B2B-webbplatspersonalisering och dataskydd: så håller du dig inom reglerna

De flesta personaliseringsprojekt inom B2B går in i samma vägg vecka två. Marknad har segmenten och rubrikvarianterna klara, sedan frågar någon från juridik hur besöksidentifieringen fungerar enligt GDPR, och ingen har ett nedskrivet svar. Projektet står still.

Det här inlägget är svaret vi själva skulle vilja ha nedskrivet. Det går igenom dataskydd vid personalisering för B2B-webbplatser enligt de tre regelverk som ger upphov till flest frågor (GDPR, EU:s ePrivacy-regler om cookies och åtkomst till enheter samt Kaliforniens CCPA/CPRA), vad vart och ett faktiskt kräver och en checklista inför lansering som du kan lämna till din juridiska avdelning. Det är inte juridisk rådgivning. Målet är att få marknad och juridik till samma samtal snabbare, med primärkällorna länkade så att era jurister kan kontrollera dem.

Varför B2B-personalisering har en annan integritetsprofil

De flesta råd om dataskydd är skrivna för konsumentscenarier: annonsspårning mellan shoppingsajter, beteendeprofiler som säljs till tredje part. Personalisering av B2B-webbplatser ser oftast annorlunda ut:

• Den viktigaste indatan är data på företagsnivå (bransch, storlek, plats, använd teknik), oftast härledd från besökarens IP-adress.
• Resultatet är diskret: en besökare från tillverkningsindustrin ser kundcase från tillverkning i stället för från fintech.
• Många besökare kommer från företag du redan säljer till eller riktar dig mot, så det finns ett rimligt affärsmässigt skäl att visa dem relevant innehåll.

Inget av detta gör B2B-personalisering undantagen från dataskyddslagstiftning. Det finns fortfarande en person bakom varje IP-adress, och lagarna skyddar den personen, inte företaget. Det som ändras är risknivån och vilken rättslig grund som är realistisk. Att få den klassificeringen rätt är det mesta av arbetet.

GDPR: frågan om IP-adresser

Den första frågan juristerna ställer är om en IP-adress räknas som en personuppgift. Det ärliga svaret är ”ofta ja, beroende på vem som innehar den”. I Breyer (mål C-582/14) slog EU-domstolen fast att en dynamisk IP-adress är en personuppgift för en webbplatsoperatör om operatören har rättsliga möjligheter att identifiera besökaren med hjälp av ytterligare uppgifter som internetleverantören innehar. Målet avgjordes enligt det gamla dataskyddsdirektivet, men GDPR:s definition av personuppgifter i artikel 4.1 nämner uttryckligen ”en online-identifierare” som något som kan göra en person identifierbar, så samma resonemang gäller.

Vår uppfattning: planera som om varje IP-adress du behandlar är en personuppgift. Att hävda något annat sparar dig väldigt lite och får din dokumentation att se undanglidande ut för en tillsynsmyndighet.

Att välja rättslig grund

Artikel 6 i GDPR listar sex rättsliga grunder. Två är relevanta för webbplatspersonalisering:

Två detaljer är viktiga här. För det första noterar pressmeddelandet om Breyer även domstolens påpekande att en webbplatsoperatör kan ha ett berättigat intresse av att behandla besökardata, förutsatt att det vägs mot besökarens rättigheter. Det är den intresseavvägning som din LIA måste visa. För det andra: om personalisering är en del av direktmarknadsföring ger artikel 21.2 och 21.3 besökaren en ovillkorlig rätt att invända. När de invänder slutar du. Bygg in möjligheten att avstå före lansering, inte efter första klagomålet.

Vad ett GDPR-misstag kan kosta

Enligt artikel 83.5 kan överträdelser av principerna för behandling, reglerna om rättslig grund i artikel 6, villkoren för samtycke i artikel 7 och de registrerades rättigheter i artiklarna 12–22 leda till böter på upp till 20 miljoner euro eller 4 % av den globala årsomsättningen, beroende på vilket belopp som är högst. Det är maxbelopp, inte typiska böter. Den mer realistiska kostnaden för ett B2B-team i mellansegmentet är en granskning från tillsynsmyndigheten som tvingar dig att pausa personaliseringen medan du tar fram dokument som du redan borde ha.

ePrivacy: där ”cookiefritt” missförstås

ePrivacy-direktivet (2002/58/EG, artikel 5.3) är regeln bakom cookiebanners. Det kräver samtycke innan information lagras i, eller hämtas från, en användares enhet, om inte lagringen eller åtkomsten är strikt nödvändig för en tjänst som användaren har bett om. Det gäller vid sidan av GDPR och bryr sig inte om huruvida informationen är personuppgifter.

