B2B 网站个性化与数据隐私：如何保持合规

大多数 B2B 个性化项目在第二周都会碰到同一堵墙。市场部已经准备好了细分和标题变体，这时法务部有人问访客识别部分在 GDPR 下如何运作，却没人能拿出书面答复。项目只能搁置。

本文就是我们希望有人写下来的答案。它介绍了 B2B 网站个性化在三套规则下的数据隐私问题——这三套规则引发了大部分疑问（GDPR、欧盟关于 Cookie 和设备访问的 ePrivacy 规则，以及加州的 CCPA/CPRA）——每套规则实际要求什么，以及一份可以交给法务团队的上线清单。本文不构成法律建议。目的是让市场和法务更快地进入同一场对话，并附上原始资料链接，方便您的法律顾问核查。

为什么 B2B 个性化的隐私特点不同

大多数隐私指南是为消费者场景编写的：跨购物网站的广告跟踪、出售给第三方的行为画像。B2B 网站个性化通常看起来不一样：

• 主要输入是公司级数据（行业、规模、所在地、使用的技术），通常根据访客的 IP 地址推断。
• 产出很温和：制造业访客看到的是制造业案例研究，而不是金融科技案例。
• 许多访客来自您已在销售或正在瞄准的公司，因此向他们展示相关内容有合理的业务理由。

但这并不意味着 B2B 个性化可以不受隐私法约束。每个 IP 地址背后仍然是一个人，法律保护的是这个人，而不是公司。变化的是风险水平，以及哪种法律依据切实可行。把这种分类做对，就完成了大部分工作。

GDPR：IP 地址问题

法务首先会问的问题是：IP 地址是否属于个人数据。诚实的回答是“通常是，取决于谁持有它”。在 Breyer 案（Case C-582/14）中，欧盟法院认定，如果网站运营者拥有借助互联网服务提供商所持附加信息识别访问者的合法途径，动态 IP 地址对该运营者而言就属于个人数据。该案是依据旧的《数据保护指令》判决的，但 GDPR 在第4条第(1)款中对个人数据的定义明确将“在线标识符”列为可使个人被识别的信息，因此同样的推理依然适用。

我们的看法：按您处理的每个 IP 地址都属于个人数据来做规划。持相反观点给您省不了多少事，反而会让您的文档在监管机构看来有回避之嫌。

选择法律依据

GDPR 第6条列出了六种法律依据，其中两种与网站个性化相关：

这里有两个细节值得注意。第一，Breyer 案的新闻稿还提到法院的观点：网站运营者处理访问者数据可以具有正当利益，前提是要与访问者的权利进行权衡。这正是您的 LIA 需要展示的权衡过程。第二，如果个性化属于直接营销的一部分，第21条第(2)款和第(3)款赋予访问者绝对的反对权：一旦对方提出反对，您就必须停止。请在上线前就做好退出机制，而不是等到第一次投诉之后。

GDPR 违规的代价

根据第83条第5款，违反处理原则、第6条合法依据规定、第7条同意条件以及第12至22条数据主体权利的行为，可被处以最高2,000万欧元或全球年营业额4%的罚款，以较高者为准。这些是上限，而非典型罚款金额。对中型 B2B 团队而言，更现实的代价是监管机构的调查，迫使您暂停个性化，同时补交本应早已准备好的文件。

ePrivacy：“无 Cookie”常被误解的地方

ePrivacy 指令（2002/58/EC，第5条第(3)款）是 Cookie 横幅背后的规则。它要求在用户设备上存储信息或访问其中的信息之前获得同意，除非这种存储或访问对于用户所请求的服务是严格必要的。它与 GDPR 同时适用，并且不论这些信息是否属于个人数据。

在英国，对应的规定在 PECR 中。ICO 的指南明确指出，同意必须主动且明确地给出，仅仅是有帮助或提供便利的 Cookie 同样需要同意。个性化 Cookie 就属于这一类。

这是很多供应商博客略过的部分。不少个性化营销宣传说“服务器端、无 Cookie，所以不需要同意”。这太简单化了。EDPB 的 Guidelines 2/2023 on the technical scope of Article 5(3)（2024年10月最终版）指出，仅基于 IP 地址的追踪也可能属于第5(3)条的范围，而且除非您能确保 IP 地址并非来自用户设备，否则就必须视为受该条款约束。该指南还指出，当客户端代码指示浏览器向您发送标识符时，第5(3)条同样适用。

实际意味着：

• 一次性的服务器端 IP 查询，仅用于为当前页面浏览选择标题，是风险最低的模式。有些律师仍会希望它有同意作为依据，或根据 EDPB 指南做出明确的豁免分析，所以请咨询您的律师。
• 利用 IP 地址在多个页面或会话之间追踪访客属于跟踪行为，EDPB 认为这需要与 Cookie 一样进行同意分析。
• 任何在浏览器中读取或设置标识符（Cookie、本地存储、指纹识别信号）的 JavaScript 代码片段，除非绝对必要，否则都需要在运行前获得同意。

