La maggior parte dei progetti di personalizzazione B2B si scontra con lo stesso muro alla seconda settimana. Il marketing ha pronti i segmenti e le varianti dei titoli, poi qualcuno dell'ufficio legale chiede come funzioni l'identificazione dei visitatori ai sensi del GDPR, e nessuno ha una risposta scritta. Il progetto si ferma.
Questo articolo è la risposta che vorremmo avere per iscritto. Tratta la privacy dei dati nella personalizzazione dei siti B2B secondo i tre insiemi di norme che generano la maggior parte delle domande (GDPR, le norme ePrivacy dell'UE su cookie e accesso ai dispositivi e il CCPA/CPRA della California), cosa richiede davvero ciascuno, e una checklist di lancio da consegnare al tuo ufficio legale. Non è una consulenza legale. L'obiettivo è portare marketing e legale alla stessa conversazione più in fretta, con le fonti primarie collegate così che i tuoi legali possano verificarle.
Perché la personalizzazione B2B ha un profilo di privacy diverso
La maggior parte delle indicazioni sulla privacy è scritta per scenari consumer: tracciamento pubblicitario tra siti di shopping, profili comportamentali venduti a terzi. La personalizzazione dei siti B2B di solito è diversa:
- L'input principale sono i dati a livello di azienda (settore, dimensione, sede, tecnologie usate), di solito ricavati dall'indirizzo IP del visitatore.
- Il risultato è contenuto: un visitatore del manifatturiero vede case study del manifatturiero invece di quelli fintech.
- Molti visitatori arrivano da aziende a cui già vendi o che hai nel mirino, quindi esiste una ragione commerciale plausibile per mostrare loro contenuti pertinenti.
Niente di tutto questo esenta la personalizzazione B2B dalla normativa sulla privacy. Dietro ogni indirizzo IP c'è comunque una persona, e la legge tutela quella persona, non l'azienda. Quello che cambia è il livello di rischio e quale base giuridica è realistica. Classificare correttamente la situazione è la maggior parte del lavoro.
GDPR: la questione dell'indirizzo IP
La prima domanda che farà l'ufficio legale è se un indirizzo IP sia un dato personale. La risposta onesta è "spesso sì, a seconda di chi lo detiene". Nella causa Breyer (Causa C-582/14), la Corte di giustizia dell'UE ha stabilito che un indirizzo IP dinamico è un dato personale per il gestore di un sito web se quel gestore dispone dei mezzi giuridici per identificare il visitatore grazie a informazioni aggiuntive in possesso del fornitore di servizi internet. La causa è stata decisa in base alla vecchia direttiva sulla protezione dei dati, ma la definizione di dato personale del GDPR all'articolo 4(1) cita espressamente "un identificativo online" come elemento che può rendere identificabile una persona, quindi lo stesso ragionamento vale anche oggi.
Il nostro punto di vista: pianifica come se ogni indirizzo IP che tratti fosse un dato personale. Sostenere il contrario ti fa risparmiare ben poco e rende la tua documentazione evasiva agli occhi di un'autorità di controllo.
Scegliere una base giuridica
L'articolo 6 del GDPR elenca sei basi giuridiche. Due sono rilevanti per la personalizzazione del sito:
| Base giuridica | Dove si colloca | Cosa devi al visitatore |
|---|---|---|
| Legittimo interesse, art. 6(1)(f) | Personalizzazione a livello aziendale da una ricerca IP, senza nulla memorizzato sul dispositivo | Un test di bilanciamento documentato (Legitimate Interest Assessment), un'informativa privacy chiara e un modo funzionante per opporsi ai sensi dell'articolo 21 |
| Consenso, art. 6(1)(a) | Tutto ciò che richiede cookie o un accesso simile al dispositivo, e qualsiasi profilo collegato a una persona identificata | Un consenso libero, specifico, informato e inequivocabile, che possa essere revocato con la stessa facilità con cui è stato dato (articolo 7(3)) |
Qui contano due dettagli. Primo, il comunicato stampa sulla sentenza Breyer riporta anche il punto della Corte secondo cui il gestore di un sito web può avere un interesse legittimo a trattare i dati dei visitatori, a condizione che sia bilanciato con i diritti del visitatore. È proprio quel bilanciamento che il tuo LIA deve dimostrare. Secondo, se la personalizzazione rientra nel marketing diretto, l'articolo 21(2) e (3) attribuisce al visitatore un diritto assoluto di opposizione: una volta che si oppone, ti fermi. Predisponi l'opt-out prima del lancio, non dopo il primo reclamo.
