GDPR — не причина слабой воронки. Слабым оказывается представление о GDPR, которое передают друг другу в маркетинговых Slack-каналах: смесь услышанной где-то перестраховки, смутных воспоминаний о спектакле с cookie-баннерами и очередного поста в LinkedIn от консультанта, продающего свой курс. Разберём пять самых дорогостоящих мифов: для каждого — честное объяснение и следующий шаг, который действительно можно сделать уже в понедельник.
Примечание
Это статья о маркетинге, а не юридическая консультация. Регуляторы действительно уточняют отдельные детали; если вы сомневаетесь применительно к своей ситуации, обратитесь к своему DPO или юристу. Но мифы ниже — вовсе не пограничные случаи.
Миф 1 — «Для всего нужно согласие»
Реальность: согласие — одно из шести законных оснований по ст. 6 GDPR, а не вариант по умолчанию. Законный интерес (ст. 6(1)(f)) — самостоятельное и полноценное законное основание, прямо предусмотренное для прямого маркетинга в пункте 47 преамбулы. Идентификация посетителей B2B-сайта на уровне компании — без персонального профилирования и отслеживания отдельных пользователей сайта — обычно подпадает под законный интерес при наличии надлежащим образом оформленного теста на баланс интересов.
Что делать: перестаньте автоматически запрашивать согласие там, где оно не требуется. Документируйте тест на баланс интересов (LIA) для подходящих случаев. Оставьте экраны согласия для того, что действительно их требует, например сторонних рекламных cookie-файлов. Пользователи будут вам благодарны — как и ваша конверсия.
Миф 2 — «IP-адреса всегда под запретом»
Реальность: IP-адреса являются персональными данными, когда их можно связать с конкретным человеком. Их обработка не запрещена — для неё нужны законное основание и соразмерные меры защиты. При B2B-идентификации IP обычно сопоставляется с компанией — организацией, а не человеком; исходный IP хранится в течение короткого технического периода, а данные о поведении отдельных людей никогда не продаются и не обогащаются. Такой профиль обработки сильно отличается от сценариев рекламных технологий, на которых основан миф «IP нельзя трогать».
Что делать: ограничьте период обработки IP, прямо укажите его в уведомлении о конфиденциальности и опишите преобразование данных: IP → компания, а не IP → человек. Если вы привлекаете обработчика, зафиксируйте это в соглашении об обработке данных по ст. 28.
Миф 3 — «Только first-party — значит никаких инсайтов»
Реальность: этот миф смешивает две совершенно разные вещи. Согласие на использование cookie-файлов (ePrivacy / § 25 TDDDG в Германии) относится к тому, что вы храните на устройстве посетителя, и различает межсайтовое рекламное хранилище и функциональный first-party идентификатор на вашем домене. Определение компании, стоящей за визитом, выполняется на стороне сервера с использованием проверенных B2B-данных — это отдельная операция обработки, регулируемая только GDPR. Можно ограничиться функциональным first-party идентификатором и при этом знать, что Bosch посещала вашу страницу с тарифами.
Что делать: для начала разделите эти два вопроса у себя в голове. «Что я храню в браузере?» — вопрос ePrivacy; скорее всего, ничего сверх строго необходимого. «Какие данные о визите я обрабатываю?» — вопрос GDPR; скорее всего, идентификация на уровне компании выполняется на основании законного интереса.
Миф 4 — «GDPR запрещает B2B-трекинг»
Реальность: GDPR регулирует обработку персональных данных. Он не регулирует «трекинг» как отдельную категорию и уж точно не запрещает B2B-маркетинг — в пункте 47 преамбулы прямо указано, что прямой маркетинг может считаться законным интересом. Жёстко регулируется поведенческое отслеживание физических лиц для таргетинга рекламы. Идентификация на уровне компании без персонального профилирования — совершенно другой случай.
Что делать: точно описывайте в своих материалах, что вы делаете, а чего не делаете. «Мы идентифицируем компании, посещающие сайт. Мы не отслеживаем отдельных пользователей сайта. Мы не продаём данные». Точные формулировки защищают гораздо лучше расплывчатых.
Миф 5 — «Cookie-баннер решает всё»
Реальность: баннер — это механизм получения согласия на хранение cookie-файлов и использование аналогичных технологий. Это не универсальная индульгенция от GDPR. Если сама обработка незаконна, размещённый поверх неё баннер не сделает её законной — он лишь ухудшит интерфейс. И наоборот: корректно выстроенному процессу на основании законного интереса баннер для соблюдения закона не нужен.
Что делать: у вашего баннера только одна задача — собирать согласие на хранение данных, которое не является строго необходимым. Всё остальное должно быть отражено в уведомлении о конфиденциальности, соглашении об обработке данных и внутренней документации. Если баннер делает больше, вероятно, он делает это плохо.
Пять мифов: краткое сравнение
| Миф | Реальность | Основание |
|---|---|---|
| Для всего нужно согласие | Согласие — одно из шести оснований; законный интерес подходит для B2B-маркетинга | Ст. 6(1)(f); пункт 47 преамбулы |
| IP-адреса под запретом | Это персональные данные — нужны законное основание и соразмерные меры защиты | Ст. 4(1), ст. 6 |
| Только first-party — значит никаких инсайтов | ePrivacy регулирует хранение данных и различает функциональные first-party технологии и межсайтовую рекламу; GDPR регулирует обработку. Это разные вещи. | Директива ePrivacy; TDDDG §25 (DE) |
| GDPR запрещает B2B-трекинг | Он регулирует обработку персональных данных; прямой B2B-маркетинг признан законным интересом | Пункт 47 преамбулы |
| Баннер решает всё | Баннер собирает согласие на хранение данных. Он не делает законной несвязанную с ним обработку. | ePrivacy |
Что общего у всех пяти мифов
В каждом мифе одно конкретное правило подменяется расплывчатым ощущением. В целом сами правила допускают гораздо больше возможностей для продуманного B2B-маркетинга, чем кажется. Прочитать статью нормативного акта, на которую вы ссылаетесь, можно за десять минут — и это избавит от нескольких кварталов добровольных ограничений.
Всё это не означает, что можно действовать безрассудно. Речь о том, чтобы перестать бояться норм, которых вы не читали. Маркетинг с приоритетом GDPR существует — и во многих случаях незаметно обходит маркетинг, основанный только на согласии, по действительно важным показателям.
Эта статья содержит общую информацию для команд B2B-маркетинга и не является юридической консультацией. Уточните свою конкретную ситуацию у DPO или юриста.
Published by
lead.box Team
More articles
Посмотрите lead.box на своём собственном трафике
Начните бесплатно — без банковской карты и без обязательного звонка. Либо забронируйте 20-минутную демонстрацию.