Sebagian besar proyek personalisasi B2B membentur tembok yang sama di minggu kedua. Marketing sudah menyiapkan segmen dan varian headline, lalu seseorang dari tim legal bertanya bagaimana bagian identifikasi pengunjung bekerja menurut GDPR, dan tidak ada yang punya jawaban tertulis. Proyek pun tertunda.
Artikel ini adalah jawaban yang ingin kami lihat tertulis. Artikel ini membahas privasi data personalisasi untuk website B2B berdasarkan tiga perangkat aturan yang paling sering memunculkan pertanyaan (GDPR, aturan ePrivacy UE tentang cookie dan akses perangkat, serta CCPA/CPRA California), apa yang sebenarnya diwajibkan masing-masing, dan checklist peluncuran yang bisa Anda serahkan ke tim legal. Ini bukan nasihat hukum. Tujuannya adalah mempertemukan marketing dan legal dalam percakapan yang sama lebih cepat, dengan sumber primer yang ditautkan agar penasihat hukum Anda bisa memeriksanya.
Mengapa personalisasi B2B memiliki profil privasi yang berbeda
Sebagian besar panduan privasi ditulis untuk skenario konsumen: pelacakan iklan lintas situs belanja, profil perilaku yang dijual ke pihak ketiga. Personalisasi website B2B biasanya berbeda:
- Input utamanya adalah data tingkat perusahaan (industri, ukuran, lokasi, teknologi yang digunakan), yang biasanya berasal dari alamat IP pengunjung.
- Hasilnya sederhana: pengunjung dari manufaktur melihat studi kasus manufaktur, bukan fintech.
- Banyak pengunjung berasal dari perusahaan yang sudah menjadi pelanggan atau target Anda, sehingga ada alasan bisnis yang masuk akal untuk menampilkan konten yang relevan kepada mereka.
Semua itu tidak membuat personalisasi B2B kebal dari hukum privasi. Tetap ada orang di balik setiap alamat IP, dan hukum melindungi orang tersebut, bukan perusahaannya. Yang berubah adalah tingkat risikonya dan dasar hukum mana yang realistis. Menentukan klasifikasi itu dengan benar adalah sebagian besar pekerjaannya.
GDPR: pertanyaan tentang alamat IP
Pertanyaan pertama yang akan diajukan tim legal adalah apakah alamat IP termasuk data pribadi. Jawaban jujurnya adalah "sering kali ya, tergantung siapa yang memegangnya." Dalam perkara Breyer (Case C-582/14), Pengadilan Uni Eropa memutuskan bahwa alamat IP dinamis merupakan data pribadi bagi operator website jika operator tersebut memiliki sarana hukum untuk mengidentifikasi pengunjung dengan informasi tambahan yang dipegang oleh penyedia layanan internet. Perkara ini diputus berdasarkan Data Protection Directive yang lama, tetapi definisi data pribadi dalam GDPR di Article 4(1) secara eksplisit mencantumkan "an online identifier" sebagai sesuatu yang dapat membuat seseorang teridentifikasi, sehingga penalaran yang sama tetap berlaku.
Pandangan kami: rencanakan seolah-olah setiap alamat IP yang Anda proses adalah data pribadi. Berargumen sebaliknya hanya menghemat sedikit dan membuat dokumentasi Anda terlihat mengelak di mata regulator.
