Consent Mode v2 i RODO: co może wysyłać sklep internetowy

Consent Mode v2 to sposób Google, w jaki strona informuje swoje tagi Google, czy odwiedzający zgodził się na cookie i na wykorzystanie swoich danych do reklam. Używa czterech sygnałów: ad_storage, analytics_storage, ad_user_data i ad_personalization. Sam o zgodę nie prosi. Pyta twój baner cookie, a Consent Mode przekazuje odpowiedź do Google.

Ten poradnik wyjaśnia cztery sygnały, podstawowy i zaawansowany Consent Mode, czego prawo UE wymaga od sklepu internetowego w dużym skrócie, jak wpisuje się w to server-side tracking i jak ROASaurus obsługuje zgody.

Czym jest Consent Mode v2?

Consent Mode to funkcja Google dla stron internetowych i aplikacji. Strona ustawia domyślny stan zgody dla każdego odwiedzającego, zwykle odmowny, i aktualizuje go, gdy odwiedzający odpowie na baner cookie. Tagi Google odczytują ten stan i zmieniają swoje zachowanie. Ze zgodą działają normalnie. Bez zgody nie odczytują ani nie zapisują reklamowych cookie i wysyłają ograniczone dane albo nic, zależnie od konfiguracji.

Wersja 2 dodała dwa sygnały, ad_user_data i ad_personalization. Google wprowadziło je, gdy zaostrzało egzekwowanie swojej polityki zgody użytkowników w UE. Dla odwiedzających z Europejskiego Obszaru Gospodarczego (EOG) reklamodawcy, którzy chcą korzystać ze spersonalizowanych reklam i pomiaru, muszą zbierać zgodę i przekazywać sygnały zgody do Google. Sama polityka obejmuje odwiedzających z EOG, Wielkiej Brytanii i Szwajcarii.

Cztery sygnały zgody

Baner cookie przypisuje swoje własne kategorie do tych sygnałów. Typowe przypisanie wygląda tak: kategoria marketingowa lub reklamowa ustawia ad_storage, ad_user_data i ad_personalization, a kategoria analityczna lub statystyczna ustawia analytics_storage. Sprawdź, jak robi to twoje narzędzie do zgód, bo jeden błąd w przypisaniu wysyła złą odpowiedź do każdego tagu Google na twojej stronie.

Podstawowy i zaawansowany Consent Mode

Google oferuje dwa sposoby wdrożenia Consent Mode. Różnica polega na tym, co dzieje się przed zgodą i bez niej.

Technicznie Consent Mode działa na dwóch poleceniach. Polecenie default ustawia stan zgody, zanim jakikolwiek tag Google wyśle dane. Polecenie update zmienia go, gdy odwiedzający odpowie na baner.

// On every page, before any Google tag sends data:
gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied'
});

// When the visitor accepts marketing and analytics cookies:
gtag('consent', 'update', {
  ad_storage: 'granted',
  ad_user_data: 'granted',
  ad_personalization: 'granted',
  analytics_storage: 'granted'
});

Platformy zarządzania zgodami zwykle wysyłają te polecenia za ciebie. Sprawdź, czy to robią i czy wysyłają update na każdej stronie po odpowiedzi odwiedzającego, a nie tylko na stronie, na której pokazał się baner.

Czego prawo UE wymaga od sklepu internetowego

Dla trackingu reklam najważniejsze są dwa przepisy UE, a Google dokłada do nich własną politykę. To skrót w dużym uproszczeniu.

Przepisy ePrivacy o cookie

Dyrektywa ePrivacy dotyczy zapisywania informacji na urządzeniu odwiedzającego, takich jak cookie, i ich odczytywania. Cookie bezwzględnie konieczne do usługi, o którą prosi odwiedzający, takie jak koszyk czy logowanie, nie wymagają zgody. Śledzące cookie reklamowe wymagają. Według wytycznych UE dla firm zgoda jest pierwsza: takich cookie nie można ustawić przy pierwszym otwarciu strony. Zgodę należy wyrażać osobno dla każdego celu, a jej wycofanie musi być tak samo łatwe jak udzielenie.

