Consent Mode v2 en de AVG: wat een webshop mag versturen

Consent Mode v2 is de manier waarop een website zijn Google-tags laat weten of een bezoeker heeft ingestemd met cookies en met het gebruik van zijn gegevens voor advertenties. Het gebruikt vier signalen: ad_storage, analytics_storage, ad_user_data en ad_personalization. Het vraagt zelf niet om toestemming. Je cookiebanner vraagt erom, en Consent Mode geeft het antwoord door aan Google.

Deze gids legt de vier signalen uit, basic en advanced Consent Mode, wat de EU-wetgeving globaal van een webshop vraagt, hoe server-side tracking past in het geheel en hoe ROASaurus met toestemming omgaat.

Wat is Consent Mode v2?

Consent Mode is een Google-functie voor websites en apps. De site stelt voor elke bezoeker een standaard toestemmingsstatus in, meestal geweigerd, en werkt die bij wanneer de bezoeker de cookiebanner beantwoordt. Google-tags lezen die status en passen hun gedrag aan. Met toestemming werken ze normaal. Zonder toestemming lezen of schrijven ze geen advertentiecookies, en versturen ze beperkte data of niets, afhankelijk van je opzet.

Versie 2 voegde twee signalen toe, ad_user_data en ad_personalization. Google voerde ze in toen het de handhaving van zijn beleid voor toestemming van EU-gebruikers aanscherpte. Voor bezoekers in de Europese Economische Ruimte (EER) moeten adverteerders die advertentiepersonalisatie en -meting willen gebruiken toestemming verzamelen en de toestemmingssignalen met Google delen. Het beleid zelf geldt voor bezoekers in de EER, het VK en Zwitserland.

De vier toestemmingssignalen

Een cookiebanner koppelt zijn eigen categorieën aan deze signalen. Een gebruikelijke koppeling is: de categorie marketing of advertenties stelt ad_storage, ad_user_data en ad_personalization in, en de categorie analyse of statistieken stelt analytics_storage in. Controleer hoe je toestemmingstool dit doet, want één fout in de koppeling stuurt het verkeerde antwoord naar elke Google-tag op je site.

Basic en advanced Consent Mode

Google biedt twee manieren om Consent Mode te implementeren. Het verschil is wat er gebeurt vóór en zonder toestemming.

Technisch werkt Consent Mode met twee commando's. Het default-commando stelt de toestemmingsstatus in voordat een Google-tag data verstuurt. Het update-commando wijzigt hem wanneer de bezoeker de banner beantwoordt.

// On every page, before any Google tag sends data:
gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied'
});

// When the visitor accepts marketing and analytics cookies:
gtag('consent', 'update', {
  ad_storage: 'granted',
  ad_user_data: 'granted',
  ad_personalization: 'granted',
  analytics_storage: 'granted'
});

Toestemmingsplatforms (CMP's) sturen deze commando's meestal voor je. Controleer of ze dat doen, en of ze de update op elke pagina sturen nadat de bezoeker heeft geantwoord, niet alleen op de pagina waar de banner werd getoond.

Wat de EU-wetgeving van een webshop vraagt

Twee EU-wetten zijn het belangrijkst voor advertentietracking, en Google voegt daar zijn eigen beleid aan toe. Dit is een samenvatting op hoofdlijnen.

De ePrivacyregels voor cookies

De ePrivacyrichtlijn heeft betrekking op het opslaan van informatie op het apparaat van een bezoeker, zoals cookies, en het weer uitlezen daarvan. Cookies die strikt noodzakelijk zijn voor een dienst waar de bezoeker om vroeg, zoals de winkelwagen of een login, hebben geen toestemming nodig. Trackingcookies voor advertenties wel. Volgens de richtlijnen van de EU voor bedrijven komt toestemming eerst: zulke cookies mogen niet worden gezet wanneer de pagina voor het eerst opent. Toestemming moet per doel worden gegeven, en intrekken moet even makkelijk zijn als geven.

De AVG voor persoonsgegevens

De AVG is van toepassing op elk gebruik van persoonsgegevens, zoals een e-mailadres, een telefoonnummer of de gegevens van een bestelling. Elk gebruik heeft een van de zes rechtsgronden nodig, bijvoorbeeld toestemming, een overeenkomst of gerechtvaardigde belangen. Je mag alleen de gegevens verwerken die je voor het doel nodig hebt. Een dienst die persoonsgegevens voor je verwerkt, zoals een trackingtool, heeft een schriftelijke overeenkomst met je nodig.

Het beleid van Google voor toestemming van EU-gebruikers

Als je de advertentieproducten van Google gebruikt, voegt dit beleid een contractuele plicht toe. Voor bezoekers in de EER, het VK en Zwitserland moet je geldige toestemming verkrijgen voor cookies waar de wet dat vereist, en voor het gebruik van persoonsgegevens om advertenties te personaliseren. Je moet toestemmingen vastleggen, uitleggen hoe je ze kunt intrekken en elke partij die de gegevens ontvangt duidelijk benoemen.

Heeft server-side tracking toestemming nodig?

Server-side tracking verandert waarvandaan een event wordt verstuurd: je server in plaats van de browser van de bezoeker. Het verandert niet wat je mag versturen. Twee punten laten zien waarom.

