B2B weboldal-személyre szabás és adatvédelem: hogyan maradj megfelelő

A legtöbb B2B személyre szabási projekt a második héten ugyanabba a falba ütközik. A marketingnél készen állnak a szegmensek és a címsorváltozatok, aztán valaki a jogi osztályról megkérdezi, hogyan működik a látogatóazonosítás a GDPR szerint, és senkinek nincs leírt válasza. A projekt vár.

Ez a bejegyzés az a válasz, amelyet szívesen látnánk leírva. Bemutatja a B2B weboldalak perszonalizációjának adatvédelmét a kérdések nagy részét kiváltó három szabályrendszer szerint (GDPR, a sütikre és az eszközhozzáférésre vonatkozó uniós ePrivacy-szabályok, valamint a kaliforniai CCPA/CPRA), azt, hogy ezek valójában mit írnak elő, és egy indulási ellenőrzőlistát, amelyet átadhatsz a jogi csapatodnak. Ez nem jogi tanácsadás. A cél az, hogy a marketing és a jog gyorsabban jusson el ugyanahhoz a beszélgetéshez, az elsődleges források belinkelésével, hogy a jogászod ellenőrizhesse őket.

Miért más a B2B személyre szabás adatvédelmi profilja

A legtöbb adatvédelmi útmutató fogyasztói forgatókönyvekre készül: hirdetéskövetés vásárlási oldalakon át, harmadik feleknek eladott viselkedési profilok. A B2B weboldal-személyre szabás általában másképp néz ki:

• A fő bemenet a cégszintű adat (iparág, méret, helyszín, használt technológia), amelyet általában a látogató IP-címéből nyernek.
• Az eredmény visszafogott: egy gyártóipari látogató fintech esettanulmányok helyett gyártóipariakat lát.
• Sok látogató olyan cégektől érkezik, amelyeknek már értékesítesz vagy amelyeket célzol, így elfogadható üzleti indok van arra, hogy releváns tartalmat mutass nekik.

Mindez nem mentesíti a B2B perszonalizációt az adatvédelmi jogszabályok alól. Minden IP-cím mögött továbbra is egy ember áll, és a jogszabályok ezt az embert védik, nem a céget. Ami változik, az a kockázati szint, és hogy melyik jogalap reális. A munka nagy része az, hogy ezt a besorolást helyesen végezd el.

GDPR: az IP-cím kérdése

Az első kérdés, amelyet a jogi osztály feltesz majd, hogy az IP-cím személyes adatnak számít-e. Az őszinte válasz: „gyakran igen, attól függően, ki birtokolja”. A Breyer-ügyben (C-582/14. sz. ügy) az Európai Unió Bírósága kimondta, hogy a dinamikus IP-cím személyes adat egy weboldal üzemeltetője számára, ha az üzemeltetőnek jogi lehetősége van a látogató azonosítására az internetszolgáltatónál lévő további információk segítségével. Az ügyben még a régi adatvédelmi irányelv alapján döntöttek, de a GDPR 4. cikk 1. pontjában szereplő személyesadat-definíció kifejezetten felsorolja az „online azonosítót” mint olyasmit, ami azonosíthatóvá tehet egy személyt, így ugyanez az érvelés érvényes.

Véleményünk: úgy tervezz, mintha minden általad kezelt IP-cím személyes adat lenne. Ha az ellenkezője mellett érvelsz, nagyon keveset nyersz vele, a dokumentációd pedig kitérőnek fog tűnni egy hatóság szemében.

