêt légitime à traiter les données des visiteurs, à condition de le mettre en balance avec les droits du visiteur. C'est cet exercice de mise en balance que votre LIA doit démontrer. Ensuite, si la personnalisation relève de la prospection, l'article 21, paragraphes 2 et 3, donne au visiteur un droit d'opposition absolu : dès qu'il s'y oppose, vous arrêtez. Mettez en place l'opt-out avant le lancement, pas après la première plainte.

Ce que peut coûter une erreur RGPD

En vertu de l'article 83(5), les violations des principes de traitement, des règles relatives à la base légale de l'article 6, des conditions du consentement de l'article 7 et des droits des personnes concernées des articles 12 à 22 peuvent entraîner des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Ce sont des plafonds, pas des amendes typiques. Le coût le plus réaliste pour une équipe B2B mid-market est une enquête du régulateur qui vous oblige à suspendre la personnalisation le temps de produire des documents que vous auriez déjà dû avoir.

ePrivacy : là où le « cookieless » est mal compris

La directive ePrivacy (2002/58/CE, article 5(3)) est la règle à l'origine des bannières cookies. Elle impose un consentement avant de stocker des informations sur l'appareil d'un utilisateur ou d'accéder à des informations qui s'y trouvent, sauf si ce stockage ou cet accès est strictement nécessaire à un service demandé par l'utilisateur. Elle s'applique en parallèle du RGPD, et peu importe que les informations soient des données personnelles ou non.

Au Royaume-Uni, la règle équivalente figure dans PECR. Les recommandations de l'ICO sont claires : le consentement doit être donné de manière active et claire, et les cookies simplement utiles ou pratiques le requièrent quand même. Les cookies de personnalisation entrent dans cette catégorie.

Voici ce que de nombreux blogs d'éditeurs passent sous silence. Une grande partie du marketing de la personnalisation affirme « côté serveur, sans cookies, donc pas besoin de consentement ». C'est trop simpliste. Les lignes directrices 2/2023 de l'EDPB sur le champ d'application technique de l'article 5(3) (version finale d'octobre 2024) indiquent qu'un suivi fondé uniquement sur les adresses IP peut relever de l'article 5(3), et que si vous ne pouvez pas garantir qu'une adresse IP ne provient pas de l'appareil de l'utilisateur, vous devez la considérer comme couverte. Les mêmes lignes directrices précisent que l'article 5(3) s'applique lorsqu'un code côté client demande au navigateur de vous envoyer des identifiants.

Ce que cela signifie en pratique :

• Une recherche IP ponctuelle côté serveur, utilisée pour choisir le titre de la page affichée, est le schéma le moins risqué. Certains juristes voudront tout de même qu'elle soit couverte par un consentement ou par une analyse claire d'exemption au regard des lignes directrices de l'EDPB : posez la question au vôtre.
• Utiliser l'adresse IP pour suivre un visiteur d'une page ou d'une session à l'autre relève du tracking, et selon l'EDPB, cela requiert la même analyse du consentement que les cookies.
• Tout snippet JavaScript qui lit ou définit des identifiants dans le navigateur (cookies, stockage local, signaux de fingerprinting) nécessite un consentement avant de s'exécuter, sauf s'il est strictement nécessaire.

Une remarque sur le calendrier : le projet de règlement ePrivacy censé remplacer la directive est abandonné. La Commission européenne a annoncé dans son programme de travail 2025 qu'elle retirerait la proposition, et la directive existante ainsi que les lois nationales de transposition restent en vigueur. N'attendez pas de nouvelles règles européennes sur les cookies pour configurer correctement le consentement.

CCPA/CPRA : êtes-vous seulement concerné ?

La loi californienne ne s'applique qu'aux entreprises à but lucratif qui exercent une activité en Californie et atteignent au moins un seuil. Selon la California Privacy Protection Agency, ces seuils sont :

1. Chiffre d'affaires annuel brut de 26,625 millions de dollars ou plus (montant ajusté au 1er janvier 2025).
2. Acheter, vendre ou partager les informations personnelles de 100 000 résidents ou foyers californiens ou plus.
3. Tirer 50 % ou plus de son chiffre d'affaires annuel de la vente ou du partage d'informations personnelles de résidents californiens.

