De meeste B2B-personalisatieprojecten lopen in week twee tegen dezelfde muur aan. Marketing heeft de segmenten en kopvarianten klaar, en dan vraagt iemand van legal hoe het onderdeel bezoekersidentificatie werkt onder de AVG, en niemand heeft een antwoord op papier. Het project ligt stil.
Dit artikel is het antwoord dat wij graag op papier hadden gehad. Het behandelt de privacy van personalisatiedata voor B2B-websites onder de drie regelsets die de meeste vragen oproepen (de AVG, de EU-ePrivacy-regels over cookies en toegang tot apparaten, en de Californische CCPA/CPRA), wat elk ervan echt vereist, en een lanceringschecklist die je aan je juridische team kunt geven. Het is geen juridisch advies. Het doel is marketing en juridische zaken sneller hetzelfde gesprek te laten voeren, met de primaire bronnen gelinkt zodat je jurist ze kan controleren.
Waarom B2B-personalisatie een ander privacyprofiel heeft
De meeste privacyrichtlijnen zijn geschreven voor consumentenscenario's: advertentietracking over winkelsites, gedragsprofielen die aan derden worden verkocht. B2B-websitepersonalisatie ziet er meestal anders uit:
- De belangrijkste input is data op bedrijfsniveau (branche, omvang, locatie, gebruikte technologie), meestal afgeleid van het IP-adres van de bezoeker.
- Het resultaat is bescheiden: een bezoeker uit de maakindustrie ziet case studies uit de maakindustrie in plaats van uit fintech.
- Veel bezoekers komen van bedrijven waaraan je al verkoopt of waarop je je richt, dus er is een aannemelijke zakelijke reden om ze relevante content te tonen.
Niets daarvan stelt B2B-personalisatie vrij van privacywetgeving. Achter elk IP-adres zit nog steeds een persoon, en de wet beschermt die persoon, niet het bedrijf. Wat verandert, is het risiconiveau en welke rechtsgrond realistisch is. Die classificatie goed krijgen is het grootste deel van het werk.
AVG: de vraag over IP-adressen
De eerste vraag die legal stelt, is of een IP-adres een persoonsgegeven is. Het eerlijke antwoord is "vaak wel, afhankelijk van wie het heeft". In Breyer (zaak C-582/14) oordeelde het Hof van Justitie van de EU dat een dynamisch IP-adres een persoonsgegeven is voor een websitebeheerder als die beheerder over wettelijke middelen beschikt om de bezoeker te identificeren met aanvullende informatie van de internetprovider. De zaak werd beslist onder de oude Richtlijn gegevensbescherming, maar de AVG-definitie van persoonsgegevens in artikel 4(1) noemt "een online identificator" expliciet als iets wat een persoon identificeerbaar kan maken, dus dezelfde redenering geldt.
Onze mening: plan alsof elk IP-adres dat je verwerkt een persoonsgegeven is. Het tegendeel beweren levert je weinig op en laat je documentatie ontwijkend overkomen op een toezichthouder.
Een rechtsgrond kiezen
Artikel 6 AVG noemt zes rechtsgrondslagen. Twee daarvan zijn relevant voor websitepersonalisatie:
| Rechtsgrond | Waar het past | Wat je de bezoeker verschuldigd bent |
|---|---|---|
| Gerechtvaardigd belang, art. 6(1)(f) | Personalisatie op bedrijfsniveau via een IP-lookup, waarbij niets op het apparaat wordt opgeslagen | Een gedocumenteerde belangenafweging (Legitimate Interest Assessment), een duidelijke privacyverklaring en een werkende manier om bezwaar te maken onder artikel 21 |
| Toestemming, art. 6(1)(a) | Alles waarvoor cookies of vergelijkbare toegang tot het apparaat nodig is, en elk profiel dat aan een persoon met naam is gekoppeld | Toestemming die vrij, specifiek, geïnformeerd en ondubbelzinnig is gegeven, en die net zo makkelijk kan worden ingetrokken als gegeven (artikel 7, lid 3) |
Twee details zijn hier belangrijk. Ten eerste vermeldt het persbericht over Breyer ook het standpunt van het Hof dat een websitebeheerder een gerechtvaardigd belang kan hebben bij het verwerken van bezoekersgegevens, mits dat wordt afgewogen tegen de rechten van de bezoeker. Dat is de afweging die je LIA moet laten zien. Ten tweede: als personalisatie onderdeel is van direct marketing, geven artikel 21(2) en (3) de bezoeker een absoluut recht van bezwaar: zodra hij bezwaar maakt, stop je. Bouw de opt-out vóór de lancering, niet na de eerste klacht.