I Storbritannien finns motsvarande regel i PECR. ICO:s vägledning är tydlig med att samtycke måste ges aktivt och tydligt, och att cookies som bara är hjälpsamma eller praktiska ändå kräver det. Personaliseringscookies hör till den gruppen.

Här är delen som många leverantörsbloggar hoppar över. Mycket av marknadsföringen kring personalisering säger ”serverbaserat, utan cookies, alltså behövs inget samtycke”. Det är för enkelt. EDPB:s riktlinjer 2/2023 om det tekniska tillämpningsområdet för artikel 5.3 (slutlig version oktober 2024) säger att spårning som enbart bygger på IP-adresser kan omfattas av artikel 5.3, och att om du inte kan säkerställa att en IP-adress inte kommer från användarens enhet måste du behandla den som omfattad. Samma riktlinjer säger att artikel 5.3 gäller när kod på klientsidan instruerar webbläsaren att skicka identifierare till dig.

Vad det innebär i praktiken:

• En engångs-IP-uppslagning på serversidan som används för att välja rubrik för den aktuella sidvisningen är mönstret med lägst risk. Vissa jurister vill ändå att den täcks av samtycke eller en tydlig analys av undantag enligt EDPB:s riktlinjer, så fråga din.
• Att använda IP-adressen för att följa en besökare över sidor eller sessioner är spårning, och EDPB:s uppfattning är att det kräver samma samtyckesbedömning som cookies.
• Varje JavaScript-snippet som läser eller sätter identifierare i webbläsaren (cookies, lokal lagring, fingerprinting-signaler) kräver samtycke innan det körs, om det inte är strikt nödvändigt.

En notering om tidpunkten: den planerade ePrivacy-förordningen som skulle ersätta direktivet är borta. Europeiska kommissionen meddelade i sitt arbetsprogram för 2025 att förslaget dras tillbaka, och det befintliga direktivet plus nationella genomförandelagar gäller fortsatt. Vänta inte på nya EU-regler om cookies innan du sätter upp samtycket ordentligt.

CCPA/CPRA: gäller den ens dig?

Kaliforniens lag gäller bara vinstdrivande företag som gör affärer i Kalifornien och uppfyller minst ett tröskelvärde. Enligt California Privacy Protection Agency är de:

1. Bruttoårsintäkter på 26,625 miljoner USD eller mer (beloppet som justerats från och med 1 januari 2025).
2. Köper, säljer eller delar personuppgifter om 100 000 eller fler invånare eller hushåll i Kalifornien.
3. Får 50 % eller mer av årsintäkterna från att sälja eller dela personuppgifter om invånare i Kalifornien.

För B2B-team är den viktiga historiken att det tillfälliga undantaget för kontaktuppgifter i affärssammanhang och data om anställda löpte ut den 1 januari 2023. En köpare som surfar på din webbplats från en jobbdator i Kalifornien är en konsument enligt lagen.

Om du omfattas är det följande skyldigheter som berör personalisering:

• Ange i din integritetspolicy att du samlar in IP-härledd data för personalisering och vilka kategorier av data du använder.
• Om berikningstjänster eller annonspartner tar emot besöksdata på ett sätt som räknas som ”försäljning” eller ”delning” (delning omfattar beteendebaserad annonsering över olika sammanhang), erbjud en länk med ”Do Not Sell or Share My Personal Information” och respektera avregistreringar.
• Besvara begäranden om insyn, radering eller rättelse inom 45 kalenderdagar, med möjlighet till förlängning med ytterligare 45 dagar om du meddelar personen, enligt CPPA FAQ.

Sanktionerna inflationsjusterades den 1 januari 2025: administrativa sanktionsavgifter på upp till 2 663 USD per överträdelse och 7 988 USD per avsiktlig överträdelse, enligt CPPA:s meddelande. Andra amerikanska delstater har egna heltäckande integritetslagar med andra tröskelvärden, så om du har betydande trafik från de delstaterna, kartlägg dem separat i stället för att anta att analysen för Kalifornien täcker dig.

Ett fungerande ramverk: tre datanivåer

Det enklaste sättet att göra detta hanterbart är att klassificera varje indata som din personalisering använder innan du bygger något.

Vår syn: lansera med nivå 1. Att visa ett logistikföretag ditt logistikcase kräver inte att du vet något om personen som läser. De flesta självklara personaliseringsvinster (branschrubrik, relevanta bevis, prisfokus efter företagsstorlek) finns på nivå 1. Nivå 2 och 3 tillför värde, men de tillför också beroenden av samtycke och pappersarbete, så lägg till dem när nivå 1 är mätt och stabil.