Quanto può costare un errore sul GDPR
Ai sensi dell'articolo 83(5), le violazioni dei principi del trattamento, delle norme sulla base giuridica dell'articolo 6, delle condizioni per il consenso dell'articolo 7 e dei diritti degli interessati degli articoli da 12 a 22 possono comportare sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore. Sono massimali, non sanzioni tipiche. Il costo più realistico per un team B2B mid-market è un'indagine del garante che ti costringe a sospendere la personalizzazione mentre produci documenti che dovresti già avere.
ePrivacy: dove "cookieless" viene frainteso
La direttiva ePrivacy (2002/58/CE, articolo 5(3)) è la norma alla base dei banner dei cookie. Richiede il consenso prima di archiviare informazioni sul dispositivo di un utente o di accedere a informazioni in esso contenute, salvo che l'archiviazione o l'accesso siano strettamente necessari per un servizio richiesto dall'utente. Si applica insieme al GDPR, e non importa se le informazioni sono dati personali.
Nel Regno Unito la regola equivalente si trova nel PECR. Le linee guida dell'ICO sono chiare: il consenso deve essere dato in modo attivo e chiaro, e anche i cookie solo utili o comodi lo richiedono. I cookie di personalizzazione rientrano in questo gruppo.
Ecco la parte che molti blog dei fornitori saltano. Molto marketing sulla personalizzazione dice "lato server, senza cookie, quindi non serve il consenso". È una semplificazione eccessiva. Le Linee guida 2/2023 dell'EDPB sull'ambito tecnico dell'articolo 5(3) (versione definitiva di ottobre 2024) affermano che il tracciamento basato solo sugli indirizzi IP può rientrare nell'articolo 5(3) e che, a meno che tu non possa garantire che un indirizzo IP non provenga dal dispositivo dell'utente, devi considerarlo incluso. Le stesse linee guida affermano che l'articolo 5(3) si applica quando un codice lato client istruisce il browser a inviarti identificativi.
Cosa significa in pratica:
- Un reverse IP lookup lato server una tantum, usato per scegliere un titolo per la visualizzazione di pagina corrente, è lo schema a rischio più basso. Alcuni legali vorranno comunque coprirlo con il consenso o con un'analisi chiara delle esenzioni secondo le linee guida dell'EDPB, quindi chiedi al tuo.
- Usare l'indirizzo IP per seguire un visitatore tra pagine o sessioni è tracciamento, e secondo l'EDPB richiede la stessa analisi del consenso prevista per i cookie.
- Qualsiasi snippet JavaScript che legge o imposta identificatori nel browser (cookie, local storage, segnali di fingerprinting) richiede il consenso prima di essere eseguito, a meno che non sia strettamente necessario.
Una nota sui tempi: il previsto Regolamento ePrivacy che avrebbe dovuto sostituire la Direttiva non c'è più. La Commissione europea ha annunciato nel suo programma di lavoro 2025 che avrebbe ritirato la proposta, e la Direttiva esistente insieme alle leggi nazionali di attuazione restano in vigore. Non aspettare nuove regole UE sui cookie prima di configurare correttamente il consenso.
CCPA/CPRA: ti riguarda davvero?
La legge californiana si applica solo alle imprese a scopo di lucro che operano in California e superano almeno una soglia. Secondo la California Privacy Protection Agency, le soglie sono:
- Ricavi lordi annui pari o superiori a 26,625 milioni di $ (importo aggiornato dal 1° gennaio 2025).
- Acquistare, vendere o condividere le informazioni personali di 100.000 o più residenti o nuclei familiari della California.
- Ricavare il 50% o più del fatturato annuo dalla vendita o condivisione di dati personali di residenti in California.
Per i team B2B, il dato storico importante è che l'esenzione temporanea per i dati di contatto aziendali e i dati dei dipendenti è scaduta il 1° gennaio 2023. Un acquirente che naviga sul tuo sito dal portatile aziendale in California è un consumatore ai sensi della legge.
