Majoritatea proiectelor de personalizare B2B se lovesc de același zid în a doua săptămână. Marketingul are pregătite segmentele și variantele de titlu, apoi cineva de la juridic întreabă cum funcționează partea de identificare a vizitatorilor din perspectiva GDPR și nimeni nu are un răspuns scris. Proiectul stă pe loc.
Acest articol este răspunsul pe care ne-am dori să-l avem în scris. Acoperă confidențialitatea datelor în personalizarea website-urilor B2B conform celor trei seturi de reguli care generează cele mai multe întrebări (GDPR, regulile ePrivacy ale UE privind cookie-urile și accesul la dispozitiv și CCPA/CPRA din California), ce cere efectiv fiecare și un checklist de lansare pe care îl poți preda echipei juridice. Nu este consultanță juridică. Scopul este să aducă mai repede marketingul și departamentul juridic la aceeași discuție, cu sursele primare incluse ca linkuri, ca juriștii tăi să le poată verifica.
De ce personalizarea B2B are un alt profil de confidențialitate
Majoritatea ghidurilor privind confidențialitatea sunt scrise pentru scenarii de consum: urmărirea reclamelor pe site-uri de cumpărături, profiluri comportamentale vândute unor terți. Personalizarea site-urilor B2B arată de obicei altfel:
- Principala sursă de date sunt datele la nivel de companie (industrie, mărime, locație, tehnologii folosite), derivate de obicei din adresa IP a vizitatorului.
- Rezultatul este modest: un vizitator din producție vede studii de caz din producție în loc de fintech.
- Mulți vizitatori vin din companii cărora le vinzi deja sau pe care le țintești, deci există un motiv de business plauzibil să le arăți conținut relevant.
Nimic din toate acestea nu scutește personalizarea B2B de legislația privind confidențialitatea. În spatele fiecărei adrese IP se află tot o persoană, iar legile protejează acea persoană, nu compania. Ce se schimbă este nivelul de risc și temeiul legal realist. Încadrarea corectă reprezintă cea mai mare parte a muncii.
GDPR: problema adresei IP
Prima întrebare pe care o va pune departamentul juridic este dacă o adresă IP contează ca dată cu caracter personal. Răspunsul onest este „adesea da, în funcție de cine o deține”. În cauza Breyer (cauza C-582/14), Curtea de Justiție a UE a decis că o adresă IP dinamică este dată cu caracter personal pentru operatorul unui site dacă acel operator are mijloacele legale de a identifica vizitatorul cu ajutorul informațiilor suplimentare deținute de furnizorul de servicii de internet. Cauza a fost judecată în baza vechii Directive privind protecția datelor, dar definiția datelor cu caracter personal din GDPR, de la articolul 4 punctul (1), menționează explicit „un identificator online” ca element care poate face o persoană identificabilă, așa că același raționament se aplică.
Părerea noastră: planifică ca și cum fiecare adresă IP pe care o procesezi ar fi dată cu caracter personal. Argumentul contrar îți aduce foarte puțin și face ca documentația ta să pară evazivă în ochii unei autorități de reglementare.
Alegerea temeiului legal
Articolul 6 din GDPR enumeră șase temeiuri juridice. Două sunt relevante pentru personalizarea site-ului:
| Temei legal | Unde se potrivește | Ce îi datorezi vizitatorului |
|---|---|---|
| Interese legitime, art. 6 alin. (1) lit. (f) | Personalizare la nivel de companie dintr-o căutare IP, fără să se stocheze nimic pe dispozitiv | Un test de echilibru documentat (Legitimate Interest Assessment), o notă de informare clară privind confidențialitatea și o modalitate funcțională de a te opune în temeiul Article 21 |
| Consimțământ, art. 6 alin. (1) lit. (a) | Orice are nevoie de cookie-uri sau de acces similar la dispozitiv și orice profil legat de o persoană identificată nominal | Consimțământ liber exprimat, specific, informat și lipsit de ambiguitate, care poate fi retras la fel de ușor cum a fost dat (Article 7(3)) |
Două detalii contează aici. În primul rând, comunicatul de presă privind cauza Breyer menționează și observația Curții că un operator de site poate avea un interes legitim în prelucrarea datelor vizitatorilor, cu condiția ca acesta să fie pus în balanță cu drepturile vizitatorului. Acesta este exercițiul de echilibrare pe care trebuie să îl arate LIA-ul tău. În al doilea rând, dacă personalizarea face parte din marketingul direct, articolul 21 alineatele (2) și (3) îi dau vizitatorului un drept absolut de opoziție: odată ce se opune, te oprești. Construiește mecanismul de opt-out înainte de lansare, nu după prima reclamație.