Pour les équipes B2B, le point historique important est que l'exemption temporaire pour les données de contact professionnelles et les données des salariés a expiré le 1er janvier 2023. Un acheteur qui parcourt votre site depuis un ordinateur professionnel en Californie est un consommateur au sens de la loi.

Si vous êtes concerné, les obligations qui touchent à la personnalisation sont les suivantes :

• Indiquez dans votre politique de confidentialité que vous collectez des données dérivées de l'adresse IP à des fins de personnalisation, et quelles catégories de données vous utilisez.
• Si des partenaires d'enrichissement ou publicitaires reçoivent des données de visiteurs d'une manière qui constitue une « vente » ou un « partage » (le partage inclut la publicité comportementale inter-contextes), proposez un lien « Do Not Sell or Share My Personal Information » et respectez les refus.
• Répondez aux demandes d'accès, de suppression ou de rectification sous 45 jours calendaires, prolongeables de 45 jours supplémentaires si vous en informez la personne, selon la FAQ de la CPPA.

Les sanctions ont été revalorisées en fonction de l'inflation le 1er janvier 2025 : amendes administratives pouvant aller jusqu'à 2 663 $ par infraction et 7 988 $ par infraction intentionnelle, selon l'annonce de la CPPA. D'autres États américains ont leurs propres lois générales sur la vie privée, avec des seuils différents : si vous recevez un trafic significatif de ces États, analysez-les séparément plutôt que de supposer que l'analyse californienne vous couvre.

Un cadre opérationnel : trois niveaux de données

Le plus simple pour garder le contrôle est de classer chaque donnée utilisée par votre personnalisation avant de construire quoi que ce soit.

Notre avis : lancez-vous avec le Tier 1. Montrer à une entreprise de logistique votre étude de cas logistique n'exige de rien savoir de la personne qui la lit. La plupart des gains évidents de la personnalisation (titre sectoriel, preuves pertinentes, mise en avant des tarifs selon la taille de l'entreprise) relèvent du Tier 1. Les Tiers 2 et 3 apportent de la valeur, mais aussi des dépendances au consentement et de la paperasse : ajoutez-les une fois le Tier 1 mesuré et stabilisé.

Étape par étape : un lancement conforme

1. Séparer l'expérience selon le consentement

L'erreur courante consiste à bloquer toute personnalisation jusqu'à ce que le visiteur clique sur « Accepter ». Une meilleure approche :

1. Avant le consentement : uniquement une personnalisation de niveau 1 à partir d'une recherche côté serveur, sans aucun identifiant stocké sur l'appareil. Pas d'historique comportemental.
2. Après consentement aux cookies de personnalisation : commencez à enregistrer les visites de retour et l'engagement, et utilisez-les pour les règles de niveau 2.
3. Après une soumission de formulaire : rattachez le compte aux données CRM (niveau 3) dans la mesure où votre politique de confidentialité et votre base légale le couvrent.

Testez-le de la manière la plus simple : ouvrez le site dans un profil de navigateur vierge, refusez tout, et vérifiez l'onglet Application des DevTools. Aucun cookie de personnalisation ni aucune clé de local storage ne doit apparaître. Acceptez ensuite et vérifiez à nouveau.

2. Alignez les catégories de consentement sur la réalité

Un visiteur qui accepte « analytics » n'a pas consenti à la « personnalisation ». Si votre outil de consentement propose des catégories détaillées, ajoutez une catégorie personnalisation (ou rangez la personnalisation dans une catégorie existante « fonctionnel » ou « marketing » qui la décrit fidèlement) et assurez-vous que le script de personnalisation tient compte précisément de cette catégorie.

3. Auditer chaque fournisseur du flux de données

Pour chaque fournisseur qui manipule des données visiteurs (enrichissement IP, analytics, CDP, CRM, outil de consentement), notez :

• Quelles données ils reçoivent de votre site et ce qu'ils renvoient.
• Où ils stockent et traitent les données, et quel mécanisme couvre tout transfert hors de l'EEE.
• S'ils utilisent les données de vos visiteurs pour leurs propres produits. Si c'est le cas, ils agissent peut-être en tant que responsable de traitement plutôt que sous-traitant, ce qui change vos contrats et votre politique de confidentialité.
• Si un accord de traitement des données (DPA) est signé et où il est archivé.

