De fleste B2B-personaliseringsprosjekter møter den samme veggen i uke to. Markedsføring har segmentene og overskriftsvariantene klare, så spør noen fra juridisk hvordan besøksidentifikasjonen fungerer under GDPR, og ingen har et svar skrevet ned. Prosjektet blir stående og vente.
Dette innlegget er svaret vi selv ville ønsket å ha skriftlig. Det dekker personvern ved personalisering på B2B-nettsteder under de tre regelsettene som skaper flest spørsmål (GDPR, EUs ePrivacy-regler om informasjonskapsler og tilgang til enheter, og Californias CCPA/CPRA), hva hvert av dem faktisk krever, og en sjekkliste for lansering du kan gi til juristene dine. Det er ikke juridisk rådgivning. Målet er å få markedsføring og juridisk til samme samtale raskere, med lenker til primærkildene slik at juristene dine kan sjekke dem.
Hvorfor B2B-personalisering har en annen personvernprofil
De fleste råd om personvern er skrevet for forbrukerscenarioer: annonsesporing på tvers av nettbutikker, atferdsprofiler som selges til tredjeparter. Personalisering av B2B-nettsteder ser som regel annerledes ut:
- Hovedinput er data på selskapsnivå (bransje, størrelse, sted, teknologi i bruk), som regel utledet fra den besøkendes IP-adresse.
- Resultatet er beskjedent: en besøkende fra industri ser kundecaser fra industri i stedet for fra fintech.
- Mange besøkende kommer fra selskaper du allerede selger til eller retter deg mot, så det finnes en rimelig forretningsmessig grunn til å vise dem relevant innhold.
Ingenting av dette gjør B2B-personalisering unntatt fra personvernlovgivningen. Det står fortsatt en person bak hver IP-adresse, og lovene beskytter den personen, ikke bedriften. Det som endres, er risikonivået og hvilket rettslig grunnlag som er realistisk. Å få den klassifiseringen riktig er det meste av jobben.
GDPR: spørsmålet om IP-adresser
Det første spørsmålet juridisk vil stille, er om en IP-adresse regnes som en personopplysning. Det ærlige svaret er «ofte ja, avhengig av hvem som har den». I Breyer (sak C-582/14) slo EU-domstolen fast at en dynamisk IP-adresse er en personopplysning for en nettstedsoperatør hvis operatøren har lovlige midler til å identifisere den besøkende med tilleggsinformasjon som internettleverandøren har. Saken ble avgjort etter det gamle personverndirektivet, men GDPRs definisjon av personopplysninger i artikkel 4(1) nevner uttrykkelig «en nettidentifikator» som noe som kan gjøre en person identifiserbar, så det samme resonnementet gjelder fortsatt.
Vårt syn: planlegg som om hver IP-adresse du behandler, er en personopplysning. Å argumentere for noe annet sparer deg for svært lite og får dokumentasjonen din til å virke unnvikende overfor et tilsyn.
Velg behandlingsgrunnlag
GDPR artikkel 6 lister opp seks rettslige grunnlag. To er relevante for personalisering av nettsteder:
| Rettslig grunnlag | Hvor det passer | Hva du skylder den besøkende |
|---|---|---|
| Berettiget interesse, art. 6(1)(f) | Personalisering på selskapsnivå fra et IP-oppslag, der ingenting lagres på enheten | En dokumentert interesseavveining (Legitimate Interest Assessment), en tydelig personvernerklæring og en fungerende måte å protestere på etter Article 21 |
| Samtykke, art. 6(1)(a) | Alt som krever informasjonskapsler eller lignende tilgang til enheten, og enhver profil knyttet til en navngitt person | Samtykke som er frivillig, spesifikt, informert og utvetydig, og som kan trekkes tilbake like enkelt som det ble gitt (Article 7(3)) |
To detaljer er viktige her. For det første viser pressemeldingen om Breyer-saken også til domstolens poeng om at en nettstedsoperatør kan ha en berettiget interesse i å behandle besøksdata, forutsatt at den veies opp mot den besøkendes rettigheter. Det er nettopp den avveiningen interesseavveiningen (LIA) din må vise. For det andre: hvis personaliseringen er en del av direkte markedsføring, gir artikkel 21(2) og (3) den besøkende en ubetinget rett til å protestere. Når de protesterer, stopper du. Bygg reservasjonsmuligheten før lansering, ikke etter den første klagen.
