Consent Mode v2 ja GDPR: mitä verkkokauppa saa lähettää

Consent Mode v2 on Googlen tapa, jolla verkkosivusto kertoo Google-tageilleen, suostuiko kävijä evästeisiin ja datansa käyttöön mainontaan. Se käyttää neljää signaalia: ad_storage, analytics_storage, ad_user_data ja ad_personalization. Se ei pyydä suostumusta itse. Sen pyytää evästebannerisi, ja Consent Mode välittää vastauksen Googlelle.

Tämä opas selittää neljä signaalia, basic- ja advanced-Consent Moden, mitä EU-laki vaatii verkkokaupalta yleisellä tasolla, miten palvelinpuolen seuranta sopii kuvaan ja miten ROASaurus käsittelee suostumusta.

Mitä on Consent Mode v2?

Consent Mode on Googlen ominaisuus verkkosivuille ja sovelluksille. Sivusto asettaa jokaiselle kävijälle oletussuostumustilan, yleensä evätyn, ja päivittää sen, kun kävijä vastaa evästebanneriin. Google-tagit lukevat tämän tilan ja muuttavat toimintaansa. Suostumuksella ne toimivat normaalisti. Ilman suostumusta ne eivät lue tai kirjoita mainosevästeitä, ja ne lähettävät rajallisesti dataa tai ei mitään, asetuksistasi riippuen.

Versio 2 lisäsi kaksi signaalia, ad_user_data ja ad_personalization. Google otti ne käyttöön tiukentaessaan EU:n käyttäjien suostumuskäytäntönsä valvontaa. Euroopan talousalueen (ETA) kävijöiden osalta mainostajien, jotka haluavat käyttää mainosten personointia ja mittausta, on kerättävä suostumus ja jaettava suostumussignaalit Googlen kanssa. Itse käytäntö kattaa ETA:n, Yhdistyneen kuningaskunnan ja Sveitsin kävijät.

Neljä suostumussignaalia

Evästebanneri yhdistää omat kategoriansa näihin signaaleihin. Yleinen yhdistäminen on tämä: markkinointi- tai mainontakategoria asettaa ad_storage, ad_user_data ja ad_personalization, ja analytiikka- tai tilastokategoria asettaa analytics_storage. Tarkista, miten suostumustyökalusi tekee tämän, koska yksi yhdistämisvirhe lähettää väärän vastauksen jokaiselle sivustosi Google-tagille.

Consent Mode: basic- ja advanced-tila

Google tarjoaa kaksi tapaa toteuttaa Consent Mode. Ero on siinä, mitä tapahtuu ennen suostumusta ja ilman sitä.

Teknisesti Consent Mode toimii kahdella komennolla. Default-komento asettaa suostumustilan ennen kuin mikään Google-tagi lähettää dataa. Update-komento muuttaa sen, kun kävijä vastaa bannerille.

// On every page, before any Google tag sends data:
gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied'
});

// When the visitor accepts marketing and analytics cookies:
gtag('consent', 'update', {
  ad_storage: 'granted',
  ad_user_data: 'granted',
  ad_personalization: 'granted',
  analytics_storage: 'granted'
});

Suostumustenhallintatyökalut lähettävät nämä komennot yleensä puolestasi. Tarkista, että ne tekevät niin ja että ne lähettävät updaten jokaisella sivulla sen jälkeen, kun kävijä on vastannut, ei vain sivulla, jolla banneri näytettiin.

Mitä EU-laki vaatii verkkokaupalta

Kaksi EU:n lakia on tärkeintä mainosseurannan kannalta, ja Google lisää päälle oman käytäntönsä. Tämä on yleistason yhteenveto.

ePrivacy-säännöt evästeistä

ePrivacy-direktiivi koskee tietojen tallentamista kävijän laitteelle, kuten evästeitä, ja niiden lukemista takaisin. Evästeet, jotka ovat ehdottoman välttämättömiä kävijän pyytämälle palvelulle, kuten ostoskori tai kirjautuminen, eivät tarvitse suostumusta. Mainonnan seurantaevästeet tarvitsevat. EU:n yrityksille antaman ohjeistuksen mukaan suostumus tulee ensin: tällaisia evästeitä ei voi asettaa, kun sivu avautuu ensimmäisen kerran. Suostumus tulisi antaa käyttötarkoituksittain, ja sen peruuttamisen on oltava yhtä helppoa kuin sen antamisen.

