Personalizacja stron B2B a ochrona danych: jak zachować zgodność z przepisami

Większość projektów personalizacji B2B napotyka ten sam mur w drugim tygodniu. Marketing ma gotowe segmenty i warianty nagłówków, a potem ktoś z działu prawnego pyta, jak identyfikacja odwiedzających działa w świetle RODO, i nikt nie ma spisanej odpowiedzi. Projekt staje.

Ten wpis to odpowiedź, którą sami chcielibyśmy mieć na piśmie. Omawia prywatność danych w personalizacji stron B2B w świetle trzech zbiorów przepisów, które budzą najwięcej pytań (RODO, unijne przepisy ePrivacy dotyczące plików cookie i dostępu do urządzeń oraz kalifornijskie CCPA/CPRA), to, czego każdy z nich faktycznie wymaga, oraz checklistę przed uruchomieniem, którą możesz przekazać działowi prawnemu. To nie jest porada prawna. Celem jest szybsze doprowadzenie marketingu i działu prawnego do wspólnej rozmowy, z linkami do źródeł pierwotnych, aby prawnicy mogli je sprawdzić.

Dlaczego personalizacja B2B ma inny profil prywatności

Większość wskazówek dotyczących prywatności powstaje z myślą o scenariuszach konsumenckich: śledzeniu reklam na stronach zakupowych, profilach behawioralnych sprzedawanych podmiotom trzecim. Personalizacja stron B2B zwykle wygląda inaczej:

• Głównym źródłem są dane na poziomie firmy (branża, wielkość, lokalizacja, używane technologie), zwykle ustalane na podstawie adresu IP odwiedzającego.
• Efekt jest umiarkowany: odwiedzający z branży produkcyjnej widzi case studies z produkcji zamiast z fintechu.
• Wielu odwiedzających pochodzi z firm, którym już sprzedajesz lub na które celujesz, więc istnieje uzasadniony powód biznesowy, by pokazać im trafne treści.

Nic z tego nie zwalnia personalizacji B2B z przepisów o prywatności. Za każdym adresem IP nadal stoi człowiek, a przepisy chronią tę osobę, nie firmę. Zmienia się poziom ryzyka i to, która podstawa prawna jest realistyczna. Właściwa klasyfikacja to większość pracy.

RODO: kwestia adresu IP

Pierwsze pytanie działu prawnego będzie dotyczyć tego, czy adres IP jest daną osobową. Uczciwa odpowiedź brzmi: „często tak, w zależności od tego, kto go posiada”. W sprawie Breyer (C-582/14) Trybunał Sprawiedliwości UE orzekł, że dynamiczny adres IP jest daną osobową dla operatora strony, jeśli ten operator ma środki prawne pozwalające zidentyfikować odwiedzającego przy użyciu dodatkowych informacji posiadanych przez dostawcę internetu. Sprawa była rozstrzygana na gruncie dawnej dyrektywy o ochronie danych, ale definicja danych osobowych w art. 4 pkt 1 RODO wprost wymienia „identyfikator internetowy” jako coś, co może umożliwić identyfikację osoby, więc to samo rozumowanie nadal ma zastosowanie.

Nasze zdanie: planuj tak, jakby każdy przetwarzany adres IP był daną osobową. Argumentowanie, że jest inaczej, niewiele Ci daje, a sprawia, że Twoja dokumentacja wygląda w oczach regulatora wymijająco.

Wybór podstawy prawnej

Art. 6 RODO wymienia sześć podstaw prawnych. Dwie mają znaczenie dla personalizacji strony:

Liczą się tu dwa szczegóły. Po pierwsze, komunikat prasowy w sprawie Breyer odnotowuje też stanowisko Trybunału, że operator strony może mieć prawnie uzasadniony interes w przetwarzaniu danych odwiedzających, o ile zostanie on wyważony względem praw odwiedzającego. To właśnie ten test równowagi musi wykazać Twoja ocena LIA. Po drugie, jeśli personalizacja jest częścią marketingu bezpośredniego, art. 21 ust. 2 i 3 dają odwiedzającemu bezwzględne prawo sprzeciwu: gdy go zgłosi, przestajesz. Zbuduj mechanizm rezygnacji przed startem, a nie po pierwszej skardze.

