Krátka odpoveď je áno — za troch podmienok. Spracovanie musí zostať na úrovni spoločnosti, musí byť transparentne uvedené vo vašom oznámení o ochrane osobných údajov a dotknuté osoby musia mať funkčný spôsob, ako namietať. Nižšie je uvedená podrobná odpoveď, napísaná pre ľudí, ktorí musia nástroj skutočne obhajovať v rozhovore s právnym oddelením alebo DPO.
Je firemná IP adresa skutočne osobným údajom?
Pre GDPR sa IP adresa považuje za osobný údaj, ak ju možno s primeranými krokmi vystopovať k fyzickej osobe (Breyer, C-582/14). Firemná IP adresa, ktorú možno vystopovať len k právnickej osobe, je formálne stále osobným údajom — za pripojením je predsa jednotlivec — ale identifikácia, ktorú vykonávame, sa nikdy nespája s osobou. IP adresu priradíme k organizácii, surovú IP adresu odstránime ihneď po priradení a neukladáme žiadne identifikátory na úrovni používateľa.
To je kľúčový rozdiel: osobné údaje sa spracúvajú v okamihu, keď IP adresa zasiahne server a okamžite sa zredukujú na záznam na úrovni organizácie. GDPR sa stále vzťahuje na toto krátke spracovanie, takže je potrebný právny základ — a oprávnený záujem je logickou voľbou.
Oprávnený záujem podľa čl. 6 ods. 1 písm. f)
Čl. 6 ods. 1 písm. f) umožňuje spracovanie, ak prevádzkovateľ má oprávnený záujem, ktorý neprevažuje nad právami a záujmami dotknutej osoby. Pre identifikáciu návštevníkov B2B je test vyváženia záujmov známy a vyzerá takto.
| Prvok | Posúdenie |
|---|---|
| Oprávnený záujem | Analýza predaja / marketingu na vašej vlastnej stránke — uznaná úvahami 47 a 48 ako oprávnený obchodný záujem. |
| Nevyhnutnosť | Rozpoznanie spoločnosti je najmenej invazívny prostriedok na zistenie, ktoré organizácie sú na stránke — nevytvára sa žiadny osobný profil. |
| Proporcionalita | IP adresa sa po priradení odstráni, žiadny profil naprieč stránkami, žiadna behaviorálna reklama, žiadny predaj údajov. |
| Primerané očakávanie | Návštevník z firemnej siete očakáva, že prítomnosť jeho zamestnávateľa na stránke dodávateľa je viditeľná; individuálna identifikácia sa nesľubuje ani neposkytuje. |
| Záruky | Transparentné oznámenie o ochrane osobných údajov, dostupná možnosť odhlásenia, štandardné TOMs, spracovanie v rámci EÚ, krátke doby uchovávania. |
Rovnováha sa prikláňa vo váš prospech, ak — a len ak — spracovanie zostane na úrovni spoločnosti. V okamihu, keď začnete spájať návštevy s konkrétnymi osobami bez samostatného právneho základu, analýza sa úplne zmení.
Čo ePrivacy smernica (TDDDG / § 25)?
ePrivacy (v Nemecku implementovaná ako TDDDG, predtým TTDSG § 25) reguluje prístup k informáciám uloženým na koncovom zariadení — klasický dôvod existencie bannerov s cookies. Identifikácia spoločnosti prostredníctvom priradenia IP adresy neukladá informácie na zariadení návštevníka ani ich nečíta. Žiadne cookies, žiadne localStorage, žiadne fingerprinting. Preto sa § 25 neaktivuje a pre tento konkrétny účel nie je potrebný banner so súhlasom.
Kde tímy stále potrebujú banner so súhlasom
Takmer každá skutočná stránka používa dodatočné analytické alebo reklamné pixely, ktoré majú prístup k zariadeniu (Google Analytics, LinkedIn Insight, Meta Pixel, chatové widgety s úložiskom relácií). Tie stále potrebujú dobrú platformu na správu súhlasu. Identifikácia spoločnosti jednoducho nie je jedným z nástrojov, ktoré vás dostanú do „oblasti bannerov“.
Čo musíte urobiť ako zákazník
To, že nástroj je v súlade s GDPR, je jedna polovica; druhá polovica spočíva na prevádzkovateľovi webovej stránky. S tromi akciami to máte vyriešené — žiadna z nich netrvá dlhšie ako vypitie šálky kávy.
- Aktualizujte svoje oznámenie o ochrane osobných údajov. Pridajte odsek o identifikácii návštevníkov na úrovni spoločnosti, oprávnenom záujme, kroku priradenia a možnosti odhlásenia. Hotový úryvok je k dispozícii na našej stránke GDPR.
- Uzavrite DPA. Podľa čl. 28 GDPR s nami uzavriete dohodu o spracovaní údajov — digitálne, prostredníctvom nastavení pracovného priestoru. Pozrite si našu stránku DPA pre prílohu, zhrnutie TOMs a zoznam sub-spracovateľov.
- Zverejnite funkčnú možnosť odhlásenia. Odkážte na stránku /opt-out z vášho oznámenia o ochrane osobných údajov, aby návštevníci mohli namietať. Námietku na úrovni priradenia rešpektujeme.
Možnosť odhlásenia
Námietka je právom podľa čl. 21 GDPR a funkčná možnosť odhlásenia je nielen zákonnou požiadavkou — je to to, čo robí argument pre oprávnený záujem vôbec dôveryhodným. Vždy sú otvorené dva kanály: samoobslužný formulár na /opt-out, ktorý môže použiť každý návštevník bez účtu, a e-mail na info@lead.box, ktorý spracujeme manuálne do desiatich pracovných dní.
Medzinárodný prenos
Všetky zákaznícke údaje, všetky procesy priradenia a všetky zálohy sa nachádzajú v EÚ, v dátových centrách certifikovaných podľa ISO 27001. V rámci štandardného produktu nedochádza k prenosu do tretej krajiny. Ak povolíte špecifickú integráciu, ktorá odosiela údaje mimo EÚ (vaša voľba, vaše CRM, váš cieľ webhooku), potom je tento prenos vašou zodpovednosťou; v DPA dokumentujeme, čo sa odosiela von.
Tento článok poskytuje všeobecnú orientáciu, nie právne poradenstvo. Pre záväzné posúdenie vášho konkrétneho nastavenia sa poraďte s kvalifikovaným poradcom alebo vaším DPO.
Published by
lead.box Team
Ďalšie články
Pozrite si lead.box na vlastnej návštevnosti
Začnite zadarmo — bez karty a bez obchodného hovoru. Alebo si rezervujte 20-minútovú ukážku, ak chcete komentovanú prehliadku.