Wat een AVG-fout kan kosten
Op grond van artikel 83, lid 5 kunnen inbreuken op de verwerkingsbeginselen, de regels voor rechtsgronden in artikel 6, de voorwaarden voor toestemming in artikel 7 en de rechten van betrokkenen in artikel 12 tot en met 22 leiden tot boetes van maximaal € 20 miljoen of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Dat zijn maxima, geen gebruikelijke boetes. De realistischere kostenpost voor een mid-market B2B-team is een onderzoek door een toezichthouder dat je dwingt personalisatie te pauzeren terwijl je documenten opstelt die je al had moeten hebben.
ePrivacy: waar "cookieless" verkeerd wordt begrepen
De ePrivacy-richtlijn (2002/58/EG, artikel 5(3)) is de regel achter cookiebanners. Die vereist toestemming voordat je informatie opslaat op, of toegang krijgt tot informatie in, het apparaat van een gebruiker, tenzij de opslag of toegang strikt noodzakelijk is voor een dienst waar de gebruiker om vroeg. De richtlijn geldt naast de AVG, en het maakt niet uit of de informatie een persoonsgegeven is.
In het VK staat de vergelijkbare regel in de PECR. De richtlijnen van de ICO zijn duidelijk: toestemming moet actief en duidelijk worden gegeven, en ook cookies die alleen handig of praktisch zijn hebben die nodig. Personalisatiecookies vallen in die groep.
Dit is het deel dat veel blogs van leveranciers overslaan. In veel personalisatiemarketing staat: "server-side, cookieless, dus geen toestemming nodig." Dat is te simpel. De Guidelines 2/2023 on the technical scope of Article 5(3) van de EDPB (definitieve versie oktober 2024) zeggen dat tracking die alleen op IP-adressen is gebaseerd onder artikel 5, lid 3, kan vallen, en dat je het als gedekt moet behandelen tenzij je kunt garanderen dat een IP-adres niet van het apparaat van de gebruiker afkomstig is. Volgens dezelfde richtlijnen is artikel 5, lid 3, van toepassing wanneer client-side code de browser opdraagt identifiers naar jou te sturen.
Wat dat in de praktijk betekent:
- Een eenmalige server-side IP-lookup om een kop te kiezen voor de huidige paginaweergave is het patroon met het laagste risico. Sommige juristen willen het toch afgedekt zien met toestemming of een duidelijke analyse van een uitzondering onder de EDPB-richtlijnen, dus vraag het aan die van jou.
- Het IP-adres gebruiken om een bezoeker over pagina's of sessies te volgen is tracking, en volgens de EDPB vraagt dat dezelfde toestemmingsanalyse als cookies.
- Elk JavaScript-snippet dat identifiers in de browser leest of plaatst (cookies, local storage, fingerprintingsignalen) heeft toestemming nodig voordat het draait, tenzij het strikt noodzakelijk is.
Eén opmerking over de timing: de geplande ePrivacy-verordening die de richtlijn zou vervangen, is van tafel. De Europese Commissie kondigde in haar werkprogramma voor 2025 aan dat ze het voorstel zou intrekken, en de bestaande richtlijn plus de nationale uitvoeringswetten blijven van kracht. Wacht niet op nieuwe Europese cookieregels voordat je toestemming goed inricht.
CCPA/CPRA: geldt het eigenlijk wel voor jou?
De Californische wet geldt alleen voor commerciële bedrijven die zaken doen in Californië en aan minstens één drempel voldoen. Volgens de California Privacy Protection Agency zijn dat:
- Een bruto jaaromzet van $ 26,625 miljoen of meer (het bedrag zoals aangepast per 1 januari 2025).
- Het kopen, verkopen of delen van persoonsgegevens van 100.000 of meer inwoners of huishoudens in Californië.
- 50% of meer van de jaaromzet halen uit het verkopen of delen van persoonsgegevens van inwoners van Californië.
Voor B2B-teams is de belangrijke geschiedenis dat de tijdelijke uitzondering voor zakelijke contactgegevens en werknemersgegevens op 1 januari 2023 is verlopen. Een koper die vanaf een werklaptop in Californië op je site rondkijkt, is volgens de wet een consument.
