Consent Mode v2 и GDPR: что может отправлять интернет-магазин

Consent Mode v2 — это способ Google, с помощью которого сайт сообщает своим тегам Google, согласился ли посетитель на cookie и на использование его данных для рекламы. Он использует четыре сигнала: ad_storage, analytics_storage, ad_user_data и ad_personalization. Сам он согласие не запрашивает. Запрашивает ваш cookie-баннер, а Consent Mode передаёт ответ Google.

Это руководство объясняет четыре сигнала, basic и advanced Consent Mode, что законодательство ЕС требует от интернет-магазина в общих чертах, как вписывается серверный трекинг и как ROASaurus работает с согласием.

Что такое Consent Mode v2?

Consent Mode — это функция Google для сайтов и приложений. Сайт задаёт для каждого посетителя состояние согласия по умолчанию, обычно «отклонено», и обновляет его, когда посетитель отвечает на cookie-баннер. Теги Google читают это состояние и меняют поведение. При наличии согласия они работают как обычно. Без согласия они не читают и не записывают рекламные cookie и отправляют ограниченные данные или ничего, в зависимости от настройки.

Версия 2 добавила два сигнала: ad_user_data и ad_personalization. Google ввёл их, усиливая применение своей политики согласия пользователей из ЕС. Для посетителей из Европейской экономической зоны (ЕЭЗ) рекламодатели, которые хотят использовать персонализацию рекламы и измерение, должны собирать согласие и передавать сигналы согласия Google. Сама политика охватывает посетителей из ЕЭЗ, Великобритании и Швейцарии.

Четыре сигнала согласия

Cookie-баннер сопоставляет свои категории с этими сигналами. Типичное сопоставление: категория маркетинга или рекламы задаёт ad_storage, ad_user_data и ad_personalization, а категория аналитики или статистики — analytics_storage. Проверьте, как это делает ваш инструмент согласия, потому что одна ошибка в сопоставлении отправляет неверный ответ каждому тегу Google на вашем сайте.

Basic и advanced Consent Mode

Google предлагает два способа внедрить Consent Mode. Разница — в том, что происходит до согласия и без него.

Технически Consent Mode работает с двумя командами. Команда default задаёт состояние согласия до того, как любой тег Google отправит данные. Команда update меняет его, когда посетитель отвечает на баннер.

// On every page, before any Google tag sends data:
gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied'
});

// When the visitor accepts marketing and analytics cookies:
gtag('consent', 'update', {
  ad_storage: 'granted',
  ad_user_data: 'granted',
  ad_personalization: 'granted',
  analytics_storage: 'granted'
});

Платформы управления согласием обычно отправляют эти команды за вас. Проверьте, что так и есть и что они отправляют update на каждой странице после ответа посетителя, а не только на странице, где был показан баннер.

Что законодательство ЕС требует от интернет-магазина

Для рекламного трекинга важнее всего два закона ЕС, а Google добавляет к ним собственную политику. Это краткое изложение в общих чертах.

Правила ePrivacy о cookie

Директива ePrivacy регулирует хранение информации на устройстве посетителя, например cookie, и её последующее чтение. Cookie, строго необходимые для запрошенного посетителем сервиса, например корзина покупок или вход в аккаунт, согласия не требуют. Рекламные трекинговые cookie требуют. Согласно руководству ЕС для бизнеса, согласие идёт первым: такие cookie нельзя устанавливать при первом открытии страницы. Согласие должно даваться по каждой цели, а отозвать его должно быть так же легко, как дать.

GDPR о персональных данных

GDPR распространяется на любое использование персональных данных, например адреса email, номера телефона или сведений о заказе. Для каждого использования нужно одно из шести правовых оснований, например согласие, договор или законные интересы. Обрабатывать можно только те данные, которые нужны для цели. Сервису, который обрабатывает персональные данные за вас, например инструменту трекинга, нужен письменный договор с вами.

Политика Google о согласии пользователей из ЕС

Если вы используете рекламные продукты Google, эта политика добавляет договорную обязанность. Для посетителей из ЕЭЗ, Великобритании и Швейцарии вы должны получать действительное согласие на cookie там, где этого требует закон, и на использование персональных данных для персонализации рекламы. Вы должны вести учёт согласий, объяснять, как его отозвать, и чётко называть каждую сторону, получающую данные.

Нужно ли согласие для серверного трекинга?

Серверный трекинг меняет то, откуда отправляется событие: с вашего сервера, а не из браузера посетителя. Он не меняет того, что вам можно отправлять. Это видно по двум причинам.

Во-первых, большинство серверных настроек всё равно начинаются в браузере. Скрипт читает click id из URL лендинга и сохраняет его на устройстве, поэтому на этот шаг распространяются правила ePrivacy. Во-вторых, отправка покупки с хешированным email, IP-адресом или click id на рекламную платформу — это обработка персональных данных. Ей нужно правовое основание по GDPR, каким бы путём данные ни шли. Техническую сторону объясняет наше руководство что такое серверный трекинг.

