La respuesta breve es sí, con tres condiciones. El tratamiento debe mantenerse a nivel de empresa, debe explicarse de forma transparente en el aviso de privacidad y los interesados necesitan una forma efectiva de oponerse. A continuación encontrarás la respuesta completa, pensada para quienes realmente tienen que defender la herramienta en una reunión con el equipo jurídico o el DPO.
¿Una IP de empresa se considera siquiera un dato personal?
A efectos del RGPD, una dirección IP se considera un dato personal siempre que pueda vincularse a una persona física mediante pasos razonables (Breyer, C-582/14). Una IP de empresa que solo permite identificar a una persona jurídica sigue siendo un dato personal en sentido formal —hay alguna persona detrás de la conexión—, pero la identificación que realizamos nunca se vincula a una persona. Resolvemos la IP para asociarla a una organización, descartamos la IP sin procesar tras la resolución y no almacenamos identificadores de usuario.
Esa es la distinción fundamental: los datos personales se tratan en el momento en que la IP llega al servidor y se reducen de inmediato a un registro a nivel de organización. El RGPD sigue siendo aplicable a ese breve tratamiento, por lo que se requiere una base jurídica, y el interés legítimo es la opción natural.
Interés legítimo conforme al Art. 6(1)(f)
El Art. 6(1)(f) permite el tratamiento cuando un responsable tiene un interés legítimo que no queda invalidado por los derechos e intereses del interesado. En la identificación de visitantes B2B, la prueba de ponderación está bien asentada y se plantea de la siguiente manera.
| Elemento | Evaluación |
|---|---|
| Interés legítimo | Análisis de ventas y marketing en tu propio sitio web: los considerandos 47 y 48 lo reconocen como un interés empresarial legítimo. |
| Necesidad | La resolución a nivel de empresa es el medio menos intrusivo para saber qué organizaciones visitan el sitio web: no se crea ningún perfil personal. |
| Proporcionalidad | La IP se descarta tras la resolución; no hay perfiles entre sitios, publicidad comportamental ni venta de datos. |
| Expectativa razonable | Quien visita desde una red empresarial espera que la presencia de su empresa en el sitio web de un proveedor sea visible; la identificación individual ni se promete ni se realiza. |
| Garantías | Aviso de privacidad transparente, opción de oposición disponible, TOM estándar, tratamiento en la UE y plazos de conservación breves. |
La balanza se inclina a tu favor cuando —y solo cuando— el tratamiento se mantiene a nivel de empresa. En cuanto empiezas a vincular las visitas con personas identificadas sin una base jurídica independiente, el análisis se invierte.
¿Qué ocurre con la Directiva ePrivacy (TDDDG / § 25)?
ePrivacy —aplicada en Alemania mediante la TDDDG, anteriormente TTDSG § 25— regula el acceso a información ya almacenada en un dispositivo terminal: el motivo clásico por el que existen los banners de cookies. La identificación a nivel de empresa mediante la resolución de IP no almacena ni lee información en el dispositivo del visitante. No utiliza cookies, localStorage ni fingerprinting. Por tanto, el § 25 no se aplica y no se requiere un banner de consentimiento para esta finalidad concreta.
Cuándo siguen necesitando un banner de consentimiento los equipos
Casi todos los sitios web reales utilizan herramientas adicionales de análisis o píxeles publicitarios que sí acceden al dispositivo (Google Analytics, LinkedIn Insight, Meta Pixel y widgets de chat con almacenamiento de sesión). Estas herramientas siguen necesitando una plataforma de gestión del consentimiento adecuada. La identificación a nivel de empresa sencillamente no es una de las herramientas que obliga a utilizar un banner.
Qué tienes que hacer como cliente
Que la herramienta se ajuste al RGPD es solo una parte; la otra corresponde al operador del sitio web. Basta con tres acciones, y ninguna lleva más de lo que se tarda en tomar un café.
- Actualiza tu aviso de privacidad. Añade un párrafo sobre la identificación de visitantes a nivel de empresa, el interés legítimo, el paso de resolución y la opción de oposición. En nuestra página sobre el RGPD encontrarás un texto listo para copiar.
- Formaliza el DPA. Conforme al Art. 28 del RGPD, debes celebrar con nosotros un acuerdo de tratamiento de datos, de forma digital desde los ajustes del espacio de trabajo. Consulta nuestra página del DPA para ver el anexo, el resumen de las TOM y la lista de subencargados.
- Publica una opción de oposición que funcione. Enlaza la página /opt-out desde tu aviso de privacidad para que los visitantes puedan oponerse. Respetamos la oposición en el nivel de resolución.
La opción de oposición
La oposición es un derecho reconocido en el Art. 21 del RGPD, y disponer de una opción efectiva no solo es un requisito legal: es lo que hace creíble, ante todo, el argumento del interés legítimo. Siempre hay dos canales disponibles: un formulario de autoservicio en /opt-out que cualquier visitante puede utilizar sin una cuenta y un correo electrónico a info@lead.box, que procesamos manualmente en un plazo de diez días laborables.
Transferencias internacionales
Todos los datos de clientes, todo el tratamiento de resolución y todas las copias de seguridad se alojan en la UE, en centros de datos certificados conforme a ISO 27001. El producto estándar no implica ninguna transferencia a terceros países. Si activas una integración específica que envía datos fuera de la UE —por decisión tuya, a tu CRM o al destino de tu webhook—, esa transferencia corresponde a tu ámbito como responsable del tratamiento; en el DPA documentamos qué datos salen.
Este artículo ofrece orientación general, no asesoramiento jurídico. Para obtener una evaluación vinculante de tu configuración concreta, consulta a un asesor jurídico cualificado o a tu DPO.
Published by
lead.box Team
More articles
Vea lead.box sobre su propio tráfico
Empiece gratis, sin tarjeta ni llamada comercial obligatoria. O reserve una demo guiada de 20 minutos si prefiere un recorrido acompañado.