Memilih dasar hukum
Pasal 6 GDPR mencantumkan enam dasar hukum. Dua di antaranya relevan untuk personalisasi situs web:
| Dasar hukum | Kapan cocok digunakan | Kewajiban Anda kepada pengunjung |
|---|---|---|
| Kepentingan sah, Art. 6(1)(f) | Personalisasi tingkat perusahaan dari pencarian IP, tanpa ada yang disimpan di perangkat | Uji keseimbangan yang terdokumentasi (Legitimate Interest Assessment), pemberitahuan privasi yang jelas, dan cara yang berfungsi untuk mengajukan keberatan berdasarkan Pasal 21 |
| Persetujuan, Art. 6(1)(a) | Apa pun yang membutuhkan cookie atau akses perangkat serupa, dan profil apa pun yang terkait dengan orang yang disebut namanya | Persetujuan yang diberikan secara bebas, spesifik, berdasarkan informasi, dan tidak ambigu, serta dapat ditarik semudah saat diberikan (Pasal 7(3)) |
Ada dua detail penting di sini. Pertama, siaran pers Breyer juga mencatat poin Pengadilan bahwa operator website dapat memiliki kepentingan sah untuk memproses data pengunjung, asalkan ditimbang terhadap hak-hak pengunjung. Itulah uji keseimbangan yang harus ditunjukkan LIA Anda. Kedua, jika personalisasi merupakan bagian dari pemasaran langsung, Article 21(2) dan (3) memberi pengunjung hak mutlak untuk menolak: begitu mereka menolak, Anda berhenti. Siapkan mekanisme opt-out sebelum peluncuran, bukan setelah keluhan pertama.
Berapa biaya sebuah kesalahan GDPR
Berdasarkan Pasal 83(5), pelanggaran atas prinsip pemrosesan, aturan dasar hukum dalam Pasal 6, syarat persetujuan dalam Pasal 7, dan hak subjek data dalam Pasal 12 hingga 22 dapat dikenai denda hingga €20 juta atau 4% dari omzet tahunan global, mana pun yang lebih tinggi. Itu adalah batas maksimum, bukan denda yang umum. Biaya yang lebih realistis bagi tim B2B mid-market adalah penyelidikan regulator yang memaksa Anda menghentikan sementara personalisasi sambil menyiapkan dokumen yang seharusnya sudah Anda miliki.
ePrivacy: di mana "cookieless" sering disalahpahami
ePrivacy Directive (2002/58/EC, Article 5(3)) adalah aturan di balik banner cookie. Aturan ini mewajibkan persetujuan sebelum menyimpan informasi di, atau mengakses informasi dari, perangkat pengguna, kecuali penyimpanan atau akses itu benar-benar diperlukan untuk layanan yang diminta pengguna. Aturan ini berlaku berdampingan dengan GDPR, dan tidak peduli apakah informasinya termasuk data pribadi atau bukan.
Di Inggris, aturan yang setara ada di PECR. Panduan ICO menegaskan bahwa persetujuan harus diberikan secara aktif dan jelas, dan bahwa cookie yang hanya membantu atau memudahkan tetap memerlukannya. Cookie personalisasi termasuk dalam kelompok itu.
Inilah bagian yang sering dilewatkan blog vendor. Banyak pemasaran personalisasi mengatakan "sisi server, tanpa cookie, jadi tidak perlu persetujuan." Itu terlalu disederhanakan. Guidelines 2/2023 on the technical scope of Article 5(3) dari EDPB (versi final Oktober 2024) menyatakan bahwa pelacakan yang hanya berbasis alamat IP bisa termasuk dalam Article 5(3), dan kecuali Anda bisa memastikan alamat IP tidak berasal dari perangkat pengguna, Anda harus memperlakukannya sebagai tercakup. Pedoman yang sama menyatakan Article 5(3) berlaku ketika kode sisi klien menginstruksikan browser untuk mengirimkan pengenal kepada Anda.
Artinya dalam praktik:
- Lookup IP sisi server sekali jalan yang dipakai untuk memilih headline pada tampilan halaman saat ini adalah pola dengan risiko paling rendah. Sebagian ahli hukum tetap ingin hal ini dicakup oleh persetujuan atau analisis pengecualian yang jelas berdasarkan pedoman EDPB, jadi tanyakan kepada penasihat hukum Anda.
- Menggunakan alamat IP untuk mengikuti pengunjung lintas halaman atau sesi adalah tracking, dan menurut pandangan EDPB hal itu memerlukan analisis persetujuan yang sama dengan cookie.