RODO o danych osobowych

RODO dotyczy każdego wykorzystania danych osobowych, takich jak adres e-mail, numer telefonu czy szczegóły zamówienia. Każde wykorzystanie wymaga jednej z sześciu podstaw prawnych, na przykład zgody, umowy lub prawnie uzasadnionych interesów. Możesz przetwarzać tylko dane potrzebne do danego celu. Usługa, która przetwarza dane osobowe w twoim imieniu, taka jak narzędzie do trackingu, wymaga pisemnej umowy z tobą.

Polityka zgody użytkowników z UE Google

Jeśli używasz produktów reklamowych Google, ta polityka dodaje obowiązek umowny. Dla odwiedzających z EOG, Wielkiej Brytanii i Szwajcarii musisz uzyskać ważną zgodę na cookie tam, gdzie wymaga tego prawo, oraz na wykorzystanie danych osobowych do personalizacji reklam. Musisz przechowywać zapisy zgód, wyjaśnić, jak ją wycofać, i wyraźnie wskazać każdą stronę, która otrzymuje dane.

Czy server-side tracking wymaga zgody?

Server-side tracking zmienia to, skąd zdarzenie jest wysyłane: z twojego serwera zamiast z przeglądarki odwiedzającego. Nie zmienia tego, co wolno ci wysłać. Pokazują to dwie kwestie.

Po pierwsze, większość konfiguracji server-side nadal zaczyna się w przeglądarce. Skrypt odczytuje click id z adresu strony docelowej i zapisuje go na urządzeniu, więc do tego kroku stosuje się przepisy ePrivacy. Po drugie, wysłanie do platformy reklamowej zakupu z zahashowanym e-mailem, adresem IP lub click id to przetwarzanie danych osobowych. Wymaga podstawy prawnej według RODO, niezależnie od drogi, którą dane przechodzą. Nasz poradnik czym jest server-side tracking wyjaśnia stronę techniczną.

Minimalizacja danych i hashowanie

Wysyłaj to, czego platforma potrzebuje, żeby dopasować i policzyć konwersję, a nie całe zamówienie. Platformy reklamowe wymagają, żeby pola osobowe, takie jak e-mail i telefon, były znormalizowane i zahashowane SHA-256 przed wysłaniem. Hashowanie chroni surową wartość w drodze do platformy, ale nie jest anonimizacją: platforma porównuje hash ze swoimi danymi użytkowników, żeby znaleźć dopasowanie. Traktuj zahashowane dane jako dane osobowe.

Co sklep internetowy wysyła ze zgodą i bez zgody

Jako przykład, gdzie jedno narzędzie stawia granicę, oto co robi ROASaurus w Shopify przy włączonym Respect visitor consent, czyli ustawieniu domyślnym.

To, czy opłacone zamówienie odwiedzającego, który odmówił, wolno wysłać, jest kwestią prawną, a odpowiedź może się różnić w zależności od sklepu i kraju. ROASaurus domyślnie je wysyła. Jeśli z twojej porady prawnej wynika, że zdarzenia zakupu też wymagają uprzedniej zgody, skontaktuj się z ROASaurus, zanim włączysz zakupy server-side. Szczegóły dla Shopify i innych sklepów internetowych zawiera zgody i prywatność.