Hva en GDPR-feil kan koste
Etter Article 83(5) kan brudd på prinsippene for behandling, reglene om behandlingsgrunnlag i Article 6, vilkårene for samtykke i Article 7 og de registrertes rettigheter i Articles 12 til 22 gi bøter på opptil 20 millioner euro eller 4 % av global årlig omsetning, avhengig av hva som er høyest. Det er maksimumsbeløp, ikke typiske bøter. Den mer realistiske kostnaden for et B2B-team i en mellomstor virksomhet er en henvendelse fra tilsynsmyndigheten som tvinger deg til å sette personaliseringen på pause mens du fremskaffer dokumenter du allerede burde hatt.
ePrivacy: der «cookieless» blir misforstått
ePrivacy-direktivet (2002/58/EC, Article 5(3)) er regelen bak cookiebannere. Det krever samtykke før informasjon lagres på, eller hentes fra, en brukers enhet, med mindre lagringen eller tilgangen er strengt nødvendig for en tjeneste brukeren har bedt om. Det gjelder i tillegg til GDPR, og det spiller ingen rolle om informasjonen er personopplysninger.
I Storbritannia ligger den tilsvarende regelen i PECR. ICOs veiledning er tydelig på at samtykke må være aktivt og tydelig gitt, og at informasjonskapsler som bare er nyttige eller praktiske, også krever det. Informasjonskapsler for personalisering hører til i den gruppen.
Her er delen mange leverandørblogger hopper over. Mye markedsføring av personalisering sier «på serversiden, uten informasjonskapsler, så det trengs ikke samtykke». Det er for enkelt. EDPBs Guidelines 2/2023 on the technical scope of Article 5(3) (endelig versjon oktober 2024) sier at sporing basert bare på IP-adresser kan falle inn under Article 5(3), og at med mindre du kan sikre at en IP-adresse ikke stammer fra brukerens enhet, må du behandle den som omfattet. De samme retningslinjene sier at Article 5(3) gjelder når kode på klientsiden instruerer nettleseren om å sende identifikatorer til deg.
Hva det betyr i praksis:
- Et engangs IP-oppslag på serversiden som brukes til å velge en overskrift for den aktuelle sidevisningen, er mønsteret med lavest risiko. Noen jurister vil likevel ha det dekket av samtykke eller en tydelig unntaksvurdering etter EDPB-retningslinjene, så spør din.
- Å bruke IP-adressen til å følge en besøkende på tvers av sider eller økter er sporing, og EDPB mener at det krever den samme samtykkevurderingen som informasjonskapsler.
- Alle JavaScript-snippets som leser eller setter identifikatorer i nettleseren (informasjonskapsler, lokal lagring, signaler for fingeravtrykk) trenger samtykke før de kjører, med mindre de er strengt nødvendige.
Én merknad om tidslinjen: den planlagte ePrivacy-forordningen som skulle erstatte direktivet, er borte. EU-kommisjonen kunngjorde i arbeidsprogrammet for 2025 at den ville trekke forslaget, og det eksisterende direktivet pluss nasjonale gjennomføringslover gjelder fortsatt. Ikke vent på nye EU-regler for informasjonskapsler før du setter opp samtykke ordentlig.
CCPA/CPRA: gjelder det i det hele tatt for deg?
Californias lov gjelder bare for kommersielle virksomheter som driver forretning i California og oppfyller minst én terskel. Ifølge California Privacy Protection Agency er disse:
- Brutto årlig omsetning på 26,625 millioner USD eller mer (beløpet slik det er justert fra 1. januar 2025).
- Kjøper, selger eller deler personopplysninger om 100 000 eller flere innbyggere eller husstander i California.
- Henter 50 % eller mer av årlig omsetning fra salg eller deling av personopplysninger om innbyggere i California.
For B2B-team er det viktige historiske poenget at det midlertidige unntaket for bedriftskontaktdata og ansattdata utløp 1. januar 2023. En kjøper som besøker nettstedet ditt fra en jobblaptop i California, er en forbruker etter loven.
