Jak identifikace firem funguje
Každá návštěva přichází z nějaké IP adresy. Některé rozsahy adres jsou registrované na organizaci, která je používá: centrálu banky, univerzitu, softwarovou firmu s vlastní sítí. Když zjistíte, komu rozsah patří, víte, z jaké organizace návštěva přišla, aniž byste věděli, kdo seděl u klávesnice. Tomu se říká reverzní vyhledání IP adresy (reverse IP lookup).
Většina adres takhle nefunguje. Lidé doma, v mobilních sítích, za VPN nebo na cloudových desktopech sdílejí rozsahy s tisíci dalších a registrovaným držitelem je poskytovatel. Pečlivý systém takové rozsahy rozpozná a firmu z nich neurčí, takže se podaří identifikovat jen část návštěv. Dodavatelé podle vlastních údajů uvádějí shodu na úrovni firmy zhruba u 30 až 65 % firemní návštěvnosti v USA.
Druhým zdrojem jsou vlastní data (first-party). Když se několik lidí z jedné firmy zaregistruje nebo vyplní formulář s pracovní adresou ze stejné sítě, lze tuto síť při dalších návštěvách spojit s danou firmou.
Odkud Demander bere důkazy
| Zdroj | Jak funguje | Omezení |
|---|---|---|
| Identifikace samotným návštěvníkem | Formulář nebo registrace s pracovním e-mailem určí firmu podle domény | Domény bezplatných a jednorázových e-mailů firmu nikdy neurčí |
| Naučené prefixy | Síťové prefixy (/24 u IPv4, /48 u IPv6), ze kterých se lidé identifikovali firemním e-mailem | Důvěryhodné po dvou různých kontaktech ze stejné firmy, vedené zvlášť pro každý pracovní prostor, smazané po 180 dnech bez nového důkazu |
| Záznamy v registru | Záznam regionálního internetového registru (RDAP) o tom, kdo rozsah drží | Poskytovatelé internetu, mobilní operátoři, VPN a hostingové rozsahy se odfiltrují |
| Reverzní DNS | Název hostitele, který pro adresu nastavil vlastník sítě | Slabý důkaz, používá se s nízkou jistotou |
| Volitelní dodavatelé | IPinfo, Dealfront nebo Snitcher dostanou adresu a vrátí firmu | Jen pokud některého z nich připojíte |
Co jsou osobní údaje
Osobním údajem je IP adresa. V rozsudku Breyer (C-582/14) Soudní dvůr EU rozhodl, že dynamická IP adresa je osobním údajem pro toho, kdo má právní prostředky k identifikaci člověka, který za ní stojí, a kdo provozuje měřicí skript, vidí adresy v plné podobě. Osobními údaji jsou také identifikátory cookies, identifikátory zařízení a click ID z reklam.
Údaje o firmě jako takové pod GDPR nespadají, protože GDPR chrání fyzické osoby. Zpět pod něj je vracejí tři situace. Živnostník je fyzická osoba, i když podniká. U velmi malé firmy může být návštěva v praxi identifikovatelná. A jakmile návštěvu firmy spojíte se záznamem konkrétního kontaktu, výsledek se týká tohoto kontaktu.
Proto by identifikace měla končit u firmy. Deanonymizace na úrovni osob, tedy přiřazení návštěvy ke konkrétnímu člověku pomocí dat třetích stran, nemá u návštěvníků z EU použitelný právní základ: nesplňuje pravidla transparentnosti a vyžadovala by souhlas, který nikdo nedal.
Souhlas, nebo oprávněný zájem
Na měřicí skript se v EU vztahují dvě pravidla. Čl. 5 odst. 3 směrnice ePrivacy vyžaduje souhlas s ukládáním informací do zařízení návštěvníka nebo s jejich čtením, pokud to není nezbytně nutné. Pokyny EDPB 2/2023, platné ve finálním znění od října 2024, ho vykládají tak široce, že pokrývá i skripty, které přimějí prohlížeč odeslat data pro identifikaci, s cookies i bez nich. GDPR pak vyžaduje právní základ pro zpracování IP adresy.
| Přístup | Co znamená | Kompromis |
|---|---|---|
| Identifikace po udělení souhlasu | Firmy se identifikují jen u návštěvníků, kteří ve vaší cookie liště přijali marketingové měření | Nejbezpečnější výklad pokynů; návštěvníci, kteří souhlas odmítnou, zůstanou anonymní |
| Oprávněný zájem s posouzením | Každá návštěva se identifikuje na úrovni firmy na základě zdokumentovaného balančního testu, uvedeného ve vašich informacích o zpracování osobních údajů | Základ, o který se opírá většina nástrojů pro identifikaci; zůstává určité riziko podle ePrivacy, které dozorový úřad nemusí přijmout |
V obou případech platí: jen úroveň firmy, plné IP adresy se zahazují, rozsahy poskytovatelů se filtrují, postup je popsaný ve vašich informacích o zpracování osobních údajů a s každým zapojeným dodavatelem máte smlouvu o zpracování osobních údajů. Reklamní pixely jsou samostatná věc a spouštějí se až po souhlasu.
Režimy souhlasu v měřicím skriptu Demanderu
Měřicí kód má tři režimy. Vaše cookie lišta zavolá demander.consent(), jakmile se návštěvník rozhodne.
| Režim | Před souhlasem | Po souhlasu |
|---|---|---|
| strict (přísný, výchozí v EU) | Do zařízení se nic neukládá; server návštěvu započítá pomocí klíče bez cookies, který se denně mění | Trvalý first-party identifikátor |
| balanced (vyvážený) | Identifikátor návštěvy v sessionStorage | Trvalý identifikátor |
| off (vypnuto) | Trvalý identifikátor hned od začátku, pro weby, kde se souhlas získává jinde nebo není potřeba | Totéž |
Marketingový souhlas je oddělený od souhlasu s analytikou. Click ID z reklam, propojení návštěv s konkrétním člověkem a zachycení e-mailu zadaného do formuláře vyžadují marketingový souhlas. Odvoláním souhlasu se smaže, co měřicí skript uložil.
