Consent Mode v2 și GDPR: ce are voie să trimită un magazin online

Consent Mode v2 este modul prin care Google permite unui site să le spună tagurilor sale Google dacă un vizitator a fost de acord cu cookie-urile și cu utilizarea datelor sale pentru reclame. Folosește patru semnale: ad_storage, analytics_storage, ad_user_data și ad_personalization. Nu cere el însuși consimțământul. Cere bannerul tău de cookie-uri, iar Consent Mode transmite răspunsul mai departe către Google.

Acest ghid explică cele patru semnale, Consent Mode basic și advanced, ce cere legislația UE de la un magazin online, la nivel general, cum se încadrează tracking-ul server-side și cum gestionează ROASaurus consimțământul.

Ce este Consent Mode v2?

Consent Mode este o funcție Google pentru site-uri și aplicații. Site-ul setează o stare implicită de consimțământ pentru fiecare vizitator, de obicei refuzat, și o actualizează când vizitatorul răspunde la bannerul de cookie-uri. Tagurile Google citesc acea stare și își schimbă comportamentul. Cu consimțământ, funcționează normal. Fără consimțământ, nu citesc și nu scriu cookie-uri de publicitate și trimit date limitate sau nimic, în funcție de configurarea ta.

Versiunea 2 a adăugat două semnale, ad_user_data și ad_personalization. Google le-a introdus în timp ce întărea aplicarea politicii sale privind consimțământul utilizatorilor din UE. Pentru vizitatorii din Spațiul Economic European (SEE), agenții de publicitate care vor să folosească personalizarea reclamelor și măsurarea trebuie să colecteze consimțământul și să partajeze semnalele de consimțământ cu Google. Politica în sine acoperă vizitatorii din SEE, din Regatul Unit și din Elveția.

Cele patru semnale de consimțământ

Un banner de cookie-uri își asociază propriile categorii cu aceste semnale. O asociere frecventă este: categoria de marketing sau de publicitate setează ad_storage, ad_user_data și ad_personalization, iar categoria de analiză sau statistici setează analytics_storage. Verifică cum face asta instrumentul tău de consimțământ, pentru că o singură eroare de asociere trimite răspunsul greșit către fiecare tag Google de pe site-ul tău.

Consent Mode basic și advanced

Google oferă două moduri de a implementa Consent Mode. Diferența este ce se întâmplă înainte de consimțământ și fără consimțământ.

Din punct de vedere tehnic, Consent Mode funcționează cu două comenzi. Comanda default setează starea consimțământului înainte ca vreun tag Google să trimită date. Comanda update o schimbă atunci când vizitatorul răspunde la banner.

// On every page, before any Google tag sends data:
gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied'
});

// When the visitor accepts marketing and analytics cookies:
gtag('consent', 'update', {
  ad_storage: 'granted',
  ad_user_data: 'granted',
  ad_personalization: 'granted',
  analytics_storage: 'granted'
});

Platformele de gestionare a consimțământului trimit de obicei aceste comenzi în locul tău. Verifică dacă o fac și dacă trimit update-ul pe fiecare pagină după ce vizitatorul a răspuns, nu doar pe pagina unde a fost afișat bannerul.

Ce cere legislația UE de la un magazin online

Două legi ale UE contează cel mai mult pentru tracking-ul reclamelor, iar Google adaugă peste ele propria politică. Este un rezumat general.

Regulile ePrivacy privind cookie-urile

Directiva ePrivacy acoperă stocarea de informații pe dispozitivul unui vizitator, cum ar fi cookie-urile, și citirea lor ulterioară. Cookie-urile strict necesare pentru un serviciu cerut de vizitator, cum ar fi coșul de cumpărături sau autentificarea, nu necesită consimțământ. Cookie-urile de tracking pentru publicitate îl necesită. Potrivit ghidului UE pentru companii, consimțământul vine primul: astfel de cookie-uri nu pot fi setate la prima deschidere a paginii. Consimțământul trebuie dat pentru fiecare scop în parte, iar retragerea lui trebuie să fie la fel de simplă ca acordarea.

GDPR și datele cu caracter personal

GDPR se aplică oricărei utilizări a datelor cu caracter personal, cum ar fi o adresă de email, un număr de telefon sau detaliile unei comenzi. Fiecare utilizare are nevoie de una dintre cele șase baze legale, de exemplu consimțământul, un contract sau interesele legitime. Poți prelucra doar datele de care ai nevoie pentru scop. Un serviciu care prelucrează date personale pentru tine, cum ar fi un instrument de tracking, are nevoie de un contract scris cu tine.

Politica Google privind consimțământul utilizatorilor din UE

Dacă folosești produsele de publicitate Google, această politică adaugă o obligație contractuală. Pentru vizitatorii din SEE, din Regatul Unit și din Elveția, trebuie să obții consimțământ valid pentru cookie-uri acolo unde legea o cere și pentru utilizarea datelor personale în personalizarea reclamelor. Trebuie să păstrezi evidența consimțământului, să explici cum poate fi retras și să numești clar fiecare parte care primește datele.

Are nevoie tracking-ul server-side de consimțământ?

Tracking-ul server-side schimbă locul de unde este trimis un eveniment: serverul tău în loc de browserul vizitatorului. Nu schimbă ce ai voie să trimiți. Două puncte arată de ce.

În primul rând, majoritatea configurărilor server-side încep totuși în browser. Un script citește click id-ul din URL-ul de landing page și îl stochează pe dispozitiv, așa că regulile ePrivacy se aplică acestui pas. În al doilea rând, trimiterea unei achiziții cu un email cu hash, o adresă IP sau un click id către o platformă de publicitate este prelucrare de date cu caracter personal. Aceasta are nevoie de o bază legală conform GDPR, indiferent de traseul pe care îl urmează datele. Ghidul nostru despre ce este tracking-ul server-side explică partea tehnică.