GDPR ja henkilötiedot

GDPR koskee jokaista henkilötietojen käyttöä, kuten sähköpostiosoitetta, puhelinnumeroa tai tilauksen tietoja. Jokainen käyttö tarvitsee yhden kuudesta oikeusperusteesta, esimerkiksi suostumuksen, sopimuksen tai oikeutetun edun. Voit käsitellä vain tietoja, joita tarvitset käyttötarkoitukseen. Palvelu, joka käsittelee henkilötietoja puolestasi, kuten seurantatyökalu, tarvitsee kanssasi kirjallisen sopimuksen.

Googlen EU:n käyttäjien suostumuskäytäntö

Jos käytät Googlen mainostuotteita, tämä käytäntö lisää sopimusvelvoitteen. ETA:n, Yhdistyneen kuningaskunnan ja Sveitsin kävijöiden osalta sinun on hankittava pätevä suostumus evästeisiin, kun laki sitä vaatii, ja henkilötietojen käyttöön mainosten personointia varten. Sinun on säilytettävä tiedot suostumuksista, selitettävä, miten se peruutetaan, ja nimettävä selvästi jokainen tiedot vastaanottava osapuoli.

Tarvitseeko palvelinpuolen seuranta suostumuksen?

Palvelinpuolen seuranta muuttaa sitä, mistä tapahtuma lähetetään: palvelimeltasi kävijän selaimen sijaan. Se ei muuta sitä, mitä saat lähettää. Kaksi seikkaa näyttää miksi.

Ensinnäkin useimmat palvelinpuolen ratkaisut alkavat yhä selaimessa. Skripti lukee klikkaus-ID:n laskeutumissivun URL-osoitteesta ja tallentaa sen laitteelle, joten ePrivacy-säännöt koskevat tätä vaihetta. Toiseksi oston lähettäminen hashatun sähköpostin, IP-osoitteen tai klikkaus-ID:n kanssa mainosalustalle on henkilötietojen käsittelyä. Se tarvitsee GDPR:n mukaisen oikeusperusteen riippumatta siitä, mitä reittiä data kulkee. Oppaassamme mitä on palvelinpuolen seuranta selitetään tekninen puoli.

Tietojen minimointi ja hashaus

Lähetä se, mitä alusta tarvitsee konversion yhdistämiseen ja laskemiseen, ei koko tilausta. Mainosalustat pyytävät, että henkilötietokentät, kuten sähköposti ja puhelinnumero, normalisoidaan ja hashataan SHA-256:lla ennen lähettämistä. Hashaus suojaa raakaa arvoa matkalla alustalle, mutta se ei ole anonymisointi: alusta vertaa hashia omaan käyttäjädataansa löytääkseen vastineen. Käsittele hashattua dataa henkilötietona.

Mitä verkkokauppa lähettää suostumuksella ja ilman

Esimerkkinä siitä, mihin yksi työkalu vetää rajan, tässä on se, mitä ROASaurus tekee Shopifyssa, kun Respect visitor consent on päällä, mikä on oletus.

Se, saako kieltäytyneen kävijän maksetun tilauksen lähettää, on oikeudellinen kysymys, ja vastaus voi vaihdella kaupoittain ja maittain. ROASaurus lähettää sen oletuksena. Jos oikeudellinen neuvonantajasi katsoo, että myös ostotapahtumat vaativat ennakkosuostumuksen, ota yhteyttä ROASaurukseen ennen kuin otat palvelinpuolen ostot käyttöön. Suostumus ja tietosuoja sisältää tiedot Shopifylle ja muille verkkokaupoille.