Val je eronder, dan zijn dit de verplichtingen die personalisatie raken:
- Vermeld in je privacybeleid dat je op IP gebaseerde data verzamelt voor personalisatie en welke categorieën data je gebruikt.
- Als verrijkings- of advertentiepartners bezoekersdata ontvangen op een manier die geldt als "verkopen" of "delen" (delen omvat cross-context behavioral advertising), bied dan een link "Do Not Sell or Share My Personal Information" aan en respecteer opt-outs.
- Beantwoord verzoeken om inzage, verwijdering of correctie binnen 45 kalenderdagen, te verlengen met nog eens 45 dagen als je de persoon informeert, volgens de CPPA FAQ.
De boetes zijn op 1 januari 2025 aangepast aan de inflatie: bestuurlijke boetes tot $ 2.663 per overtreding en $ 7.988 per opzettelijke overtreding, volgens de aankondiging van de CPPA. Andere Amerikaanse staten hebben hun eigen uitgebreide privacywetten met andere drempels, dus heb je noemenswaardig verkeer uit die staten, breng ze dan apart in kaart in plaats van aan te nemen dat de analyse voor Californië je dekt.
Een werkbaar framework: drie dataniveaus
De makkelijkste manier om dit beheersbaar te maken, is elke input die je personalisatie gebruikt te classificeren voordat je iets bouwt.
| Tier | Data | Gangbare juridische positie | Lanceervolgorde |
|---|---|---|---|
| 1. Op bedrijfsniveau, per verzoek | Branche, grootte en locatie uit een server-side IP-lookup, niets opgeslagen op het apparaat | Gerechtvaardigd belang onder de AVG met een LIA; laat het ePrivacy-aspect toetsen door een jurist | Eerste |
| 2. Gedragsmatig, op basis van apparaat | Terugkerende bezoeken, bekeken pagina's, engagementscores die in cookies of local storage worden bewaard | Toestemming onder ePrivacy voordat er iets wordt geplaatst; rechtsgrond onder de AVG | Nadat je toestemmingsopzet werkt |
| 3. Individueel profiel | Benoemde contacten, e-mailadressen gekoppeld aan surfgedrag, dealfase in het CRM, verrijking van derden over de persoon | Toestemming of een zorgvuldig gedocumenteerde grondslag, verwerkersovereenkomsten met elke leverancier, volledige rechten van betrokkenen | Als laatste, en alleen waar het loont |
Onze visie: begin met Tier 1. Om een logistiek bedrijf je logistieke case study te tonen, hoef je niets te weten over de persoon die hem leest. De meeste voor de hand liggende personalisatiewinsten (een branchekop, relevant bewijs, nadruk in de prijzen op bedrijfsgrootte) zitten in Tier 1. Tier 2 en 3 voegen waarde toe, maar ook afhankelijkheid van toestemming en papierwerk, dus voeg ze toe zodra Tier 1 gemeten en stabiel is.
Stap voor stap: compliant lanceren
1. Splits de ervaring op rond toestemming
De gebruikelijke fout is alle personalisatie blokkeren totdat de bezoeker op "Accepteren" klikt. Een beter ontwerp:
- Vóór toestemming: alleen Tier 1-personalisatie op basis van een server-side lookup, zonder identifiers op het apparaat op te slaan. Geen gedragsgeschiedenis.
- Na toestemming voor personalisatiecookies: begin met het vastleggen van terugkerende bezoeken en engagement, en gebruik die voor Tier 2-regels.
- Na het verzenden van een formulier: koppel het account aan CRM-data (Tier 3) voor zover je privacyverklaring en rechtsgrondslag dat dekken.
Test het op de saaie manier: open de site in een schoon browserprofiel, weiger alles en controleer het tabblad Application in DevTools. Er mag geen personalisatiecookie of local-storage-sleutel verschijnen. Accepteer daarna en controleer opnieuw.
2. Laat toestemmingscategorieën overeenkomen met de werkelijkheid
Een bezoeker die "analytics" accepteert, heeft niet ingestemd met "personalisatie". Heeft je toestemmingstool gedetailleerde categorieën, voeg dan een categorie personalisatie toe (of plaats personalisatie onder een bestaande categorie "functioneel" of "marketing" die het correct beschrijft) en zorg dat het personalisatiescript specifiek naar die categorie luistert.
