ほとんどの B2B パーソナライゼーションのプロジェクトは、2週目に同じ壁にぶつかります。マーケティングはセグメントと見出しのパターンを用意できているのに、法務の誰かが「訪問者特定の部分は GDPR のもとでどう機能するのか」と尋ね、誰も文書化された答えを持っていないのです。プロジェクトは止まります。
この記事は、私たちが書き残しておきたかった答えです。B2B Webサイトのパーソナライゼーションにおけるデータプライバシーについて、最も多くの疑問を生む3つのルール（GDPR、CookieとデバイスへのアクセスについてのEUのeプライバシー規則、カリフォルニア州のCCPA/CPRA）のもとで、それぞれが実際に何を求めているかを解説し、法務チームに渡せる公開前のチェックリストを紹介します。法的助言ではありません。目的は、一次情報へのリンクを添えて法律顧問が確認できるようにし、マーケティングと法務がより早く同じ議論のテーブルにつけるようにすることです。
B2Bのパーソナライゼーションでプライバシーの性質が異なる理由
プライバシーに関するガイダンスの多くは、ショッピングサイトをまたいだ広告トラッキングや、第三者に販売される行動プロファイルといった消費者向けのシナリオを想定して書かれています。B2B Web サイトパーソナライゼーションは通常、それとは様子が異なります。
- 主な入力は企業単位のデータ(業種、規模、所在地、使用技術)で、通常は訪問者のIPアドレスから導き出されます。
- 結果は控えめです。製造業の訪問者には、フィンテックではなく製造業の事例が表示されます。
- 訪問者の多くはすでに取引のある企業やターゲットとしている企業から来ているため、関連するコンテンツを見せる妥当なビジネス上の理由があります。
だからといって、B2Bパーソナライゼーションがプライバシー法の対象外になるわけではありません。どのIPアドレスの背後にも人がいて、法律が守るのは企業ではなくその人です。変わるのはリスクの程度と、現実的にどの法的根拠を使えるかです。その分類を正しく行うことが、作業の大部分を占めます。
GDPR：IPアドレスの問題
法務が最初に尋ねるのは、IPアドレスが個人データにあたるかどうかです。正直な答えは「多くの場合はい。誰が保有しているかによる」です。Breyer事件（Case C-582/14）で、EU司法裁判所は、動的IPアドレスはウェブサイト運営者にとって個人データであると判断しました。ただしその運営者が、インターネットサービスプロバイダーが保有する追加情報を用いて訪問者を特定する法的手段を持つ場合です。この判決は旧データ保護指令のもとで下されましたが、GDPRの第4条(1)の個人データの定義には、人を特定可能にするものとして「オンライン識別子」が明記されているため、同じ論理が当てはまります。
当社の見解：処理するすべてのIPアドレスを個人データとみなして計画しましょう。そうでないと主張しても得られるものはわずかで、規制当局には文書がはぐらかしているように見えてしまいます。
法的根拠の選択
GDPR第6条は6つの法的根拠を定めています。ウェブサイトパーソナライゼーションに関係するのはそのうち2つです。
| 法的根拠 | 適した場面 | 訪問者に対して果たすべきこと |
|---|---|---|
| 正当な利益、第6条(1)(f) | IP照会による企業レベルのパーソナライゼーション（端末には何も保存しない） | 文書化された比較衡量テスト（正当な利益の評価：LIA）、わかりやすいプライバシー通知、そして第21条に基づく異議申し立ての実効的な手段 |
| 同意、第6条(1)(a) | Cookieまたは同様のデバイスアクセスを必要とするもの、および特定の個人に紐づくプロファイル | 自由に与えられ、特定的で、情報に基づき、明確な同意であり、与えたときと同じくらい容易に撤回できること（第7条(3)） |
ここで重要な点が2つあります。1つ目に、Breyer事件のプレスリリースでは、ウェブサイト運営者が訪問者データの処理について正当な利益を持ちうるという裁判所の指摘にも触れています。ただし、それは訪問者の権利と比較衡量されることが条件です。これこそがLIAで示すべき衡量の作業です。2つ目に、パーソナライゼーションがダイレクトマーケティングの一部である場合、第21条(2)および(3)により訪問者には絶対的な異議申立権があります。異議が出たら処理を止めなければなりません。オプトアウトの仕組みは、最初の苦情の後ではなくローンチ前に作っておきましょう。