Le contrat ne couvre que la moitié du sujet ; l'autre moitié, c'est la façon dont chaque fournisseur protège réellement les données. Si votre équipe n'a pas d'expertise sécurité en interne, des services de cybersécurité externes peuvent examiner les contrôles d'accès et le stockage des fournisseurs avant que vous ne signiez.

Exemple de ce que cet audit permet souvent de repérer (illustratif) : un outil d'analytics dont les conditions l'autorisent à utiliser les données clients pour construire ses propres produits d'audience. Ce n'est pas une relation de sous-traitant, et vous devez soit renégocier, soit l'indiquer correctement, soit passer à un outil qui reste dans le rôle de sous-traitant, comme un dispositif d'analytics de personnalisation qui ne traite les données que sur vos instructions.

4. Rédigez les trois documents

• Section de la politique de confidentialité. Ce que vous collectez (données d'entreprise dérivées de l'IP, données comportementales avec consentement), pourquoi (afficher du contenu pertinent), la base légale, la durée de conservation, les fournisseurs et comment s'y opposer.
• Évaluation de l'intérêt légitime. Test de finalité (montrer un contenu pertinent aux visiteurs professionnels), test de nécessité (pourquoi des données au niveau de l'entreprise suffisent et pourquoi vous n'avez pas besoin de plus), test de mise en balance (aucune donnée sensible, résultat au niveau de l'entreprise, opposition facile, conservation courte).
• Politique de cookies. Chaque cookie ou clé de stockage déposé par le système de personnalisation, avec sa finalité, sa durée de vie et sa catégorie.

5. Fixez des durées de conservation que vous pouvez faire respecter

Le principe de limitation de la conservation du RGPD, à l'article 5(1)(e), impose de ne pas conserver les données personnelles plus longtemps que nécessaire à la finalité. La loi ne fixe pas de durée : choisissez-en une et justifiez-la. Exemple : 90 jours pour les données comportementales, 12 mois pour les données de compte enrichies afin de couvrir un cycle de vente B2B type. Quel que soit votre choix, configurez-le dans les outils pour que la suppression soit automatique.

6. Simulez une demande d'exercice de droits

En vertu de l'article 12(3), vous devez répondre aux demandes d'accès, d'effacement et d'opposition dans les meilleurs délais et au plus tard dans un délai d'un mois, prolongeable de deux mois si nécessaire. La Californie accorde 45 jours. Faites une demande test avant le lancement : choisissez un collègue qui a visité le site et essayez de trouver, d'exporter et de supprimer tout ce que votre stack détient sur lui. Si votre outil d'identification des visiteurs ne peut pas le faire par adresse IP ou par contact, vous avez un problème à résoudre avant la mise en ligne.

Erreurs de conformité courantes

Qualifier les données d'entreprise d'« anonymes »

Identifier une entreprise n'est pas la même chose que traiter des données anonymes. L'adresse IP utilisée pour la recherche est une donnée personnelle dans la plupart des scénarios réalistes. Indiquez-le dans votre documentation, appuyez-vous sur une base légale documentée et passez à la suite.

Croire que « côté serveur » signifie « sans consentement »

Comme indiqué plus haut, l'EDPB interprète l'article 5(3) de façon suffisamment large pour couvrir le suivi basé sur l'IP et la collecte d'identifiants côté client. Les recherches d'entreprise côté serveur, à chaque requête, constituent la conception la moins risquée, mais c'est un choix de conception à discuter avec votre conseil juridique, pas une exemption automatique.

Aucune voie pour les objections

Si votre base légale est l'intérêt légitime, le visiteur peut s'y opposer. Un lien dans la politique de confidentialité qui mène à une boîte mail que personne ne surveille ne compte pas. Donnez-lui un réglage qui désactive la personnalisation et respectez-le dans le moteur de personnalisation.