Ile może kosztować błąd w zakresie RODO

Zgodnie z art. 83 ust. 5 naruszenia zasad przetwarzania, przepisów o podstawie prawnej z art. 6, warunków zgody z art. 7 i praw osób, których dane dotyczą, z art. 12–22 mogą skutkować karami do 20 mln € lub 4% całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. To kwoty maksymalne, a nie typowe kary. Bardziej realnym kosztem dla zespołu B2B ze średniej firmy jest postępowanie organu nadzorczego, które zmusza do wstrzymania personalizacji na czas przygotowywania dokumentów, które powinieneś już mieć.

ePrivacy: gdzie „bez cookies” bywa źle rozumiane

Dyrektywa o prywatności i łączności elektronicznej (2002/58/WE, art. 5 ust. 3) to przepis stojący za banerami cookie. Wymaga zgody przed zapisaniem informacji na urządzeniu użytkownika lub uzyskaniem dostępu do informacji na nim, chyba że zapis lub dostęp jest absolutnie niezbędny do świadczenia usługi, o którą użytkownik poprosił. Obowiązuje równolegle z RODO i nie ma dla niej znaczenia, czy informacja jest daną osobową.

W Wielkiej Brytanii odpowiednia zasada znajduje się w PECR. Wytyczne ICO jasno mówią, że zgoda musi być wyrażona aktywnie i jednoznacznie, a pliki cookie, które są jedynie pomocne lub wygodne, nadal jej wymagają. Pliki cookie personalizacji należą do tej grupy.

Oto część, którą pomija wiele blogów dostawców. Sporo materiałów o personalizacji mówi: „po stronie serwera, bez cookies, więc zgoda nie jest potrzebna”. To zbyt duże uproszczenie. Guidelines 2/2023 on the technical scope of Article 5(3) EROD (wersja ostateczna z października 2024) stwierdzają, że śledzenie oparte wyłącznie na adresach IP może podlegać art. 5 ust. 3 i że jeśli nie możesz zapewnić, że adres IP nie pochodzi z urządzenia użytkownika, musisz traktować je jako objęte tym przepisem. Te same wytyczne mówią, że art. 5 ust. 3 ma zastosowanie, gdy kod po stronie klienta nakazuje przeglądarce przesłanie Ci identyfikatorów.

Co to oznacza w praktyce:

• Jednorazowe sprawdzenie IP po stronie serwera, służące do wyboru nagłówka dla bieżącego wyświetlenia strony, to wzorzec o najniższym ryzyku. Niektórzy prawnicy i tak będą chcieli objąć je zgodą lub jasną analizą wyjątku zgodnie z wytycznymi EROD, więc zapytaj swojego.
• Używanie adresu IP do śledzenia odwiedzającego między stronami lub sesjami to śledzenie, a według EDPB wymaga takiej samej analizy zgody jak pliki cookie.
• Każdy snippet JavaScript, który odczytuje lub ustawia identyfikatory w przeglądarce (pliki cookie, local storage, sygnały fingerprintingu), wymaga zgody przed uruchomieniem, chyba że jest niezbędny.

Uwaga dotycząca harmonogramu: planowane rozporządzenie ePrivacy, które miało zastąpić dyrektywę, zostało porzucone. Komisja Europejska zapowiedziała w programie prac na 2025 rok wycofanie wniosku, a obecna dyrektywa i krajowe przepisy wykonawcze pozostają w mocy. Nie czekaj na nowe unijne przepisy o plikach cookie, zanim prawidłowo skonfigurujesz zgody.

CCPA/CPRA: czy w ogóle Cię dotyczy?

Kalifornijskie prawo dotyczy tylko firm nastawionych na zysk, które prowadzą działalność w Kalifornii i spełniają co najmniej jeden próg. Według California Privacy Protection Agency są to:

1. Roczny przychód brutto w wysokości 26,625 mln USD lub więcej (kwota skorygowana od 1 stycznia 2025 r.).
2. Kupowanie, sprzedawanie lub udostępnianie danych osobowych 100 000 lub więcej mieszkańców lub gospodarstw domowych Kalifornii.
3. Uzyskiwanie co najmniej 50% rocznego przychodu ze sprzedaży lub udostępniania danych osobowych mieszkańców Kalifornii.

Dla zespołów B2B ważne jest to, że tymczasowe wyłączenie dla służbowych danych kontaktowych i danych pracowników wygasło 1 stycznia 2023 r. Kupujący przeglądający Twoją stronę ze służbowego laptopa w Kalifornii jest w świetle prawa konsumentem.