Hvis du er omfattet, er dette forpliktelsene som berører personalisering:
- Opplys i personvernerklæringen at du samler inn IP-avledede data til personalisering, og hvilke datakategorier du bruker.
- Hvis berikelses- eller annonsepartnere mottar data om besøkende på en måte som regnes som «salg» eller «deling» (deling omfatter atferdsbasert annonsering på tvers av kontekster), må du tilby en «Do Not Sell or Share My Personal Information»-lenke og respektere reservasjoner.
- Svar på forespørsler om innsyn, sletting eller retting innen 45 kalenderdager, med mulighet for forlengelse med ytterligere 45 dager hvis du varsler personen, i henhold til CPPA FAQ.
Sanksjonene ble justert for inflasjon 1. januar 2025: administrative bøter på opptil 2 663 USD per overtredelse og 7 988 USD per forsettlig overtredelse, ifølge kunngjøringen fra CPPA. Andre amerikanske delstater har egne omfattende personvernlover med andre terskler, så har du betydelig trafikk fra disse delstatene, bør du kartlegge dem separat i stedet for å anta at analysen for California dekker deg.
Et fungerende rammeverk: tre datanivåer
Den enkleste måten å gjøre dette håndterbart på er å klassifisere alle input personaliseringen din bruker, før du bygger noe som helst.
| Nivå | Data | Typisk juridisk stilling | Lanseringsrekkefølge |
|---|---|---|---|
| 1. Bedriftsnivå, per forespørsel | Bransje, størrelse og sted fra et IP-oppslag på serveren, ingenting lagres på enheten | Berettiget interesse etter GDPR med en interesseavveining (LIA); sjekk ePrivacy-siden med en jurist | Først |
| 2. Atferdsbasert, enhetsbasert | Gjentatte besøk, sider sett, engasjementsscore lagret i informasjonskapsler eller lokal lagring | Samtykke etter ePrivacy før noe settes; behandlingsgrunnlag etter GDPR | Etter at samtykkeoppsettet ditt fungerer |
| 3. Individuell profil | Navngitte kontakter, e-poster koblet til surfing, avtalefase i CRM, tredjepartsberikelse om personen | Samtykke eller et nøye dokumentert rettslig grunnlag, databehandleravtaler med alle leverandører, fulle rettigheter for de registrerte | Sist, og bare der det lønner seg |
Vårt syn: Lanser med nivå 1. Å vise et logistikkselskap kundecasen din fra logistikk krever ikke at du vet noe om personen som leser den. De fleste opplagte gevinstene fra personalisering (bransjeoverskrift, relevante bevis, vekt på priser etter selskapsstørrelse) ligger i nivå 1. Nivå 2 og 3 gir verdi, men de gir også avhengighet av samtykke og mer papirarbeid, så legg dem til når nivå 1 er målt og stabilt.
Steg for steg: lansering i tråd med reglene
1. Del opplevelsen etter samtykke
Den vanlige feilen er å blokkere all personalisering til den besøkende klikker «Godta». Et bedre design:
- Før samtykke: kun nivå 1-personalisering fra et oppslag på serversiden, uten at identifikatorer lagres på enheten. Ingen atferdshistorikk.
- Etter samtykke til informasjonskapsler for personalisering: begynn å registrere gjentatte besøk og engasjement, og bruk dem til Tier 2-regler.
- Etter innsending av et skjema: koble kontoen til CRM-data (nivå 3) der personvernerklæringen og det rettslige grunnlaget ditt dekker det.
Test det på den kjedelige måten: åpne nettstedet i en ren nettleserprofil, avslå alt og sjekk Application-fanen i DevTools. Ingen informasjonskapsel eller local storage-nøkkel for personalisering skal dukke opp. Godta deretter og sjekk på nytt.
2. Få samtykkekategoriene til å samsvare med virkeligheten
En besøkende som godtar «analyse», har ikke sagt ja til «personalisering». Hvis samtykkeverktøyet ditt har detaljerte kategorier, legg til en kategori for personalisering (eller plasser personalisering under en eksisterende kategori for «funksjonalitet» eller «markedsføring» som beskriver den presist), og sørg for at personaliseringsskriptet lytter spesifikt til den kategorien.
