Consent Mode v2 e GDPR: cosa può inviare un negozio online

Consent Mode v2 è il modo in cui Google permette a un sito web di dire ai propri tag di Google se un visitatore ha acconsentito ai cookie e all’uso dei suoi dati per la pubblicità. Usa quattro segnali: ad_storage, analytics_storage, ad_user_data e ad_personalization. Non chiede il consenso da sé. Lo chiede il tuo banner dei cookie, e Consent Mode trasmette la risposta a Google.

Questa guida spiega i quattro segnali, la Consent Mode di base e quella avanzata, cosa chiede a grandi linee la legge dell’UE a un negozio online, come si inserisce il tracciamento server-side e come ROASaurus gestisce il consenso.

Che cos’è Consent Mode v2?

Consent Mode è una funzione di Google per siti web e app. Il sito imposta uno stato di consenso predefinito per ogni visitatore, di solito negato, e lo aggiorna quando il visitatore risponde al banner dei cookie. I tag di Google leggono quello stato e cambiano comportamento. Con il consenso funzionano normalmente. Senza consenso non leggono né scrivono cookie pubblicitari e inviano dati limitati o nulla, a seconda della tua configurazione.

La versione 2 ha aggiunto due segnali, ad_user_data e ad_personalization. Google li ha introdotti mentre rafforzava l’applicazione della sua policy sul consenso degli utenti dell’UE. Per i visitatori dello Spazio economico europeo (SEE), gli inserzionisti che vogliono usare la personalizzazione degli annunci e la misurazione devono raccogliere il consenso e condividere i segnali di consenso con Google. La policy stessa riguarda i visitatori del SEE, del Regno Unito e della Svizzera.

I quattro segnali di consenso

Un banner dei cookie associa le proprie categorie a questi segnali. Un’associazione comune è: la categoria marketing o pubblicità imposta ad_storage, ad_user_data e ad_personalization, e la categoria analisi o statistiche imposta analytics_storage. Controlla come lo fa il tuo strumento per il consenso, perché un errore di associazione invia la risposta sbagliata a ogni tag di Google del tuo sito.

Consent Mode di base e avanzata

Google offre due modi per implementare Consent Mode. La differenza sta in cosa succede prima del consenso e senza di esso.

Tecnicamente, Consent Mode funziona con due comandi. Il comando default imposta lo stato di consenso prima che qualsiasi tag di Google invii dati. Il comando update lo cambia quando il visitatore risponde al banner.

// On every page, before any Google tag sends data:
gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied'
});

// When the visitor accepts marketing and analytics cookies:
gtag('consent', 'update', {
  ad_storage: 'granted',
  ad_user_data: 'granted',
  ad_personalization: 'granted',
  analytics_storage: 'granted'
});

Le piattaforme di gestione del consenso di solito inviano questi comandi per te. Controlla che lo facciano, e che inviino l’update su ogni pagina dopo la risposta del visitatore, non solo sulla pagina in cui è stato mostrato il banner.

Cosa chiede la legge dell’UE a un negozio online

Due leggi dell’UE contano più delle altre per il tracciamento pubblicitario, e Google aggiunge la propria policy. Questo è un riepilogo a grandi linee.

Le regole ePrivacy sui cookie

La Direttiva ePrivacy riguarda la memorizzazione di informazioni sul dispositivo del visitatore, come i cookie, e la loro lettura. I cookie strettamente necessari per un servizio richiesto dal visitatore, come il carrello o un login, non richiedono il consenso. I cookie di tracciamento per la pubblicità sì. Secondo le indicazioni dell’UE per le imprese, il consenso viene prima: questi cookie non possono essere impostati quando la pagina si apre per la prima volta. Il consenso dovrebbe essere dato per ogni finalità, e revocarlo deve essere facile quanto darlo.

Il GDPR sui dati personali

Il GDPR si applica a ogni uso di dati personali, come un indirizzo email, un numero di telefono o i dettagli di un ordine. Ogni uso ha bisogno di una delle sei basi giuridiche, per esempio il consenso, un contratto o il legittimo interesse. Puoi trattare solo i dati che ti servono per la finalità. Un servizio che tratta dati personali per tuo conto, come uno strumento di tracciamento, richiede un contratto scritto con te.

La policy di Google sul consenso degli utenti dell’UE

Se usi i prodotti pubblicitari di Google, questa policy aggiunge un obbligo contrattuale. Per i visitatori del SEE, del Regno Unito e della Svizzera, devi ottenere un consenso valido per i cookie dove la legge lo richiede, e per l’uso dei dati personali per personalizzare gli annunci. Devi conservare le prove del consenso, spiegare come revocarlo e nominare chiaramente ogni parte che riceve i dati.

Il tracciamento server-side ha bisogno del consenso?

Il tracciamento server-side cambia da dove viene inviato un evento: dal tuo server invece che dal browser del visitatore. Non cambia ciò che puoi inviare. Due punti spiegano perché.

Primo, la maggior parte delle configurazioni server-side parte comunque dal browser. Uno script legge il click id dall’URL della landing page e lo memorizza sul dispositivo, quindi per quel passaggio valgono le regole ePrivacy. Secondo, inviare a una piattaforma pubblicitaria un acquisto con un’email con hash, un indirizzo IP o un click id è un trattamento di dati personali. Ha bisogno di una base giuridica ai sensi del GDPR, qualunque sia il percorso dei dati. La nostra guida a cos’è il tracciamento server-side spiega l’aspetto tecnico.

