Consent Mode v2 og GDPR: hva en nettbutikk kan sende

Consent Mode v2 er Googles måte for et nettsted å fortelle Google-taggene sine om en besøkende har samtykket til cookies og til bruk av dataene sine til annonser. Den bruker fire signaler: ad_storage, analytics_storage, ad_user_data og ad_personalization. Den ber ikke om samtykke selv. Cookie-banneret ditt spør, og Consent Mode sender svaret videre til Google.

Denne guiden forklarer de fire signalene, grunnleggende og avansert Consent Mode, hva EU-retten krever av en nettbutikk på overordnet nivå, hvordan server-side tracking passer inn, og hvordan ROASaurus håndterer samtykke.

Hva er Consent Mode v2?

Consent Mode er en Google-funksjon for nettsteder og apper. Nettstedet setter en standard samtykketilstand for hver besøkende, vanligvis avslått, og oppdaterer den når den besøkende svarer på cookie-banneret. Google-tagger leser den tilstanden og endrer oppførsel. Med samtykke fungerer de som vanlig. Uten samtykke leser og skriver de ikke annonsecookies, og de sender begrensede data eller ingenting, avhengig av oppsettet ditt.

Versjon 2 la til to signaler, ad_user_data og ad_personalization. Google innførte dem da selskapet skjerpet håndhevingen av sin retningslinje for brukersamtykke i EU. For besøkende i Det europeiske økonomiske samarbeidsområdet (EØS) må annonsører som vil bruke annonsepersonalisering og måling innhente samtykke og dele samtykkesignalene med Google. Selve retningslinjen dekker besøkende i EØS, Storbritannia og Sveits.

De fire samtykkesignalene

Et cookie-banner kobler sine egne kategorier til disse signalene. En vanlig kobling er: kategorien markedsføring eller annonsering setter ad_storage, ad_user_data og ad_personalization, og kategorien analyse eller statistikk setter analytics_storage. Sjekk hvordan samtykkeverktøyet ditt gjør dette, for én feil i koblingen sender feil svar til alle Google-tagger på nettstedet ditt.

Grunnleggende og avansert Consent Mode

Google tilbyr to måter å implementere Consent Mode på. Forskjellen er hva som skjer før og uten samtykke.

Teknisk fungerer Consent Mode med to kommandoer. Kommandoen default setter samtykketilstanden før noen Google-tag sender data. Kommandoen update endrer den når den besøkende svarer på banneret.

// On every page, before any Google tag sends data:
gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied'
});

// When the visitor accepts marketing and analytics cookies:
gtag('consent', 'update', {
  ad_storage: 'granted',
  ad_user_data: 'granted',
  ad_personalization: 'granted',
  analytics_storage: 'granted'
});

Samtykkehåndteringsplattformer sender vanligvis disse kommandoene for deg. Sjekk at de gjør det, og at de sender update på hver side etter at den besøkende har svart, ikke bare på siden der banneret ble vist.

Hva EU-retten krever av en nettbutikk

To EU-lover betyr mest for annonsetracking, og Google legger til sin egen retningslinje på toppen. Dette er en oppsummering på overordnet nivå.

ePrivacy-reglene om cookies

ePrivacy-direktivet dekker lagring av informasjon på en besøkendes enhet, som cookies, og avlesing av den. Cookies som er strengt nødvendige for en tjeneste den besøkende har bedt om, som handlekurven eller en innlogging, trenger ikke samtykke. Tracking-cookies for annonsering gjør det. Ifølge EUs veiledning for bedrifter kommer samtykket først: slike cookies kan ikke settes når siden først åpnes. Samtykke bør gis per formål, og det må være like enkelt å trekke det tilbake som å gi det.

GDPR om personopplysninger

GDPR gjelder for all bruk av personopplysninger, som en e-postadresse, et telefonnummer eller detaljene i en bestilling. Hver bruk trenger ett av seks rettslige grunnlag, for eksempel samtykke, en avtale eller berettiget interesse. Du kan bare behandle de dataene du trenger til formålet. En tjeneste som behandler personopplysninger for deg, som et trackingverktøy, trenger en skriftlig avtale med deg.

Googles retningslinje for brukersamtykke i EU

Hvis du bruker Googles annonseprodukter, legger denne retningslinjen til en avtalemessig plikt. For besøkende i EØS, Storbritannia og Sveits må du innhente gyldig samtykke til cookies der loven krever det, og til bruk av personopplysninger for å personalisere annonser. Du må føre oversikt over samtykker, forklare hvordan det trekkes tilbake og tydelig navngi hver part som mottar dataene.

Trenger server-side tracking samtykke?

Server-side tracking endrer hvor en event sendes fra: serveren din i stedet for den besøkendes nettleser. Det endrer ikke hva du har lov til å sende. To punkter viser hvorfor.