Минимизация данных и хеширование

Отправляйте то, что платформе нужно, чтобы сопоставить и засчитать конверсию, а не весь заказ. Рекламные платформы просят нормализовать и хешировать персональные поля, такие как email и телефон, с помощью SHA-256 перед отправкой. Хеширование защищает исходное значение на пути к платформе, но не является анонимизацией: платформа сравнивает хеш со своими пользовательскими данными, чтобы найти совпадение. Относитесь к хешированным данным как к персональным.

Что интернет-магазин отправляет с согласием и без него

В качестве примера того, где один инструмент проводит границу, вот что ROASaurus делает в Shopify при включённом Respect visitor consent, а это значение по умолчанию.

Можно ли отправлять оплаченный заказ посетителя, который отказался, — это юридический вопрос, и ответ может различаться для каждого магазина и каждой страны. ROASaurus отправляет его по умолчанию. Если ваш юрист считает, что события покупки тоже требуют предварительного согласия, свяжитесь с ROASaurus, прежде чем включать серверные покупки. Подробности для Shopify и других интернет-магазинов — в разделе согласие и конфиденциальность.

Как ROASaurus работает с согласием и сигналами Consent Mode

ROASaurus не устанавливает сигналы Google Consent Mode для ваших тегов Google. Он считывает выбор посетителя из разных источников в зависимости от вашего интернет-магазина:

• В Shopify скрипт витрины и пиксели чекаута читают Customer Privacy API Shopify, который заполняет ваш cookie-баннер. Пиксель чекаута также учитывает выбор, который покупатель меняет во время оформления заказа. Как это работает, шаг за шагом показывает руководство по серверному трекингу в Shopify.
• В других интернет-магазинах скрипт ROASaurus считывает OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, баннеры IAB TCF, команды consent в Google Consent Mode и WP Consent API. В Google Consent Mode маркетинговое согласие означает, что ad_storage и ad_user_data предоставлены, а другие категории можно сопоставить для каждого инструмента отдельно. При использовании другого баннера вызовите tlq('consent', true) или tlq('consent', false), когда посетитель делает выбор.
• Конверсии Google Ads отправляются только из чекаута Shopify. ROASaurus загружает там тег Google только для покупателей, разрешивших маркетинговые cookie, но не отправляет вместе с ним сигналы Consent Mode.
• С сервера ROASaurus передаёт выбор дальше в собственных полях согласия Google: события Google Analytics 4 содержат ad_user_data и ad_personalization — со значением granted для посетителей, давших согласие, и denied для заказов, отправленных как анонимные продажи, а загрузки лидов в Google Ads содержат согласие ad_user_data.

Вашим собственным тегам Google по-прежнему нужен Consent Mode. Если на вашем сайте работают теги Google Ads или Google Analytics, ваш баннер или инструмент согласия должен отправлять им сигналы. Если вы рекламируетесь для посетителей из ЕЭЗ, уточните у поставщика инструмента согласия или разработчика, соответствует ли вся ваша настройка, включая конверсии Google Ads из чекаута, требованиям Google для вашего аккаунта.

Чек-лист по согласию для интернет-магазинов

1. Установите cookie-баннер

   Он должен блокировать маркетинговые cookie, а там, где этого требует закон, и аналитические, пока посетитель не согласится. В Shopify используйте баннер, который пишет в Customer Privacy API.

2. Свяжите баннер с Consent Mode

   Задайте четырём сигналам значение «отклонено» по умолчанию и обновляйте их из баннера, чтобы ваши теги Google следовали выбору посетителя.

3. Настройте инструмент трекинга на уважение согласия

   В ROASaurus оставьте включённым Respect visitor consent в Store settings. В интернет-магазинах, кроме Shopify, проверьте, что ROASaurus считывает ваш инструмент согласия, или передавайте выбор через tlq('consent', …).

4. Решите вопрос с серверными покупками

   Спросите юриста, можно ли отправлять оплаченные заказы посетителей, которые отказались, и на каком правовом основании.

5. Обновите уведомление о конфиденциальности и договоры

   Назовите каждую рекламную платформу, получающую данные, объясните, как отозвать согласие, и подпишите соглашение об обработке данных с каждым обработчиком.

6. Проверьте оба ответа

   Отклоните cookie в приватном окне браузера и проверьте в инструментах разработчика, что ни один рекламный пиксель не загружается и cookie с visitor id не устанавливается. Затем примите и проверьте, что появились и то и другое.

Источники

1. Google for Developers: Consent mode overview
2. Google Ads Help: Updates to consent mode for traffic in European Economic Area (EEA)
3. Google: EU user consent policy
4. Your Europe: Online privacy, how to use cookies on your website
5. Your Europe: Data protection under GDPR

В ROASaurus

• Справка: согласие и конфиденциальность
• Серверный трекинг в ROASaurus
• Интеграция с Google Ads
• Интеграция с Shopify

Читайте дальше