A jogalap kiválasztása

A GDPR 6. cikke hat jogalapot sorol fel. Ebből kettő releváns a weboldal-personalizációhoz:

Itt két részlet számít. Először: a Breyer-ügyről szóló sajtóközlemény azt is kiemeli, hogy a Bíróság szerint a weboldal üzemeltetőjének jogos érdeke fűződhet a látogatói adatok kezeléséhez, feltéve, hogy azt a látogató jogaival szemben mérlegelik. Pontosan ezt a mérlegelést kell az LIA-dnak bemutatnia. Másodszor: ha a perszonalizáció közvetlen üzletszerzés része, a 21. cikk (2) és (3) bekezdése feltétlen tiltakozási jogot ad a látogatónak: ha tiltakozik, abba kell hagynod. Az opt-out lehetőséget az indulás előtt építsd ki, ne az első panasz után.

Mibe kerülhet egy GDPR-hiba

A 83. cikk (5) bekezdése szerint az adatkezelési elvek, a 6. cikk jogalapra vonatkozó szabályai, a 7. cikk hozzájárulási feltételei és a 12–22. cikk érintetti jogainak megsértése legfeljebb 20 millió eurós vagy a világszintű éves árbevétel 4%-áig terjedő bírságot vonhat maga után, amelyik magasabb. Ezek maximumok, nem tipikus bírságok. Egy középvállalati B2B csapatnál a reálisabb költség egy hatósági vizsgálat, amely miatt szüneteltetned kell a személyre szabást, amíg előállítod azokat a dokumentumokat, amelyeknek már meg kellene lenniük.

ePrivacy: ahol a „süti nélküli” kifejezést félreértik

Az ePrivacy irányelv (2002/58/EK, 5. cikk (3) bekezdés) a cookie-bannerek mögötti szabály. Hozzájárulást ír elő ahhoz, hogy információt tárolj a felhasználó eszközén vagy hozzáférj az ott tárolt információhoz, kivéve, ha a tárolás vagy hozzáférés feltétlenül szükséges a felhasználó által kért szolgáltatáshoz. A GDPR mellett érvényes, és nem számít, hogy az információ személyes adat-e.

Az Egyesült Királyságban a megfelelő szabály a PECR-ben található. Az ICO iránymutatása egyértelmű: a hozzájárulást aktívan és egyértelműen kell megadni, és a csupán hasznos vagy kényelmes sütikhez is szükség van rá. A személyre szabási sütik ebbe a csoportba tartoznak.

Ezt a részt sok szolgáltatói blog kihagyja. Sok személyre szabási marketinganyag azt mondja: „szerveroldali, cookie nélküli, tehát nem kell hozzájárulás.” Ez túl leegyszerűsített. Az EDPB Guidelines 2/2023 on the technical scope of Article 5(3) iránymutatása (végleges változat: 2024. október) szerint a kizárólag IP-címeken alapuló követés is az 5. cikk (3) bekezdése alá tartozhat, és ha nem tudod biztosítani, hogy az IP-cím nem a felhasználó eszközéről származik, úgy kell kezelned, mintha a hatálya alá tartozna. Ugyanez az iránymutatás kimondja, hogy az 5. cikk (3) bekezdése akkor is alkalmazandó, ha a kliensoldali kód arra utasítja a böngészőt, hogy azonosítókat küldjön neked.

Mit jelent ez a gyakorlatban:

• Az aktuális oldalmegtekintéshez tartozó címsor kiválasztására használt egyszeri, szerveroldali IP-keresés a legkisebb kockázatú minta. Egyes jogászok ezt is hozzájáruláshoz vagy az EDPB iránymutatásai szerinti egyértelmű mentességi elemzéshez kötnék, ezért kérdezd meg a sajátodat.
• Ha az IP-címet arra használod, hogy egy látogatót oldalakon vagy munkameneteken át kövess, az követésnek minősül, és az EDPB álláspontja szerint ugyanolyan hozzájárulási elemzést igényel, mint a sütik.
• Minden olyan JavaScript-kódrészlet, amely azonosítókat olvas vagy állít be a böngészőben (sütik, helyi tároló, ujjlenyomat-jelek), csak hozzájárulás után futhat, hacsak nem feltétlenül szükséges.