3. Revider alle leverandører i dataflyten
For hver leverandør som berører besøksdata (IP-berikelse, analyse, CDP, CRM, samtykkeverktøy), noterer du:
- Hvilke data de mottar fra nettstedet ditt, og hva de sender tilbake.
- Hvor de lagrer og behandler dataene, og hvilket overføringsgrunnlag som dekker eventuelle overføringer utenfor EØS.
- Om de bruker besøksdataene dine til sine egne produkter. Gjør de det, kan de opptre som behandlingsansvarlig i stedet for databehandler, noe som endrer kontraktene og personvernerklæringen din.
- Om en databehandleravtale er signert og hvor den er arkivert.
Kontrakten dekker bare halvparten; den andre halvparten er hvordan hver leverandør faktisk beskytter dataene. Har teamet ditt ikke egen sikkerhetskompetanse, kan eksterne cybersikkerhetstjenester gjennomgå leverandørenes tilgangskontroll og lagring før du signerer.
Eksempel på hva denne revisjonen ofte avdekker (illustrativt): et analyseverktøy der vilkårene tillater det å bruke kundedata til å bygge egne målgruppeprodukter. Det er ikke et databehandlerforhold, og du må enten reforhandle, opplyse om det på riktig måte eller bytte til et verktøy som holder seg i databehandlerrollen, for eksempel et oppsett for personaliseringsanalyse som bare behandler data etter dine instrukser.
4. Skriv de tre dokumentene
- Avsnitt i personvernerklæringen. Hva du samler inn (bedriftsdata utledet fra IP, atferdsdata med samtykke), hvorfor (for å vise relevant innhold), rettslig grunnlag, lagringstid, leverandører og hvordan man protesterer.
- Interesseavveiing. Formålstest (å vise relevant innhold til besøkende fra bedrifter), nødvendighetstest (hvorfor data på selskapsnivå er nok og du ikke trenger mer), avveiingstest (ingen sensitive data, resultat på selskapsnivå, enkelt å protestere, kort oppbevaringstid).
- Cookie-erklæring. Hver informasjonskapsel eller lagringsnøkkel personaliseringssystemet setter, med formål, levetid og kategori.
5. Sett lagringsgrenser du kan håndheve
GDPRs prinsipp om lagringsbegrensning i Article 5(1)(e) betyr at personopplysninger ikke skal lagres lenger enn formålet krever. Loven setter ikke noe tall, så velg ett og begrunn det. Eksempel: atferdsdata i 90 dager, berikede kontodata i 12 måneder for å dekke en typisk B2B-salgssyklus. Uansett hva du velger, konfigurer det i verktøyene slik at slettingen skjer automatisk.
6. Øv på en forespørsel fra en registrert
Etter Article 12(3) må du svare på forespørsler om innsyn, sletting og protest uten ugrunnet opphold og innen én måned, som kan forlenges med ytterligere to måneder ved behov. California gir 45 dager. Kjør en testforespørsel før lansering: Velg en kollega som har besøkt nettstedet, og prøv å finne, eksportere og slette alt stacken din har om vedkommende. Kan ikke verktøyet ditt for identifisering av besøkende gjøre dette per IP-adresse eller per kontakt, har du et problem å løse før du går live.
Vanlige feil med etterlevelse
Å kalle bedriftsdata «anonyme»
Å identifisere en bedrift er ikke det samme som å behandle anonyme data. IP-adressen du brukte til oppslaget, er personopplysninger i de fleste realistiske scenarioer. Si det i dokumentasjonen din, bygg på et dokumentert rettslig grunnlag, og gå videre.
Å anta at «server-side» betyr «uten samtykke»
Som nevnt ovenfor tolker EDPB Article 5(3) bredt nok til å dekke IP-basert sporing og innsamling av identifikatorer på klientsiden. Oppslag av selskap per forespørsel på serversiden er designet med lavest risiko, men det er et designvalg du bør diskutere med juridisk rådgiver, ikke et automatisk unntak.
Ingen mulighet til å protestere
Er behandlingsgrunnlaget ditt berettiget interesse, kan den besøkende protestere. En lenke i personvernerklæringen som fører til en e-postinnboks ingen følger med på, teller ikke. Gi dem en innstilling som slår av personalisering, og respekter den i personaliseringsmotoren.