Miten ROASaurus käsittelee suostumusta ja Consent Mode -signaaleja

ROASaurus ei aseta Googlen Consent Mode -signaaleja Google-tageillesi. Se lukee kävijän valinnan eri lähteestä verkkokaupastasi riippuen:

• Shopifyssa, kauppasivuston skripti ja kassapikselit lukevat Shopifyn Customer Privacy API:a, jonka evästebannerisi täyttää. Kassapikseli noudattaa myös valintaa, jonka ostaja muuttaa kassalla. Opas palvelinpuolen seuranta Shopifyssa näyttää vaihe vaiheelta, miten tämä toimii.
• Muissa verkkokaupoissa ROASaurus-skripti lukee OneTrustin, Cookiebotin, Usercentricsin, Didomin, CookieYesin, iubendan, Termlyn, Complianzin, Osanon, TrustArcin, IAB TCF -bannerit, Google Consent Moden consent-komennot ja WP Consent API:n. Google Consent Modessa markkinointisuostumus tarkoittaa, että ad_storage ja ad_user_data on myönnetty, ja voit yhdistää muita kategorioita työkalukohtaisesti. Jos käytössä on jokin muu banneri, kutsu tlq('consent', true) tai tlq('consent', false), kun kävijä tekee valinnan.
• Google Adsin konversiot lähetetään vain Shopifyn kassalta. ROASaurus lataa Google-tagin siellä vain ostajille, jotka sallivat markkinointievästeet, mutta se ei lähetä sen mukana Consent Mode -signaaleja.
• Palvelimelta ROASaurus välittää valinnan eteenpäin Googlen omissa suostumuskentissä: Google Analytics 4 -tapahtumissa on ad_user_data ja ad_personalization, jotka on myönnetty suostumuksen antaneille kävijöille ja evätty anonyymeinä myynteinä lähetetyille tilauksille, ja Google Adsiin ladattavissa liideissä on ad_user_data-suostumus.

Omat Google-tagisi tarvitsevat silti Consent Moden. Jos käytät sivustollasi Google Ads- tai Google Analytics -tageja, bannerisi tai suostumustyökalusi on lähetettävä niille signaalit. Jos mainostat ETA:n kävijöille, tarkista suostumustyökalusi toimittajalta tai kehittäjältä, täyttääkö koko toteutuksesi, mukaan lukien kassan Google Adsin konversiot, Googlen vaatimukset tilillesi.

Suostumuksen tarkistuslista verkkokaupoille

1. Asenna evästebanneri

   Sen on estettävä markkinointievästeet ja analytiikkaevästeet, jos lakisi sitä vaatii, kunnes kävijä suostuu. Käytä Shopifyssa banneria, joka kirjoittaa Customer Privacy API:in.

2. Yhdistä banneri Consent Modeen

   Aseta kaikki neljä signaalia oletuksena evätyiksi ja päivitä ne bannerista, jotta Google-tagisi noudattavat kävijän valintaa.

3. Aseta seurantatyökalusi noudattamaan suostumusta

   Pidä ROASaurusissa Respect visitor consent päällä kohdassa Store settings. Muissa verkkokaupoissa kuin Shopifyssa tarkista, että ROASaurus lukee suostumustyökalusi, tai välitä valinta kutsulla tlq('consent', …).

4. Päätä palvelinpuolen ostoista

   Kysy oikeudelliselta neuvonantajaltasi, saako kieltäytyneiden kävijöiden maksetut tilaukset lähettää ja millä oikeusperusteella.

5. Päivitä tietosuojaselosteesi ja sopimuksesi

   Nimeä jokainen dataa vastaanottava mainosalusta, selitä, miten suostumus peruutetaan, ja allekirjoita tietojenkäsittelysopimus jokaisen käsittelijän kanssa.

6. Testaa molemmat vastaukset

   Kieltäydy evästeistä yksityisessä selainikkunassa ja tarkista kehittäjätyökaluista, ettei mainospikseli lataudu eikä kävijätunnuksen evästettä aseteta. Hyväksy sitten ja tarkista, että molemmat ilmestyvät.

Lähteet

1. Google for Developers: Consent mode overview
2. Google Ads Help: Updates to consent mode for traffic in European Economic Area (EEA)
3. Google: EU user consent policy
4. Your Europe: Online privacy, how to use cookies on your website
5. Your Europe: Data protection under GDPR

ROASaurusissa

• Ohje: suostumus ja yksityisyys
• Palvelinpuolen seuranta ROASaurus-palvelussa
• Google Ads -integraatio
• Shopify-integraatio

Lue lisää