Egy időzítési megjegyzés: a tervezett ePrivacy rendelet, amelynek az irányelvet kellett volna felváltania, lekerült a napirendről. Az Európai Bizottság 2025-ös munkaprogramjában bejelentette, hogy visszavonja a javaslatot, így a meglévő irányelv és a nemzeti végrehajtó jogszabályok maradnak hatályban. Ne várj új uniós sütiszabályokra, mielőtt rendesen beállítod a hozzájárulást.

CCPA/CPRA: egyáltalán vonatkozik rád?

A kaliforniai törvény csak azokra a profitorientált vállalkozásokra vonatkozik, amelyek Kaliforniában üzleti tevékenységet folytatnak, és legalább egy küszöbértéket elérnek. A California Privacy Protection Agency szerint ezek a következők:

1. Legalább 26,625 millió USD éves bruttó árbevétel (a 2025. január 1-jétől kiigazított összeg).
2. Legalább 100 000 kaliforniai lakos vagy háztartás személyes adatainak vásárlása, eladása vagy megosztása.
3. Az éves árbevétel legalább 50%-a kaliforniai lakosok személyes adatainak értékesítéséből vagy megosztásából származik.

A B2B csapatok szempontjából a fontos előzmény az, hogy az üzleti kapcsolattartási adatokra és a munkavállalói adatokra vonatkozó ideiglenes mentesség 2023. január 1-jén lejárt. Az a vásárló, aki Kaliforniában egy céges laptopról böngészi az oldaladat, a törvény szerint fogyasztónak minősül.

Ha a hatály alá tartozol, a perszonalizációt érintő kötelezettségek a következők:

• Az adatvédelmi tájékoztatódban tedd közzé, hogy IP-címből származó adatokat gyűjtesz személyre szabáshoz, és milyen adatkategóriákat használsz.
• Ha az adatbővítő vagy hirdetési partnerek olyan módon kapnak látogatói adatokat, amely „eladásnak” vagy „megosztásnak” minősül (a megosztás a kontextusokon átívelő viselkedésalapú hirdetést is lefedi), biztosíts egy „Do Not Sell or Share My Personal Information” linket, és tartsd tiszteletben a leiratkozásokat.
• A hozzáférési, törlési vagy helyesbítési kérelmekre 45 naptári napon belül válaszolj, ami további 45 nappal meghosszabbítható, ha értesíted az érintettet – a CPPA GYIK szerint.

A bírságokat 2025. január 1-jén az inflációhoz igazították: a CPPA bejelentése szerint a közigazgatási bírság szabálysértésenként legfeljebb 2663 USD, szándékos szabálysértésenként pedig legfeljebb 7988 USD. Más amerikai államoknak saját átfogó adatvédelmi törvényeik vannak eltérő küszöbértékekkel, így ha ezekből az államokból jelentős forgalmad van, külön térképezd fel őket, ahelyett hogy feltételeznéd, hogy a kaliforniai elemzés téged is lefed.

Egy működő keretrendszer: három adatszint

A legegyszerűbb módja annak, hogy ez kezelhető legyen, ha a személyre szabás minden bemenetét besorolod, mielőtt bármit építenél.

A mi véleményünk: indulj a Tier 1 szinttel. Ahhoz, hogy egy logisztikai cégnek a logisztikai esettanulmányodat mutasd, semmit sem kell tudnod az olvasó személyéről. A legtöbb kézenfekvő személyre szabási győzelem (iparági címsor, releváns bizonyíték, cégmérethez igazított árazási hangsúly) a Tier 1 szinten van. A Tier 2 és 3 hozzáadott értéket jelent, de hozzájárulási függőségeket és papírmunkát is, ezért akkor vezesd be őket, amikor a Tier 1 már mérve van és stabil.

