GDPR и рекламното проследяване: какво иска съгласие

Тази статия е за правната страна на рекламното проследяване в Европа: кои правила важат, кое изисква съгласие и какво очаква Google от вас. Как Google моделира конверсиите, които губите при отказано съгласие, обясняваме в ръководството за Consent Mode v2. Това не е правен съвет. Политиката за поверителност и текстът на банера са работа за вашия юрист или длъжностно лице по защита на данните.

Кои закони важат за рекламното проследяване в Европа?

Важат два набора правила и те вършат различна работа.

• Директивата за неприкосновеността на личния живот и електронните комуникации (ePrivacy) урежда записването и четенето на информация на устройството на посетителя, а точно това правят бисквитките и пикселите. Член 5, параграф 3 изисква съгласие за това, освен ако записването не е строго необходимо за услуга, която посетителят е поискал (Директива 2002/58/ЕО). Всяка държава от ЕС я въвежда в собственото си законодателство.
• GDPR урежда какво правите с личните данни, след като ги имате: правното основание, колко дълго ги пазите, с кого ги споделяте (Регламент (ЕС) 2016/679).

Рекламните бисквитки не са строго необходими, затова на практика изискват съгласие, преди да бъдат записани. Правилата се прилагат от националните регулатори. Френският CNIL например казва, че операторите не трябва да четат или записват данни на устройствата на потребителите, преди да имат съгласие, и че превъртането на страницата не е съгласие (CNIL).

Великобритания излезе от ЕС, но запази същата структура: UK GDPR за личните данни и PECR за бисквитките.

Какво изисква Google от рекламодателите в ЕИП?

Политиката на Google за съгласие на потребителите в ЕС обхваща посетителите от ЕИП, Великобритания и Швейцария. Тя изисква да събирате съгласие за бисквитките, когато законът го изисква, и за използването на лични данни за персонализиране на рекламите, да пазите записи за това съгласие и да обяснявате на посетителите как да го оттеглят (Google, политика за съгласие на потребителите в ЕС).

За трафика от ЕИП Google изисква също да предавате тези избори на таговете му. Без сигнали за съгласие измерването, персонализирането на рекламите и ремаркетингът са ограничени, а същото важи и за данните от Google Analytics, които използвате в Google Ads (Google Ads Help, consent mode за трафика от ЕИП). Consent Mode е начинът да ги предавате: четири настройки, ad_storage, analytics_storage, ad_user_data и ad_personalization, които банерът ви задава като разрешени или отказани (Google, справка за consent mode).

Какво означава това за рекламния ви профил:

• Без сигнали за съгласие: списъците за ремаркетинг спират да растат с посетители от ЕИП, а измерването на конверсиите отслабва.
• Със сигнали, посетителят отказва: таговете спазват избора му, а в разширения режим Google все пак може да моделира част от конверсиите.
• Със сигнали, посетителят приема: пълно измерване и персонализация.

Трябва ли съгласие за Meta pixel?

Да, по същото правило на ePrivacy. Meta pixel записва и чете бисквитки, затова в ЕС и Великобритания трябва да се зарежда само след като посетителят приеме маркетинговите бисквитки. Документацията на Meta описва точно такава команда: fbq('consent', 'revoke') на всяка страница спира пиксела, а fbq('consent', 'grant') го пуска отново, когато посетителят се съгласи (Meta for Developers, GDPR). За разлика от разширения Consent Mode на Google, тук няма моделиране без бисквитки за отказалите, така че пикселът или работи със съгласие, или не работи. Събитията през Conversions API също имат нужда от правно основание, а обичайният подход е да се изпращат само за посетители със съгласие. Техническата част е в ръководството за Meta CAPI.

Заобикаля ли server-side tracking съгласието?

Не. Server-side tracking премества момента, в който данните се изпращат към Google или Meta, от браузъра на посетителя към сървър, който вие контролирате. Той продължава да разчита на бисквитки или идентификатори в браузъра, така че правилото на ePrivacy за съгласие продължава да важи, а данните си остават лични данни по GDPR.

Това, което server-side tracking ви дава, е контрол. Решавате кои полета напускат сървъра ви, можете да махнете IP адреси или други подробности, преди да препратите данните, а при посетителите със съгласие се губят по-малко събития заради ad blockers и ограниченията на браузърите. TAGGRS например държи сървърните контейнери на сървъри в ЕС. Плюсовете и минусите са в сравнението ни на TAGGRS и собствен server-side GTM.

Може ли да изпращате данни за посетители от ЕС към американски платформи?

Google и Meta са американски компании, така че данните от проследяването на посетители от ЕС обикновено излизат от ЕС. След като Европейската комисия прие решението си за адекватност за Рамката за поверителност на данните между ЕС и САЩ, личните данни могат да се предават свободно към американски компании, които участват в рамката (Европейска комисия). Проверете дали всеки доставчик, когото използвате, е сертифициран, и го посочете в политиката си за поверителност.

Настройка, която издържа

1. Използвайте банер за бисквитки, който спира маркетинговите и аналитичните тагове, докато посетителят не избере, и при който „Откажи“ е толкова лесно, колкото „Приеми“.
2. Свържете го с Consent Mode v2, за да чете всеки таг на Google избора на посетителя. По подразбиране задайте отказ за посетители от ЕИП и Великобритания.
3. Спрете таговете извън Google, като Meta pixel, LinkedIn и TikTok, докато няма съгласие за маркетинг.
4. Изпращайте server-side събития само за посетители със съгласие и махайте полетата, които не ви трябват.
5. Проверете дали работи. В Google Ads диагностиката на конверсиите показва дали сигналите за съгласие пристигат. В браузъра откажете бисквитките и проверете, че не се записват рекламни бисквитки.

Изграждаме това като част от настройката на проследяването на конверсии и го проверяваме първо при бизнесите, които рекламират в ЕС и Великобритания.

Често задавани въпроси

Законен ли е Google Analytics в ЕС?

Може да бъде, със съгласие за аналитичните бисквитки, вярна политика за поверителност и правно основание за прехвърлянето към САЩ. След Рамката за поверителност на данните между ЕС и САЩ прехвърлянето към сертифицирани американски компании не изисква допълнителни механизми. Попитайте юриста си дали настройката ви отговаря на правилата във вашата държава.

Трябва ли ми съгласие за проследяването на конверсии?

В ЕС и Великобритания да, ако тагът за конверсии записва или чете бисквитки, а таговете на Google Ads и Meta го правят. Разширеният режим на Consent Mode позволява на таговете на Google да изпращат сигнали без бисквитки и без съгласие, които Google използва за моделиране. Някои регулатори в ЕС поставят под въпрос дали тези сигнали са допустими без съгласие, затова попитайте юриста си, преди да изберете разширения пред основния режим.

Какво става, ако рекламирам в ЕС без Consent Mode?

Google ограничава измерването, ремаркетинга и персонализирането на рекламите за трафика от ЕИП, когато таговете ви не предават сигнали за съгласие. Кампаниите продължават да вървят, но учат от по-малко данни.

Важат ли правилата за бисквитките и за B2B сайтове?

Да. Правилата на ePrivacy са за записването на информация на устройството, а не за това къде работи посетителят. Съгласието на бизнес посетител е нужно по същия начин.