Jeśli przepisy Cię obejmują, obowiązki dotyczące personalizacji to:

• Ujawnij w polityce prywatności, że zbierasz dane pochodzące z IP na potrzeby personalizacji, i jakich kategorii danych używasz.
• Jeśli partnerzy wzbogacający dane lub reklamowi otrzymują dane odwiedzających w sposób, który kwalifikuje się jako „sprzedaż” lub „udostępnianie” (udostępnianie obejmuje reklamę behawioralną między kontekstami), udostępnij link „Do Not Sell or Share My Personal Information” i respektuj rezygnacje.
• Odpowiadaj na żądania dostępu, usunięcia lub sprostowania danych w ciągu 45 dni kalendarzowych, z możliwością przedłużenia o kolejne 45 dni, jeśli powiadomisz daną osobę, zgodnie z FAQ CPPA.

Kary zostały podniesione o inflację 1 stycznia 2025: kary administracyjne do 2663 USD za naruszenie i 7988 USD za naruszenie umyślne, zgodnie z komunikatem CPPA. Inne stany USA mają własne kompleksowe przepisy o prywatności z innymi progami, więc jeśli masz znaczący ruch z tych stanów, przeanalizuj je osobno, zamiast zakładać, że analiza dla Kalifornii Cię chroni.

Działający framework: trzy poziomy danych

Najprostszy sposób, by nad tym zapanować, to sklasyfikować każde dane wejściowe używane przez personalizację, zanim cokolwiek zbudujesz.

Naszym zdaniem: zacznij od poziomu 1. Pokazanie firmie logistycznej Twojego case study z logistyki nie wymaga wiedzy o osobie, która je czyta. Większość oczywistych zysków z personalizacji (nagłówek branżowy, trafne dowody, akcent cenowy według wielkości firmy) mieści się w poziomie 1. Poziomy 2 i 3 dodają wartość, ale też zależności od zgód i papierologię, więc dodawaj je, gdy poziom 1 jest zmierzony i stabilny.

Krok po kroku: uruchomienie zgodne z przepisami

1. Podziel doświadczenie w zależności od zgody

Częstym błędem jest blokowanie całej personalizacji do czasu, aż odwiedzający kliknie „Akceptuję”. Lepsze podejście:

1. Przed wyrażeniem zgody: tylko personalizacja poziomu 1 na podstawie zapytania po stronie serwera, bez zapisywania identyfikatorów na urządzeniu. Bez historii zachowań.
2. Po zgodzie na pliki cookie personalizacji: zacznij rejestrować powroty i zaangażowanie i używaj ich w regułach poziomu 2.
3. Po wysłaniu formularza: powiąż konto z danymi w CRM (poziom 3), jeśli obejmuje to Twoja informacja o prywatności i podstawa prawna.

Przetestuj to w nudny sposób: otwórz stronę w czystym profilu przeglądarki, odrzuć wszystko i sprawdź zakładkę Application w DevTools. Nie powinien pojawić się żaden plik cookie personalizacji ani klucz w local storage. Potem zaakceptuj i sprawdź ponownie.

2. Dopasuj kategorie zgód do rzeczywistości

Odwiedzający, który akceptuje „analitykę”, nie zgodził się na „personalizację”. Jeśli narzędzie do zarządzania zgodami ma szczegółowe kategorie, dodaj kategorię personalizacji (albo umieść personalizację w istniejącej kategorii „funkcjonalne” lub „marketingowe”, która trafnie ją opisuje) i upewnij się, że skrypt personalizacji reaguje właśnie na tę kategorię.

3. Sprawdź każdego dostawcę w przepływie danych

Dla każdego dostawcy, który ma styczność z danymi odwiedzających (wzbogacanie IP, analityka, CDP, CRM, narzędzie do zgód), zapisz:

• Jakie dane otrzymują z Twojej strony i co odsyłają.
• Gdzie je przechowują i przetwarzają oraz jaki mechanizm obejmuje ewentualny transfer poza EOG.
• Czy wykorzystują dane o Twoich odwiedzających do własnych produktów. Jeśli tak, mogą działać jako administrator, a nie podmiot przetwarzający, co zmienia Twoje umowy i informację o prywatności.
• Czy podpisano umowę powierzenia przetwarzania danych i gdzie jest przechowywana.