Lépésről lépésre: szabálykövető indulás

1. Válaszd szét az élményt a hozzájárulás mentén

A gyakori hiba, hogy minden személyre szabást blokkolnak, amíg a látogató nem kattint az „Elfogadom” gombra. Egy jobb megoldás:

1. Hozzájárulás előtt: csak 1. szintű személyre szabás szerveroldali lekérdezésből, az eszközön tárolt azonosítók nélkül. Viselkedési előzmények nélkül.
2. A személyre szabási sütikhez adott hozzájárulás után: kezdd el rögzíteni a visszatérő látogatásokat és az elköteleződést, és használd őket a 2. szintű szabályokhoz.
3. Űrlapküldés után: kösd össze az accountot a CRM-adatokkal (3. szint), ha az adatvédelmi tájékoztatód és a jogalapod ezt lefedi.

Teszteld a lehető legunalmasabb módon: nyisd meg az oldalt egy tiszta böngészőprofilban, utasíts el mindent, és nézd meg a DevTools Application fülét. Semmilyen személyre szabási süti vagy local storage kulcs nem jelenhet meg. Aztán fogadd el, és ellenőrizd újra.

2. A hozzájárulási kategóriák feleljenek meg a valóságnak

Aki elfogadja az „analitikát”, az még nem járult hozzá a „perszonalizációhoz”. Ha a hozzájáruláskezelő eszközöd részletes kategóriákat kezel, adj hozzá egy perszonalizációs kategóriát (vagy sorold a perszonalizációt egy meglévő, azt pontosan leíró „funkcionális” vagy „marketing” kategóriába), és győződj meg róla, hogy a perszonalizációs szkript kifejezetten erre a kategóriára figyel.

3. Auditáld az adatfolyam minden szolgáltatóját

Minden olyan szolgáltatónál, amely látogatói adatokhoz nyúl (IP-gazdagítás, analitika, CDP, CRM, hozzájáruláskezelő eszköz), írd le:

• Milyen adatokat kapnak az oldaladról, és mit küldenek vissza.
• Hol tárolják és dolgozzák fel, és melyik adattovábbítási mechanizmus fedi le az EGT-n kívüli továbbítást.
• Hogy a látogatói adataidat a saját termékeikhez használják-e. Ha igen, adatfeldolgozó helyett adatkezelőként járhatnak el, ami megváltoztatja a szerződéseidet és az adatvédelmi tájékoztatódat.
• Alá van-e írva az adatfeldolgozási megállapodás, és hol van iktatva.

A szerződés csak a felét fedi le; a másik fele az, hogyan védi ténylegesen az adatokat az egyes beszállító. Ha a csapatodnak nincs belső biztonsági szakértelme, külső kiberbiztonsági szolgáltatások aláírás előtt átvizsgálhatják a beszállítók hozzáférés-kezelését és adattárolását.

Példa arra, mit szokott kiszúrni ez az audit (szemléltető): egy analitikai eszköz, amelynek feltételei megengedik, hogy az ügyféladatokat saját közönségtermékek építésére használja. Ez nem adatfeldolgozói viszony, így vagy újratárgyalod, vagy megfelelően közzéteszed, vagy olyan eszközre váltasz, amely adatfeldolgozói szerepben marad, például egy személyre szabási analitikai beállításra, amely csak a te utasításaid szerint kezeli az adatokat.

4. Írd meg a három dokumentumot

• Adatvédelmi tájékoztató szakasz. Mit gyűjtesz (IP-ből származtatott cégadatok, hozzájárulással viselkedési adatok), miért (releváns tartalom megjelenítéséhez), milyen jogalapon, meddig őrzöd, mely szolgáltatókkal, és hogyan lehet tiltakozni.
• Jogos érdek mérlegelése. Célteszt (releváns tartalom megjelenítése üzleti látogatóknak), szükségességi teszt (miért elég a cégszintű adat, és miért nincs szükség többre), érdekmérlegelési teszt (nincs különleges adat, cégszintű kimenet, egyszerű tiltakozás, rövid megőrzés).
• Sütikre vonatkozó tájékoztató. Minden süti vagy tárolási kulcs, amelyet a személyre szabási rendszer beállít, a céljával, élettartamával és kategóriájával.