Se rientri nell'ambito di applicazione, gli obblighi che riguardano la personalizzazione sono:
- Dichiara nella tua informativa privacy che raccogli dati derivati dall'IP per la personalizzazione e quali categorie di dati usi.
- Se partner di arricchimento dati o pubblicitari ricevono dati dei visitatori in un modo che si configura come "vendita" o "condivisione" (la condivisione include la pubblicità comportamentale cross-context), offri un link "Do Not Sell or Share My Personal Information" e rispetta le richieste di opt-out.
- Rispondi alle richieste di accesso, cancellazione o rettifica entro 45 giorni di calendario, prorogabili di altri 45 giorni se avvisi la persona, secondo le FAQ della CPPA.
Le sanzioni sono state adeguate all'inflazione il 1° gennaio 2025: sanzioni amministrative fino a 2.663 $ per violazione e 7.988 $ per violazione intenzionale, secondo l'annuncio della CPPA. Altri stati USA hanno proprie leggi organiche sulla privacy con soglie diverse, quindi se hai traffico significativo da quegli stati, mappali separatamente invece di dare per scontato che l'analisi sulla California ti copra.
Un framework pratico: tre livelli di dati
Il modo più semplice per rendere tutto gestibile è classificare ogni input usato dalla personalizzazione prima di costruire qualsiasi cosa.
| Tier | Dati | Posizione giuridica tipica | Ordine di lancio |
|---|---|---|---|
| 1. A livello di azienda, per richiesta | Settore, dimensione e località da una ricerca IP lato server, nulla memorizzato sul dispositivo | Legittimo interesse ai sensi del GDPR con una LIA; verifica l'aspetto ePrivacy con un legale | Primo |
| 2. Comportamentale, basato sul dispositivo | Visite di ritorno, pagine visualizzate, punteggi di engagement conservati in cookie o local storage | Consenso ai sensi della ePrivacy prima di impostare qualsiasi cosa; base giuridica ai sensi del GDPR | Dopo che la configurazione del consenso funziona |
| 3. Profilo individuale | Contatti nominativi, email collegate alla navigazione, fase della trattativa nel CRM, arricchimento di terze parti sulla persona | Consenso o una base giuridica documentata con cura, DPA con ogni fornitore, pieno rispetto dei diritti degli interessati | Per ultimo, e solo dove conviene |
Il nostro punto di vista: parti con il Livello 1. Mostrare a un'azienda di logistica il tuo case study sulla logistica non richiede di sapere nulla della persona che legge. La maggior parte dei successi evidenti della personalizzazione (titolo per settore, prove pertinenti, enfasi sui prezzi in base alla dimensione aziendale) si trova nel Livello 1. I Livelli 2 e 3 aggiungono valore, ma anche dipendenze dal consenso e adempimenti burocratici, quindi aggiungili quando il Livello 1 è misurato e stabile.
Passo dopo passo: un lancio conforme
1. Dividi l'esperienza in base al consenso
L'errore comune è bloccare tutta la personalizzazione finché il visitatore non clicca "Accetta". Un approccio migliore:
- Prima del consenso: solo personalizzazione di Tier 1 da una ricerca lato server, senza identificatori memorizzati sul dispositivo. Nessuno storico comportamentale.
- Dopo il consenso ai cookie di personalizzazione: inizia a registrare visite di ritorno ed engagement e usali per le regole di livello 2.
- Dopo l'invio di un modulo: collega l'account ai dati del CRM (Tier 3) nei limiti coperti dalla tua informativa privacy e dalla base giuridica.
Testalo nel modo più semplice: apri il sito in un profilo del browser pulito, rifiuta tutto e controlla la scheda Application nei DevTools. Non deve comparire alcun cookie o chiave di local storage di personalizzazione. Poi accetta e controlla di nuovo.
2. Fai corrispondere le categorie di consenso alla realtà
Un visitatore che accetta gli “analytics” non ha acconsentito alla “personalizzazione”. Se il tuo strumento di consenso prevede categorie granulari, aggiungi una categoria per la personalizzazione (o inseriscila in una categoria “funzionale” o “marketing” esistente che la descriva in modo accurato) e assicurati che lo script di personalizzazione ascolti proprio quella categoria.