Jak Demander s identifikací zachází
Identifikace firem běží jen tam, kde pro danou návštěvu existuje právní základ: pracovní prostor má zaznamenané hotové posouzení oprávněného zájmu, nebo návštěvník dal marketingový souhlas. Zůstává na úrovni firmy. Návštěva se s konkrétním člověkem propojí, jen když se dotyčný sám identifikuje přes formulář, registraci nebo odpověď, nikdy odvozením.
Plné IP adresy se nikdy neukládají. Demander uchovává osolený hash, který se denně mění, a zkrácený prefix (/24 nebo /48), který potřebuje jako klíč. Rozsahy poskytovatelů internetu, mobilních operátorů, VPN a datových center se odfiltrují dřív, než se určí jakákoli firma.
Global Privacy Control a Do Not Track
Global Privacy Control (GPC) je signál prohlížeče, který webům sděluje, že člověk nechce, aby se jeho data prodávala nebo sdílela. Některé zákony amerických států, mimo jiné kalifornský, vyžadují, aby ho weby braly jako opt-out. V EU zatím pevně daný právní význam nemá, ale ignorovat výslovný signál se s balančním testem oprávněného zájmu jen těžko slučuje.
Demander bere GPC i Do Not Track jako chybějící marketingový souhlas, ať cookie lišta říká cokoli: žádné click ID, žádné propojení návštěv s konkrétním člověkem a žádné zachycení e-mailů z formulářů. GPC navíc pro danou návštěvu zastaví identifikaci firmy a kontakt, který na propojené návštěvě poslal GPC, se nikdy nepoužije jako základ pro lookalike publika. Samotný Do Not Track identifikaci na úrovni firmy při hotovém posouzení oprávněného zájmu nezastaví.
Co jak dlouho uchovávat
-
01
IP adresy
Neuchovávejte je. Zkraťte je nebo zahashujte už při sběru; Demander celou adresu nikdy neukládá.
-
02
Naučené rozsahy firem
Mažou se po 180 dnech bez nového důkazu a za důvěryhodné se považují, až když se ze stejné firmy identifikují dva různí lidé.
-
03
Data o návštěvách
Uchovávejte je jen tak dlouho, jak to vyžaduje účel uvedený ve vašich informacích o zpracování, a tuto dobu uveďte. V Demanderu zůstávají, dokud je nesmažete, nebo dokud nesmažete celý pracovní prostor. Automaticky nevyprší, takže dodržet uvedenou dobu je na vás.
-
04
Zálohy
Smazaná data zmizí ze záloh Demanderu v rámci doby uchovávání záloh, která je ve výchozím nastavení 14 dní.
-
05
Záznamy o souhlasu
Uchovávejte čas, zdroj a znění každého souhlasu tak dlouho, dokud se o něj opíráte.
Kontrolní seznam, než identifikaci zapnete
-
Zvolte právní základ
Souhlas, nebo oprávněný zájem s písemným posouzením, které váš zájem poměří se zájmy návštěvníka. Nechte ho zkontrolovat právníkem pro trhy, na kterých působíte.
-
Aktualizujte informace o zpracování
Uveďte identifikaci firem, zdroje a dodavatele, které používá, dobu uchovávání a právo vznést námitku.
-
Vyberte režim souhlasu
Režim strict před souhlasem nic neukládá a pro weby v EU je výchozí. Propojte cookie lištu s měřicím kódem, aby se volby návštěvníků skutečně projevily.
-
Podepište smlouvy
Smlouvu o zpracování osobních údajů s Demanderem a s každým dodavatelem identifikace, kterého připojíte.
-
Respektujte signály
Měřicí skript GPC a Do Not Track respektuje sám. Nepřebíjejte je v jiných nástrojích a nesnažte se identifikovat jednotlivce.
Časté otázky
Je identifikace firem v EU legální?
Může být, pokud probíhá na úrovni firmy, s právním základem a srozumitelnými informacemi pro návštěvníky. Otevřenou otázkou zůstává ePrivacy: identifikovat jen návštěvníky, kteří dali souhlas, je nejbezpečnější výklad, a oprávněný zájem se zdokumentovaným posouzením je obhajitelný s určitým zbytkovým rizikem. Zeptejte se svého právníka, která varianta je pro vás přijatelná.
Identifikuje Demander jednotlivé návštěvníky?
Odvozením nikdy. Návštěva se s konkrétním člověkem propojí, jen když se dotyčný sám identifikuje, například formulářem nebo registrací, a měřicí skript propojuje návštěvy s člověkem jen s marketingovým souhlasem.
Potřebuji v režimu strict i tak cookie lištu?
Režim strict před souhlasem do zařízení nic neukládá, ale lištu potřebujete, abyste získali trvalé identifikátory, click ID a, pokud je vaším právním základem souhlas, i identifikaci firem. Denní klíč bez cookies přesto zpracovává IP adresu a user agent, takže potřebuje oprávněný zájem, a některé úřady mohou mít za to, že spadá i pod ePrivacy. Pro své trhy si to ověřte s právníkem.
A co návštěvníci z USA?
Identifikace na úrovni firmy je podle amerického práva málo riziková. Zákony jednotlivých států o ochraně soukromí dávají lidem právo na opt-out, které vyjadřuje právě GPC, takže ho respektujte. Identifikace návštěvníků z USA na úrovni osob s sebou nese riziko žalob podle zákonů o odposlechu (wiretap) a Demander ji nedělá.