- Setiap snippet JavaScript yang membaca atau menetapkan identifier di browser (cookie, local storage, sinyal fingerprinting) memerlukan persetujuan sebelum dijalankan, kecuali benar-benar diperlukan.
Satu catatan waktu: ePrivacy Regulation yang direncanakan untuk menggantikan Directive sudah dibatalkan. Komisi Eropa mengumumkan dalam program kerja 2025-nya bahwa proposal tersebut akan ditarik, dan Directive yang ada beserta undang-undang implementasi nasional tetap berlaku. Jangan menunggu aturan cookie UE yang baru sebelum menyiapkan persetujuan dengan benar.
CCPA/CPRA: apakah benar-benar berlaku untuk Anda?
Hukum California hanya berlaku untuk bisnis berorientasi laba yang berbisnis di California dan memenuhi setidaknya satu ambang batas. Menurut California Privacy Protection Agency, ambang batasnya adalah:
- Pendapatan kotor tahunan sebesar US$26,625 juta atau lebih (angka setelah penyesuaian per 1 Januari 2025).
- Membeli, menjual, atau membagikan informasi pribadi dari 100.000 atau lebih penduduk atau rumah tangga California.
- Memperoleh 50% atau lebih pendapatan tahunan dari menjual atau membagikan informasi pribadi penduduk California.
Bagi tim B2B, sejarah pentingnya adalah pengecualian sementara untuk data kontak bisnis dan data karyawan berakhir pada 1 Januari 2023. Pembeli yang menjelajahi situs Anda dari laptop kantor di California adalah konsumen menurut hukum tersebut.
Jika Anda termasuk dalam cakupannya, kewajiban yang berkaitan dengan personalisasi adalah:
- Ungkapkan dalam kebijakan privasi Anda bahwa Anda mengumpulkan data turunan IP untuk personalisasi dan kategori data apa yang Anda gunakan.
- Jika mitra enrichment atau iklan menerima data pengunjung dengan cara yang dianggap "menjual" atau "membagikan" (membagikan mencakup iklan perilaku lintas konteks), sediakan tautan "Do Not Sell or Share My Personal Information" dan hormati permintaan opt-out.
- Tanggapi permintaan untuk mengetahui, menghapus, atau memperbaiki data dalam 45 hari kalender, dapat diperpanjang 45 hari lagi jika Anda memberi tahu orang tersebut, sesuai FAQ CPPA.
Sanksi dinaikkan menyesuaikan inflasi pada 1 Januari 2025: denda administratif hingga US$2.663 per pelanggaran dan US$7.988 per pelanggaran yang disengaja, menurut pengumuman CPPA. Negara bagian AS lainnya memiliki undang-undang privasi komprehensif sendiri dengan ambang batas berbeda, jadi jika Anda memiliki traffic yang signifikan dari negara bagian tersebut, petakan secara terpisah alih-alih menganggap analisis California sudah mencakup Anda.
Kerangka kerja yang praktis: tiga tingkat data
Cara termudah untuk membuat ini terkelola adalah mengklasifikasikan setiap input yang digunakan personalisasi Anda sebelum membangun apa pun.
| Tier | Data | Posisi hukum yang umum | Urutan peluncuran |
|---|---|---|---|
| 1. Tingkat perusahaan, per permintaan | Industri, ukuran, lokasi dari pencarian IP di sisi server, tidak ada yang disimpan di perangkat | Kepentingan sah GDPR dengan LIA; periksa aspek ePrivacy bersama penasihat hukum | Pertama |
| 2. Perilaku, berbasis perangkat | Kunjungan berulang, halaman yang dilihat, skor engagement yang disimpan di cookie atau local storage | Persetujuan berdasarkan ePrivacy sebelum apa pun ditetapkan; dasar hukum berdasarkan GDPR | Setelah penyiapan persetujuan Anda berfungsi |
| 3. Profil individu | Kontak bernama, email yang terhubung dengan aktivitas browsing, tahap deal di CRM, enrichment third-party tentang orang tersebut | Persetujuan atau dasar hukum yang terdokumentasi dengan cermat, DPA dengan setiap vendor, hak subjek data secara penuh | Terakhir, dan hanya jika sepadan |
Pandangan kami: luncurkan dengan Tier 1. Menampilkan studi kasus logistik kepada perusahaan logistik tidak memerlukan pengetahuan apa pun tentang orang yang membacanya. Sebagian besar kemenangan personalisasi yang jelas (headline industri, bukti yang relevan, penekanan harga berdasarkan ukuran perusahaan) ada di Tier 1. Tier 2 dan 3 memberi nilai tambah, tetapi juga menambah ketergantungan pada persetujuan dan dokumen administratif, jadi tambahkan setelah Tier 1 terukur dan stabil.