Minimizarea datelor și aplicarea hash-ului

Trimite ce are nevoie platforma ca să asocieze și să numere conversia, nu întreaga comandă. Platformele de publicitate cer ca datele personale, cum ar fi emailul și telefonul, să fie normalizate și transformate în hash SHA-256 înainte de trimitere. Hash-ul protejează valoarea brută pe drumul către platformă, dar nu este anonimizare: platforma compară hash-ul cu propriile date de utilizator ca să găsească o potrivire. Tratează datele cu hash ca date personale.

Ce trimite un magazin online cu și fără consimțământ

Ca exemplu de unde trasează un instrument linia, iată ce face ROASaurus pe Shopify cu Respect visitor consent activat, ceea ce este setarea implicită.

Dacă comanda plătită a unui vizitator care a refuzat poate fi trimisă este o întrebare juridică, iar răspunsul poate diferi de la un magazin la altul și de la o țară la alta. ROASaurus o trimite implicit. Dacă sfatul tău juridic spune că și evenimentele de achiziție necesită consimțământ prealabil, contactează ROASaurus înainte să activezi achizițiile server-side. Consimțământ și confidențialitate are detaliile pentru Shopify și pentru alte magazine online.

Cum gestionează ROASaurus consimțământul și semnalele Consent Mode

ROASaurus nu setează semnalele Google Consent Mode pentru tagurile tale Google. Citește alegerea vizitatorului dintr-o altă sursă, în funcție de magazinul tău online:

• Pe Shopify, scriptul din vitrină și pixelii din checkout citesc Customer Privacy API din Shopify, pe care îl completează bannerul tău de cookie-uri. Pixelul din checkout urmează și o alegere pe care cumpărătorul o schimbă în timpul checkout-ului. Ghidul despre tracking-ul server-side pe Shopify arată pas cu pas cum funcționează asta.
• Pe alte magazine online, scriptul ROASaurus citește OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, bannerele IAB TCF, comenzile consent din Google Consent Mode și WP Consent API. Cu Google Consent Mode, consimțământul de marketing înseamnă că ad_storage și ad_user_data sunt acordate, iar pentru fiecare instrument poți mapa și alte categorii. Cu un alt banner, apelează tlq('consent', true) sau tlq('consent', false) când vizitatorul alege.
• Conversiile Google Ads sunt trimise doar din checkout-ul Shopify. ROASaurus încarcă acolo tagul Google doar pentru cumpărătorii care permit cookie-urile de marketing, dar nu trimite odată cu el semnale Consent Mode.
• De pe server, ROASaurus transmite alegerea mai departe în câmpurile de consimțământ proprii ale Google: evenimentele Google Analytics 4 conțin ad_user_data și ad_personalization, acordate pentru vizitatorii care și-au dat consimțământul și refuzate pentru comenzile trimise ca vânzări anonime, iar încărcările de lead-uri în Google Ads conțin consimțământul ad_user_data.

Propriile tale taguri Google au în continuare nevoie de Consent Mode. Dacă rulezi taguri Google Ads sau Google Analytics pe site-ul tău, bannerul sau instrumentul tău de consimțământ trebuie să le trimită semnalele. Dacă faci publicitate pentru vizitatori din SEE, verifică la furnizorul instrumentului tău de consimțământ sau la dezvoltatorul tău dacă întreaga ta configurare, inclusiv conversiile Google Ads din checkout, îndeplinește cerințele Google pentru contul tău.

O listă de verificare a consimțământului pentru magazine online

1. Instalează un banner de cookie-uri

   Trebuie să blocheze cookie-urile de marketing, și cookie-urile de analiză acolo unde legea ta o cere, până când vizitatorul este de acord. Pe Shopify, folosește un banner care scrie în Customer Privacy API.

2. Asociază bannerul cu Consent Mode

   Setează cele patru semnale pe denied implicit și actualizează-le din banner, astfel încât tagurile tale Google să urmeze alegerea vizitatorului.

3. Setează-ți instrumentul de tracking să respecte consimțământul

   În ROASaurus, păstrează Respect visitor consent activat în Store settings. Pe alte magazine online decât Shopify, verifică dacă ROASaurus citește instrumentul tău de consimțământ sau transmite alegerea cu tlq('consent', …).

4. Decide ce faci cu achizițiile server-side

   Întreabă-ți consultantul juridic dacă comenzile plătite ale vizitatorilor care au refuzat pot fi trimise și pe ce bază legală.

5. Actualizează-ți politica de confidențialitate și contractele

   Numește fiecare platformă de publicitate care primește date, explică cum poate fi retras consimțământul și semnează un acord de prelucrare a datelor cu fiecare împuternicit.

6. Testează ambele răspunsuri

   Refuză cookie-urile într-o fereastră privată de browser și verifică în instrumentele pentru dezvoltatori că nu se încarcă niciun pixel de reclame și nu se setează niciun cookie cu id de vizitator. Apoi acceptă și verifică dacă apar ambele.

Surse

1. Google for Developers: Consent mode overview
2. Google Ads Help: Updates to consent mode for traffic in European Economic Area (EEA)
3. Google: EU user consent policy
4. Your Europe: Online privacy, how to use cookies on your website
5. Your Europe: Data protection under GDPR

În ROASaurus

• Ajutor: consimțământ și confidențialitate
• Tracking server-side în ROASaurus
• Integrare Google Ads
• Integrare Shopify

Continuă lectura