GDPR違反の代償
第83条(5)に基づき、処理の原則、第6条の法的根拠に関する規定、第7条の同意の条件、第12条から第22条のデータ主体の権利に違反した場合、最大2,000万ユーロまたは全世界の年間売上高の4%のいずれか高いほうの制裁金が科される可能性があります。これらは上限であり、典型的な制裁金ではありません。中堅の B2B チームにとってより現実的なコストは、規制当局の調査によって、本来すでに持っているべき書類を作成する間、パーソナライゼーションを停止せざるを得なくなることです。
ePrivacy：「Cookieレス」が誤解されるところ
eプライバシー指令（2002/58/EC、第5条(3)）は、Cookieバナーの根拠となる規則です。ユーザーの端末に情報を保存したり、端末内の情報にアクセスしたりする前に同意を求めています。ただし、その保存やアクセスがユーザーの求めたサービスに厳密に必要な場合は除きます。GDPRと並行して適用され、その情報が個人データかどうかは問いません。
英国では、同等のルールがPECRに定められています。ICOのガイダンスは、同意は能動的かつ明確に与えられる必要があり、単に便利・役に立つだけのCookieにも同意が必要だと明言しています。パーソナライゼーション用のCookieもこのグループに含まれます。
多くのベンダーブログが省略している部分を説明します。パーソナライゼーションのマーケティングの多くは「サーバーサイドでCookieレスだから同意は不要」と謳っていますが、それは単純化しすぎです。EDPBの第5条(3)の技術的範囲に関するGuidelines 2/2023（2024年10月の最終版）は、IPアドレスのみに基づくトラッキングも第5条(3)の対象になり得るとし、IPアドレスがユーザーのデバイスに由来しないことを確実にできない限り、対象として扱わなければならないとしています。同ガイドラインはまた、クライアントサイドのコードがブラウザに識別子の送信を指示する場合にも第5条(3)が適用されるとしています。
実務上の意味：
- 現在のページビューの見出しを選ぶためだけに、サーバーサイドで1回限りのIPルックアップを行うのが、最もリスクの低いパターンです。それでも、同意またはEDPBガイドラインに基づく明確な適用除外の分析でカバーしたいと考える弁護士もいるため、自社の弁護士に確認してください。
- IPアドレスを使ってページやセッションをまたいで訪問者を追跡することはトラッキングにあたり、EDPBの見解では、Cookieと同じく同意に関する検討が必要です。
- ブラウザで識別子（Cookie、ローカルストレージ、フィンガープリンティングのシグナル）を読み取ったり設定したりするJavaScriptスニペットは、厳密に必要なものでない限り、実行前に同意が必要です。
時期について1つ補足します。指令に代わるはずだったePrivacy規則案はなくなりました。欧州委員会は2025年の作業計画で同提案を撤回すると発表しており、既存の指令と各国の国内実施法が引き続き有効です。新しいEUのCookieルールを待たずに、同意の設定をきちんと行ってください。
CCPA/CPRA：そもそも自社に適用されるのか？
カリフォルニア州の法律は、カリフォルニア州で事業を行い、少なくとも1つのしきい値を満たす営利企業にのみ適用されます。California Privacy Protection Agencyによると、しきい値は次のとおりです。
- 年間総売上が2,662.5万ドル以上（2025年1月1日からの調整後の金額）。
- カリフォルニア州の住民または世帯10万以上の個人情報の購入、販売、共有。
- 年間売上の50%以上を、カリフォルニア州居住者の個人情報の販売または共有から得ていること。
B2Bチームにとって重要な経緯は、ビジネス上の連絡先データと従業員データに対する一時的な適用除外が2023年1月1日に失効したことです。カリフォルニア州で仕事用のノートPCから自社サイトを閲覧しているバイヤーは、法律上は消費者です。