Langkah demi langkah: meluncurkan dengan patuh aturan
1. Pisahkan pengalaman berdasarkan persetujuan
Kesalahan yang umum adalah memblokir semua personalisasi sampai pengunjung mengklik "Terima". Desain yang lebih baik:
- Sebelum persetujuan: hanya personalisasi Tier 1 dari lookup sisi server, tanpa ada identifier yang disimpan di perangkat. Tanpa riwayat perilaku.
- Setelah persetujuan untuk cookie personalisasi: mulai catat kunjungan kembali dan engagement, lalu gunakan untuk aturan Tier 2.
- Setelah pengiriman formulir: hubungkan akun dengan data CRM (Tier 3) jika pemberitahuan privasi dan dasar hukum Anda mencakupnya.
Uji dengan cara yang membosankan: buka situs di profil browser yang bersih, tolak semuanya, dan periksa tab Application di DevTools. Tidak boleh ada cookie personalisasi atau key local storage yang muncul. Lalu terima dan periksa lagi.
2. Sesuaikan kategori persetujuan dengan kenyataan
Pengunjung yang menyetujui "analitik" belum tentu menyetujui "personalisasi". Jika tool persetujuan Anda memiliki kategori yang terperinci, tambahkan kategori personalisasi (atau masukkan personalisasi ke kategori "fungsional" atau "marketing" yang sudah ada dan mendeskripsikannya dengan akurat), lalu pastikan skrip personalisasi secara khusus mengikuti kategori tersebut.
3. Audit setiap vendor dalam aliran data
Untuk setiap vendor yang menyentuh data pengunjung (IP enrichment, analitik, CDP, CRM, tool persetujuan), catat:
- Data apa yang mereka terima dari situs Anda dan apa yang mereka kirim balik.
- Di mana mereka menyimpan dan memprosesnya, serta mekanisme transfer apa yang mencakup setiap transfer ke luar EEA.
- Apakah mereka menggunakan data pengunjung Anda untuk produk mereka sendiri. Jika ya, mereka mungkin bertindak sebagai pengendali data, bukan pemroses, yang mengubah kontrak dan pemberitahuan privasi Anda.
- Apakah Data Processing Agreement sudah ditandatangani dan di mana disimpan.
Kontrak hanya mencakup separuhnya; separuh lainnya adalah bagaimana setiap vendor benar-benar melindungi data. Jika tim Anda tidak memiliki keahlian keamanan internal, layanan keamanan siber dari pihak luar dapat meninjau kontrol akses dan penyimpanan vendor sebelum Anda menandatangani kontrak.
Contoh hal yang biasanya terungkap dalam audit ini (ilustratif): alat analitik yang ketentuannya mengizinkan penggunaan data pelanggan untuk membangun produk audiensnya sendiri. Itu bukan hubungan pemroses data, dan Anda harus menegosiasikan ulang, mengungkapkannya dengan benar, atau beralih ke alat yang tetap berperan sebagai pemroses, seperti pengaturan analitik personalisasi yang hanya memproses data sesuai instruksi Anda.