Umowa to tylko połowa sprawy; druga połowa to sposób, w jaki każdy dostawca faktycznie chroni dane. Jeśli Twój zespół nie ma własnych kompetencji w zakresie bezpieczeństwa, zewnętrzne usługi cyberbezpieczeństwa mogą przed podpisaniem umowy sprawdzić kontrolę dostępu i sposób przechowywania danych u dostawców.

Przykład tego, co zwykle wychwytuje taki audyt (ilustracyjny): narzędzie analityczne, którego regulamin pozwala mu wykorzystywać dane klientów do budowania własnych produktów z grupami odbiorców. To nie jest relacja podmiotu przetwarzającego – musisz renegocjować, właściwie to ujawnić albo przejść na narzędzie, które pozostaje w roli podmiotu przetwarzającego, np. analitykę personalizacji, która przetwarza dane wyłącznie na Twoje polecenie.

4. Napisz trzy dokumenty

• Sekcja polityki prywatności. Co zbierasz (dane o firmie pochodzące z IP, dane behawioralne za zgodą), w jakim celu (pokazywanie trafnych treści), podstawa prawna, okres przechowywania, dostawcy i jak wnieść sprzeciw.
• Ocena prawnie uzasadnionego interesu. Test celu (pokazywanie trafnych treści odwiedzającym biznesowym), test niezbędności (dlaczego dane na poziomie firmy wystarczają i nie potrzebujesz więcej), test równowagi (brak danych wrażliwych, wynik na poziomie firmy, łatwy sprzeciw, krótki okres przechowywania).
• Polityka cookies. Każdy plik cookie lub klucz pamięci ustawiany przez system personalizacji, jego cel, czas życia i kategoria.

5. Ustal okresy przechowywania, które potrafisz egzekwować

Zasada ograniczenia przechowywania z art. 5 ust. 1 lit. e RODO oznacza przechowywanie danych osobowych nie dłużej, niż wymaga tego cel. Przepisy nie podają konkretnego okresu, więc wybierz go i uzasadnij. Przykład: dane behawioralne przez 90 dni, wzbogacone dane o kontach przez 12 miesięcy, by objąć typowy cykl sprzedaży B2B. Cokolwiek wybierzesz, skonfiguruj to w narzędziach, by usuwanie odbywało się automatycznie.

6. Przećwicz obsługę żądania osoby, której dane dotyczą

Zgodnie z art. 12 ust. 3 musisz odpowiadać na żądania dostępu, usunięcia i sprzeciwu bez zbędnej zwłoki, w ciągu miesiąca, z możliwością przedłużenia o kolejne dwa miesiące w razie potrzeby. Kalifornia daje 45 dni. Przed uruchomieniem zrób testowe żądanie: wybierz kolegę, który odwiedzał stronę, i spróbuj znaleźć, wyeksportować i usunąć wszystko, co Twój stos o nim przechowuje. Jeśli Twoje narzędzie do identyfikacji odwiedzających nie potrafi tego zrobić dla adresu IP lub kontaktu, masz problem do rozwiązania przed startem.

Najczęstsze błędy w zakresie zgodności

Nazywanie danych firmowych „anonimowymi”

Identyfikacja firmy to nie to samo co przetwarzanie danych anonimowych. Adres IP użyty do wyszukiwania jest w większości realistycznych scenariuszy daną osobową. Zapisz to w dokumentacji, oprzyj się na udokumentowanej podstawie prawnej i działaj dalej.

Założenie, że „server-side” oznacza „bez zgody”

Jak opisano wyżej, EROD interpretuje art. 5 ust. 3 na tyle szeroko, że obejmuje śledzenie oparte na IP i zbieranie identyfikatorów po stronie klienta. Wyszukiwanie firmy po stronie serwera przy każdym żądaniu to projekt o najniższym ryzyku, ale jest to decyzja projektowa do omówienia z prawnikiem, a nie automatyczne zwolnienie.

Brak ścieżki obsługi zastrzeżeń

Jeśli Twoją podstawą prawną jest prawnie uzasadniony interes, odwiedzający może wnieść sprzeciw. Link w polityce prywatności prowadzący do skrzynki, której nikt nie sprawdza, się nie liczy. Daj mu ustawienie, które wyłącza personalizację, i respektuj je w silniku personalizacji.