关于时间的一点说明：原本计划取代该指令的 ePrivacy Regulation 已经作罢。欧盟委员会在其2025年工作计划中宣布撤回该提案，现行指令及各国实施法律继续有效。不要等新的欧盟 Cookie 规则出台才去妥善设置同意机制。

CCPA/CPRA：它到底适不适用于您？

加州法律仅适用于在加州开展业务且至少满足一项门槛的营利性企业。根据加州隐私保护局，这些门槛是：

1. 年总收入达到2,662.5万美元或以上（自2025年1月1日起调整后的金额）。
2. 购买、出售或共享10万名及以上加州居民或家庭的个人信息。
3. 年收入的50%或以上来自出售或共享加州居民的个人信息。

对 B2B 团队来说，重要的历史背景是：针对企业联系人数据和员工数据的临时豁免已于 2023 年 1 月 1 日到期。在加州用工作电脑浏览您网站的买家，在法律上就是消费者。

如果您在适用范围内，与个性化相关的义务包括：

• 在隐私政策中披露您会收集基于 IP 推断的数据用于个性化，以及使用的数据类别。
• 如果数据补全或广告合作方接收访客数据的方式构成“出售”或“共享”（共享包括跨情境行为广告），请提供“请勿出售或共享我的个人信息”链接，并尊重用户的退出选择。
• 根据 CPPA 常见问题，须在45个自然日内答复知情、删除或更正请求，如通知当事人，可再延长45天。

根据 CPPA 公告，罚款已于2025年1月1日按通胀上调：每次违规的行政罚款最高2,663美元，每次故意违规最高7,988美元。美国其他州也有各自的综合性隐私法，门槛各不相同，所以如果您有来自这些州的可观流量，请分别梳理，而不要假定加州的分析就能覆盖。

一个可行的框架：三个数据层级

要让这件事变得可控，最简单的方法是在搭建任何东西之前，先对个性化用到的每个输入进行分类。

我们的观点：从第一层级起步。向一家物流公司展示您的物流客户案例，并不需要知道阅读者本人的任何信息。大多数显而易见的个性化成果（行业标题、相关证明、按公司规模突出价格重点）都在第一层级。第二和第三层级能增加价值，但也带来对同意的依赖和更多文书工作，因此请在第一层级得到衡量并稳定之后再加入。

分步骤：合规上线

1. 围绕用户同意拆分体验

常见的错误是在访客点击“接受”之前屏蔽所有个性化。更好的设计是：

1. 获得同意之前：仅使用基于服务器端查询的第1层级个性化，不在设备上存储任何标识符，不使用行为历史。
2. 在用户同意个性化 Cookie 之后：开始记录回访和互动情况，并将其用于第2层级规则。
3. 表单提交之后：在隐私声明和法律依据允许的范围内，将客户与 CRM 数据（第3级）关联。

用最朴素的方法测试：在一个干净的浏览器配置文件中打开网站，全部拒绝，然后查看开发者工具中的 Application 标签页。不应出现任何个性化 Cookie 或本地存储键。然后选择接受，再检查一次。

2. 让同意类别与实际情况相符

访客同意“分析”并不等于同意“个性化”。如果您的同意管理工具有细分类别，请添加一个个性化类别（或将个性化放在能准确描述它的现有“功能”或“营销”类别下），并确保个性化脚本专门监听该类别。

3. 审核数据流中的每个供应商

对于每个接触访客数据的供应商（IP 数据补全、分析、CDP、CRM、同意管理工具），记录以下内容：

• 它们从您的网站接收哪些数据，又回传哪些数据。
• 他们在哪里存储和处理数据，以及向欧洲经济区以外传输数据时采用哪种传输机制。
• 他们是否将您的访客数据用于自己的产品。如果是，他们可能是以数据控制者而非数据处理者的身份行事，这会影响您的合同和隐私声明。
• 是否已签署数据处理协议，以及存档在哪里。

合同只管一半；另一半在于每家供应商实际如何保护数据。如果您的团队内部没有安全专业人员，可以借助外部的网络安全服务，在签约前审查供应商的访问控制和存储方式。

这类审计通常能发现的问题示例（示意）：某个分析工具的条款允许其使用客户数据构建自己的受众产品。这不是数据处理者关系，您要么重新谈判，要么妥善披露，要么换成一个保持处理者角色的工具，例如只按您的指示处理数据的个性化分析配置。

4. 撰写三份文档

• 隐私政策章节。说明您收集什么（由 IP 推断的公司数据、经同意收集的行为数据）、为什么收集（展示相关内容）、法律依据、保留期限、供应商以及如何提出反对。
• 合法利益评估。目的测试（向企业访客展示相关内容）、必要性测试（为什么公司级数据就足够、不需要更多数据）、平衡测试（无敏感数据、公司级输出、便于提出反对、保留期短）。
• Cookie 政策。个性化系统设置的每个 Cookie 或存储键、其用途、有效期和类别。