Cât poate costa o greșeală GDPR
Conform Article 83(5), încălcările principiilor de prelucrare, ale regulilor privind temeiul legal din Article 6, ale condițiilor de consimțământ din Article 7 și ale drepturilor persoanelor vizate din Articles 12 to 22 pot atrage amenzi de până la 20 de milioane € sau 4% din cifra de afaceri anuală la nivel mondial, oricare este mai mare. Acestea sunt valori maxime, nu amenzi tipice. Costul mai realist pentru o echipă B2B mid-market este o investigație a autorității care te obligă să oprești personalizarea până produci documente pe care ar fi trebuit să le ai deja.
ePrivacy: unde „cookieless” este înțeles greșit
Directiva ePrivacy (2002/58/CE, articolul 5 alineatul (3)) este regula din spatele bannerelor de cookie. Cere consimțământ înainte de stocarea informațiilor pe dispozitivul utilizatorului sau de accesarea informațiilor de pe acesta, cu excepția cazului în care stocarea sau accesul sunt strict necesare pentru un serviciu solicitat de utilizator. Se aplică alături de GDPR și nu contează dacă informațiile sunt date cu caracter personal.
În Regatul Unit, regula echivalentă se află în PECR. Ghidul ICO spune clar că consimțământul trebuie dat activ și clar și că și cookie-urile doar utile sau convenabile au nevoie de el. Cookie-urile de personalizare intră în această categorie.
Aceasta este partea pe care multe bloguri ale furnizorilor o sar. Mult marketing de personalizare spune „server-side, fără cookie-uri, deci nu e nevoie de consimțământ”. E prea simplist. Ghidurile 2/2023 ale EDPB privind domeniul tehnic de aplicare al articolului 5 alineatul (3) (versiunea finală din octombrie 2024) spun că tracking-ul bazat doar pe adrese IP poate intra sub incidența articolului 5 alineatul (3) și că, dacă nu poți garanta că o adresă IP nu provine de pe dispozitivul utilizatorului, trebuie să o tratezi ca fiind acoperită. Aceleași ghiduri spun că articolul 5 alineatul (3) se aplică atunci când codul client-side instruiește browserul să-ți trimită identificatori.
Ce înseamnă asta în practică:
- O căutare IP unică, pe server, folosită pentru a alege un titlu pentru vizualizarea curentă a paginii este tiparul cu cel mai mic risc. Unii juriști vor tot vrea să fie acoperită de consimțământ sau de o analiză clară a excepțiilor conform ghidurilor EDPB, așa că întreabă-l pe al tău.
- Folosirea adresei IP pentru a urmări un vizitator între pagini sau sesiuni este tracking, iar opinia EDPB este că necesită aceeași analiză a consimțământului ca și cookie-urile.
- Orice snippet JavaScript care citește sau setează identificatori în browser (cookie-uri, local storage, semnale de fingerprinting) are nevoie de consimțământ înainte să ruleze, cu excepția cazului în care este strict necesar.
O notă despre calendar: Regulamentul ePrivacy planificat, care trebuia să înlocuiască Directiva, nu mai există. Comisia Europeană a anunțat în programul său de lucru pentru 2025 că va retrage propunerea, iar Directiva existentă și legile naționale de transpunere rămân în vigoare. Nu aștepta noi reguli UE privind cookie-urile ca să configurezi corect consimțământul.
CCPA/CPRA: se aplică oare în cazul tău?
Legea din California se aplică doar companiilor cu scop lucrativ care fac afaceri în California și îndeplinesc cel puțin un prag. Potrivit California Privacy Protection Agency, acestea sunt:
- Venituri brute anuale de 26,625 milioane USD sau mai mult (valoarea ajustată începând cu 1 ianuarie 2025).
- Cumpărarea, vânzarea sau partajarea informațiilor personale ale a 100.000 sau mai mulți rezidenți ori gospodării din California.
- Obținerea a 50% sau mai mult din veniturile anuale din vânzarea sau partajarea informațiilor personale ale rezidenților din California.