3. Controleer elke leverancier in de datastroom
Noteer voor elke leverancier die met bezoekersdata werkt (IP-verrijking, analytics, CDP, CRM, toestemmingstool):
- Welke data ze van je site ontvangen en wat ze terugsturen.
- Waar ze het opslaan en verwerken, en welk doorgiftemechanisme een eventuele doorgifte buiten de EER dekt.
- Of ze je bezoekersdata gebruiken voor hun eigen producten. Doen ze dat, dan treden ze mogelijk op als verwerkingsverantwoordelijke in plaats van verwerker, wat gevolgen heeft voor je contracten en je privacyverklaring.
- Of er een verwerkersovereenkomst is getekend en waar die is opgeslagen.
Het contract dekt maar de helft; de andere helft is hoe elke leverancier de data in de praktijk beschermt. Heeft je team geen eigen securitykennis, dan kunnen externe cybersecuritydiensten de toegangscontroles en opslag van leveranciers beoordelen voordat je tekent.
Een voorbeeld van wat deze audit vaak aan het licht brengt (illustratief): een analysetool waarvan de voorwaarden toestaan dat klantdata wordt gebruikt om eigen doelgroepproducten te bouwen. Dat is geen verwerkersrelatie, en je moet dan opnieuw onderhandelen, het correct openbaar maken of overstappen op een tool die in de verwerkersrol blijft, zoals een analytics-opzet voor personalisatie die data alleen op jouw instructie verwerkt.
4. Schrijf de drie documenten
- Sectie in de privacyverklaring. Wat je verzamelt (bedrijfsgegevens afgeleid van IP-adressen, gedragsdata met toestemming), waarom (om relevante content te tonen), de rechtsgrond, bewaartermijn, leveranciers en hoe iemand bezwaar maakt.
- Belangenafweging (LIA). Doeltoets (relevante content tonen aan zakelijke bezoekers), noodzakelijkheidstoets (waarom data op bedrijfsniveau genoeg is en je niet meer nodig hebt), afwegingstoets (geen gevoelige data, uitkomst op bedrijfsniveau, eenvoudig bezwaar, korte bewaartermijn).
- Cookiebeleid. Elke cookie of elke opslagsleutel die het personalisatiesysteem plaatst, met doel, levensduur en categorie.
5. Stel bewaartermijnen in die je kunt handhaven
Het beginsel van opslagbeperking van de AVG in Article 5(1)(e) betekent dat je persoonsgegevens niet langer bewaart dan het doel vereist. De wet noemt geen termijn, dus kies er zelf een en onderbouw die. Voorbeeld: gedragsdata 90 dagen, verrijkte accountdata 12 maanden om een typische B2B-salescyclus te dekken. Wat je ook kiest, stel het in de tools in zodat het verwijderen automatisch gebeurt.
6. Oefen een verzoek van een betrokkene
Op grond van artikel 12, lid 3, moet je verzoeken om inzage, verwijdering en bezwaar zonder onnodige vertraging en binnen een maand beantwoorden, met een mogelijke verlenging van nog twee maanden als dat nodig is. Californië geeft 45 dagen. Doe vóór de lancering een testverzoek: kies een collega die de site heeft bezocht en probeer alles wat je stack over die persoon bewaart te vinden, te exporteren en te verwijderen. Kan je tool voor bezoekersidentificatie dit niet per IP-adres of per contact, dan heb je een probleem dat je vóór livegang moet oplossen.
Veelgemaakte compliancefouten
Bedrijfsgegevens "anoniem" noemen
Een bedrijf identificeren is niet hetzelfde als anonieme data verwerken. Het IP-adres dat je voor de lookup hebt gebruikt, is in de meeste realistische scenario's een persoonsgegeven. Zeg dat in je documentatie, steun op een gedocumenteerde rechtsgrond en ga verder.
Aannemen dat "server-side" betekent "geen toestemming nodig"
Zoals hierboven besproken, leest de EDPB artikel 5, lid 3 breed genoeg om ook tracking op basis van IP en het client-side verzamelen van identifiers te omvatten. Server-side lookups van het bedrijf per request zijn het ontwerp met het laagste risico, maar het blijft een ontwerpkeuze die je met je jurist bespreekt, geen automatische uitzondering.
