Consent Mode v2 och GDPR: vad en webbshop får skicka

Consent Mode v2 är Googles sätt för en webbplats att tala om för sina Google-taggar om en besökare har godkänt cookies och användning av sina data för annonser. Det använder fyra signaler: ad_storage, analytics_storage, ad_user_data och ad_personalization. Det frågar inte efter samtycke självt. Din cookiebanner frågar, och Consent Mode skickar vidare svaret till Google.

Den här guiden förklarar de fyra signalerna, basic och advanced Consent Mode, vad EU-lagstiftningen kräver av en webbshop på en övergripande nivå, hur server-side tracking passar in och hur ROASaurus hanterar samtycke.

Vad är Consent Mode v2?

Consent Mode är en Google-funktion för webbplatser och appar. Webbplatsen sätter ett förvalt samtyckestillstånd för varje besökare, vanligtvis nekat, och uppdaterar det när besökaren svarar på cookiebannern. Googles taggar läser det tillståndet och ändrar sitt beteende. Med samtycke fungerar de normalt. Utan samtycke läser och skriver de inte annonscookies, och de skickar begränsade data eller inga alls, beroende på din uppsättning.

Version 2 lade till två signaler, ad_user_data och ad_personalization. Google införde dem när företaget skärpte tillämpningen av sin policy för användarsamtycke i EU. För besökare i Europeiska ekonomiska samarbetsområdet (EES) måste annonsörer som vill använda annonspersonalisering och mätning samla in samtycke och dela samtyckessignalerna med Google. Själva policyn omfattar besökare i EES, Storbritannien och Schweiz.

De fyra samtyckessignalerna

En cookiebanner kopplar sina egna kategorier till de här signalerna. En vanlig koppling är: kategorin marknadsföring eller annonsering sätter ad_storage, ad_user_data och ad_personalization, och kategorin analys eller statistik sätter analytics_storage. Kontrollera hur ditt samtyckesverktyg gör detta, eftersom ett enda fel i kopplingen skickar fel svar till varje Google-tagg på din sajt.

Basic och advanced Consent Mode

Google erbjuder två sätt att implementera Consent Mode. Skillnaden är vad som händer före och utan samtycke.

Tekniskt fungerar Consent Mode med två kommandon. Kommandot default sätter samtyckestillståndet innan någon Google-tagg skickar data. Kommandot update ändrar det när besökaren svarar på bannern.

// On every page, before any Google tag sends data:
gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied'
});

// When the visitor accepts marketing and analytics cookies:
gtag('consent', 'update', {
  ad_storage: 'granted',
  ad_user_data: 'granted',
  ad_personalization: 'granted',
  analytics_storage: 'granted'
});

Plattformar för samtyckeshantering skickar vanligtvis de här kommandona åt dig. Kontrollera att de gör det, och att de skickar update på varje sida efter att besökaren har svarat, inte bara på sidan där bannern visades.

Vad EU-lagstiftningen kräver av en webbshop

Två EU-lagar är viktigast för annonstracking, och Google lägger sin egen policy ovanpå. Det här är en sammanfattning på övergripande nivå.

ePrivacy-reglerna om cookies

ePrivacy-direktivet omfattar lagring av information på en besökares enhet, som cookies, och avläsning av den. Cookies som är absolut nödvändiga för en tjänst som besökaren har efterfrågat, som varukorgen eller en inloggning, behöver inget samtycke. Trackingcookies för annonsering behöver det. Enligt EU:s vägledning för företag kommer samtycket först: sådana cookies får inte sättas när sidan först öppnas. Samtycke ska ges per ändamål, och det måste vara lika lätt att återkalla det som att ge det.

GDPR om personuppgifter

GDPR gäller för all användning av personuppgifter, som en e-postadress, ett telefonnummer eller uppgifterna i en order. Varje användning behöver en av sex rättsliga grunder, till exempel samtycke, avtal eller berättigat intresse. Du får bara behandla de uppgifter du behöver för ändamålet. En tjänst som behandlar personuppgifter åt dig, som ett trackingverktyg, behöver ett skriftligt avtal med dig.

Googles policy för användarsamtycke i EU

Om du använder Googles annonsprodukter lägger den här policyn till en avtalsskyldighet. För besökare i EES, Storbritannien och Schweiz måste du få giltigt samtycke för cookies där lagen kräver det, och för användning av personuppgifter för att personalisera annonser. Du måste föra register över samtycken, förklara hur man återkallar dem och tydligt ange varje part som tar emot uppgifterna.

Behöver server-side tracking samtycke?

Server-side tracking ändrar varifrån en händelse skickas: din server i stället för besökarens webbläsare. Det ändrar inte vad du får skicka. Två punkter visar varför.

För det första börjar de flesta server-side-uppsättningar fortfarande i webbläsaren. Ett skript läser klick-id:t från landnings-URL:en och lagrar det på enheten, så ePrivacy-reglerna gäller det steget. För det andra är det behandling av personuppgifter att skicka ett köp med en hashad e-postadress, en IP-adress eller ett klick-id till en annonsplattform. Det kräver en rättslig grund enligt GDPR, oavsett vilken väg uppgifterna tar. Vår guide om vad server-side tracking är förklarar den tekniska sidan.

