Consent Mode v2 és GDPR: mit küldhet egy webáruház

A Consent Mode v2 a Google módja arra, hogy egy weboldal megmondja a Google-címkéinek, hogy a látogató beleegyezett-e a sütikbe és az adatai hirdetési célú felhasználásába. Négy jelzést használ: ad_storage, analytics_storage, ad_user_data és ad_personalization. Magától nem kér hozzájárulást. A sütibanner kér, a Consent Mode pedig továbbítja a választ a Google-nek.

Ez az útmutató elmagyarázza a négy jelzést, a basic és az advanced Consent Mode-ot, hogy mit kér az uniós jog egy webáruháztól nagy vonalakban, hogyan illeszkedik ebbe a szerveroldali követés, és hogyan kezeli a ROASaurus a hozzájárulást.

Mi a Consent Mode v2?

A Consent Mode a Google funkciója weboldalak és appok számára. Az oldal minden látogatóhoz beállít egy alapértelmezett hozzájárulási állapotot, általában megtagadottat, és frissíti, amikor a látogató válaszol a sütibannerre. A Google-címkék kiolvassák ezt az állapotot, és megváltoztatják a viselkedésüket. Hozzájárulással normálisan működnek. Hozzájárulás nélkül nem olvasnak és nem írnak hirdetési sütiket, és korlátozott adatot küldenek, vagy semmit, a beállításodtól függően.

A 2-es verzió két jelzéssel bővült: ad_user_data és ad_personalization. A Google akkor vezette be őket, amikor szigorította az uniós felhasználói hozzájárulási szabályzatának érvényesítését. Az Európai Gazdasági Térségben (EGT) tartózkodó látogatók esetén azoknak a hirdetőknek, akik hirdetésszemélyre szabást és mérést szeretnének használni, hozzájárulást kell gyűjteniük, és meg kell osztaniuk a hozzájárulási jelzéseket a Google-lel. Maga a szabályzat az EGT-ben, az Egyesült Királyságban és Svájcban tartózkodó látogatókra vonatkozik.

A négy hozzájárulási jelzés

A sütibanner a saját kategóriáit rendeli ezekhez a jelzésekhez. Egy gyakori hozzárendelés: a marketing vagy hirdetés kategória állítja be az ad_storage, az ad_user_data és az ad_personalization jelzést, az analitika vagy statisztika kategória pedig az analytics_storage jelzést. Ellenőrizd, hogyan csinálja ezt a hozzájárulás-kezelő eszközöd, mert egyetlen hozzárendelési hiba rossz választ küld az oldalad minden Google-címkéjének.

Basic és advanced Consent Mode

A Google kétféleképpen kínálja a Consent Mode megvalósítását. A különbség az, hogy mi történik a hozzájárulás előtt és anélkül.

Technikailag a Consent Mode két paranccsal működik. A default parancs beállítja a hozzájárulási állapotot, mielőtt bármelyik Google-címke adatot küldene. Az update parancs megváltoztatja, amikor a látogató válaszol a bannerre.

// On every page, before any Google tag sends data:
gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied'
});

// When the visitor accepts marketing and analytics cookies:
gtag('consent', 'update', {
  ad_storage: 'granted',
  ad_user_data: 'granted',
  ad_personalization: 'granted',
  analytics_storage: 'granted'
});

A hozzájárulás-kezelő platformok általában helyetted küldik ezeket a parancsokat. Ellenőrizd, hogy valóban teszik-e, és hogy az update parancsot minden oldalon elküldik, miután a látogató válaszolt, nem csak azon az oldalon, ahol a bannert megjelenítették.

Mit kér az uniós jog egy webáruháztól

A hirdetéskövetés szempontjából két uniós jogszabály számít a legtöbbet, és ehhez a Google hozzáteszi a saját szabályzatát. Ez egy magas szintű összefoglaló.

Az ePrivacy-szabályok a sütikről

Az ePrivacy irányelv a látogató eszközén történő információtárolásra, például a sütikre, és azok visszaolvasására vonatkozik. Azokhoz a sütikhez, amelyek feltétlenül szükségesek a látogató által kért szolgáltatáshoz, például a kosárhoz vagy a bejelentkezéshez, nem kell hozzájárulás. A hirdetési követősütikhez kell. Az EU vállalkozásoknak szóló útmutatása szerint a hozzájárulás az első: az ilyen sütik nem állíthatók be, amikor az oldal először megnyílik. A hozzájárulást célonként kell megadni, és a visszavonásának ugyanolyan könnyűnek kell lennie, mint a megadásának.