3. Verifica ogni fornitore nel flusso dei dati
Per ogni vendor che tratta dati dei visitatori (arricchimento IP, analytics, CDP, CRM, strumento di consenso), annota:
- Quali dati ricevono dal tuo sito e cosa restituiscono.
- Dove li conservano e li trattano, e quale meccanismo copre eventuali trasferimenti al di fuori del SEE.
- Se usano i dati dei tuoi visitatori per i propri prodotti. In tal caso potrebbero agire come titolari del trattamento anziché come responsabili, il che cambia i tuoi contratti e la tua informativa privacy.
- Se è stato firmato un accordo sul trattamento dei dati e dove è archiviato.
Il contratto copre solo metà del problema; l'altra metà è come ciascun vendor protegge effettivamente i dati. Se il tuo team non ha competenze di sicurezza interne, servizi di cybersecurity esterni possono esaminare i controlli di accesso e l'archiviazione dei vendor prima della firma.
Esempio di ciò che questo audit tende a scoprire (illustrativo): uno strumento di analytics i cui termini gli consentono di usare i dati dei clienti per costruire i propri prodotti di audience. Non è un rapporto da responsabile del trattamento, e devi rinegoziare, comunicarlo correttamente o passare a uno strumento che resti nel ruolo di responsabile del trattamento, come una configurazione di analytics per la personalizzazione che tratta i dati solo su tue istruzioni.
4. Scrivi i tre documenti
- Sezione dell'informativa privacy. Cosa raccogli (dati aziendali ricavati dall'IP, dati comportamentali con consenso), perché (per mostrare contenuti pertinenti), base giuridica, conservazione, fornitori e come opporsi.
- Valutazione del legittimo interesse. Test della finalità (mostrare contenuti pertinenti ai visitatori aziendali), test di necessità (perché i dati a livello aziendale bastano e non te ne servono altri), test di bilanciamento (nessun dato sensibile, output a livello aziendale, opposizione facile, conservazione breve).
- Cookie policy. Ogni cookie o chiave di archiviazione impostati dal sistema di personalizzazione, con finalità, durata e categoria.
5. Fissa limiti di conservazione che puoi far rispettare
Il principio di limitazione della conservazione del GDPR all'Article 5(1)(e) impone di conservare i dati personali non oltre quanto richiesto dalla finalità. La legge non fissa un numero, quindi scegline uno e giustificalo. Esempio: dati comportamentali per 90 giorni, dati arricchiti sugli account per 12 mesi per coprire un tipico ciclo di vendita B2B. Qualunque cosa tu scelga, configurala negli strumenti così che la cancellazione avvenga automaticamente.
6. Fai una prova di richiesta dell'interessato
Ai sensi dell'articolo 12(3), devi rispondere alle richieste di accesso, cancellazione e opposizione senza ingiustificato ritardo ed entro un mese, prorogabile di altri due mesi se necessario. La California concede 45 giorni. Fai una richiesta di prova prima del lancio: scegli un collega che ha visitato il sito e prova a trovare, esportare e cancellare tutto ciò che il tuo stack conserva su di lui. Se il tuo strumento di identificazione dei visitatori non riesce a farlo per indirizzo IP o per contatto, hai un problema da risolvere prima di andare online.
Errori di compliance comuni
Definire "anonimi" i dati aziendali
Identificare un'azienda non equivale a trattare dati anonimi. L'indirizzo IP usato per la ricerca è un dato personale nella maggior parte degli scenari realistici. Dichiaralo nella documentazione, basati su una base giuridica documentata e vai avanti.
Dare per scontato che "lato server" significhi "senza consenso"
Come visto sopra, l'EDPB interpreta l'articolo 5(3) in modo abbastanza ampio da comprendere il tracciamento basato su IP e la raccolta di identificatori lato client. Le ricerche dell'azienda lato server, a ogni richiesta, sono la soluzione a rischio più basso, ma restano una scelta progettuale da discutere con il legale, non un'esenzione automatica.
