Zgoda na cookies (RODO) i Consent Mode v2: co musi wiedzieć właściciel strony

Czym jest zgoda na cookies

Cookies to małe pliki, które strona zapisuje w przeglądarce, np. żeby zapamiętać zawartość koszyka, zmierzyć ruch albo pokazać reklamę osobom, które już ją odwiedziły. W Polsce ich zapisywanie reguluje art. 399 ustawy Prawo komunikacji elektronicznej, która obowiązuje od 10 listopada 2024 r. Wcześniej podobne zasady zawierał art. 173 Prawa telekomunikacyjnego, uchylonego tego samego dnia.

Strona może zapisywać informacje w urządzeniu odwiedzającego albo je z niego odczytywać, jeśli najpierw jasno poinformuje go o celu, a on wyrazi na to zgodę. Wyjątek stanowią pliki niezbędne do przesłania komunikatu albo do usługi, o którą użytkownik sam prosi, np. do obsługi koszyka czy logowania. Na takie pliki zgoda nie jest potrzebna. Pliki analityczne i reklamowe zwykle nie mieszczą się w tym wyjątku.

Wymogi ważnej zgody określa RODO, bo art. 400 tej ustawy odsyła do przepisów o ochronie danych osobowych. Zgoda to „dobrowolne, konkretne, świadome i jednoznaczne okazanie woli” (art. 4 pkt 11 RODO), wyrażone oświadczeniem albo wyraźnym działaniem, np. kliknięciem. Zgodą nie są milczenie, okienka zaznaczone domyślnie ani brak działania (motyw 32 RODO).

Co musi mieć baner

Baner zgody to pierwsza rzecz, którą widzi odwiedzający. W raporcie przyjętym 17 stycznia 2023 r. Europejska Rada Ochrony Danych (EROD) opisała praktyki, które organy ochrony danych uznają za niezgodne z przepisami. Z raportu i z samego RODO wynika następujące minimum:

• Równorzędne przyciski „Akceptuję” i „Odrzucam” już na pierwszej warstwie. Większość organów uznała za naruszenie brak możliwości odmowy obok przycisku zgody.
• Bez sztuczek graficznych. Odmowa nie może być linkiem ukrytym w tekście banera ani przyciskiem z ledwo czytelnym napisem.
• Wybór kategorii: analityczne i reklamowe, każda z osobnym przełącznikiem, domyślnie wyłączonym. Niezbędne pliki są zawsze włączone, bo bez nich strona nie działa.
• Jasna informacja o celu każdej kategorii i o tym, kto otrzymuje dane, z linkiem do polityki cookies.
• Łatwe wycofanie zgody w każdej chwili, np. przez link w stopce albo ikonę widoczną na każdej stronie. Wycofanie zgody musi być równie łatwe jak jej wyrażenie (art. 7 ust. 3 RODO).
• Rejestr zgód: kiedy i na co wyrażono zgodę. Wymaga tego także polityka Google dotycząca zgody użytkowników z UE.
• Nic przed decyzją: dopóki odwiedzający nie kliknie, działają tylko niezbędne pliki cookie.

Najprościej zbudować baner na platformie do zarządzania zgodami (CMP). Google prowadzi katalog partnerów CMP zintegrowanych z Consent Mode i Tag Managerem, ale można też użyć innego narzędzia, jeśli poprawnie przekazuje sygnały zgody.

Consent Mode v2 w Google

Consent Mode przekazuje tagom Google to, co odwiedzający wybrał w banerze. Jeśli chcesz korzystać w Google Ads z pomiaru, personalizacji reklam i remarketingu, Google wymaga, żeby dla ruchu z Europejskiego Obszaru Gospodarczego zbierać zgodę i przekazywać te sygnały.

Wersja 2 ma cztery parametry:

Tryb podstawowy czy zaawansowany

Tryb zaawansowany daje więcej danych do modelowania, ale wysyła sygnały jeszcze przed decyzją odwiedzającego. Który z nich wybrać, ustal z prawnikiem lub inspektorem ochrony danych.

W GA4 modelowanie zachowań osób, które odmówiły zgody, włącza się dopiero przy odpowiedniej skali: m.in. co najmniej 1 000 zdarzeń dziennie ze stanem analytics_storage='denied' przez 7 dni i co najmniej 1 000 użytkowników dziennie ze zgodą w 7 z ostatnich 28 dni. Dlatego na małej stronie przez długi czas widać tylko dane osób, które wyraziły zgodę.

Najczęstsze błędy

1. Domyślnie „granted”. Domyślny stan zgody ustawiony na „granted”, czyli zgodę udzieloną, albo ustawiany dopiero po załadowaniu tagów. Wtedy tagi zapisują cookies, zanim odwiedzający cokolwiek kliknie.
2. Dwie platformy CMP naraz, np. wtyczka w WordPressie i druga w Tag Managerze. Wysyłają sprzeczne sygnały, a odwiedzający widzi dwa banery.
3. Tagi poza Tag Managerem. Kod GA4 albo piksel Meta wklejony bezpośrednio do szablonu strony, bez obsługi zgody, uruchamia się niezależnie od banera.
4. Brak przycisku „Odrzucam” na pierwszej warstwie albo odmowa schowana w ustawieniach.
5. Analityka oznaczona jako „niezbędna”, żeby działała bez zgody. EROD wymienia takie błędne klasyfikowanie plików wśród praktyk budzących zastrzeżenia.
6. Brak testu po wdrożeniu. W trybie podglądu Tag Managera widać, czy przed decyzją stan zgody ma wartość „denied” i czy po kliknięciu zmienia się zgodnie z wyborem.

Te błędy łatwo przeoczyć, bo strona działa normalnie. Widać je dopiero w statystykach: konwersji jest mniej niż zapytań w skrzynce, a kampanie uczą się na niepełnych danych. Jak to sprawdzamy i naprawiamy, opisujemy na stronie o wdrożeniu GA4 i Consent Mode v2.

Pytania i odpowiedzi