For det første starter de fleste server-side-oppsett fortsatt i nettleseren. Et skript leser click id fra landingsadressen og lagrer den på enheten, så ePrivacy-reglene gjelder for det trinnet. For det andre er det å sende et kjøp med en hashet e-postadresse, en IP-adresse eller en click id til en annonseplattform behandling av personopplysninger. Det trenger et rettslig grunnlag etter GDPR, uansett hvilken vei dataene tar. Guiden vår om hva server-side tracking er forklarer den tekniske siden.

Dataminimering og hashing

Send det plattformen trenger for å matche og telle konverteringen, ikke hele bestillingen. Annonseplattformer ber om at personlige felt som e-post og telefon normaliseres og hashes med SHA-256 før de sendes. Hashing beskytter råverdien på veien til plattformen, men er ikke anonymisering: plattformen sammenligner hashen med sine egne brukerdata for å finne en match. Behandle hashede data som personopplysninger.

Hva en nettbutikk sender med og uten samtykke

Som et eksempel på hvor ett verktøy trekker grensen, her er hva ROASaurus gjør på Shopify med Respect visitor consent på, som er standard.

Om den betalte bestillingen til en besøkende som avslo kan sendes, er et juridisk spørsmål, og svaret kan variere per butikk og per land. ROASaurus sender den som standard. Hvis juridisk rådgivning sier at kjøpsevents også trenger forhåndssamtykke, ta kontakt med ROASaurus før du slår på server-side-kjøp. Samtykke og personvern har detaljene for Shopify og andre nettbutikker.

Slik håndterer ROASaurus samtykke og Consent Mode-signaler

ROASaurus setter ikke Googles Consent Mode-signaler for Google-taggene dine. Den leser valget til den besøkende fra ulike kilder avhengig av nettbutikken din:

• På Shopify leser butikkskriptet og checkout-pixlene Shopifys Customer Privacy API, som cookie-banneret ditt fyller ut. Checkout-pixelen følger også et valg kjøperen endrer under checkout. Guiden om server-side tracking på Shopify viser hvordan dette fungerer steg for steg.
• På andre nettbutikker leser ROASaurus-skriptet OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, IAB TCF-bannere, consent-kommandoene i Google Consent Mode og WP Consent API. Med Google Consent Mode betyr samtykke til markedsføring at ad_storage og ad_user_data er gitt, og du kan koble andre kategorier per verktøy. Med et annet banner kaller du tlq('consent', true) eller tlq('consent', false) når den besøkende velger.
• Google Ads-konverteringer sendes bare fra Shopify checkout. ROASaurus laster Google-taggen der bare for kjøpere som tillater markedsføringscookies, men sender ikke Consent Mode-signaler med den.
• Fra serveren sender ROASaurus valget videre i Googles egne samtykkefelt: Google Analytics 4-events har ad_user_data og ad_personalization, gitt for besøkende som har samtykket og nektet for bestillinger som sendes som anonyme salg, og lead-opplastinger til Google Ads har samtykket ad_user_data.

Dine egne Google-tagger trenger fortsatt Consent Mode. Hvis du kjører Google Ads- eller Google Analytics-tagger på nettstedet ditt, må banneret eller samtykkeverktøyet ditt sende signalene til dem. Hvis du annonserer til besøkende i EØS, sjekk med leverandøren av samtykkeverktøyet eller utvikleren din om hele oppsettet, inkludert Google Ads-konverteringene fra checkout, oppfyller Googles krav for kontoen din.

En sjekkliste for samtykke i nettbutikker

1. Installer et cookie-banner

   Det må blokkere markedsføringscookies, og analysecookies der loven din krever det, til den besøkende samtykker. På Shopify bruker du et banner som skriver til Customer Privacy API.

2. Koble banneret til Consent Mode

   Sett de fire signalene til avslått som standard og oppdater dem fra banneret, så Google-taggene dine følger den besøkendes valg.

3. Sett opp trackingverktøyet ditt til å respektere samtykke

   I ROASaurus holder du Respect visitor consent på i Store settings. På andre nettbutikker enn Shopify må du sjekke at ROASaurus leser samtykkeverktøyet ditt, eller sende valget med tlq('consent', …).

4. Bestem deg for server-side-kjøp

   Spør din juridiske rådgiver om de betalte bestillingene til besøkende som avslo kan sendes, og på hvilket rettslig grunnlag.

5. Oppdater personvernerklæringen og avtalene dine

   Navngi hver annonseplattform som mottar data, forklar hvordan samtykke trekkes tilbake, og signer en databehandleravtale med hver databehandler.

6. Test begge svarene

   Avslå cookies i et privat nettleservindu og sjekk i utviklerverktøyene at ingen annonsepixel lastes og ingen cookie med besøks-ID settes. Godta deretter, og sjekk at begge dukker opp.

Kilder

1. Google for Developers: Consent mode overview
2. Google Ads Help: Updates to consent mode for traffic in European Economic Area (EEA)
3. Google: EU user consent policy
4. Your Europe: Online privacy, how to use cookies on your website
5. Your Europe: Data protection under GDPR

I ROASaurus

• Hjelp: samtykke og personvern
• Server-side tracking i ROASaurus
• Google Ads-integrasjon
• Shopify-integrasjon

Les videre