Intégrer des données d'intention tierces sans vérifier leur provenance

Les données d'intention tierces sont souvent construites à partir de la navigation intersites. Si le fournisseur ne peut pas montrer comment le consentement ou une autre base légale a été obtenu pour cette collecte, vous héritez de cette faiblesse dès que vous les utilisez. Demandez la documentation sur la provenance des données avant de signer, et privilégiez les signaux comportementaux first-party. Nous détaillons ces arbitrages dans notre guide des données d'intention pour la personnalisation de site B2B.

Conservation illimitée

Les outils de personnalisation conservent souvent tout par défaut. Vérifiez le paramètre de durée de conservation de chaque outil de la stack, pas seulement celui de la plateforme de personnalisation principale.

Checklist avant lancement

1. Inventaire des données réalisé, chaque donnée classée en niveau 1, 2 ou 3.
2. Base légale documentée par niveau, avec une LIA pour le niveau 1.
3. Analyse ePrivacy de la recherche IP et de tout script côté client, revue par un conseil juridique.
4. Le bandeau de consentement comporte une catégorie couvrant la personnalisation, et un test dans un navigateur vierge confirme que rien n'est stocké avant le consentement.
5. DPA signés avec chaque fournisseur ; lieux de stockage et mécanismes de transfert consignés.
6. Politique de confidentialité et politique de cookies mises à jour.
7. Le parcours d'opposition et de désinscription fonctionne et est respecté par le moteur de personnalisation.
8. Durées de conservation configurées dans chaque outil.
9. Demande test d'exercice des droits traitée dans les délais du RGPD et du CCPA.
10. Champ d'application du CCPA vérifié au regard des trois seuils, et autres lois des États américains recensées si vous avez du trafic dans ces États.

Pourquoi les contraintes de confidentialité améliorent la personnalisation

C'est la partie opinion, et certaines équipes ne seront pas d'accord. Travailler dans le cadre des règles de confidentialité vous oriente vers la personnalisation qui tend à fonctionner de toute façon.

Les segments au niveau de l'entreprise touchent tous les visiteurs, y compris ceux qui refusent les cookies : votre premier test ne se limite donc pas à ceux qui ont cliqué sur « Accepter ». Des segments moins nombreux et plus larges (par exemple cinq ou six par secteur et taille d'entreprise) sont plus faciles à alimenter en bons contenus que des dizaines de micro-segments construits à partir de parcours de navigation, et chaque segment reçoit assez de trafic pour être mesuré. Et quand vous ne pouvez pas vous appuyer sur des données tierces, vous investissez dans une stratégie de données first-party fondée sur la manière dont les gens utilisent réellement votre site, ce sont les données qui reflètent leur intérêt pour vous en particulier.

Si vous voulez un point de départ pour ces segments, notre article sur les segments firmographiques qui convertissent explique comment les choisir, et comment fonctionne l'identification des visiteurs au niveau de l'entreprise détaille ce que la recherche IP peut et ne peut pas vous dire.

Démarrer sans s'enliser dans la revue juridique

Pour la plupart des équipes B2B, le risque réaliste n'est pas une amende, mais des mois d'allers-retours parce que personne n'a soumis au service juridique un dispositif concret à examiner. Donnez-lui-en un :

1. Un schéma de flux de données d'une page montrant la recherche IP, ce qui est renvoyé et ce qui est stocké.
2. Le tableau des niveaux ci-dessus, rempli pour votre stack.
3. Un projet d'évaluation de l'intérêt légitime (LIA) et une section de politique de confidentialité.
4. Les résultats du test de consentement sur navigateur vierge.

Lancez ensuite le niveau 1 sur quelques pages à fort trafic, mesurez pendant 30 jours et ajoutez le niveau 2 une fois que le consentement fonctionne et que les chiffres le justifient.

Markettailor s'inscrit dans cet ordre des opérations : sa segmentation firmographique s'appuie sur des données au niveau de l'entreprise, ce qui vous permet de démarrer avec les règles de niveau 1 pendant que le travail sur le consentement se termine. Si vous voulez comparer les offres avant d'en parler au juridique, consultez les tarifs de Markettailor.