Consent Mode v2 a GDPR: co smí e-shop odesílat

Consent Mode v2 je způsob Googlu, jak může web sdělit svým značkám Google, zda návštěvník souhlasil s cookies a s použitím svých dat pro reklamu. Používá čtyři signály: ad_storage, analytics_storage, ad_user_data a ad_personalization. Souhlas sám o sobě nevyžaduje. Ptá se vaše cookie lišta a Consent Mode předává odpověď Googlu.

Tento průvodce vysvětluje čtyři signály, základní a pokročilý Consent Mode, co od e-shopu v hrubých rysech požaduje právo EU, jak do toho zapadá server-side tracking a jak ROASaurus zachází se souhlasem.

Co je Consent Mode v2?

Consent Mode je funkce Googlu pro weby a aplikace. Web nastaví pro každého návštěvníka výchozí stav souhlasu, obvykle zamítnutý, a aktualizuje ho, když návštěvník odpoví na cookie lištu. Značky Google tento stav čtou a mění své chování. Se souhlasem fungují normálně. Bez souhlasu nečtou ani nezapisují reklamní cookies a podle vašeho nastavení odesílají omezená data, nebo nic.

Verze 2 přidala dva signály, ad_user_data a ad_personalization. Google je zavedl při zpřísnění vymáhání své zásady o souhlasu uživatelů z EU. U návštěvníků z Evropského hospodářského prostoru (EHP) musí inzerenti, kteří chtějí využívat personalizaci reklam a měření, shromažďovat souhlas a sdílet signály souhlasu s Googlem. Samotná zásada se vztahuje na návštěvníky z EHP, Spojeného království a Švýcarska.

Čtyři signály souhlasu

Cookie lišta přiřazuje své vlastní kategorie k těmto signálům. Běžné přiřazení je: kategorie marketing nebo reklama nastavuje ad_storage, ad_user_data a ad_personalization a kategorie analytika nebo statistika nastavuje analytics_storage. Ověřte si, jak to dělá váš nástroj pro správu souhlasů, protože jediná chyba v přiřazení pošle špatnou odpověď každé značce Google na vašem webu.

Základní a pokročilý Consent Mode

Google nabízí dva způsoby implementace Consent Mode. Rozdíl je v tom, co se děje před souhlasem a bez něj.

Technicky Consent Mode funguje se dvěma příkazy. Příkaz default nastaví stav souhlasu dřív, než jakákoli značka Google odešle data. Příkaz update ho změní, když návštěvník odpoví na lištu.

// On every page, before any Google tag sends data:
gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied'
});

// When the visitor accepts marketing and analytics cookies:
gtag('consent', 'update', {
  ad_storage: 'granted',
  ad_user_data: 'granted',
  ad_personalization: 'granted',
  analytics_storage: 'granted'
});

Platformy pro správu souhlasů (CMP) tyto příkazy obvykle odesílají za vás. Ověřte, že to dělají a že příkaz update odesílají na každé stránce poté, co návštěvník odpověděl, nejen na stránce, kde se lišta zobrazila.

Co od e-shopu požaduje právo EU

Pro tracking reklam jsou nejdůležitější dva právní předpisy EU a Google k nim přidává vlastní zásadu. Toto je shrnutí v hrubých rysech.

Pravidla ePrivacy pro cookies

Směrnice ePrivacy se týká ukládání informací do zařízení návštěvníka, například cookies, a jejich zpětného čtení. Cookies, které jsou nezbytně nutné pro službu, o kterou návštěvník požádal, například nákupní košík nebo přihlášení, souhlas nevyžadují. Trackovací cookies pro reklamu ano. Podle pokynů EU pro podniky souhlas přichází jako první: takové cookies nelze nastavit při prvním otevření stránky. Souhlas by se měl udělovat pro každý účel zvlášť a jeho odvolání musí být stejně snadné jako udělení.

GDPR a osobní údaje

GDPR se vztahuje na každé použití osobních údajů, například e-mailové adresy, telefonního čísla nebo údajů o objednávce. Každé použití potřebuje jeden ze šesti právních základů, například souhlas, smlouvu nebo oprávněný zájem. Smíte zpracovávat jen údaje, které pro daný účel potřebujete. Služba, která osobní údaje zpracovává za vás, například nástroj pro tracking, potřebuje s vámi písemnou smlouvu.

Zásada Googlu o souhlasu uživatelů z EU

Pokud používáte reklamní produkty Googlu, tato zásada přidává smluvní povinnost. U návštěvníků z EHP, Spojeného království a Švýcarska musíte získat platný souhlas s cookies tam, kde to vyžaduje zákon, a s použitím osobních údajů k personalizaci reklam. Musíte uchovávat záznamy o souhlasu, vysvětlit, jak ho odvolat, a jasně uvést každou stranu, která data přijímá.

Potřebuje server-side tracking souhlas?

Server-side tracking mění, odkud se událost odesílá: z vašeho serveru místo z prohlížeče návštěvníka. Nemění, co smíte odesílat. Ukazují to dva body.

Zaprvé, většina server-side nastavení stále začíná v prohlížeči. Skript přečte ID kliknutí z URL vstupní stránky a uloží ho do zařízení, takže se na tento krok vztahují pravidla ePrivacy. Zadruhé, odeslání nákupu s hashovaným e-mailem, IP adresou nebo ID kliknutí reklamní platformě je zpracování osobních údajů. Potřebuje právní základ podle GDPR, ať data putují jakoukoli cestou. Technickou stránku vysvětluje náš průvodce co je server-side tracking.

