- O Consent Mode v2 é a forma de um site dizer às tags da Google aquilo com que um visitante concordou, através de quatro sinais: ad_storage, analytics_storage, ad_user_data e ad_personalization.
- O Consent Mode não recolhe o consentimento: quem o recolhe é o seu banner de cookies, e o Consent Mode transmite a resposta à Google.
- Na UE, os cookies de tracking para publicidade exigem consentimento prévio, e qualquer utilização de dados pessoais precisa de uma base jurídica ao abrigo do RGPD.
- O tracking server-side muda o local de onde os dados são enviados, não a questão de poder ou não enviá-los, por isso não elimina a necessidade de consentimento.
- A ROASaurus não define sinais do Consent Mode para as suas tags da Google. No Shopify segue a Customer Privacy API; nas outras lojas online lê a sua ferramenta de consentimento, incluindo o Google Consent Mode.
O Consent Mode v2 é a forma que a Google tem de permitir que um site diga às suas tags da Google se um visitante aceitou os cookies e a utilização dos seus dados para anúncios. Usa quatro sinais: ad_storage, analytics_storage, ad_user_data e ad_personalization. Não pede o consentimento por si. Quem pede é o seu banner de cookies, e o Consent Mode transmite a resposta à Google.
Este guia explica os quatro sinais, o Consent Mode básico e avançado, o que a lei da UE exige a uma loja online em termos gerais, como o tracking server-side se enquadra e como a ROASaurus trata o consentimento.
O que é o Consent Mode v2?
O Consent Mode é uma funcionalidade da Google para sites e apps. O site define um estado de consentimento predefinido para cada visitante, normalmente recusado, e atualiza-o quando o visitante responde ao banner de cookies. As tags da Google leem esse estado e alteram o seu comportamento. Com consentimento, funcionam normalmente. Sem consentimento, não leem nem escrevem cookies de publicidade e enviam dados limitados ou nenhuns, consoante a sua configuração.
A versão 2 acrescentou dois sinais, ad_user_data e ad_personalization. A Google introduziu-os ao reforçar a aplicação da sua política de consentimento dos utilizadores da UE. Para os visitantes do Espaço Económico Europeu (EEE), os anunciantes que queiram usar a personalização de anúncios e a medição têm de recolher consentimento e partilhar os sinais de consentimento com a Google. A própria política abrange os visitantes do EEE, do Reino Unido e da Suíça.
Os quatro sinais de consentimento
| Sinal | O que controla | Quando é recusado |
|---|---|---|
ad_storage | Cookies e identificadores de dispositivo para publicidade | Não são escritos nem lidos cookies de publicidade |
analytics_storage | Cookies e identificadores para análise, como a duração da visita | Não são escritos nem lidos cookies de análise |
ad_user_data | Envio de dados do utilizador para a Google para publicidade | Não são recolhidos dados pessoais para anúncios, incluindo os dados com hash das conversões avançadas |
ad_personalization | Publicidade personalizada | O remarketing e outros anúncios personalizados não recebem dados |
Um banner de cookies associa as suas próprias categorias a estes sinais. Uma associação comum é: a categoria de marketing ou publicidade define ad_storage, ad_user_data e ad_personalization, e a categoria de análise ou estatística define analytics_storage. Verifique como a sua ferramenta de consentimento faz isto, porque um único erro de associação envia a resposta errada a todas as tags da Google do seu site.
Consent Mode básico e avançado
A Google oferece duas formas de implementar o Consent Mode. A diferença está no que acontece antes do consentimento e sem ele.
- As tags da Google não carregam até o visitante responder ao banner
- Se o visitante recusar, nenhum dado vai para a Google, nem sequer o estado de consentimento
- A modelação de conversões usa um modelo geral
- As tags da Google carregam logo, com o consentimento recusado por predefinição
- Sem consentimento, as tags enviam medições sem cookies
- A modelação de conversões usa um modelo criado para o anunciante
Tecnicamente, o Consent Mode funciona com dois comandos. O comando default define o estado de consentimento antes de qualquer tag da Google enviar dados. O comando update altera-o quando o visitante responde ao banner.
// On every page, before any Google tag sends data:
gtag('consent', 'default', {
ad_storage: 'denied',
ad_user_data: 'denied',
ad_personalization: 'denied',
analytics_storage: 'denied'
});
// When the visitor accepts marketing and analytics cookies:
gtag('consent', 'update', {
ad_storage: 'granted',
ad_user_data: 'granted',
ad_personalization: 'granted',
analytics_storage: 'granted'
});As plataformas de gestão de consentimento costumam enviar estes comandos por si. Verifique se o fazem e se enviam o update em todas as páginas depois de o visitante ter respondido, e não apenas na página em que o banner foi mostrado.