4. Tulis tiga dokumen
- Bagian kebijakan privasi. Apa yang Anda kumpulkan (data perusahaan dari IP, data perilaku dengan persetujuan), mengapa (untuk menampilkan konten yang relevan), dasar hukum, retensi, vendor, dan cara mengajukan keberatan.
- Legitimate Interest Assessment. Uji tujuan (menampilkan konten relevan kepada pengunjung bisnis), uji kebutuhan (mengapa data tingkat perusahaan sudah cukup dan Anda tidak membutuhkan lebih), uji keseimbangan (tanpa data sensitif, output tingkat perusahaan, keberatan mudah diajukan, retensi singkat).
- Kebijakan cookie. Setiap cookie atau storage key yang dipasang sistem personalisasi, tujuannya, masa berlakunya, dan kategorinya.
5. Tetapkan batas retensi yang bisa Anda tegakkan
Prinsip pembatasan penyimpanan GDPR dalam Article 5(1)(e) berarti menyimpan data pribadi tidak lebih lama dari yang dibutuhkan untuk tujuannya. Undang-undang tidak menetapkan angka, jadi pilih satu angka dan berikan alasannya. Contoh: data perilaku selama 90 hari, data akun yang diperkaya selama 12 bulan untuk mencakup siklus penjualan B2B pada umumnya. Apa pun pilihan Anda, konfigurasikan di dalam alat sehingga penghapusan terjadi secara otomatis.
6. Latih penanganan permintaan subjek data
Berdasarkan Article 12(3), Anda harus menjawab permintaan akses, penghapusan, dan keberatan tanpa penundaan yang tidak semestinya dan dalam waktu satu bulan, yang dapat diperpanjang dua bulan lagi bila perlu. California memberi waktu 45 hari. Jalankan permintaan uji sebelum peluncuran: pilih rekan kerja yang pernah mengunjungi situs, lalu coba temukan, ekspor, dan hapus semua data tentang mereka yang disimpan stack Anda. Jika tool identifikasi pengunjung Anda tidak bisa melakukannya per alamat IP atau per kontak, ada masalah yang harus Anda selesaikan sebelum go-live.
Kesalahan kepatuhan yang umum
Menyebut data perusahaan sebagai "anonim"
Mengidentifikasi perusahaan tidak sama dengan memproses data anonim. Alamat IP yang Anda gunakan untuk lookup adalah data pribadi dalam sebagian besar skenario realistis. Nyatakan itu dalam dokumentasi Anda, andalkan dasar hukum yang terdokumentasi, lalu lanjutkan.
Menganggap "server-side" berarti "tanpa persetujuan"
Seperti dibahas di atas, EDPB menafsirkan Pasal 5(3) cukup luas sehingga mencakup pelacakan berbasis IP dan pengumpulan pengenal di sisi klien. Pencarian perusahaan per permintaan di sisi server adalah desain dengan risiko terendah, tetapi itu adalah pilihan desain yang perlu didiskusikan dengan penasihat hukum, bukan pengecualian otomatis.
Tidak ada jalur untuk mengajukan keberatan
Jika dasar hukum Anda adalah kepentingan sah, pengunjung bisa mengajukan keberatan. Tautan di kebijakan privasi yang mengarah ke kotak masuk email yang tidak dipantau siapa pun tidak dihitung. Berikan pengaturan yang mematikan personalisasi dan hormati pilihan tersebut di mesin personalisasi.
Memasukkan data intent pihak ketiga tanpa memeriksa asal-usulnya
Intent data pihak ketiga sering dibangun dari penjelajahan lintas situs. Jika penyedia tidak dapat menunjukkan bagaimana persetujuan atau dasar hukum lain diperoleh untuk pengumpulan tersebut, Anda mewarisi kelemahan itu begitu Anda menggunakannya. Mintalah dokumentasi asal-usul data mereka sebelum menandatangani, dan utamakan sinyal perilaku pihak pertama. Kami membahas pertimbangannya lebih rinci dalam panduan kami tentang intent data untuk personalisasi website B2B.
