Бисквитки и GDPR на сайта: Consent Mode v2 обяснен

Банерът за бисквитки е елементът, който всеки посетител вижда и почти никой собственик на сайт не мисли за него. Слага се плъгин, избира се цвят, натиска се „Запази“. Проблемът е, че зад този банер стоят две отделни неща: законовото изискване за съгласие и измерването на рекламите ви в Google. Ако едното е сбъркано, или рискувате глоба, или губите данни за продажбите.

В тази статия ще разберете какви са изискванията на GDPR към сайта по отношение на бисквитките, какво трябва и какво не бива да има в банера и как Google Consent Mode v2 свързва съгласието с Google Ads и Google Analytics 4. Информацията е практическа, не е правна консултация.

Накратко:

• За бисквитки, които не са строго необходими за работата на сайта – аналитика, реклама, ремаркетинг – е нужно предварително, информирано и доброволно съгласие на посетителя.
• Отказът трябва да е толкова лесен, колкото приемането, а предварително отметнатите полета не се считат за валидно съгласие.
• Google Consent Mode v2 предава избора на посетителя към таговете на Google чрез четири сигнала: ad_storage, analytics_storage, ad_user_data и ad_personalization.
• За посетители от ЕИП без правилно предадено съгласие Google ограничава функции като ремаркетинг и персонализирани реклами.
• В България надзорът по защита на личните данни се осъществява от Комисията за защита на личните данни (КЗЛД).

GDPR и бисквитки: какво точно изисква законът

Изискванията идват от два източника. Директивата за електронните комуникации (ePrivacy), въведена в България чрез Закона за електронните съобщения, казва кога можете да записвате информация в браузъра на посетителя. GDPR определя какво е валидно съгласие и как се обработват личните данни. Заедно те дават следните правила:

• Строго необходимите бисквитки – количка, вход в профил, сигурност, запомняне на избора за бисквитки – не изискват съгласие, но трябва да са описани.
• Всички останали – Google Analytics, Meta Pixel, Google Ads, Hotjar, чатботове с проследяване – се зареждат само след съгласие.
• Съгласието е конкретно – по категории, не „всичко или нищо“ без избор.
• Съгласието се доказва – трябва да можете да покажете кога и за какво е дадено.
• Съгласието се оттегля – посетителят може по всяко време да промени избора си, обикновено чрез линк или иконка в долната част на сайта.

Съдът на ЕС потвърди в делото Planet49 (2019), че предварително отметнато поле не е валидно съгласие. Това важи и за банери, в които аналитиката е „включена по подразбиране“.

GDPR сайт изисквания: как да изглежда банерът

Правилно	Неправилно
Бутоните „Приемам всички“ и „Отказвам“ са на първия екран, с еднакъв размер	„Отказ“ е скрит в настройките или е сив линк
Маркетинговите скриптове не се зареждат преди избор	Пикселите се зареждат веднага, а банерът е само декорация
Категориите са описани с прости думи	„Ние използваме бисквитки за по-добро изживяване“ без подробности
Има линк към политика за бисквитките с таблица на бисквитките	Политиката е копирана от друг сайт и описва инструменти, които не ползвате
Изборът може да се промени по всяко време	След като кликнете, банерът изчезва завинаги

Търсенията „gdpr сайт пример“ и „gdpr сайт шаблон“ са чести, но внимавайте с шаблоните. Политиката трябва да описва бисквитките, които вашият сайт реално поставя. Сканирайте сайта с инструмента на вашата CMP или с инструментите за разработчици в браузъра и опишете какво намерите.

Какво е Google Consent Mode v2

Consent Mode е механизъм на Google, с който таговете на Google Analytics и Google Ads „знаят“ какво е избрал посетителят и се държат според това. Версия 2 добави два нови сигнала, свързани с изискванията на Акта за цифровите пазари в ЕС, и от март 2024 г. Google очаква тези сигнали за трафика от Европейското икономическо пространство.

Сигнал	Какво контролира
ad_storage	Записване на рекламни бисквитки
analytics_storage	Записване на бисквитки за аналитика
ad_user_data	Изпращане на потребителски данни към Google за реклама
ad_personalization	Използване на данните за персонализирани реклами и ремаркетинг

Ако сигналите липсват, Google не може да приеме, че има съгласие, и ограничава функции като ремаркетинг списъци и персонализирано рекламиране за посетителите от ЕИП. За магазин, който харчи бюджет в Google Ads, това означава по-лоша оптимизация на кампаниите.

Основен и разширен режим

• Основен режим (basic) – таговете на Google не се зареждат изобщо, докато посетителят не приеме. Най-консервативният вариант.
• Разширен режим (advanced) – таговете се зареждат, но при отказ не записват бисквитки и изпращат само анонимни сигнали без идентификатори. Google използва тези сигнали, за да моделира пропуснатите конверсии.

Кой режим да изберете е и правен, и бизнес въпрос. Разширеният дава по-пълни данни, но изисква по-внимателна оценка от гледна точка на защитата на данните.

Как се настройва на практика

1. Изберете платформа за управление на съгласието (CMP). За Google продукти е разумно да изберете CMP от списъка на сертифицираните партньори на Google – за някои продукти, като AdSense, това е задължително.
2. Определете състояние по подразбиране. За ЕИП всички четири сигнала са „denied“, докато посетителят не избере.
3. Свържете банера с таговете. През Google Tag Manager или вградената интеграция на CMP, така че при „Приемам“ сигналите да станат „granted“.
4. Блокирайте и останалите скриптове. Consent Mode управлява само таговете на Google. Meta Pixel, TikTok и други трябва да се блокират от CMP отделно.
5. Проверете. С Tag Assistant на Google вижте какви сигнали се изпращат преди и след избора.

Shopify и WooCommerce

Shopify има вградени настройки за поверителност на клиентите и банер за бисквитки, както и Customer Privacy API, през който приложенията и пикселите проверяват съгласието. Официалните приложения на Google и Meta за Shopify използват този механизъм, ако е правилно настроен. При WooCommerce съгласието се решава с плъгин за CMP, който трябва да поддържа Consent Mode v2. И в двата случая проверявайте след всяко добавяне на нов маркетингов инструмент.

Ако измерването е важно за рекламите ви, вижте и статията ни SEO или Google Ads.

Най-честите грешки, които виждаме

• Google Analytics е поставен директно в темата и се зарежда преди банера.
• Банерът и Consent Mode са настроени, но Meta Pixel е добавен отделно и не се блокира.
• Политиката за бисквитки не е обновявана от години.
• На мобилен банерът покрива бутона „Купи“ и няма видим бутон за затваряне.
• Има два банера – от темата и от плъгин – и посетителят избира два пъти.

Банерът е само една част от правната рамка на магазина. Другите – общи условия, политика за поверителност, право на отказ – разглеждаме в статията за общите условия на онлайн магазина, а за практическите задължения при продажби онлайн – в регистрацията на онлайн магазин в НАП.

Често задавани въпроси

Ако не сте сигурни дали банерът ви блокира скриптовете и дали Consent Mode v2 предава правилните сигнали, можем да прегледаме сайта и да ви кажем какво точно да поправите. Пишете ни през формата за контакт.