5. Olyan megőrzési határidőket szabj, amelyeket be is tudsz tartatni

A GDPR 5. cikk (1) bekezdés e) pontjában szereplő korlátozott tárolhatóság elve azt jelenti, hogy a személyes adatokat csak addig tarthatod meg, ameddig a cél megkívánja. A jogszabály nem ad meg számot, ezért válassz egyet, és indokold meg. Példa: viselkedési adatok 90 napig, gazdagított fiókadatok 12 hónapig, hogy lefedjenek egy tipikus B2B értékesítési ciklust. Bármit is választasz, állítsd be az eszközökben, hogy a törlés automatikusan megtörténjen.

6. Gyakorold be az érintetti kérelem kezelését

A 12. cikk (3) bekezdése szerint a hozzáférési, törlési és tiltakozási kérelmekre indokolatlan késedelem nélkül, de legkésőbb egy hónapon belül kell válaszolnod, ami szükség esetén további két hónappal meghosszabbítható. Kalifornia 45 napot ad. Indulás előtt futtass egy tesztkérelmet: válassz egy kollégát, aki már járt az oldalon, és próbáld megkeresni, exportálni és törölni mindent, amit a rendszereid róla tárolnak. Ha a látogatóazonosító eszközöd ezt nem tudja IP-címenként vagy kapcsolattartónként elvégezni, élesítés előtt meg kell oldanod a problémát.

Gyakori megfelelési hibák

A céges adatok „anonimnak” nevezése

Egy cég azonosítása nem ugyanaz, mint anonim adatok kezelése. A kereséshez használt IP-cím a legtöbb reális helyzetben személyes adat. Írd le a dokumentációdban, támaszkodj dokumentált jogalapra, és lépj tovább.

Abból kiindulni, hogy a „szerveroldali” egyet jelent a „hozzájárulás nélkülivel”

Ahogy fentebb szó volt róla, az EDPB az 5. cikk (3) bekezdését elég tágan értelmezi ahhoz, hogy lefedje az IP-alapú követést és a kliensoldali azonosítógyűjtést. A szerveroldali, kérésenkénti céglekérdezés a legalacsonyabb kockázatú kialakítás, de ez tervezési döntés, amelyet jogásszal kell megbeszélni, nem automatikus mentesség.

Nincs tiltakozási lehetőség

Ha a jogalapod a jogos érdek, a látogató tiltakozhat. Egy adatvédelmi tájékoztatóban elhelyezett link, amely egy senki által nem figyelt e-mail-fiókba vezet, nem számít. Adj nekik egy beállítást, amellyel kikapcsolhatják a személyre szabást, és ezt a személyre szabási motorban tartsd is tiszteletben.

Harmadik féltől származó szándékadat betöltése az eredet ellenőrzése nélkül

A harmadik féltől származó szándékadat gyakran oldalakon átívelő böngészésből épül. Ha a szolgáltató nem tudja megmutatni, hogyan szerezte meg a hozzájárulást vagy más jogalapot az adatgyűjtéshez, ezt a gyengeséget abban a pillanatban örökölöd, amint használni kezded. Aláírás előtt kérd el az adatok eredetét igazoló dokumentációt, és részesítsd előnyben a first-party viselkedési jeleket. A kompromisszumokat részletesebben a szándékadat B2B weboldal-személyre szabásban való használatáról szóló útmutatónkban tárgyaljuk.

Határozatlan idejű megőrzés

A személyre szabási eszközök alapértelmezés szerint gyakran mindent megőriznek. A stack minden eszközénél ellenőrizd a megőrzési beállítást, ne csak a fő személyre szabási platformnál.