Nessun percorso per le obiezioni
Se la tua base giuridica è il legittimo interesse, il visitatore può opporsi. Un link nell'informativa privacy che porta a una casella email che nessuno controlla non conta. Dagli un'impostazione che disattivi la personalizzazione e rispettala nel motore di personalizzazione.
Inserire dati di intento di terze parti senza verificarne la provenienza
I dati di intento di terze parti sono spesso ricavati dalla navigazione su più siti. Se il fornitore non può dimostrare come sia stato ottenuto il consenso o un'altra base giuridica per quella raccolta, erediti quella debolezza nel momento in cui li usi. Chiedi la documentazione sulla provenienza dei dati prima di firmare, e preferisci i segnali comportamentali di prima parte. Approfondiamo i compromessi nella nostra guida ai dati di intento per la personalizzazione dei siti B2B.
Conservazione a tempo indeterminato
Gli strumenti di personalizzazione spesso conservano tutto per impostazione predefinita. Controlla l'impostazione di conservazione di ogni strumento dello stack, non solo della piattaforma di personalizzazione principale.
Checklist pre-lancio
- Inventario dei dati completato, ogni input classificato come Tier 1, 2 o 3.
- Base giuridica documentata per livello, con un LIA per il livello 1.
- Analisi ePrivacy del reverse IP lookup e di eventuali script lato client, rivista da un legale.
- Il banner dei cookie ha una categoria che copre la personalizzazione, e un test con browser pulito conferma che nulla viene memorizzato prima del consenso.
- DPA firmati con ogni fornitore; luoghi di archiviazione e meccanismi di trasferimento registrati.
- Informativa privacy e cookie policy aggiornate.
- Il percorso di opposizione e disiscrizione funziona ed è rispettato dal motore di personalizzazione.
- Limiti di conservazione configurati in ogni strumento.
- Richiesta di prova di un interessato evasa entro i termini di GDPR e CCPA.
- Ambito di applicazione del CCPA verificato rispetto alle tre soglie e altre leggi statali USA mappate se hai traffico da quegli stati.
Perché i vincoli di privacy portano a una personalizzazione migliore
Questa è la parte di opinione, e alcuni team non saranno d'accordo. Lavorare nel rispetto delle norme sulla privacy ti spinge verso la personalizzazione che tende comunque a funzionare.
I segmenti a livello di azienda raggiungono ogni visitatore, compresi quelli che rifiutano i cookie, quindi il tuo primo test non è limitato a chi ha cliccato “Accetta”. Pochi segmenti più ampi (per esempio cinque o sei per settore e dimensione aziendale) sono più facili da servire con buoni contenuti rispetto a decine di micro-segmenti costruiti su schemi di navigazione, e ogni segmento riceve abbastanza traffico da essere misurato. E quando non puoi contare sui dati di terze parti, investi in una strategia di dati di prima parte basata su come le persone usano davvero il tuo sito, che sono i dati che riflettono il loro interesse proprio per te.
Se ti serve un punto di partenza per quei segmenti, il nostro articolo sui segmenti firmografici che convertono spiega come sceglierli, e come funziona l'identificazione dei visitatori a livello di azienda spiega cosa può e non può dirti la ricerca IP.
Iniziare senza bloccarsi nella revisione legale
Il rischio realistico per la maggior parte dei team B2B non è una sanzione. Sono mesi di botta e risposta perché nessuno ha dato all'ufficio legale un progetto concreto da esaminare. Daglielo tu:
- Un diagramma di una pagina del flusso dei dati che mostri la ricerca dell'IP, cosa viene restituito e cosa viene memorizzato.
- La tabella dei livelli qui sopra, compilata per il tuo stack.
- Una bozza di LIA e della sezione dell'informativa privacy.
- I risultati del test del consenso con browser pulito.
Poi lancia il Tier 1 su alcune pagine ad alto traffico, misura per 30 giorni e aggiungi il Tier 2 quando il consenso funziona e i numeri lo giustificano.
Markettailor si adatta a questa sequenza: la sua segmentazione firmografica lavora su dati a livello di azienda, così puoi iniziare con le regole di Tier 1 mentre si completa il lavoro sul consenso. Se vuoi confrontare i piani prima di parlare con l'ufficio legale, scopri i prezzi di Markettailor.