Consent Mode v2 og GDPR: hvad en webshop må sende

Consent Mode v2 er Googles måde, hvorpå et website kan fortælle sine Google-tags, om en besøgende har givet samtykke til cookies og til brug af vedkommendes data til annoncer. Den bruger fire signaler: ad_storage, analytics_storage, ad_user_data og ad_personalization. Den beder ikke selv om samtykke. Det gør dit cookiebanner, og Consent Mode sender svaret videre til Google.

Denne guide forklarer de fire signaler, basic og advanced Consent Mode, hvad EU-retten overordnet kræver af en webshop, hvordan server-side tracking passer ind, og hvordan ROASaurus håndterer samtykke.

Hvad er Consent Mode v2?

Consent Mode er en Google-funktion til websites og apps. Sitet sætter en standardtilstand for samtykke for hver besøgende, som regel nægtet, og opdaterer den, når den besøgende svarer på cookiebanneret. Google-tags læser den tilstand og ændrer adfærd. Med samtykke virker de normalt. Uden samtykke læser eller skriver de ikke annoncecookies, og de sender begrænsede data eller intet, afhængigt af din opsætning.

Version 2 tilføjede to signaler, ad_user_data og ad_personalization. Google indførte dem, da det skærpede håndhævelsen af sin politik for brugersamtykke i EU. For besøgende i Det Europæiske Økonomiske Samarbejdsområde (EØS) skal annoncører, der vil bruge annoncepersonalisering og måling, indsamle samtykke og dele samtykkesignalerne med Google. Selve politikken omfatter besøgende i EØS, Storbritannien og Schweiz.

De fire samtykkesignaler

Et cookiebanner knytter sine egne kategorier til disse signaler. En almindelig kobling er: Kategorien marketing eller annoncering sætter ad_storage, ad_user_data og ad_personalization, og kategorien analyse eller statistik sætter analytics_storage. Tjek, hvordan dit samtykkeværktøj gør det, for én fejl i koblingen sender det forkerte svar til hvert Google-tag på dit site.

Basic og advanced Consent Mode

Google tilbyder to måder at implementere Consent Mode på. Forskellen er, hvad der sker før og uden samtykke.

Teknisk set virker Consent Mode med to kommandoer. Kommandoen default sætter samtykketilstanden, før noget Google-tag sender data. Kommandoen update ændrer den, når den besøgende svarer på banneret.

// On every page, before any Google tag sends data:
gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied'
});

// When the visitor accepts marketing and analytics cookies:
gtag('consent', 'update', {
  ad_storage: 'granted',
  ad_user_data: 'granted',
  ad_personalization: 'granted',
  analytics_storage: 'granted'
});

Consent management-platforme sender som regel disse kommandoer for dig. Tjek, at de gør det, og at de sender update på hver side, efter at den besøgende har svaret, ikke kun på den side, hvor banneret blev vist.

Hvad EU-retten kræver af en webshop

To EU-regler har størst betydning for annoncetracking, og Google lægger sin egen politik oven i. Dette er et overordnet resumé.

ePrivacy-reglerne om cookies

ePrivacy-direktivet dækker lagring af oplysninger på en besøgendes enhed, f.eks. cookies, og aflæsning af dem igen. Cookies, der er strengt nødvendige for en tjeneste, som den besøgende har bedt om, f.eks. indkøbskurven eller et login, kræver ikke samtykke. Trackingcookies til annoncering gør. Ifølge EU's vejledning til virksomheder kommer samtykket først: Sådanne cookies må ikke sættes, når siden først åbnes. Samtykke bør gives pr. formål, og det skal være lige så let at trække det tilbage som at give det.

GDPR og personoplysninger

GDPR gælder for al brug af personoplysninger, f.eks. en e-mailadresse, et telefonnummer eller oplysninger om en ordre. Hver brug kræver et af seks retsgrundlag, for eksempel samtykke, en kontrakt eller legitime interesser. Du må kun behandle de data, du har brug for til formålet. En tjeneste, der behandler personoplysninger for dig, f.eks. et trackingværktøj, har brug for en skriftlig aftale med dig.

Googles politik for brugersamtykke i EU

Hvis du bruger Googles annonceprodukter, tilføjer denne politik en kontraktlig forpligtelse. For besøgende i EØS, Storbritannien og Schweiz skal du indhente gyldigt samtykke til cookies, hvor loven kræver det, og til brug af personoplysninger til at personalisere annoncer. Du skal føre registre over samtykke, forklare, hvordan det trækkes tilbage, og tydeligt navngive hver part, der modtager dataene.

Kræver server-side tracking samtykke?

Server-side tracking ændrer, hvorfra et event sendes: din server i stedet for den besøgendes browser. Det ændrer ikke, hvad du må sende. To forhold viser hvorfor.

For det første starter de fleste server-side-opsætninger stadig i browseren. Et script læser klik-id'et fra landings-URL'en og gemmer det på enheden, så ePrivacy-reglerne gælder for det trin. For det andet er det behandling af personoplysninger at sende et køb med en hashet e-mail, en IP-adresse eller et klik-id til en annonceplatform. Det kræver et retsgrundlag efter GDPR, uanset hvilken vej dataene tager. Vores guide til hvad server-side tracking er forklarer den tekniske side.