Zasilanie systemu danymi o intencji od zewnętrznych dostawców bez sprawdzenia ich pochodzenia

Zewnętrzne dane o intencji często powstają na podstawie przeglądania wielu witryn. Jeśli dostawca nie potrafi pokazać, jak uzyskano zgodę lub inną podstawę prawną dla tego zbierania, dziedziczysz tę słabość w chwili, gdy zaczynasz z nich korzystać. Przed podpisaniem umowy poproś o dokumentację pochodzenia danych i preferuj własne sygnały behawioralne (first-party). Kompromisy omawiamy szerzej w poradniku o danych o intencji w personalizacji stron B2B.

Przechowywanie bezterminowe

Narzędzia do personalizacji często domyślnie przechowują wszystko. Sprawdź ustawienie retencji w każdym narzędziu w stacku, nie tylko w głównej platformie personalizacji.

Checklista przed uruchomieniem

1. Inwentaryzacja danych wykonana, każde źródło sklasyfikowane jako poziom 1, 2 lub 3.
2. Podstawa prawna udokumentowana dla każdego poziomu, z oceną LIA dla poziomu 1.
3. Analiza ePrivacy dotycząca sprawdzania IP i każdego skryptu po stronie klienta, zweryfikowana przez prawnika.
4. Baner zgody ma kategorię obejmującą personalizację, a test w czystej przeglądarce potwierdza, że przed wyrażeniem zgody nic nie jest zapisywane.
5. Umowy powierzenia przetwarzania danych (DPA) podpisane z każdym dostawcą; lokalizacje przechowywania i mechanizmy transferu udokumentowane.
6. Polityka prywatności i polityka cookies zaktualizowane.
7. Ścieżka sprzeciwu i rezygnacji działa i jest respektowana przez silnik personalizacji.
8. Okresy przechowywania skonfigurowane w każdym narzędziu.
9. Testowe żądanie osoby, której dane dotyczą, zrealizowane w terminach RODO i CCPA.
10. Zakres CCPA sprawdzony względem trzech progów, a inne przepisy stanowe w USA zmapowane, jeśli masz stamtąd ruch.

Dlaczego ograniczenia prywatności prowadzą do lepszej personalizacji

To część z opinią i niektóre zespoły się z nią nie zgodzą. Praca w ramach przepisów o prywatności popycha Cię w stronę personalizacji, która i tak zwykle działa.

Segmenty na poziomie firm docierają do każdego odwiedzającego, także tych, którzy odrzucają pliki cookie, więc Twój pierwszy test nie ogranicza się do grupy, która kliknęła „Akceptuję”. Do mniejszej liczby szerszych segmentów (np. pięciu lub sześciu według branży i wielkości firmy) łatwiej napisać dobre treści niż do dziesiątek mikrosegmentów opartych na wzorcach przeglądania, a każdy segment ma wystarczająco dużo ruchu do pomiaru. A gdy nie możesz polegać na danych zewnętrznych, inwestujesz w strategię danych własnych opartą na tym, jak ludzie faktycznie korzystają z Twojej strony – czyli w dane, które odzwierciedlają ich zainteresowanie właśnie Tobą.

Jeśli potrzebujesz punktu wyjścia dla tych segmentów, nasz artykuł o segmentach firmograficznych, które konwertują pokazuje, jak je wybrać, a artykuł jak działa identyfikacja odwiedzających na poziomie firm wyjaśnia, co wyszukiwanie po IP może, a czego nie może Ci powiedzieć.

Jak zacząć, nie utykając w przeglądzie prawnym

Realnym ryzykiem dla większości zespołów B2B nie jest kara. Są nim miesiące korespondencji, bo nikt nie dał działowi prawnemu konkretnego projektu do oceny. Daj im taki projekt:

1. Jednostronicowy diagram przepływu danych pokazujący wyszukiwanie IP, zwracane dane i to, co jest przechowywane.
2. Powyższa tabela poziomów, wypełniona dla Twojego stacku.
3. Projekt LIA i fragmentu polityki prywatności.
4. Wyniki testu zgody w czystej przeglądarce.

Następnie uruchom poziom 1 na kilku stronach o dużym ruchu, mierz przez 30 dni i dodaj poziom 2, gdy zgody będą działać, a liczby to uzasadnią.

Markettailor pasuje do tej kolejności działań: jego segmentacja firmograficzna działa na danych na poziomie firm, więc możesz zacząć od reguł poziomu 1, zanim prace nad zgodami zostaną ukończone. Jeśli chcesz porównać plany przed rozmową z prawnikami, zobacz cennik Markettailor.