Ten eerste begint de meeste server-side tracking nog steeds in de browser. Een script leest het click-id uit de landings-URL en slaat het op het apparaat op, dus de ePrivacyregels zijn op die stap van toepassing. Ten tweede is het versturen van een aankoop met een gehasht e-mailadres, een IP-adres of een click-id naar een advertentieplatform een verwerking van persoonsgegevens. Daarvoor is een rechtsgrond onder de AVG nodig, welke route de gegevens ook nemen. In onze gids over wat server-side tracking is lees je de technische kant.

Dataminimalisatie en hashing

Verstuur wat het platform nodig heeft om de conversie te koppelen en te tellen, niet de hele bestelling. Advertentieplatforms vragen dat persoonlijke velden zoals e-mailadres en telefoonnummer worden genormaliseerd en met SHA-256 gehasht voordat ze worden verstuurd. Hashing beschermt de ruwe waarde op weg naar het platform, maar is geen anonimisering: het platform vergelijkt de hash met zijn eigen gebruikersdata om een match te vinden. Behandel gehashte data als persoonsgegevens.

Wat een webshop met en zonder toestemming verstuurt

Als voorbeeld van waar één tool de grens trekt, zie je hier wat ROASaurus op Shopify doet met Respect visitor consent aan, wat de standaard is.

Of de betaalde bestelling van een bezoeker die heeft geweigerd mag worden verstuurd, is een juridische vraag, en het antwoord kan per webshop en per land verschillen. ROASaurus verstuurt hem standaard. Als je juridisch advies zegt dat ook aankoopevents voorafgaande toestemming nodig hebben, neem dan contact op met ROASaurus voordat je server-side aankopen aanzet. Toestemming en privacy bevat de details voor Shopify en andere webshops.

Hoe ROASaurus omgaat met toestemming en Consent Mode-signalen

ROASaurus zet geen Google Consent Mode-signalen voor je Google-tags. Het leest de keuze van de bezoeker uit een andere bron, afhankelijk van je webshop:

• Op Shopify lezen het storefront-script en de checkout-pixels de Customer Privacy API van Shopify, die je cookiebanner vult. De checkout-pixel volgt ook een keuze die de shopper tijdens de checkout wijzigt. In de gids over server-side tracking op Shopify zie je stap voor stap hoe dit werkt.
• Op andere webshops leest het ROASaurus-script OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, IAB TCF-banners, de consent-commando's van Google Consent Mode en de WP Consent API. Bij Google Consent Mode betekent marketingtoestemming dat ad_storage en ad_user_data op granted staan, en per tool kun je andere categorieën koppelen. Bij een andere banner roep je tlq('consent', true) of tlq('consent', false) aan wanneer de bezoeker kiest.
• Google Ads-conversies worden alleen vanuit de Shopify-checkout verstuurd. ROASaurus laadt de Google-tag daar alleen voor shoppers die marketingcookies toestaan, maar verstuurt er geen Consent Mode-signalen mee.
• Vanaf de server geeft ROASaurus de keuze door in de eigen toestemmingsvelden van Google: Google Analytics 4-events bevatten ad_user_data en ad_personalization, op granted voor bezoekers die toestemming gaven en op denied voor bestellingen die als anonieme verkoop worden verstuurd, en leaduploads naar Google Ads bevatten de toestemming ad_user_data.

Je eigen Google-tags hebben nog steeds Consent Mode nodig. Als je Google Ads- of Google Analytics-tags op je site draait, moeten je banner of toestemmingstool de signalen naar die tags sturen. Als je adverteert voor bezoekers in de EER, vraag dan aan de aanbieder van je toestemmingstool of aan je ontwikkelaar of je volledige opzet, inclusief de Google Ads-conversies vanuit de checkout, voldoet aan de eisen van Google voor jouw account.

Een toestemmingschecklist voor webshops

1. Installeer een cookiebanner

   Hij moet marketingcookies blokkeren, en analysecookies waar de wet dat vereist, tot de bezoeker akkoord gaat. Gebruik op Shopify een banner die naar de Customer Privacy API schrijft.

2. Koppel de banner aan Consent Mode

   Zet de vier signalen standaard op geweigerd en werk ze bij vanuit de banner, zodat je Google-tags de keuze van de bezoeker volgen.

3. Stel je trackingtool in om toestemming te respecteren

   Laat in ROASaurus Respect visitor consent aan staan in Store settings. Controleer op andere webshops dan Shopify of ROASaurus je toestemmingstool uitleest, of geef de keuze door met tlq('consent', …).

4. Beslis over server-side aankopen

   Vraag je juridisch adviseur of de betaalde bestellingen van bezoekers die hebben geweigerd mogen worden verstuurd, en op welke rechtsgrond.

5. Werk je privacyverklaring en contracten bij

   Noem elk advertentieplatform dat gegevens ontvangt, leg uit hoe toestemming kan worden ingetrokken en sluit met elke verwerker een verwerkersovereenkomst.

6. Test beide antwoorden

   Weiger cookies in een privévenster van de browser en controleer in de developer tools dat er geen advertentiepixel wordt geladen en geen cookie met een bezoeker-id wordt gezet. Accepteer daarna en controleer dat beide wel verschijnen.

Bronnen

1. Google for Developers: Consent mode overview
2. Google Ads Help: Updates to consent mode for traffic in European Economic Area (EEA)
3. Google: EU user consent policy
4. Your Europe: Online privacy, how to use cookies on your website
5. Your Europe: Data protection under GDPR

In ROASaurus

• Help: toestemming en privacy
• Server-side tracking in ROASaurus
• Google Ads-integratie
• Shopify-integratie

Lees verder