Indulás előtti ellenőrzőlista

1. Adatleltár kész, minden bemenet 1., 2. vagy 3. szintbe sorolva.
2. Jogalap szintenként dokumentálva, az 1. szinthez érdekmérlegelési teszttel (LIA).
3. Az IP-keresés és minden kliensoldali szkript ePrivacy-elemzése, jogász által átnézve.
4. A hozzájárulási bannernek van a személyre szabást lefedő kategóriája, és egy tiszta böngészős teszt igazolja, hogy hozzájárulás előtt semmi sem tárolódik.
5. Adatfeldolgozási megállapodás (DPA) minden szolgáltatóval aláírva; a tárolási helyek és a továbbítási mechanizmusok rögzítve.
6. Az adatvédelmi és a sütikre vonatkozó tájékoztató frissítve.
7. A tiltakozási és leiratkozási út működik, és a személyre szabási motor tiszteletben tartja.
8. Megőrzési határidők minden eszközben beállítva.
9. Teszt érintetti kérelem teljesítve a GDPR és a CCPA határidején belül.
10. A CCPA hatálya a három küszöbérték alapján ellenőrizve, és ha onnan is van forgalmad, a többi amerikai állami törvény is feltérképezve.

Miért lesz jobb a személyre szabás az adatvédelmi korlátoktól

Ez a vélemény rész, és egyes csapatok nem fognak egyetérteni vele. Ha az adatvédelmi szabályokon belül dolgozol, az afelé a személyre szabás felé terel, amely amúgy is jellemzően működik.

A cégszintű szegmensek minden látogatót elérnek, azokat is, akik elutasítják a sütiket, így az első teszted nem korlátozódik arra a részhalmazra, amely az „Elfogadom” gombra kattintott. Kevesebb, tágabb szegmenshez (például iparág és cégméret szerint öt-hathoz) könnyebb jó tartalmat írni, mint több tucat böngészési mintákból épített mikroszegmenshez, és minden szegmens elég forgalmat kap a méréshez. Ha pedig nem támaszkodhatsz harmadik féltől származó adatokra, egy first-party adatstratégiába fektetsz be, amely arra épül, hogyan használják az emberek ténylegesen a saját oldaladat, és ez az az adat, amely kifejezetten irántad való érdeklődésüket tükrözi.

Ha kiindulópontot szeretnél ezekhez a szegmensekhez, a konvertáló cégadat-alapú szegmensekről szóló cikkünk végigvezet a kiválasztásukon, a cégszintű látogatóazonosítás működéséről szóló pedig elmagyarázza, mit tud és mit nem tud megmondani az IP-keresés.

Indulás anélkül, hogy elakadnál a jogi átvilágításon

A legtöbb B2B csapat számára a reális kockázat nem a bírság, hanem a hónapokig tartó oda-vissza levelezés, mert senki nem adott a jogi osztálynak konkrét, átnézhető tervet. Adj nekik egyet:

1. Egyoldalas adatfolyam-ábra, amely bemutatja az IP-lekérdezést, azt, hogy mi jön vissza, és mi kerül tárolásra.
2. A fenti szinttáblázat a saját stackedre kitöltve.
3. Egy LIA-tervezet és egy adatvédelmi tájékoztató szakasz.
4. A tiszta böngészős hozzájárulási teszt eredményei.

Ezután indítsd el az 1. szintet néhány nagy forgalmú oldalon, mérj 30 napig, és add hozzá a 2. szintet, amint a hozzájárulás működik, és a számok indokolják.

A Markettailor illeszkedik ehhez a sorrendhez: a cégadat-alapú szegmentálása cégszintű adatokkal dolgozik, így az 1. szintű szabályokkal már akkor elkezdheted, amikor a hozzájárulással kapcsolatos munka még folyik. Ha a jogi egyeztetés előtt szeretnéd összehasonlítani a csomagokat, nézd meg a Markettailor árazását.