O que a lei da UE exige a uma loja online
Duas leis da UE importam mais para o tracking de anúncios, e a Google acrescenta a sua própria política por cima. Isto é um resumo em termos gerais.
As regras de ePrivacy sobre cookies
A Diretiva ePrivacy abrange o armazenamento de informação no dispositivo de um visitante, como os cookies, e a sua leitura posterior. Os cookies estritamente necessários para um serviço que o visitante pediu, como o carrinho de compras ou um início de sessão, não precisam de consentimento. Os cookies de tracking para publicidade precisam. Segundo as orientações da UE para empresas, o consentimento vem primeiro: esses cookies não podem ser definidos quando a página abre pela primeira vez. O consentimento deve ser dado por finalidade, e retirá-lo tem de ser tão fácil como dá-lo.
O RGPD e os dados pessoais
O RGPD aplica-se a qualquer utilização de dados pessoais, como um endereço de email, um número de telefone ou os dados de uma encomenda. Cada utilização precisa de uma de seis bases jurídicas, por exemplo o consentimento, um contrato ou os interesses legítimos. Só pode tratar os dados de que precisa para a finalidade. Um serviço que trate dados pessoais por si, como uma ferramenta de tracking, precisa de um contrato escrito consigo.
A política de consentimento dos utilizadores da UE da Google
Se usar os produtos de publicidade da Google, esta política acrescenta uma obrigação contratual. Para os visitantes do EEE, do Reino Unido e da Suíça, tem de obter consentimento válido para os cookies quando a lei o exigir, e para a utilização de dados pessoais na personalização de anúncios. Tem de manter registos do consentimento, explicar como o retirar e indicar claramente cada parte que recebe os dados.
| Regra | O que abrange | Exemplo numa loja online |
|---|---|---|
| Diretiva ePrivacy | Armazenar informação no dispositivo e voltar a lê-la | O cookie do pixel da Meta, um cookie de ID de visitante |
| RGPD | Qualquer tratamento de dados pessoais | Enviar um email com hash com uma compra para uma plataforma de anúncios |
| Política de consentimento dos utilizadores da UE da Google | Produtos de publicidade da Google usados para visitantes do EEE, do Reino Unido e da Suíça | Transmitir os sinais do Consent Mode às tags da Google |
O tracking server-side precisa de consentimento?
O tracking server-side muda o local de onde um evento é enviado: o seu servidor em vez do navegador do visitante. Não muda o que pode enviar. Dois pontos mostram porquê.
Primeiro, a maioria das configurações server-side continua a começar no navegador. Um script lê o ID de clique no URL de destino e guarda-o no dispositivo, pelo que as regras de ePrivacy se aplicam a esse passo. Segundo, enviar uma compra com um email com hash, um endereço IP ou um ID de clique para uma plataforma de anúncios é tratamento de dados pessoais. Precisa de uma base jurídica ao abrigo do RGPD, qualquer que seja o caminho que os dados seguem. O nosso guia sobre o que é o tracking server-side explica a vertente técnica.
Minimização de dados e hash
Envie o que a plataforma precisa para fazer corresponder e contar a conversão, não a encomenda inteira. As plataformas de anúncios pedem que campos pessoais como o email e o telefone sejam normalizados e tenham hash SHA-256 antes de serem enviados. O hash protege o valor original a caminho da plataforma, mas não é anonimização: a plataforma compara o hash com os seus próprios dados de utilizadores para encontrar uma correspondência. Trate os dados com hash como dados pessoais.
O que uma loja online envia com e sem consentimento
Como exemplo do ponto em que uma ferramenta traça o limite, eis o que a ROASaurus faz no Shopify com Respect visitor consent ativado, que é a predefinição.