Steg för steg: lansera i enlighet med reglerna

1. Dela upp upplevelsen utifrån samtycke

Det vanliga misstaget är att blockera all personalisering tills besökaren klickar på "Godkänn". En bättre utformning:

1. Före samtycke: endast nivå 1-personalisering från en uppslagning på serversidan, utan identifierare lagrade på enheten. Ingen beteendehistorik.
2. Efter samtycke till personaliseringscookies: börja registrera återbesök och engagemang, och använd dem för regler på nivå 2.
3. Efter att ett formulär skickats in: koppla kontot till CRM-data (nivå 3) där din integritetspolicy och rättsliga grund täcker det.

Testa det på det tråkiga sättet: öppna webbplatsen i en ren webbläsarprofil, neka allt och kontrollera fliken Application i DevTools. Ingen personaliseringscookie eller nyckel i local storage ska dyka upp. Acceptera sedan och kontrollera igen.

2. Låt samtyckeskategorierna stämma med verkligheten

En besökare som godkänner ”analys” har inte gått med på ”personalisering”. Om ditt samtyckesverktyg har detaljerade kategorier, lägg till en kategori för personalisering (eller placera personaliseringen under en befintlig kategori för ”funktionella” cookies eller ”marknadsföring” som beskriver den korrekt) och se till att personaliseringsskriptet lyssnar specifikt på den kategorin.

3. Granska varje leverantör i dataflödet

För varje leverantör som hanterar besöksdata (IP-berikning, analys, CDP, CRM, samtyckesverktyg), skriv ner:

• Vilken data de tar emot från din webbplats och vad de skickar tillbaka.
• Var de lagrar och behandlar den, och vilken överföringsmekanism som täcker eventuella överföringar utanför EES.
• Om de använder din besökardata för sina egna produkter. Om de gör det kan de agera som personuppgiftsansvarig snarare än biträde, vilket påverkar dina avtal och din integritetspolicy.
• Om ett personuppgiftsbiträdesavtal är tecknat och var det förvaras.

Avtalet täcker bara halva frågan; den andra halvan är hur varje leverantör faktiskt skyddar datan. Om ditt team saknar egen säkerhetskompetens kan externa cybersäkerhetstjänster granska leverantörernas åtkomstkontroller och lagring innan du skriver på.

Exempel på vad den här granskningen brukar fånga (illustrativt): ett analysverktyg vars villkor tillåter att det använder kunddata för att bygga egna målgruppsprodukter. Det är inte ett biträdesförhållande, och du måste antingen omförhandla, informera om det på rätt sätt eller byta till ett verktyg som stannar i biträdesrollen, till exempel en uppsättning för personaliseringsanalys som bara behandlar data enligt dina instruktioner.

4. Skriv de tre dokumenten

• Avsnitt i integritetspolicyn. Vad du samlar in (företagsdata härledd från IP, beteendedata med samtycke), varför (för att visa relevant innehåll), rättslig grund, lagringstid, leverantörer och hur man invänder.
• Intresseavvägning. Ändamålstest (att visa relevant innehåll för besökare från företag), nödvändighetstest (varför data på företagsnivå räcker och du inte behöver mer), avvägningstest (inga känsliga uppgifter, resultat på företagsnivå, enkelt att invända, kort lagringstid).
• Cookiepolicy. Varje cookie eller lagringsnyckel som personaliseringssystemet sätter, dess syfte, livslängd och kategori.

5. Sätt lagringsgränser som du kan upprätthålla

GDPR:s princip om lagringsminimering i artikel 5(1)(e) innebär att personuppgifter inte får sparas längre än ändamålet kräver. Lagen anger ingen siffra, så välj en och motivera den. Exempel: beteendedata i 90 dagar, berikad kontodata i 12 månader för att täcka en typisk B2B-säljcykel. Vad du än väljer, konfigurera det i verktygen så att raderingen sker automatiskt.

6. Öva på en begäran från en registrerad

Enligt artikel 12.3 måste du besvara begäranden om tillgång, radering och invändning utan onödigt dröjsmål och inom en månad, med möjlighet till förlängning med ytterligare två månader vid behov. Kalifornien ger 45 dagar. Gör en testbegäran före lansering: välj en kollega som har besökt webbplatsen och försök hitta, exportera och radera allt din stack har om hen. Om ditt verktyg för besöksidentifiering inte kan göra det per IP-adress eller per kontakt har du ett problem att lösa innan du går live.

Vanliga misstag kring regelefterlevnad

Att kalla företagsdata ”anonym”

Att identifiera ett företag är inte samma sak som att behandla anonyma data. IP-adressen du använde för uppslagningen är en personuppgift i de flesta realistiska scenarier. Skriv det i din dokumentation, stöd dig på en dokumenterad rättslig grund och gå vidare.