Dataminimering og hashing

Send det, platformen har brug for til at matche og tælle konverteringen, ikke hele ordren. Annonceplatforme beder om, at personlige felter som e-mail og telefon normaliseres og hashes med SHA-256, før de sendes. Hashing beskytter den rå værdi på vej til platformen, men det er ikke anonymisering: Platformen sammenligner hashen med sine egne brugerdata for at finde et match. Behandl hashede data som personoplysninger.

Hvad en webshop sender med og uden samtykke

Som eksempel på, hvor ét værktøj trækker grænsen, er her, hvad ROASaurus gør på Shopify med Respect visitor consent slået til, hvilket er standard.

Om den betalte ordre fra en besøgende, der har afvist, må sendes, er et juridisk spørgsmål, og svaret kan variere fra shop til shop og fra land til land. ROASaurus sender den som standard. Hvis din juridiske rådgivning siger, at købsevents også kræver forudgående samtykke, så kontakt ROASaurus, før du slår server-side-køb til. Samtykke og privatliv har detaljerne for Shopify og andre webshops.

Sådan håndterer ROASaurus samtykke og Consent Mode-signaler

ROASaurus sætter ikke Googles Consent Mode-signaler for dine Google-tags. Den læser den besøgendes valg fra forskellige kilder afhængigt af din webshop:

• På Shopify læser storefront-scriptet og checkout-pixels Shopifys Customer Privacy API, som dit cookiebanner udfylder. Checkout-pixelen følger også et valg, som shopperen ændrer under checkout. Guiden til server-side tracking på Shopify viser trin for trin, hvordan det fungerer.
• På andre webshops læser ROASaurus-scriptet OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, IAB TCF-bannere, consent-kommandoerne i Google Consent Mode og WP Consent API. Med Google Consent Mode betyder marketingsamtykke, at ad_storage og ad_user_data er givet, og du kan koble andre kategorier pr. værktøj. Med et andet banner kalder du tlq('consent', true) eller tlq('consent', false), når den besøgende vælger.
• Google Ads-konverteringer sendes kun fra Shopify checkout. ROASaurus indlæser kun Google-tagget dér for shoppere, der tillader marketingcookies, men sender ikke Consent Mode-signaler med det.
• Fra serveren videregiver ROASaurus valget i Googles egne samtykkefelter: Events til Google Analytics 4 bærer ad_user_data og ad_personalization, givet for besøgende, der har givet samtykke, og nægtet for ordrer, der sendes som anonyme salg, og lead-uploads til Google Ads bærer samtykket ad_user_data.

Dine egne Google-tags har stadig brug for Consent Mode. Hvis du kører Google Ads- eller Google Analytics-tags på dit site, skal dit banner eller dit samtykkeværktøj sende signalerne til dem. Hvis du annoncerer til besøgende i EØS, så tjek hos din udbyder af samtykkeværktøj eller din udvikler, om hele din opsætning, herunder Google Ads-konverteringerne fra checkout, opfylder Googles krav til din konto.

En samtykketjekliste til webshops

1. Installér et cookiebanner

   Det skal blokere marketingcookies og, hvor loven kræver det, analysecookies, indtil den besøgende accepterer. På Shopify skal du bruge et banner, der skriver til Customer Privacy API.

2. Knyt banneret til Consent Mode

   Sæt de fire signaler til nægtet som standard, og opdatér dem fra banneret, så dine Google-tags følger den besøgendes valg.

3. Indstil dit trackingværktøj til at respektere samtykke

   I ROASaurus skal du holde Respect visitor consent slået til under Store settings. På andre webshops end Shopify skal du kontrollere, at ROASaurus læser dit samtykkeværktøj, eller sende valget med tlq('consent', …).

4. Tag stilling til server-side-køb

   Spørg din juridiske rådgiver, om de betalte ordrer fra besøgende, der har afvist, må sendes, og på hvilket retsgrundlag.

5. Opdatér din privatlivspolitik og dine aftaler

   Navngiv hver annonceplatform, der modtager data, forklar, hvordan samtykke trækkes tilbage, og underskriv en databehandleraftale med hver databehandler.

6. Test begge svar

   Afvis cookies i et privat browservindue, og tjek i udviklerværktøjerne, at ingen annoncepixel indlæses, og at ingen cookie med besøgs-id sættes. Accepter derefter, og tjek, at begge dukker op.

Kilder

1. Google for Developers: Consent mode overview
2. Google Ads Help: Updates to consent mode for traffic in European Economic Area (EEA)
3. Google: EU user consent policy
4. Your Europe: Online privacy, how to use cookies on your website
5. Your Europe: Data protection under GDPR

I ROASaurus

• Hjælp: samtykke og privatliv
• Server-side tracking i ROASaurus
• Google Ads-integration
• Shopify-integration

Læs videre