5. 设定可执行的数据保留期限

GDPR 第5(1)(e)条规定的存储限制原则，要求个人数据的保存时间不得超过目的所需。法律没有规定具体时长，所以请选定一个并说明理由。示例：行为数据保存90天，经数据丰富的账户数据保存12个月，以覆盖典型的 B2B 销售周期。无论选择多长，都要在工具中配置好，让删除自动执行。

6. 演练一次数据主体请求

根据第12(3)条，您必须及时、且在一个月内答复访问、删除和反对请求，必要时可再延长两个月。加州规定为45天。上线前先做一次测试请求：找一位访问过网站的同事，尝试查找、导出并删除您的技术栈中有关他的所有数据。如果您的访客识别工具无法按 IP 地址或按联系人做到这一点，那么上线前您就有一个问题需要解决。

常见的合规错误

把公司数据称为“匿名”数据

识别公司并不等于处理匿名数据。在大多数实际场景中，您用于查询的 IP 地址都属于个人数据。在文档中如实说明，依托有书面记录的法律依据，然后继续推进。

以为“服务器端”就等于“无需同意”

如上所述，EDPB 对第5条第3款的解读足够宽泛，涵盖基于 IP 的跟踪和客户端标识符收集。服务端按请求进行的企业查询是风险最低的设计，但这是一项需要与法律顾问讨论的设计选择，而不是自动豁免。

没有反对途径

如果您的合法依据是正当利益，访客就有权反对。隐私政策里一个指向没人查看的邮箱的链接不算数。请为他们提供一个可以关闭个性化的设置，并在个性化引擎中切实执行。

引入第三方意向数据却不核查来源

第三方意向数据通常建立在跨站浏览数据之上。如果供应商无法说明这些数据的收集是如何获得同意或其他法律依据的，那么您一旦使用，就继承了这一弱点。签约前索取其数据来源文档，并优先使用第一方行为信号。我们在用于 B2B 网站个性化的意向数据指南中更详细地讨论了其中的权衡。

无限期保留

个性化工具通常默认保留所有数据。请检查技术栈中每个工具的数据保留设置，而不仅仅是主要的个性化平台。

上线前检查清单

1. 已完成数据盘点，每项输入都已归类为第1、2或3级。
2. 每个层级都已记录合法依据，第一层级附有 LIA。
3. IP 查询和所有客户端脚本的 ePrivacy 分析已经法律顾问审核。
4. 同意横幅中有涵盖个性化的类别，且在干净浏览器中测试确认获得同意前不存储任何内容。
5. 已与每家供应商签署 DPA；已记录存储位置和数据传输机制。
6. 隐私政策和 Cookie 政策已更新。
7. 反对和退出路径有效，且个性化引擎会遵从。
8. 每个工具中都已配置数据保留期限。
9. 已在 GDPR 和 CCPA 规定期限内完成一次测试性数据主体请求。
10. 已对照三项门槛核查 CCPA 适用范围；如果在美国其他州有流量，也已梳理相关州法。

为什么隐私约束反而能带来更好的个性化

这部分是观点，有些团队可能不同意。在隐私规则框架内工作，会把您推向那些本来就更有效的个性化方式。

企业级细分能覆盖每一位访客，包括拒绝 Cookie 的访客，所以您的首次测试不会局限于点击了“接受”的那部分人。数量较少、范围较广的细分（例如按行业和公司规模划分的五六个细分），比基于浏览模式构建的几十个微细分更容易写出好内容，而且每个细分都能获得足够的流量用于衡量。当您无法依赖第三方数据时，就要投入建设第一方数据策略，基于人们实际如何使用您自己的网站，而这些数据正反映了他们对您的具体兴趣。

如果您想为这些细分找个起点，我们关于能带来转化的企业属性细分的文章介绍了如何挑选，公司级访客识别的工作原理则解释了 IP 查询能告诉您什么、不能告诉您什么。

起步时不被法务审核卡住

对大多数 B2B 团队而言，现实的风险不是罚款，而是因为没人给法务提供一个具体的方案来审查，导致来回拉锯好几个月。给他们一个方案：

1. 一页数据流图，展示 IP 查询过程、返回的数据以及存储的内容。
2. 上面的层级表，按您的技术栈填写完成。
3. 一份 LIA 草稿和隐私政策章节草稿。
4. 干净浏览器环境下的同意测试结果。

然后在几个高流量页面上线第1层级，衡量30天，等同意机制运转正常且数据证明值得时，再加入第2层级。

Markettailor 契合这样的操作顺序：其企业属性细分基于公司级数据运作，所以您可以在同意相关工作完成之前就从第1层级规则开始。如果您想在与法务沟通之前比较各方案，请查看 Markettailor 价格。