Pentru echipele B2B, aspectul istoric important este că excepția temporară pentru datele de contact de business și datele angajaților a expirat la 1 ianuarie 2023. Un cumpărător care îți navighează site-ul de pe laptopul de serviciu în California este consumator în sensul legii.
Dacă intri sub incidența legii, obligațiile care privesc personalizarea sunt:
- Menționează în politica de confidențialitate că colectezi date derivate din IP pentru personalizare și ce categorii de date folosești.
- Dacă partenerii de îmbogățire a datelor sau de publicitate primesc date despre vizitatori într-un mod care se califică drept „vânzare” sau „partajare” (partajarea include publicitatea comportamentală cross-context), oferă un link „Do Not Sell or Share My Personal Information” și respectă opțiunile de refuz.
- Răspunde la cererile de acces, ștergere sau rectificare în 45 de zile calendaristice, cu posibilitate de prelungire cu încă 45 de zile dacă îl anunți pe solicitant, conform FAQ-ului CPPA.
Amenzile au fost majorate cu inflația la 1 ianuarie 2025: amenzi administrative de până la 2.663 USD per încălcare și 7.988 USD per încălcare intenționată, conform anunțului CPPA. Alte state americane au propriile legi cuprinzătoare privind confidențialitatea, cu praguri diferite, așa că, dacă ai trafic semnificativ din acele state, analizează-le separat în loc să presupui că analiza pentru California te acoperă.
Un cadru funcțional: trei niveluri de date
Cel mai simplu mod de a face asta gestionabil este să clasifici fiecare input folosit de personalizare înainte să construiești ceva.
| Tier | Date | Poziția juridică tipică | Ordinea lansării |
|---|---|---|---|
| 1. La nivel de companie, per cerere | Industrie, dimensiune, locație dintr-o căutare IP pe server, nimic stocat pe dispozitiv | Interes legitim conform GDPR, cu o LIA; verifică aspectul ePrivacy cu un consilier juridic | Primul |
| 2. Comportamentale, pe baza dispozitivului | Vizite repetate, pagini vizualizate, scoruri de engagement păstrate în cookie-uri sau local storage | Consimțământ conform ePrivacy înainte de setarea oricărui element; temei legal conform GDPR | După ce configurarea consimțământului funcționează |
| 3. Profil individual | Contacte nominale, e-mailuri legate de navigare, etapa tranzacției în CRM, date de îmbogățire third-party despre persoană | Consimțământ sau un temei atent documentat, DPA-uri cu fiecare furnizor, drepturi depline ale persoanelor vizate | La final și doar acolo unde merită |
Părerea noastră: lansează cu Nivelul 1. Ca să-i arăți unei companii de logistică studiul tău de caz din logistică nu trebuie să știi nimic despre persoana care îl citește. Majoritatea câștigurilor evidente din personalizare (titlu pe industrie, dovezi relevante, accent pe prețuri în funcție de mărimea companiei) sunt la Nivelul 1. Nivelurile 2 și 3 aduc valoare, dar aduc și dependențe de consimțământ și hârțogărie, așa că adaugă-le după ce Nivelul 1 este măsurat și stabil.
Pas cu pas: lansare conformă
1. Împarte experiența în funcție de consimțământ
Greșeala frecventă este blocarea oricărei personalizări până când vizitatorul dă clic pe „Accept”. Un design mai bun:
- Înainte de consimțământ: doar personalizare de nivel 1 dintr-o căutare pe server, fără identificatori stocați pe dispozitiv. Fără istoric comportamental.
- După consimțământul pentru cookie-urile de personalizare: începe să înregistrezi vizitele repetate și engagementul și folosește-le pentru regulile Tier 2.
- După trimiterea unui formular: leagă contul de datele din CRM (nivelul 3) acolo unde nota de informare privind confidențialitatea și temeiul juridic acoperă acest lucru.
Testează-l metodic: deschide site-ul într-un profil de browser curat, refuză tot și verifică tab-ul Application din DevTools. Nu ar trebui să apară niciun cookie de personalizare sau nicio cheie în local storage. Apoi acceptă și verifică din nou.
2. Fă categoriile de consimțământ să corespundă realității
Un vizitator care acceptă „analytics” nu a acceptat și „personalizare”. Dacă instrumentul tău de consimțământ are categorii granulare, adaugă o categorie pentru personalizare (sau încadrează personalizarea într-o categorie existentă „funcțională” ori „de marketing” care o descrie corect) și asigură-te că scriptul de personalizare ține cont exact de acea categorie.