| Dados | O visitante permite os cookies de marketing | O visitante recusa |
|---|---|---|
| Cookie de ID de visitante | Definido | Não definido |
| IDs de clique e UTM | Guardados | Não guardados |
| Eventos de navegação, como visualizações de página e adições ao carrinho | Guardados com o ID de visitante | Mantidos sem ID de visitante, endereço IP nem detalhes do navegador, e não enviados às plataformas de anúncios |
| Pixels do navegador da Meta, do TikTok e de outros | Carregados e a enviar eventos | Não carregados, sem eventos do navegador |
| Conversão do Google Ads a partir do checkout do Shopify | Enviada | Não enviada |
| Encomenda paga, enviada server-side | Enviada com IDs de clique, dados do cliente com hash da encomenda e o endereço IP e o user agent | Enviada para a Meta, o TikTok, o Snapchat, o Pinterest, o Reddit, o X, a Microsoft e a Taboola com os dados do cliente com hash da encomenda e o endereço IP e o user agent da encomenda, sem IDs de clique. O LinkedIn e os destinos adicionados depois dele não recebem nada; o GA4 recebe uma venda anónima |
| Endereço da página de destino de uma encomenda do Shopify | Usado nos relatórios de atribuição da ROASaurus, não enviado às plataformas de anúncios | Usado nos relatórios de atribuição da ROASaurus, não enviado às plataformas de anúncios |
Saber se a encomenda paga de um visitante que recusou pode ser enviada é uma questão jurídica, e a resposta pode variar consoante a loja e o país. A ROASaurus envia-a por predefinição. Se o seu aconselhamento jurídico disser que os eventos de compra também precisam de consentimento prévio, contacte a ROASaurus antes de ativar as compras server-side. A página Consentimento e privacidade tem os detalhes para o Shopify e outras lojas online.
Como a ROASaurus trata o consentimento e os sinais do Consent Mode
A ROASaurus não define sinais do Google Consent Mode para as suas tags da Google. Lê a escolha do visitante a partir de uma fonte diferente consoante a sua loja online:
- No Shopify, o script da loja e os pixels de checkout leem a Customer Privacy API do Shopify, preenchida pelo seu banner de cookies. O pixel de checkout também segue uma escolha que o comprador altere durante o checkout. O guia sobre tracking server-side no Shopify mostra como isto funciona passo a passo.
- Nas outras lojas online, o script da ROASaurus lê o OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, os banners IAB TCF, os comandos
consentdo Google Consent Mode e a WP Consent API. Com o Google Consent Mode, o consentimento de marketing significa quead_storageead_user_dataestão concedidos, e pode associar outras categorias por ferramenta. Com outro banner, chametlq('consent', true)outlq('consent', false)quando o visitante escolher. - As conversões do Google Ads só são enviadas a partir do checkout do Shopify. A ROASaurus carrega aí a tag da Google apenas para os compradores que permitem cookies de marketing, mas não envia com ela sinais do Consent Mode.
- A partir do servidor, a ROASaurus transmite a escolha nos próprios campos de consentimento da Google: os eventos do Google Analytics 4 levam
ad_user_dataead_personalization, concedidos para os visitantes que consentiram e negados para as encomendas enviadas como vendas anónimas, e os carregamentos de leads para o Google Ads levam o consentimentoad_user_data.
As suas próprias tags da Google continuam a precisar do Consent Mode. Se usar tags do Google Ads ou do Google Analytics no seu site, o seu banner ou ferramenta de consentimento tem de lhes enviar os sinais. Se anuncia para visitantes do EEE, confirme com o fornecedor da sua ferramenta de consentimento ou com o seu programador se a sua configuração completa, incluindo as conversões do Google Ads do checkout, cumpre os requisitos da Google para a sua conta.
Uma lista de verificação de consentimento para lojas online
- Instale um banner de cookies
Tem de bloquear os cookies de marketing, e os de análise quando a sua lei o exigir, até o visitante aceitar. No Shopify, use um banner que escreva na Customer Privacy API.
- Associe o banner ao Consent Mode
Defina os quatro sinais como recusados por predefinição e atualize-os a partir do banner, para que as suas tags da Google sigam a escolha do visitante.
- Configure a sua ferramenta de tracking para respeitar o consentimento
Na ROASaurus, mantenha o Respect visitor consent ativado em Store settings. Em lojas online que não sejam Shopify, verifique se a ROASaurus lê a sua ferramenta de consentimento ou passe a escolha com
tlq('consent', …). - Decida sobre as compras server-side
Pergunte ao seu consultor jurídico se as encomendas pagas de visitantes que recusaram podem ser enviadas e com que base jurídica.
- Atualize o seu aviso de privacidade e os seus contratos
Indique cada plataforma de anúncios que recebe dados, explique como retirar o consentimento e assine um acordo de tratamento de dados com cada subcontratante.
- Teste as duas respostas
Recuse os cookies numa janela de navegação privada e verifique, nas ferramentas de programador, que nenhum pixel de anúncios é carregado e que nenhum cookie de ID de visitante é definido. Depois aceite e verifique que ambos aparecem.
Fontes
- Google for Developers: Consent mode overview
- Google Ads Help: Updates to consent mode for traffic in European Economic Area (EEA)
- Google: EU user consent policy
- Your Europe: Online privacy, how to use cookies on your website
- Your Europe: Data protection under GDPR
Na ROASaurus
- Ajuda: consentimento e privacidade
- Tracking server-side na ROASaurus
- Integração com o Google Ads
- Integração com o Shopify