Jak sprawdzić, czy masz poprawnie zaimplementowany Consent Mode V2

Consent Mode V2 to ulepszona wersja trybu uzyskiwania zgody na przetwarzanie danych osobowych w witrynach internetowych. Została ona wprowadzona przez Google w odpowiedzi na rosnące znaczenie prywatności użytkowników i coraz bardziej restrykcyjne przepisy dotyczące ochrony danych osobowych, takie jak RODO.

Poprawna implementacja Consent Mode V2 jest kluczowa dla zapewnienia zgodności Twojej strony internetowej z przepisami ochrony prywatności Twoich użytkowników. W tym artykule pokażemy Ci, jak sprawdzić, czy tryb zgody został poprawnie zaimplementowany na Twojej stronie.

Obowiązkowy status zgody

W trosce o transparentność i zgodność z prawem Google wprowadza zmiany w sposobie zbierania i zarządzania zgodami użytkowników na stronach internetowych. Od teraz właściciele stron są zobowiązani do jasnego deklarowania w kodzie śledzącym statusu zgody każdego użytkownika.

Co to oznacza dla właścicieli stron

Koniec z ignorowaniem zgód. Google wymaga precyzyjnego określania statusu zgody dla każdego zakresu przetwarzania danych. Brak zgody lub jej niejasny status uniemożliwi śledzenie użytkownika. To oznacza większą kontrolę i transparentność w kwestii danych użytkowników.

Jakie są dostępne statusy zgody

W kodzie śledzącym można będzie przekazywać cztery statusy zgody na określony cel przetwarzania danych:

1. zgoda analityczna – analytics_storage,
2. zgoda na pomiar skuteczności reklam – ad_storage,
3. zgoda na wykorzystanie danych użytkownika przez Google do celów reklamowych (enhanced conversions) – ad_user_data,
4. zgoda na reklamę spersonalizowaną (remarketing) – ad_personalization.

Reklamodawcy, którzy korzystają z platformy zarządzania zgodami (CMP) – czyli partnera Google – nie muszą martwić się o większe zmiany. Platformy te automatycznie zaktualizują sposób zbierania i przekazywania danych do Google.

W niektórych konfiguracjach może być konieczne ręczne zainicjowanie aktualizacji lub uzupełnienie kodu. Więcej informacji w tym temacie znajdziesz bezpośrednio w pomocy Google.

Oznaczenia statusów zgody

Za przekazanie informacji o statusie zgody do Google odpowiedzialne są parametry tagu Google gcs i gcd.

Parametr gcs (o wartości np. G111) odpowiada za status ad_storage i analytics_storage:

Dodatkowe zmienne wprowadzone w V2 (ad_user_data i ad_personalization) są definiowane przez parametr gcd (na przykład 11r1r1r1r5). Ten parametr zawiera informacje o wartości domyślnej oraz o wartości po wyrażeniu zgody lub odmowie przez użytkownika (aktualizacji). Składnia tej zmiennej jest następująca:

Cyfry separatorów mogą też mieć inną wartość (np. 3 zamiast 1). Statusy zgody oznaczane są literami o następującym znaczeniu:

Na podstawie tych wartości Google otrzymuje informacje, czy został wdrożony Consent Mode oraz czy strona nie zakłada domyślnej zgody – co obecnie nie jest prawidłowym ustawieniem dla żadnego z zakresów przetwarzania danych.

Jak sprawdzić poprawność implementacji Conset Mode V2

Możesz łatwo sprawdzić, czy masz wdrożony Consent Mode V2, korzystając wyłącznie z przeglądarki.

• Najpierw zamknij wszystkie karty (zwłaszcza te z otwartą Twoją stroną).
• Następnie wyczyść dane przeglądania (szczególnie pliki cookie i inne dane witryn – w Chrome > Wyczyść dane przeglądania – opcja „od początku”). Dzięki temu Twoja następna wizyta na stronie będzie wizytą użytkownika, który jeszcze nie wyraził wcześniej zgody.
• Teraz otwórz kartę przeglądarki i przejdź do Narzędzi dla deweloperów. W Chrome znajdziesz je w menu Widok > Deweloper lub kliknij prawy przycisk myszy i wybierz polecenie Zbadaj.

• W Narzędziach dla deweloperów przejdź na kartę Sieć (Network).

• Teraz wejdź na swoją stronę, ale jeszcze nie reaguj na okno CMP (nie wyrażaj zgody ani odmowy w banerze cookie).
• W polu filtra wpisz „gcd” i otwórz kartę Ładunek (Payload).

• Sprawdź parametry gcs i gcd dla każdego z zapytań.

• Następnie wyraź zgodę lub odmowę w CMP Twojej strony i sprawdź, jak teraz wyglądają parametry zapytań CMP.

Na stronie znajdą się zapytania do różnych usług Google, takich jak analytics.google.com, googleads.g.doubleclick.net, google.pl/ads itd. Prawdopodobnie wszystkie będą miały ten sam identyfikator GCD, ale warto sprawdzić każdy z osobna.

W przypadku poprawnie skonfigurowanego zaawansowanego trybu zgody (przy przyjęciu domyślnej odmowy) można założyć, że pojawią się tylko wartości p, q i r. Pozostałe wymagają uwagi.