Minimizzazione dei dati e hash

Invia ciò che serve alla piattaforma per associare e contare la conversione, non l’intero ordine. Le piattaforme pubblicitarie chiedono che campi personali come email e telefono vengano normalizzati e sottoposti ad hash con SHA-256 prima dell’invio. L’hash protegge il valore originale durante il tragitto verso la piattaforma, ma non è anonimizzazione: la piattaforma confronta l’hash con i propri dati utente per trovare una corrispondenza. Tratta i dati con hash come dati personali.

Cosa invia un negozio online con e senza consenso

Come esempio di dove uno strumento traccia il confine, ecco cosa fa ROASaurus su Shopify con Respect visitor consent attivo, che è l’impostazione predefinita.

Se l’ordine pagato di un visitatore che ha rifiutato possa essere inviato è una questione legale, e la risposta può cambiare da negozio a negozio e da paese a paese. ROASaurus lo invia per impostazione predefinita. Se la tua consulenza legale dice che anche gli eventi di acquisto richiedono un consenso preventivo, contatta ROASaurus prima di attivare gli acquisti server-side. Consenso e privacy contiene i dettagli per Shopify e per gli altri negozi online.

Come ROASaurus gestisce il consenso e i segnali di Consent Mode

ROASaurus non imposta i segnali di Google Consent Mode per i tuoi tag Google. Legge la scelta del visitatore da una fonte diversa a seconda del tuo negozio online:

• Su Shopify, lo script della vetrina e i pixel del checkout leggono la Customer Privacy API di Shopify, che viene compilata dal tuo banner dei cookie. Il pixel del checkout segue anche una scelta che l’acquirente cambia durante il checkout. La guida al tracciamento server-side su Shopify mostra come funziona passo dopo passo.
• Sugli altri negozi online, lo script di ROASaurus legge OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, i banner IAB TCF, i comandi consent di Google Consent Mode e la WP Consent API. Con Google Consent Mode, il consenso marketing significa che ad_storage e ad_user_data sono concessi, e puoi associare altre categorie per ciascuno strumento. Con un altro banner, chiama tlq('consent', true) o tlq('consent', false) quando il visitatore sceglie.
• Le conversioni di Google Ads vengono inviate solo dal checkout di Shopify. ROASaurus carica lì il tag di Google solo per gli acquirenti che consentono i cookie di marketing, ma non invia con esso i segnali di Consent Mode.
• Dal server, ROASaurus trasmette la scelta nei campi di consenso di Google: gli eventi di Google Analytics 4 portano ad_user_data e ad_personalization, concessi per i visitatori che hanno acconsentito e negati per gli ordini inviati come vendite anonime, e i caricamenti di lead in Google Ads portano il consenso ad_user_data.

I tuoi tag di Google hanno comunque bisogno di Consent Mode. Se usi tag di Google Ads o Google Analytics sul tuo sito, il tuo banner o strumento per il consenso deve inviare loro i segnali. Se fai pubblicità a visitatori del SEE, verifica con il fornitore del tuo strumento per il consenso o con il tuo sviluppatore se la tua configurazione completa, comprese le conversioni di Google Ads dal checkout, rispetta i requisiti di Google per il tuo account.

Una checklist sul consenso per i negozi online

1. Installa un banner dei cookie

   Deve bloccare i cookie di marketing, e i cookie di analisi dove la tua legge lo richiede, finché il visitatore non acconsente. Su Shopify, usa un banner che scrive nella Customer Privacy API.

2. Associa il banner a Consent Mode

   Imposta i quattro segnali su negato per impostazione predefinita e aggiornali dal banner, così che i tuoi tag di Google seguano la scelta del visitatore.

3. Imposta il tuo strumento di tracciamento perché rispetti il consenso

   In ROASaurus, tieni attivo Respect visitor consent in Store settings. Sui negozi online diversi da Shopify, verifica che ROASaurus legga il tuo strumento per il consenso, oppure passa la scelta con tlq('consent', …).

4. Decidi sugli acquisti server-side

   Chiedi al tuo consulente legale se gli ordini pagati dei visitatori che hanno rifiutato possano essere inviati, e su quale base giuridica.

5. Aggiorna l’informativa sulla privacy e i contratti

   Nomina ogni piattaforma pubblicitaria che riceve dati, spiega come revocare il consenso e firma un accordo sul trattamento dei dati con ogni responsabile del trattamento.

6. Testa entrambe le risposte

   Rifiuta i cookie in una finestra privata del browser e controlla negli strumenti per sviluppatori che non si carichi nessun pixel pubblicitario e che non venga impostato nessun cookie con il visitor id. Poi accetta e controlla che compaiano entrambi.

Fonti

1. Google for Developers: Consent mode overview
2. Google Ads Help: Updates to consent mode for traffic in European Economic Area (EEA)
3. Google: EU user consent policy
4. Your Europe: Online privacy, how to use cookies on your website
5. Your Europe: Data protection under GDPR

In ROASaurus

• Assistenza: consenso e privacy
• Tracciamento server-side in ROASaurus
• Integrazione Google Ads
• Integrazione Shopify

Continua a leggere