Retensi tanpa batas waktu
Tool personalisasi sering menyimpan semuanya secara default. Periksa pengaturan retensi di setiap tool dalam stack, bukan hanya platform personalisasi utama.
Checklist sebelum peluncuran
- Inventaris data selesai, setiap input diklasifikasikan sebagai Tier 1, 2, atau 3.
- Dasar hukum didokumentasikan per tier, dengan LIA untuk Tier 1.
- Analisis ePrivacy atas lookup IP dan skrip sisi klien apa pun telah ditinjau oleh penasihat hukum.
- Banner persetujuan memiliki kategori yang mencakup personalisasi, dan pengujian dengan browser bersih memastikan tidak ada yang disimpan sebelum persetujuan.
- DPA ditandatangani dengan setiap vendor; lokasi penyimpanan dan mekanisme transfer dicatat.
- Kebijakan privasi dan kebijakan cookie telah diperbarui.
- Jalur keberatan dan opt-out berfungsi dan dipatuhi oleh mesin personalisasi.
- Batas retensi dikonfigurasi di setiap tool.
- Uji coba permintaan subjek data diselesaikan dalam tenggat waktu GDPR dan CCPA.
- Cakupan CCPA sudah dicek terhadap tiga ambang batas, dan hukum negara bagian AS lainnya sudah dipetakan jika Anda punya trafik dari sana.
Mengapa batasan privasi menghasilkan personalisasi yang lebih baik
Ini adalah bagian opini, dan sebagian tim mungkin tidak setuju. Bekerja dalam batas aturan privasi justru mendorong Anda ke arah personalisasi yang memang cenderung berhasil.
Segmen tingkat perusahaan menjangkau setiap pengunjung, termasuk yang menolak cookie, sehingga pengujian pertama Anda tidak terbatas pada sebagian pengunjung yang mengklik “Terima.” Segmen yang lebih sedikit dan lebih luas (misalnya lima atau enam berdasarkan industri dan ukuran perusahaan) lebih mudah dibuatkan konten yang bagus dibandingkan puluhan mikro-segmen yang dibangun dari pola penjelajahan, dan setiap segmen mendapat cukup traffic untuk diukur. Dan ketika Anda tidak bisa mengandalkan data pihak ketiga, Anda berinvestasi pada strategi data first-party yang dibangun dari cara orang benar-benar menggunakan situs Anda sendiri, yaitu data yang mencerminkan minat mereka secara spesifik pada Anda.
Jika Anda menginginkan titik awal untuk segmen-segmen tersebut, artikel kami tentang segmen firmografis yang menghasilkan konversi menjelaskan cara memilihnya, dan cara kerja identifikasi pengunjung tingkat perusahaan menjelaskan apa yang bisa dan tidak bisa diberitahukan oleh IP lookup.
Memulai tanpa tertahan di tinjauan legal
Risiko realistis bagi sebagian besar tim B2B bukanlah denda. Risikonya adalah berbulan-bulan bolak-balik karena tidak ada yang memberi tim legal desain konkret untuk ditinjau. Berikan mereka desain itu:
- Diagram alur data satu halaman yang menunjukkan lookup IP, data yang dikembalikan, dan data yang disimpan.
- Tabel tier di atas, diisi untuk stack Anda.
- Draf LIA dan bagian kebijakan privasi.
- Hasil uji persetujuan dengan browser bersih.
Lalu luncurkan Tier 1 di beberapa halaman bertrafik tinggi, ukur selama 30 hari, dan tambahkan Tier 2 setelah persetujuan berfungsi dan angkanya membenarkan.
Markettailor sesuai dengan urutan kerja ini: segmentasi firmografis-nya bekerja dari data tingkat perusahaan, sehingga Anda bisa memulai dengan aturan Tier 1 sementara pekerjaan terkait persetujuan diselesaikan. Jika Anda ingin membandingkan paket sebelum berbicara dengan tim legal, lihat harga Markettailor.