Przed wyrażeniem zgody każda literka w identyfikatorze GCD powinna być „p”. Po odmowie, litery te powinny zmienić się na „q”, a po wyrażeniu zgody – na „r”. Jeśli tak się dzieje, to oznacza, że masz prawidłowo wdrożony tryb zgody V2.

Co zrobić, jeśli widzę inne literki

• Literka „l” (małe „L”) oznacza, że tryb zgody w ogóle nie jest skonfigurowany (jeśli widzisz „l” tylko w dwóch ostatnich polach, to oznacza, że tryb zgody jest nieaktualny).
• Literki „t”, „u”, „v” oznaczają, że w naszym trybie zgody została zdefiniowana domyślna zgoda, co nie jest prawidłowe na pierwszej stronie, na którą wchodzi użytkownik.
• Literki „m” i „n” oznaczają brak domyślnego stanu zgody.

W przypadku podstawowego trybu zgody, przed wyrażeniem zgody nie zostaną wysłane żadne zapytania do Google. Domyślny status powinien być stosowany na wszystkich stronach również w przypadku podstawowego trybu zgody, choć obecnie brakuje jednoznacznej informacji, czy Google uzna statusy „m” i „n” w podstawowym trybie zgody za błędne.

Jak działa Consent Mode dla kodów Google

Tryb zgody w Google działa dla kodów Google Ads, Analytics oraz Floodlight (Google Marketing Platform) i jest kompatybilny z tagiem łączącym konwersje.

Jeśli zgoda jest udzielona, dane zbierane przez kody są w pełni przetwarzane. Ciekawsze rzeczy dzieją się, gdy zgody nie ma.

Basic Consent Mode

Dla osób, które z różnych powodów nie chciałyby przekazywać danych do Google bez zgody użytkownika, przygotowano uproszczony tryb uzyskiwania zgody – podstawowy tryb zgody.

W trybie podstawowego zgody w przypadku odmowy użytkownika Google nie gromadzi żadnych danych, a żadne informacje nie są przekazywane do Google (nawet informacja o odmowie).

Advanced Consent Mode

Kody śledzenia działające w tzw. trybie zaawansowanej zgody nadal będą przekazywać pewne dane w przypadku braku zgody. Niemniej jednak, nie będą korzystać z plików cookie ani innych podobnych technologii identyfikujących urządzenie, co oznacza, że dane te nie będą przypisywane do konkretnego użytkownika.

Google zbiera zatem łączne dane dotyczące aktywności wszystkich użytkowników, którzy nie udzielili zgody: obejmują one liczbę wizyt, odsłon odwiedzanych stron, konwersji oraz generowane przychody. Dane te nie są powiązane z konkretnym użytkownikiem, ale są segmentowane według takich kryteriów jak typ przeglądarki, kraj czy pora dnia.

Jakie dane przetwarza Advanced Consent Mode?

W razie braku zgody w Advanced Consent Mode:

1. Nie zostają instalowane pliki cookie ani podobne identyfikatory w pamięci przeglądarki.
2. Informacje o gclid mogą być zablokowane w Google Ads poprzez ustawienie ads_data_redaction = true.
3. Dane zbierane to zagregowane informacje o przeglądarce, kraju i godzinie, jednak nie jest tworzony fingerprint (identyfikacja urządzenia).
4. Adres IP jest usuwany po zlokalizowaniu kraju (możliwe jest także wykonanie tego po stronie serwera i przekazanie do Google samego kraju).
5. Przy ustawieniu url_passthrough = true do adresów URL wewnątrz witryny zostanie dodany dodatkowy parametr podczas przejść ze strony docelowej na kolejne strony w witrynie, co umożliwi połączenie kolejnych odsłon w ramach sesji bez zapisywania informacji na urządzeniu, np. w plikach cookie.

Aktywność użytkowników, którzy nie wyrazili zgody, jest grupowana w szeroko ujmowane kategorie.

Istotą ochrony prywatności, nie tylko w aspekcie prawnym, jest zabezpieczenie przed niekontrolowanym gromadzeniem informacji dotyczących poszczególnych użytkowników. O ile nie wykorzystuje się identyfikatorów ani fingerprintów (takich jak kraj czy przeglądarka, które same w sobie nie stanowią informacji identyfikujących), nie dochodzi do naruszenia zasad.

Wyobraźmy sobie tłum przechodniów ulicą miasta. Śledzenie ich polega na przyklejaniu do każdej osoby karteczki z numerem (cookie), identyfikowaniu ich (device ID) lub robieniu zdjęć (fingerprint), a następnie rejestrowaniu wszystkich tych działań. Wykonywanie tych czynności bez zgody jest równoznaczne z naruszeniem prywatności.

Działanie Consent Mode możemy porównać do sytuacji, w której liczy się przechodniów według płci, koloru włosów i oczu, ale z zachowaniem anonimowości. Czy to stanowi naruszenie prywatności?

Dla osób, które jednak dostrzegają w tym problem (zarówno pod kątem prawnym, jak i etycznym), istnieje opcja Basic Consent Mode, która po prostu blokuje skrypt w przypadku braku zgody.

Podsumowanie

Poprawna implementacja Consent Mode V2 jest niezbędna, aby móc w pełni wykorzystywać Google Analytics i inne narzędzia Google do analizy danych. Warto też pamiętać, że tryb zgody jest wciąż w fazie rozwoju, dlatego ważne jest, aby na bieżąco śledzić zmiany i aktualizować swoje działania.