Jak ROASaurus obsługuje zgody i sygnały Consent Mode

ROASaurus nie ustawia sygnałów Google Consent Mode dla twoich tagów Google. Odczytuje wybór odwiedzającego z innego źródła w zależności od twojego sklepu internetowego:

• W Shopify skrypt witryny i piksele checkoutu odczytują Customer Privacy API Shopify, które wypełnia twój baner cookie. Piksel checkoutu uwzględnia też wybór, który kupujący zmienia w trakcie zakupu. Poradnik server-side tracking w Shopify pokazuje krok po kroku, jak to działa.
• W innych sklepach internetowych skrypt ROASaurus odczytuje OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, banery IAB TCF, polecenia consent Google Consent Mode i WP Consent API. W Google Consent Mode zgoda marketingowa oznacza, że ad_storage i ad_user_data mają status granted, a inne kategorie możesz przypisać osobno dla każdego narzędzia. W przypadku innego banera wywołaj tlq('consent', true) albo tlq('consent', false), gdy odwiedzający dokona wyboru.
• Konwersje Google Ads są wysyłane tylko z checkoutu Shopify. ROASaurus ładuje tam tag Google wyłącznie dla kupujących, którzy zezwalają na marketingowe cookie, ale nie wysyła razem z nim sygnałów Consent Mode.
• Z serwera ROASaurus przekazuje wybór we własnych polach zgody Google: zdarzenia Google Analytics 4 zawierają ad_user_data i ad_personalization, ze statusem granted dla odwiedzających, którzy wyrazili zgodę, i denied dla zamówień wysyłanych jako anonimowa sprzedaż, a leady przesyłane do Google Ads zawierają zgodę ad_user_data.

Twoje własne tagi Google nadal potrzebują Consent Mode. Jeśli na swojej stronie uruchamiasz tagi Google Ads lub Google Analytics, twój baner albo narzędzie do zgód musi wysyłać do nich sygnały. Jeśli reklamujesz się wśród odwiedzających z EOG, zapytaj dostawcę narzędzia do zgód lub programistę, czy cała twoja konfiguracja, w tym konwersje Google Ads z checkoutu, spełnia wymagania Google dla twojego konta.

Lista kontrolna zgód dla sklepów internetowych

1. Zainstaluj baner cookie

   Musi blokować marketingowe cookie, a analityczne tam, gdzie wymaga tego prawo, dopóki odwiedzający się nie zgodzi. W Shopify użyj banera, który zapisuje dane do Customer Privacy API.

2. Przypisz baner do Consent Mode

   Ustaw cztery sygnały domyślnie na odmowne i aktualizuj je z banera, żeby twoje tagi Google respektowały wybór odwiedzającego.

3. Ustaw w swoim narzędziu do trackingu respektowanie zgody

   W ROASaurus zostaw włączone Respect visitor consent w Store settings. W sklepach innych niż Shopify sprawdź, czy ROASaurus odczytuje twoje narzędzie do zgód, albo przekazuj wybór przez tlq('consent', …).

4. Zdecyduj o zakupach server-side

   Zapytaj swojego doradcę prawnego, czy opłacone zamówienia odwiedzających, którzy odmówili, wolno wysyłać i na jakiej podstawie prawnej.

5. Zaktualizuj politykę prywatności i umowy

   Wymień każdą platformę reklamową, która otrzymuje dane, wyjaśnij, jak wycofać zgodę, i podpisz umowę powierzenia przetwarzania danych z każdym podmiotem przetwarzającym.

6. Przetestuj obie odpowiedzi

   Odrzuć cookie w prywatnym oknie przeglądarki i sprawdź w narzędziach deweloperskich, że żaden piksel reklamowy się nie ładuje i nie jest ustawione cookie z visitor id. Potem zaakceptuj i sprawdź, że oba się pojawiają.

Źródła

1. Google for Developers: Consent mode overview
2. Google Ads Help: Updates to consent mode for traffic in European Economic Area (EEA)
3. Google: EU user consent policy
4. Your Europe: Online privacy, how to use cookie on your website
5. Your Europe: Data protection under GDPR

W ROASaurus

• Pomoc: zgody i prywatność
• Server-side tracking w ROASaurus
• Integracja z Google Ads
• Integracja ze Shopify

Czytaj dalej