Å mate inn tredjeparts intensjonsdata uten å sjekke opprinnelsen
Tredjeparts intensjonsdata bygges ofte fra surfing på tvers av nettsteder. Hvis leverandøren ikke kan vise hvordan samtykke eller et annet rettslig grunnlag ble innhentet for den innsamlingen, arver du den svakheten i det øyeblikket du bruker dataene. Be om dokumentasjon på dataenes opprinnelse før du signerer, og foretrekk atferdssignaler fra førstepart. Vi går nærmere inn på avveiningene i guiden vår til intensjonsdata for personalisering av B2B-nettsteder.
Ubegrenset lagring
Personaliseringsverktøy beholder ofte alt som standard. Sjekk lagringsinnstillingen i hvert verktøy i stakken, ikke bare i hovedplattformen for personalisering.
Sjekkliste før lansering
- Dataoversikt ferdig, hver inndata klassifisert som nivå 1, 2 eller 3.
- Behandlingsgrunnlag dokumentert per nivå, med en interesseavveining (LIA) for nivå 1.
- ePrivacy-vurdering av IP-oppslaget og eventuelle skript på klientsiden, gjennomgått av jurist.
- Samtykkebanneret har en kategori som dekker personalisering, og en test i en ren nettleser bekrefter at ingenting lagres før samtykke.
- Databehandleravtaler signert med alle leverandører; lagringssteder og overføringsmekanismer registrert.
- Personvernerklæring og cookie-erklæring oppdatert.
- Innsigelse og avmelding fungerer og respekteres av personaliseringsmotoren.
- Lagringsgrenser konfigurert i hvert verktøy.
- Testforespørsel fra en registrert fullført innen fristene i GDPR og CCPA.
- Omfanget av CCPA er sjekket mot de tre tersklene, og andre delstatslover i USA er kartlagt hvis du har trafikk der.
Hvorfor personvernhensyn gir bedre personalisering
Dette er meningsdelen, og noen team vil være uenige. Å jobbe innenfor personvernreglene skyver deg mot den personaliseringen som pleier å fungere uansett.
Segmenter på bedriftsnivå når alle besøkende, også de som avslår informasjonskapsler, så den første testen din er ikke begrenset til delen som klikket «Godta». Færre, bredere segmenter (for eksempel fem eller seks etter bransje og selskapsstørrelse) er lettere å skrive godt innhold for enn dusinvis av mikrosegmenter bygget på surfemønstre, og hvert segment får nok trafikk til å kunne måles. Og når du ikke kan støtte deg på tredjepartsdata, investerer du i en strategi for førstepartsdata bygget på hvordan folk faktisk bruker ditt eget nettsted, som er dataene som gjenspeiler interessen deres for akkurat deg.
Vil du ha et utgangspunkt for de segmentene, viser innlegget vårt om firmografiske segmenter som konverterer hvordan du velger dem, og hvordan besøksidentifisering på bedriftsnivå fungerer forklarer hva IP-oppslaget kan og ikke kan fortelle deg.
Kom i gang uten å bli stående fast i juridisk gjennomgang
Den realistiske risikoen for de fleste B2B-team er ikke en bot. Det er måneder med frem og tilbake fordi ingen ga juridisk et konkret design å vurdere. Gi dem ett:
- Et dataflytdiagram på én side som viser IP-oppslaget, hva som kommer tilbake, og hva som lagres.
- Nivåtabellen ovenfor, fylt ut for stakken din.
- Et utkast til interesseavveining (LIA) og en del til personvernerklæringen.
- Resultatene fra samtykketesten i en ren nettleser.
Lanser deretter nivå 1 på noen få sider med mye trafikk, mål i 30 dager, og legg til nivå 2 når samtykket fungerer og tallene forsvarer det.
Markettailor passer til denne rekkefølgen: firmografisk segmentering jobber med data på bedriftsnivå, så du kan starte med nivå 1-regler mens samtykkearbeidet ferdigstilles. Vil du sammenligne planer før du snakker med juridisk, kan du se prisene til Markettailor.