対象となる場合、パーソナライゼーションに関わる義務は次のとおりです。
- パーソナライゼーションのためにIP由来のデータを収集していること、そして使用するデータのカテゴリーをプライバシーポリシーで開示しましょう。
- データエンリッチメントや広告パートナーが、「販売」または「共有」（共有にはクロスコンテキスト行動ターゲティング広告が含まれます）に該当する形で訪問者データを受け取る場合は、「個人情報を販売・共有しない」リンクを設置し、オプトアウトに従いましょう。
- CPPAのFAQに従い、開示・削除・訂正の請求には45暦日以内に対応します。本人に通知すれば、さらに45日間延長できます。
CPPAの発表によると、2025年1月1日に罰則がインフレに合わせて引き上げられ、行政罰金は違反1件あたり最大2,663ドル、故意の違反1件あたり最大7,988ドルとなりました。米国の他の州にもそれぞれ異なる基準を持つ包括的なプライバシー法があるため、それらの州から相当なトラフィックがある場合は、カリフォルニア州の分析でカバーできると考えず、個別に整理しましょう。
実践的なフレームワーク：3つのデータTier
これを管理しやすくする最も簡単な方法は、何かを構築する前に、パーソナライゼーションで使うすべての入力を分類しておくことです。
| Tier | データ | 一般的な法的位置づけ | 公開の順序 |
|---|---|---|---|
| 1. 企業レベル、リクエストごと | サーバー側のIP照会による業種、規模、所在地。端末には何も保存しません | LIAを伴うGDPR上の正当な利益。ePrivacyの観点は弁護士に確認 | 最初 |
| 2. 行動・デバイスベース | Cookieやローカルストレージに保存された再訪問、閲覧ページ数、エンゲージメントスコア | 何かを設定する前にeプライバシーに基づく同意、GDPRに基づく法的根拠 | 同意の設定が機能した後 |
| 3. 個人プロファイル | 特定された担当者名、閲覧履歴と紐づいたメールアドレス、CRMの商談ステージ、個人に関するサードパーティのエンリッチメントデータ | 同意または慎重に文書化された法的根拠、全ベンダーとのDPA、データ主体の権利への完全な対応 | 最後に、効果がある場合のみ |
私たちの考え：Tier 1から始めましょう。物流企業に物流の導入事例を見せるのに、読んでいる個人について何かを知る必要はありません。わかりやすいパーソナライゼーションの成果（業種別の見出し、関連する実績、企業規模に応じた料金の強調）のほとんどはTier 1にあります。Tier 2と3は価値を加えますが、同意への依存と書類作業も増えるため、Tier 1が測定され安定してから追加しましょう。
ステップごとに解説：法令を遵守したローンチ
1. 同意の有無で体験を分ける
よくある間違いは、訪問者が「同意する」をクリックするまですべてのパーソナライゼーションをブロックすることです。より良い設計は次のとおりです:
- 同意取得前：サーバーサイドのルックアップによるティア1のパーソナライズのみとし、デバイスに識別子は保存しません。行動履歴も使いません。
- パーソナライゼーション Cookie への同意後：再訪とエンゲージメントの記録を開始し、ティア2のルールに活用します。
- フォーム送信後：プライバシー通知と法的根拠でカバーされている範囲で、アカウントをCRMデータ（ティア3）に紐づけます。
地道な方法でテストしましょう。クリーンなブラウザプロファイルでサイトを開き、すべて拒否して、DevToolsの「Application」タブを確認します。パーソナライゼーション用のCookieやローカルストレージのキーが表示されていなければ問題ありません。次に同意して、もう一度確認します。
2. 同意のカテゴリーを実態に合わせる
「アナリティクス」に同意した訪問者は、「パーソナライゼーション」に同意したわけではありません。同意管理ツールに詳細なカテゴリがあるなら、パーソナライゼーションのカテゴリを追加する（または、それを正確に表す既存の「機能」や「マーケティング」カテゴリにパーソナライゼーションを含める）とともに、パーソナライゼーションのスクリプトがそのカテゴリを個別に参照するようにしてください。