A GDPR a személyes adatokról

A GDPR a személyes adatok minden felhasználására vonatkozik, például egy e-mail-címre, egy telefonszámra vagy egy rendelés adataira. Minden felhasználáshoz a hat jogalap valamelyike kell, például hozzájárulás, szerződés vagy jogos érdek. Csak azokat az adatokat kezelheted, amelyekre az adott célhoz szükséged van. Egy olyan szolgáltatásnak, amely helyetted kezel személyes adatokat, például egy követőeszköznek, írásbeli szerződésre van szüksége veled.

A Google uniós felhasználói hozzájárulási szabályzata

Ha a Google hirdetési termékeit használod, ez a szabályzat szerződéses kötelezettséget ad hozzá. Az EGT-ben, az Egyesült Királyságban és Svájcban tartózkodó látogatók esetén érvényes hozzájárulást kell szerezned a sütikhez, ahol a törvény előírja, valamint a személyes adatok hirdetések személyre szabására való felhasználásához. Nyilvántartást kell vezetned a hozzájárulásokról, el kell magyaráznod, hogyan lehet visszavonni, és világosan meg kell neveznd az adatokat fogadó összes felet.

Kell hozzájárulás a szerveroldali követéshez?

A szerveroldali követés azt változtatja meg, honnan küldik az eseményt: a látogató böngészője helyett a szerveredről. Azt nem változtatja meg, mit küldhetsz el. Két szempont mutatja, miért.

Először is, a legtöbb szerveroldali beállítás még mindig a böngészőben kezdődik. Egy szkript kiolvassa a kattintásazonosítót a céloldal URL-jéből, és eltárolja az eszközön, így erre a lépésre az ePrivacy-szabályok vonatkoznak. Másodszor, egy vásárlás hashelt e-mail-címmel, IP-címmel vagy kattintásazonosítóval való elküldése egy hirdetési platformnak a személyes adatok kezelése. Ehhez a GDPR szerinti jogalap kell, bármilyen úton jussanak is az adatok. A mi a szerveroldali követés című útmutatónk a technikai oldalt magyarázza el.

Adatminimalizálás és hashelés

Azt küldd el, amire a platformnak szüksége van a konverzió párosításához és megszámolásához, ne az egész rendelést. A hirdetési platformok azt kérik, hogy a személyes mezőket, például az e-mail-címet és a telefonszámot normalizálják és SHA-256-tal hasheljék, mielőtt elküldik őket. A hashelés védi a nyers értéket a platformig vezető úton, de nem anonimizálás: a platform a hasht a saját felhasználói adataival veti össze, hogy találatot találjon. A hashelt adatokat kezeld személyes adatként.

Mit küld egy webáruház hozzájárulással és anélkül

Példaként arra, hogy egy eszköz hol húzza meg a határt, íme, mit csinál a ROASaurus Shopifyon bekapcsolt Respect visitor consent mellett, ami az alapértelmezés.

Az, hogy egy elutasító látogató kifizetett rendelése elküldhető-e, jogi kérdés, és a válasz webáruházanként és országonként eltérhet. A ROASaurus alapértelmezés szerint elküldi. Ha a jogi tanácsod szerint a vásárlási eseményekhez is előzetes hozzájárulás kell, a szerveroldali vásárlások bekapcsolása előtt lépj kapcsolatba a ROASaurusszal. A hozzájárulásról és adatvédelemről szóló oldal tartalmazza a részleteket a Shopifyhoz és más webáruházakhoz.