Dataminimering och hashning

Skicka det som plattformen behöver för att matcha och räkna konverteringen, inte hela ordern. Annonsplattformar kräver att personuppgifter som e-post och telefonnummer normaliseras och hashas med SHA-256 innan de skickas. Hashning skyddar det råa värdet på väg till plattformen, men det är inte anonymisering: plattformen jämför hashen med sina egna användardata för att hitta en matchning. Behandla hashade data som personuppgifter.

Vad en webbshop skickar med och utan samtycke

Som ett exempel på var ett verktyg drar gränsen är det här vad ROASaurus gör på Shopify med Respect visitor consent påslaget, vilket är standard.

Om den betalda ordern från en besökare som tackat nej får skickas är en juridisk fråga, och svaret kan skilja sig per butik och per land. ROASaurus skickar den som standard. Om din juridiska rådgivning säger att köphändelser också kräver föregående samtycke, kontakta ROASaurus innan du slår på server-side-köp. Samtycke och integritet har detaljerna för Shopify och andra webbshoppar.

Så hanterar ROASaurus samtycke och Consent Mode-signaler

ROASaurus sätter inte Google Consent Mode-signaler för dina Google-taggar. Det läser besökarens val från en annan källa beroende på din webbshop:

• På Shopify läser butiksskriptet och kassapixlarna Shopifys Customer Privacy API, som din cookiebanner fyller i. Kassapixeln följer också ett val som kunden ändrar i kassan. Guiden om server-side tracking på Shopify visar steg för steg hur det fungerar.
• På andra webbshoppar läser ROASaurus-skriptet OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, IAB TCF-bannrar, consent-kommandona i Google Consent Mode och WP Consent API. Med Google Consent Mode betyder marknadsföringssamtycke att ad_storage och ad_user_data är beviljade, och du kan mappa andra kategorier per verktyg. Med en annan banner anropar du tlq('consent', true) eller tlq('consent', false) när besökaren väljer.
• Google Ads-konverteringar skickas bara från Shopify-kassan. ROASaurus laddar Google-taggen där bara för kunder som tillåter marknadsföringscookies, men skickar inte Consent Mode-signaler med den.
• Från servern för ROASaurus vidare valet i Googles egna samtyckesfält: händelser till Google Analytics 4 bär ad_user_data och ad_personalization, beviljade för besökare som samtyckt och nekade för ordrar som skickas som anonyma försäljningar, och leaduppladdningar till Google Ads bär samtycket ad_user_data.

Dina egna Google-taggar behöver fortfarande Consent Mode. Om du kör Google Ads- eller Google Analytics-taggar på din sajt måste din banner eller ditt samtyckesverktyg skicka signalerna till dem. Om du annonserar mot besökare i EES, kontrollera med leverantören av ditt samtyckesverktyg eller din utvecklare om hela din uppsättning, inklusive Google Ads-konverteringarna från kassan, uppfyller Googles krav för ditt konto.

En samtyckeschecklista för webbshoppar

1. Installera en cookiebanner

   Den måste blockera marknadsföringscookies, och analyscookies där din lag kräver det, tills besökaren godkänner. På Shopify använder du en banner som skriver till Customer Privacy API.

2. Koppla bannern till Consent Mode

   Sätt de fyra signalerna till nekat som standard och uppdatera dem från bannern, så att dina Google-taggar följer besökarens val.

3. Ställ in ditt trackingverktyg så att det respekterar samtycke

   Behåll Respect visitor consent påslaget i Store settings i ROASaurus. På andra webbshoppar än Shopify kontrollerar du att ROASaurus läser ditt samtyckesverktyg, eller skickar valet med tlq('consent', …).

4. Bestäm hur du hanterar server-side-köp

   Fråga din juridiska rådgivare om de betalda ordrarna från besökare som tackat nej får skickas, och på vilken rättslig grund.

5. Uppdatera din integritetspolicy och dina avtal

   Ange varje annonsplattform som tar emot data, förklara hur man återkallar samtycke och teckna ett personuppgiftsbiträdesavtal med varje biträde.

6. Testa båda svaren

   Tacka nej till cookies i ett privat webbläsarfönster och kontrollera i utvecklarverktygen att ingen annonspixel laddas och ingen cookie med besökar-id sätts. Godkänn sedan och kontrollera att båda dyker upp.

Källor

1. Google for Developers: Consent mode overview
2. Google Ads Help: Updates to consent mode for traffic in European Economic Area (EEA)
3. Google: EU user consent policy
4. Your Europe: Online privacy, how to use cookies on your website
5. Your Europe: Data protection under GDPR

I ROASaurus

• Hjälp: samtycke och integritet
• Server-side tracking i ROASaurus
• Google Ads-integration
• Shopify-integration

Läs vidare