3. データフローに関わるすべてのベンダーを監査する
訪問者データに触れるベンダー（IP エンリッチメント、アナリティクス、CDP、CRM、同意管理ツール）ごとに、次の点を記録しましょう。
- 自社サイトからどのデータを受け取り、何を送り返すか。
- データの保存・処理場所と、EEA域外への移転に適用される移転メカニズム。
- 自社の訪問者データを自社製品に使っているか。使っている場合、処理者ではなく管理者として行動している可能性があり、契約やプライバシーに関する通知の内容が変わります。
- データ処理契約が締結されているか、どこに保管されているか。
契約でカバーできるのは半分だけです。残りの半分は、各ベンダーが実際にどのようにデータを保護しているかです。社内にセキュリティの専門知識がない場合は、外部のサイバーセキュリティサービスに依頼して、契約前にベンダーのアクセス制御や保存方法を確認してもらうことができます。
この監査でよく見つかるものの例(説明用):顧客データを自社のオーディエンス製品の構築に使うことを利用規約で認めているアナリティクスツール。これは処理者の関係ではないため、再交渉するか、適切に開示するか、パーソナライゼーション分析の構成のように指示に基づいてのみデータを処理する、処理者の役割にとどまるツールに切り替える必要があります。
4. 3つの文書を作成する
- プライバシーポリシーの記載。収集するもの（IPから導いた企業データ、同意に基づく行動データ）、目的（関連性の高いコンテンツを表示するため）、法的根拠、保存期間、委託先ベンダー、異議申し立ての方法。
- 正当な利益の評価（LIA）。目的テスト（ビジネス訪問者に関連性の高いコンテンツを表示すること）、必要性テスト（なぜ企業レベルのデータで十分で、それ以上は不要なのか）、バランステスト（センシティブなデータを扱わない、出力は企業レベル、異議申し立てが容易、保存期間が短い）。
- Cookie ポリシー。パーソナライゼーションシステムが設定するすべての Cookie やストレージキーについて、目的、有効期間、カテゴリーを記載します。
5. 実際に守れる保存期間の上限を設ける
GDPRの第5条(1)(e)に定める保存制限の原則は、個人データを目的に必要な期間を超えて保持しないことを意味します。法律は具体的な期間を定めていないため、自ら決めてその根拠を説明できるようにします。例:行動データは90日、エンリッチしたアカウントデータは一般的なB2Bの営業サイクルをカバーする12か月。どの期間を選んでも、削除が自動的に行われるようツールで設定しましょう。
6. データ主体の請求対応をリハーサルする
第12条(3)により、アクセス、削除、異議申立ての請求には、不当な遅延なく1か月以内に回答しなければならず、必要な場合はさらに2か月延長できます。カリフォルニア州では45日です。公開前にテスト請求を行いましょう。サイトを訪れたことのある同僚を1人選び、自社のツール群がその人について保持しているすべての情報を探し出し、エクスポートし、削除してみます。訪問者特定ツールでIPアドレス単位や連絡先単位でこれができない場合は、本番公開前に解決すべき問題があります。
コンプライアンスでよくある間違い
企業データを「匿名」と呼ぶ
企業を識別することは、匿名データを処理することと同じではありません。照会に使ったIPアドレスは、現実的なほとんどのシナリオで個人データです。文書にそう明記し、文書化した法的根拠に基づいて、先に進みましょう。
「サーバーサイド」を「同意不要」と思い込む
前述のとおり、EDPB は第5条(3)を IP ベースのトラッキングやクライアントサイドでの識別子収集にも及ぶほど広く解釈しています。サーバーサイドでリクエストごとに企業を照会する設計が最もリスクの低い方法ですが、それは法律顧問と話し合うべき設計上の選択であり、自動的に適用除外になるものではありません。
異議申立ての導線がない