3. Auditează fiecare furnizor din fluxul de date
Pentru fiecare furnizor care atinge datele vizitatorilor (îmbogățire IP, analytics, CDP, CRM, instrument de consimțământ), notează:
- Ce date primesc de pe site-ul tău și ce trimit înapoi.
- Unde le stochează și le prelucrează și ce mecanism de transfer acoperă orice transfer în afara SEE.
- Dacă folosesc datele despre vizitatorii tăi pentru propriile produse. Dacă da, s-ar putea să acționeze ca operator, nu ca persoană împuternicită, ceea ce îți schimbă contractele și nota de informare privind confidențialitatea.
- Dacă există un acord de prelucrare a datelor (DPA) semnat și unde este arhivat.
Contractul acoperă doar jumătate; cealaltă jumătate este cum protejează efectiv fiecare furnizor datele. Dacă echipa ta nu are expertiză internă în securitate, servicii de securitate cibernetică externe pot verifica controalele de acces și stocarea furnizorilor înainte să semnezi.
Exemplu de ce surprinde de obicei acest audit (ilustrativ): un instrument de analytics ai cărui termeni îi permit să folosească datele clienților pentru a-și construi propriile produse de audiență. Aceasta nu este o relație de persoană împuternicită, așa că fie renegociezi, fie o declari corect, fie treci la un instrument care rămâne în rolul de persoană împuternicită, precum o configurare de analytics pentru personalizare care prelucrează date doar pe baza instrucțiunilor tale.
4. Scrie cele trei documente
- Secțiune în politica de confidențialitate. Ce colectezi (date despre companie derivate din IP, date comportamentale cu consimțământ), de ce (pentru a afișa conținut relevant), temeiul legal, perioada de păstrare, furnizorii și cum se poate face opoziție.
- Evaluarea interesului legitim. Testul scopului (afișarea de conținut relevant vizitatorilor din mediul de business), testul necesității (de ce datele la nivel de companie sunt suficiente și nu ai nevoie de mai mult), testul de echilibru (fără date sensibile, rezultat la nivel de companie, opoziție ușoară, retenție scurtă).
- Politica de cookie-uri. Fiecare cookie sau cheie de stocare setată de sistemul de personalizare, cu scopul, durata de viață și categoria sa.
5. Stabilește limite de păstrare pe care le poți aplica
Principiul limitării stocării din GDPR, articolul 5 alineatul (1) litera (e), înseamnă păstrarea datelor cu caracter personal doar atât cât este necesar scopului. Legea nu stabilește o cifră, așa că alege una și justific-o. Exemplu: date comportamentale timp de 90 de zile, date îmbogățite despre conturi timp de 12 luni, ca să acoperi un ciclu tipic de vânzare B2B. Orice ai alege, configurează-l în instrumente, astfel încât ștergerea să se facă automat.
6. Repetă o cerere a persoanei vizate
Conform articolului 12 alineatul (3), trebuie să răspunzi la cererile de acces, ștergere și opoziție fără întârzieri nejustificate și în termen de o lună, termen care poate fi prelungit cu încă două luni atunci când este necesar. California acordă 45 de zile. Fă o cerere de test înainte de lansare: alege un coleg care a vizitat site-ul și încearcă să găsești, să exporți și să ștergi tot ce deține stackul tău despre el. Dacă instrumentul tău de identificare a vizitatorilor nu poate face asta per adresă IP sau per contact, ai o problemă de rezolvat înainte de lansare.
Greșeli frecvente de conformitate
Numirea datelor despre companii „anonime”
Identificarea unei companii nu este același lucru cu prelucrarea de date anonime. Adresa IP folosită pentru căutare este o dată personală în majoritatea scenariilor realiste. Spune asta în documentație, bazează-te pe un temei legal documentat și mergi mai departe.
Presupunerea că „server-side” înseamnă „fără consimțământ”
Așa cum am arătat mai sus, EDPB interpretează Article 5(3) suficient de larg încât să acopere trackingul bazat pe IP și colectarea de identificatori client-side. Identificarea companiei pe server, la fiecare cerere, este designul cu cel mai mic risc, dar este o alegere de design de discutat cu consilierul juridic, nu o excepție automată.