Geen mogelijkheid tot bezwaar
Is je rechtsgrond gerechtvaardigd belang, dan kan de bezoeker bezwaar maken. Een link in het privacybeleid die naar een inbox leidt die niemand bijhoudt, telt niet. Geef ze een instelling die personalisatie uitzet, en respecteer die in de personalisatie-engine.
Third-party intentiedata inladen zonder de herkomst te controleren
Third-party intentiedata is vaak gebaseerd op surfgedrag over meerdere sites. Kan de aanbieder niet laten zien hoe toestemming of een andere rechtsgrond voor die verzameling is verkregen, dan neem je die zwakte over zodra je de data gebruikt. Vraag vóór ondertekening om documentatie over de herkomst van de data, en geef de voorkeur aan first-party gedragssignalen. We behandelen de afwegingen uitgebreider in onze gids over intentiedata voor B2B-websitepersonalisatie.
Onbeperkte bewaartermijn
Personalisatietools bewaren standaard vaak alles. Controleer de bewaarinstelling van elke tool in de stack, niet alleen van het belangrijkste personalisatieplatform.
Checklist vóór lancering
- Data-inventarisatie gedaan, elke input ingedeeld als Tier 1, 2 of 3.
- Rechtsgrond gedocumenteerd per tier, met een belangenafweging voor Tier 1.
- E-privacyanalyse van de IP-lookup en eventuele client-side scripts, beoordeeld door een jurist.
- De cookiebanner heeft een categorie die personalisatie dekt, en een test in een schone browser bevestigt dat er vóór toestemming niets wordt opgeslagen.
- Verwerkersovereenkomsten getekend met elke leverancier; opslaglocaties en doorgiftemechanismen vastgelegd.
- Privacybeleid en cookiebeleid bijgewerkt.
- Het pad voor bezwaar en afmelding werkt en wordt door de personalisatie-engine gerespecteerd.
- Bewaartermijnen ingesteld in elke tool.
- Testverzoek van een betrokkene afgehandeld binnen de termijnen van de AVG en de CCPA.
- Reikwijdte van de CCPA getoetst aan de drie drempels, en andere Amerikaanse staatswetten in kaart gebracht als je daar verkeer hebt.
Waarom privacybeperkingen tot betere personalisatie leiden
Dit is het opiniedeel, en sommige teams zullen het er niet mee eens zijn. Werken binnen privacyregels duwt je richting de personalisatie die toch al vaak werkt.
Segmenten op bedrijfsniveau bereiken elke bezoeker, ook degenen die cookies weigeren, dus je eerste test is niet beperkt tot de groep die op "Accepteren" klikte. Minder, bredere segmenten (bijvoorbeeld vijf of zes op branche en bedrijfsgrootte) zijn makkelijker om goede content voor te schrijven dan tientallen microsegmenten op basis van surfpatronen, en elk segment krijgt genoeg verkeer om te meten. En als je niet op data van derden kunt leunen, investeer je in een first-party datastrategie gebaseerd op hoe mensen je eigen site echt gebruiken, en dat is de data die hun interesse in jou in het bijzonder weerspiegelt.
Wil je een startpunt voor die segmenten, dan laat ons artikel over firmografische segmenten die converteren zien hoe je ze kiest, en hoe bezoekersidentificatie op bedrijfsniveau werkt legt uit wat de IP-lookup je wel en niet kan vertellen.
Starten zonder vast te lopen in de juridische review
Het realistische risico voor de meeste B2B-teams is geen boete. Het zijn maanden van heen-en-weer omdat niemand legal een concreet ontwerp gaf om te beoordelen. Geef ze er een:
- Een dataflowdiagram van één pagina met de IP-lookup, wat er terugkomt en wat er wordt opgeslagen.
- De tiertabel hierboven, ingevuld voor jouw stack.
- Een concept-LIA en een paragraaf voor de privacyverklaring.
- De resultaten van de toestemmingstest in een schone browser.
Lanceer daarna Tier 1 op een paar pagina's met veel verkeer, meet 30 dagen en voeg Tier 2 toe zodra toestemming werkt en de cijfers het rechtvaardigen.
Markettailor past in deze volgorde: de firmografische segmentatie werkt met data op bedrijfsniveau, zodat je met Tier 1-regels kunt beginnen terwijl het werk rond toestemming wordt afgerond. Wil je pakketten vergelijken voordat je met juridische zaken praat, bekijk dan de prijzen van Markettailor.