Hogyan kezeli a ROASaurus a hozzájárulást és a Consent Mode jelzéseket

A ROASaurus nem állít be Google Consent Mode-jelzéseket a Google-tagjeidhez. A látogató döntését a webáruházadtól függően más-más forrásból olvassa ki:

• Shopifyon a webáruház szkriptje és a pénztári pixelek a Shopify Customer Privacy API-ját olvassák, amelyet a sütibannered tölt ki. A pénztári pixel azt a döntést is követi, amelyet a vásárló a fizetés közben módosít. A szerveroldali követés Shopifyon című útmutató lépésről lépésre megmutatja, hogyan működik ez.
• Más webáruházakban a ROASaurus script a következőket olvassa: OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, IAB TCF bannerek, a Google Consent Mode consent parancsai és a WP Consent API. A Google Consent Mode esetén a marketinghozzájárulás azt jelenti, hogy az ad_storage és az ad_user_data engedélyezve van, a többi kategóriát pedig eszközönként hozzárendelheted. Más banner esetén hívd meg a tlq('consent', true) vagy a tlq('consent', false) parancsot, amikor a látogató dönt.
• A Google Ads konverziók csak a Shopify pénztárából mennek el. A ROASaurus a Google-címkét ott csak azoknál a vásárlóknál tölti be, akik engedélyezik a marketingsütiket, de Consent Mode jelzéseket nem küld vele.
• A szerverről a ROASaurus a Google saját hozzájárulási mezőiben adja tovább a döntést: a Google Analytics 4 események tartalmazzák az ad_user_data és az ad_personalization mezőt, a hozzájáruló látogatóknál engedélyezett, a névtelen eladásként küldött rendeléseknél pedig elutasított értékkel, a Google Adsbe feltöltött leadek pedig az ad_user_data hozzájárulást tartalmazzák.

A saját Google-címkéidnek továbbra is kell a Consent Mode. Ha Google Ads vagy Google Analytics címkéket futtatsz az oldaladon, a bannerednek vagy a hozzájárulás-kezelő eszközödnek kell elküldenie nekik a jelzéseket. Ha az EGT-ben tartózkodó látogatóknak hirdetsz, egyeztess a hozzájárulás-kezelő eszközöd szolgáltatójával vagy a fejlesztőddel arról, hogy a teljes beállításod, a pénztárból érkező Google Ads konverziókat is beleértve, megfelel-e a Google fiókodra vonatkozó követelményeinek.

Hozzájárulási ellenőrzőlista webáruházaknak

1. Telepíts egy sütibannert

   Blokkolnia kell a marketingsütiket, és ahol a jogszabály előírja, az analitikai sütiket is, amíg a látogató bele nem egyezik. Shopifyon olyan bannert használj, amely a Customer Privacy API-ba ír.

2. Rendeld hozzá a bannert a Consent Mode-hoz

   Állítsd a négy jelzést alapértelmezetten megtagadottra, és frissítsd őket a bannerből, hogy a Google-címkéid a látogató döntését kövessék.

3. Állítsd be a követőeszközödet a hozzájárulás tiszteletben tartására

   A ROASaurusban tartsd bekapcsolva a Respect visitor consent opciót a Store settings alatt. A Shopifyon kívüli webáruházaknál ellenőrizd, hogy a ROASaurus olvassa-e a hozzájárulás-kezelő eszközödet, vagy add át a döntést a tlq('consent', …) hívással.

4. Dönts a szerveroldali vásárlásokról

   Kérdezd meg a jogi tanácsadódat, hogy az elutasító látogatók kifizetett rendelései elküldhetők-e, és milyen jogalapon.

5. Frissítsd az adatvédelmi tájékoztatódat és a szerződéseidet

   Nevezd meg az adatokat fogadó összes hirdetési platformot, magyarázd el, hogyan lehet visszavonni a hozzájárulást, és írj alá adatkezelési megállapodást minden adatfeldolgozóval.

6. Teszteld mindkét választ

   Utasítsd el a sütiket egy privát böngészőablakban, és a fejlesztői eszközökben ellenőrizd, hogy nem töltődik be hirdetési pixel, és nem állítódik be látogatóazonosító-süti. Utána fogadd el, és ellenőrizd, hogy mindkettő megjelenik.

Források

1. Google for Developers: Consent mode overview
2. Google Ads Help: Updates to consent mode for traffic in European Economic Area (EEA)
3. Google: EU user consent policy
4. Your Europe: Online privacy, how to use cookies on your website
5. Your Europe: Data protection under GDPR

A ROASaurusban

• Súgó: hozzájárulás és adatvédelem
• Szerveroldali követés a ROASaurusban
• Google Ads-integráció
• Shopify integráció

Olvass tovább