Att tro att ”serverside” betyder ”utan samtycke”

Som nämnts ovan tolkar EDPB artikel 5.3 tillräckligt brett för att omfatta IP-baserad spårning och insamling av identifierare på klientsidan. Serverbaserade företagsuppslag per förfrågan är den design som medför lägst risk, men det är ett designval att diskutera med en jurist, inte ett automatiskt undantag.

Ingen väg för invändningar

Om din rättsliga grund är berättigat intresse kan besökaren invända. En länk i integritetspolicyn som leder till en inkorg som ingen bevakar räknas inte. Ge besökaren en inställning som stänger av personaliseringen och respektera den i personaliseringsmotorn.

Att mata in intentionsdata från tredje part utan att kontrollera ursprunget

Intentionsdata från tredje part byggs ofta av surfande över flera webbplatser. Om leverantören inte kan visa hur samtycke eller en annan rättslig grund inhämtades för insamlingen ärver du den svagheten i samma stund som du använder datan. Be om dokumentation av dataursprunget innan du skriver på, och föredra förstapartssignaler om beteende. Vi går igenom avvägningarna mer i detalj i vår guide till intentionsdata för personalisering av B2B-webbplatser.

Obegränsad lagringstid

Personaliseringsverktyg sparar ofta allt som standard. Kontrollera lagringsinställningen för varje verktyg i stacken, inte bara den huvudsakliga personaliseringsplattformen.

Checklista före lansering

1. Datainventering klar, varje indata klassad som nivå 1, 2 eller 3.
2. Rättslig grund dokumenterad per nivå, med en LIA för nivå 1.
3. ePrivacy-analys av IP-uppslagningen och eventuella skript på klientsidan granskad av jurist.
4. Samtyckesbannern har en kategori som omfattar personalisering, och ett test i en ren webbläsare bekräftar att inget lagras före samtycke.
5. Personuppgiftsbiträdesavtal tecknade med alla leverantörer; lagringsplatser och överföringsmekanismer dokumenterade.
6. Integritetspolicy och cookiepolicy uppdaterade.
7. Vägen för invändning och avregistrering fungerar och respekteras av personaliseringsmotorn.
8. Lagringsgränser konfigurerade i varje verktyg.
9. Testbegäran från registrerad slutförd inom tidsfristerna i GDPR och CCPA.
10. CCPA:s tillämplighet kontrollerad mot de tre tröskelvärdena, och andra amerikanska delstatslagar kartlagda om du har trafik därifrån.

Varför integritetsbegränsningar ger bättre personalisering

Det här är åsiktsdelen, och vissa team kommer inte att hålla med. Att arbeta inom dataskyddsreglerna driver dig mot den personalisering som ändå brukar fungera.

Segment på företagsnivå når varje besökare, även dem som tackar nej till cookies, så ditt första test begränsas inte till den delmängd som klickade på ”Acceptera”. Färre, bredare segment (till exempel fem eller sex efter bransch och företagsstorlek) är lättare att skriva bra innehåll för än dussintals mikrosegment byggda på surfmönster, och varje segment får tillräckligt med trafik för att kunna mätas. Och när du inte kan luta dig mot tredjepartsdata investerar du i en strategi för förstapartsdata byggd på hur folk faktiskt använder din egen webbplats, vilket är den data som speglar deras intresse för just dig.

Om du vill ha en utgångspunkt för de segmenten går vårt inlägg om firmografiska segment som konverterar igenom hur du väljer dem, och så fungerar besöksidentifiering på företagsnivå förklarar vad IP-uppslagningen kan och inte kan berätta.

Kom igång utan att fastna i juridisk granskning

Den realistiska risken för de flesta B2B-team är inte böter. Det är månader av fram och tillbaka eftersom ingen gav juristerna en konkret design att granska. Ge dem en:

1. Ett dataflödesdiagram på en sida som visar IP-uppslaget, vad som returneras och vad som lagras.
2. Nivåtabellen ovan, ifylld för din stack.
3. Ett utkast till LIA och ett avsnitt till integritetspolicyn.
4. Resultaten från samtyckestestet i en ren webbläsare.

Lansera sedan nivå 1 på några sidor med mycket trafik, mät i 30 dagar och lägg till nivå 2 när samtycket fungerar och siffrorna motiverar det.

Markettailor passar den här arbetsordningen: dess firmografiska segmentering bygger på data på företagsnivå, så du kan börja med nivå 1-regler medan samtyckesarbetet slutförs. Om du vill jämföra planer innan du pratar med juridik, se Markettailors priser.