法的根拠が正当な利益である場合、訪問者は異議を申し立てることができます。誰も確認していないメール受信箱につながるプライバシーポリシー内のリンクでは不十分です。パーソナライゼーションをオフにできる設定を提供し、パーソナライゼーションエンジンでその設定を尊重しましょう。
出所を確認せずにサードパーティのインテントデータを取り込む
サードパーティのインテントデータは、多くの場合サイトをまたいだ閲覧から作られています。提供元がその収集について同意やその他の法的根拠をどう得たかを示せなければ、それを使った瞬間にその弱点を引き継ぐことになります。契約前にデータの出所に関する文書を求め、ファーストパーティの行動シグナルを優先しましょう。トレードオフについては、B2B Webサイトパーソナライズのためのインテントデータのガイドで詳しく解説しています。
無期限の保持
パーソナライゼーションツールは、デフォルトですべてを保持することがよくあります。メインのパーソナライゼーションプラットフォームだけでなく、ツール構成のすべてのツールで保持期間の設定を確認しましょう。
公開前のチェックリスト
- データの棚卸しが完了し、すべての入力がティア1、2、3に分類されている。
- ティアごとに法的根拠を文書化し、ティア1にはLIAを用意。
- IPルックアップとクライアントサイドのスクリプトについて、弁護士がレビューしたeプライバシーの分析。
- 同意バナーにパーソナライズをカバーするカテゴリがあり、クリーンなブラウザでのテストで同意前に何も保存されないことを確認済み。
- すべてのベンダーとDPAを締結済み。保管場所と移転メカニズムを記録済み。
- プライバシーポリシーと Cookie ポリシーを更新済み。
- 異議申し立てと配信停止の導線が機能し、パーソナライゼーションエンジンがそれを尊重している。
- すべてのツールで保存期間の上限を設定済み。
- テスト用のデータ主体からの請求を、GDPRとCCPAの期限内に処理完了。
- CCPAの適用範囲を3つのしきい値と照らし合わせて確認し、トラフィックがある米国の他州の法律も整理している。
プライバシー上の制約がより良いパーソナライズにつながる理由
ここからは意見の部分であり、異論のあるチームもあるでしょう。プライバシーのルールの範囲内で取り組むことで、もともと効果が出やすいパーソナライゼーションへと自然に導かれます。
企業単位のセグメントは Cookie を拒否した訪問者も含めてすべての訪問者に届くため、最初のテストが「同意する」をクリックした一部の人に限定されません。少数の幅広いセグメント（たとえば業界と企業規模による5〜6個）のほうが、閲覧パターンから作った何十ものマイクロセグメントよりも良いコンテンツを書きやすく、各セグメントに測定に十分なトラフィックが集まります。そしてサードパーティデータに頼れないなら、自社サイトの実際の使われ方に基づくファーストパーティデータ戦略に投資することになります。それこそが、相手が特に自社に対して持つ関心を反映したデータです。
そうしたセグメントの出発点が欲しい場合は、コンバージョンする企業属性セグメントの記事で選び方を解説しています。また、企業レベルの訪問者識別の仕組みでは、IPルックアップでわかることとわからないことを説明しています。
法務レビューで止まらずに始めるには
ほとんどのB2Bチームにとって現実的なリスクは、罰金ではありません。法務に具体的な設計を誰も渡さなかったために、何か月もやり取りが続くことです。法務には次のものを渡しましょう。
- IPルックアップの流れ、返されるデータ、保存されるデータを示す1ページのデータフロー図。
- 自社のツール構成に合わせて記入した上記のティア表。
- LIA（正当な利益の評価）の草案とプライバシーポリシーの該当箇所。
- クリーンなブラウザでの同意テストの結果。
そのうえで、トラフィックの多いいくつかのページでティア1を開始し、30日間測定します。同意の仕組みが機能し、数値がそれを正当化できればティア2を追加します。
Markettailorはこの進め方に適しています。企業属性セグメンテーションは企業レベルのデータで動作するため、同意まわりの作業が終わるまでの間もティア1のルールから始められます。法務に相談する前にプランを比較したい場合は、Markettailorの料金をご覧ください。