Nicio cale de opoziție
Dacă temeiul tău legal este interesul legitim, vizitatorul se poate opune. Un link din politica de confidențialitate care duce la o adresă de email pe care n-o monitorizează nimeni nu se pune. Oferă-i o setare care dezactivează personalizarea și respect-o în motorul de personalizare.
Introducerea datelor de intenție third-party fără verificarea provenienței
Datele de intenție third-party sunt adesea construite din navigarea pe mai multe site-uri. Dacă furnizorul nu poate arăta cum a fost obținut consimțământul sau alt temei legal pentru acea colectare, preiei această slăbiciune din momentul în care le folosești. Cere documentația privind proveniența datelor înainte de semnare și preferă semnalele comportamentale first-party. Analizăm compromisurile mai detaliat în ghidul nostru despre datele de intenție pentru personalizarea site-urilor B2B.
Păstrare pe termen nelimitat
Instrumentele de personalizare păstrează adesea totul în mod implicit. Verifică setarea de retenție pentru fiecare instrument din stack, nu doar pentru platforma principală de personalizare.
Checklist înainte de lansare
- Inventarul datelor finalizat, fiecare input clasificat în nivelul 1, 2 sau 3.
- Temeiul legal documentat pentru fiecare nivel, cu un LIA pentru nivelul 1.
- Analiza ePrivacy a căutării IP și a oricărui script client-side, verificată de consilierul juridic.
- Bannerul de consimțământ are o categorie care acoperă personalizarea, iar un test într-un browser curat confirmă că nimic nu este stocat înainte de consimțământ.
- DPA-uri semnate cu fiecare furnizor; locațiile de stocare și mecanismele de transfer documentate.
- Politica de confidențialitate și politica de cookie-uri au fost actualizate.
- Calea de obiecție și dezabonare funcționează și este respectată de motorul de personalizare.
- Limite de păstrare configurate în fiecare instrument.
- Cerere de test a persoanei vizate finalizată în termenele GDPR și CCPA.
- Aplicabilitatea CCPA verificată față de cele trei praguri și alte legi statale din SUA identificate, dacă ai trafic acolo.
De ce constrângerile de confidențialitate duc la o personalizare mai bună
Aceasta este partea de opinie și unele echipe nu vor fi de acord. Lucrul în limitele regulilor de confidențialitate te împinge spre personalizarea care tinde oricum să funcționeze.
Segmentele la nivel de companie ajung la fiecare vizitator, inclusiv la cei care refuză cookie-urile, așa că primul tău test nu este limitat la subsetul care a dat clic pe „Accept”. Segmentele mai puține și mai largi (de exemplu cinci-șase după industrie și mărimea companiei) sunt mai ușor de servit cu conținut bun decât zeci de microsegmente construite din tipare de navigare, iar fiecare segment primește destul trafic ca să poată fi măsurat. Iar când nu te poți baza pe date third-party, investești într-o strategie de date first-party construită pe felul în care oamenii îți folosesc efectiv site-ul, adică pe datele care reflectă interesul lor pentru tine în mod specific.
Dacă vrei un punct de pornire pentru aceste segmente, articolul nostru despre segmentele firmografice care convertesc explică cum să le alegi, iar cum funcționează identificarea vizitatorilor la nivel de companie explică ce îți poate și ce nu îți poate spune căutarea IP.
Cum începi fără să te blochezi în revizuirea juridică
Riscul realist pentru majoritatea echipelor B2B nu este o amendă. Sunt luni de discuții pentru că nimeni nu a dat departamentului juridic un design concret de analizat. Dă-le unul:
- O diagramă de o pagină a fluxului de date, care arată căutarea IP, ce informații se returnează și ce se stochează.
- Tabelul de niveluri de mai sus, completat pentru stackul tău.
- O schiță de LIA și o secțiune pentru politica de confidențialitate.
- Rezultatele testului de consimțământ într-un browser curat.
Apoi lansează nivelul 1 pe câteva pagini cu trafic mare, măsoară timp de 30 de zile și adaugă nivelul 2 după ce consimțământul funcționează și cifrele îl justifică.
Markettailor se potrivește acestei ordini a operațiunilor: segmentarea firmografică lucrează cu date la nivel de companie, așa că poți începe cu regulile de nivel 1 în timp ce se finalizează partea de consimțământ. Dacă vrei să compari planurile înainte de a vorbi cu departamentul juridic, vezi prețurile Markettailor.