Minimalizace dat a hashování

Odesílejte to, co platforma potřebuje ke spárování a započtení konverze, ne celou objednávku. Reklamní platformy požadují, aby se osobní pole, například e-mail a telefon, před odesláním normalizovala a hashovala pomocí SHA-256. Hashování chrání původní hodnotu na cestě k platformě, ale není to anonymizace: platforma porovnává hash s vlastními uživatelskými daty a hledá shodu. S hashovanými daty zacházejte jako s osobními údaji.

Co e-shop odesílá se souhlasem a bez souhlasu

Jako příklad toho, kde jeden nástroj vede hranici, uvádíme, co ROASaurus dělá na Shopify se zapnutou volbou Respect visitor consent, což je výchozí nastavení.

Zda smí být odeslána zaplacená objednávka návštěvníka, který odmítl, je právní otázka a odpověď se může lišit podle obchodu i země. ROASaurus ji ve výchozím nastavení odesílá. Pokud vám právní poradenství říká, že i události nákupu vyžadují předchozí souhlas, kontaktujte ROASaurus dřív, než zapnete odesílání nákupů ze serveru. Podrobnosti pro Shopify a další e-shopy najdete v části souhlas a soukromí.

Jak ROASaurus zachází se souhlasem a signály Consent Mode

ROASaurus nenastavuje signály Google Consent Mode pro vaše značky Google. Podle vašeho e-shopu čte volbu návštěvníka z jiného zdroje:

• Na Shopify: skript obchodu a pixely v pokladně čtou Customer Privacy API od Shopify, které vyplňuje vaše cookie lišta. Pixel v pokladně se řídí i volbou, kterou nakupující změní během nákupu. Průvodce server-side tracking na Shopify ukazuje, jak to funguje krok za krokem.
• Na ostatních e-shopech skript ROASaurus čte OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, lišty IAB TCF, příkazy consent z Google Consent Mode a WP Consent API. U Google Consent Mode znamená marketingový souhlas, že jsou udělené ad_storage a ad_user_data, a pro každý nástroj můžete namapovat i další kategorie. U jiné lišty zavolejte tlq('consent', true) nebo tlq('consent', false), když se návštěvník rozhodne.
• Konverze Google Ads se odesílají jen z pokladny Shopify. ROASaurus tam načítá značku Google jen u nakupujících, kteří povolí marketingové cookies, ale neodesílá s ní signály Consent Mode.
• Ze serveru ROASaurus předává volbu dál ve vlastních polích souhlasu Googlu: události Google Analytics 4 nesou ad_user_data a ad_personalization, udělené u návštěvníků, kteří souhlasili, a zamítnuté u objednávek odeslaných jako anonymní prodeje, a nahrávání leadů do Google Ads nese souhlas ad_user_data.

Vaše vlastní značky Google stále potřebují Consent Mode. Pokud na svém webu provozujete značky Google Ads nebo Google Analytics, vaše lišta nebo nástroj pro správu souhlasů jim musí signály odesílat. Pokud inzerujete návštěvníkům z EHP, ověřte si u poskytovatele nástroje pro správu souhlasů nebo u vývojáře, zda celé vaše nastavení, včetně konverzí Google Ads z pokladny, splňuje požadavky Googlu pro váš účet.

Kontrolní seznam pro souhlas v e-shopech

1. Nainstalujte cookie lištu

   Musí blokovat marketingové cookies a tam, kde to vyžaduje zákon, i analytické cookies, dokud návštěvník nesouhlasí. Na Shopify použijte lištu, která zapisuje do Customer Privacy API.

2. Propojte lištu s Consent Mode

   Nastavte všechny čtyři signály ve výchozím stavu na zamítnuto a aktualizujte je z lišty, aby se vaše značky Google řídily volbou návštěvníka.

3. Nastavte svůj nástroj pro tracking, aby respektoval souhlas

   V ROASaurus nechte zapnuté Respect visitor consent v Store settings. Na e-shopech jiných než Shopify ověřte, že ROASaurus čte váš nástroj pro správu souhlasů, nebo předávejte volbu přes tlq('consent', …).

4. Rozhodněte o nákupech odesílaných ze serveru

   Zeptejte se svého právního poradce, zda se smějí odesílat zaplacené objednávky návštěvníků, kteří odmítli, a na jakém právním základě.

5. Aktualizujte zásady ochrany osobních údajů a smlouvy

   Uveďte každou reklamní platformu, která data přijímá, vysvětlete, jak souhlas odvolat, a s každým zpracovatelem uzavřete smlouvu o zpracování osobních údajů.

6. Otestujte obě odpovědi

   Odmítněte cookies v anonymním okně prohlížeče a ve vývojářských nástrojích zkontrolujte, že se nenačte žádný reklamní pixel a nenastaví se cookie s ID návštěvníka. Poté cookies přijměte a ověřte, že se objeví obojí.

Zdroje

1. Google for Developers: Consent mode overview
2. Google Ads Help: Updates to consent mode for traffic in European Economic Area (EEA)
3. Google: EU user consent policy
4. Your Europe: Online privacy, how to use cookies on your website
5. Your Europe: Data protection under GDPR

V ROASaurus

• Nápověda: souhlas a soukromí
• Server-side tracking v ROASaurus
• Integrace Google Ads
• Integrace Shopify

Čtěte dál