RODO i Consent Mode v2 - lista kontrolna zgodności

Consent Mode v2 stał się obowiązkowy dla reklamodawców w Europejskim Obszarze Gospodarczym w marcu 2024 roku, a egzekwowanie przepisów się zaostrza. Jeśli dane w GA4 lub konwersje w Google Ads podejrzanie ucichły, prawdopodobnie Twoja konfiguracja zgód ma braki. Poniższa lista kontrolna pozwala weryfikować poprawność wdrożenia, eliminując pole do zgadywania.

1. Domyślna zgoda - zacznij od odmowy

Zanim użytkownik wejdzie w interakcję ze stroną, musi ona ustawić ad_storage, analytics_storage, ad_user_data i ad_personalization na 'denied'. Taka konfiguracja informuje Google, by nie ustawiało ciasteczek i nie personalizowało reklam, dopóki użytkownik wyraźnie nie zaznaczy zgody. Wczytywanie banera cookie po kontenerze GTM oznacza, że systemy od pierwszych ułamków sekund zbierają dane bezprawnie.

Poprawna konfiguracja wymaga umieszczenia skryptu domyślnej zgody przed kontenerem GTM w sekcji <head> dokumentu. Pominięcie tego kroku powoduje, że Google Analytics i Google Ads uruchamiają się z pełnymi ciasteczkami jeszcze przed decyzją użytkownika o wyrażeniu zgody.

2. Aktualizacja zgody - nadawaj uprawnienia po interakcji

Po kliknięciu przycisku "Akceptuję wszystkie" na banerze, system musi uruchomić komendę update, przełączając odpowiednie flagi z 'denied' na 'granted'. Google na tej podstawie estymuje zachowania osób odmawiających zgody. Modelowanie behawioralne pozwala utrzymać użyteczność raportów, nawet gdy poziom zgód spada poniżej 50 procent.

Popularne platformy CMP (takie jak Cookiebot, CookieYes, Usercentrics czy Silktide) obsługują ten proces automatycznie za pomocą gotowych szablonów GTM. Korzystanie z autorskiego banera wymaga ręcznego uruchamiania komendy update po stronie kodu.

3. Sprawdź kolejność tagów w GTM

Nieodpowiednia kolejność wywołań to powszechny problem w polskich wdrożeniach. Tag "Consent Initialization" musi uruchamiać się przed tagami GA4 i Google Ads. Ładowanie Analytics z wyższym priorytetem powoduje przesyłanie danych przed załadowaniem konfiguracji prywatności. Należy sprawdzić w GTM kolejność tagów i przypisać inicjalizacji zgód najwyższy priorytet.

4. Zweryfikuj, czy baner cookie w ogóle działa

Problem braku banera brzmi banalnie, jednak występuje regularnie w przeróżnych wariantach. Komunikat potrafi nie wyświetlać się wcale, działać tylko na desktopie, pojawiać się przy drugim przeładowaniu strony lub znikać zaraz po załadowaniu na skutek konfliktów skryptów. Należy otworzyć stronę w trybie incognito i zweryfikować stan zgód narzędziem Tag Assistant Companion.

5. Sprawdź ustawienia regionu w Consent Mode

Działanie Consent Mode można geograficznie ograniczać do konkretnych terytoriów. Ustawienie regionu wyłącznie na PL sprawia, że użytkownicy z innych krajów całkowicie omijają ograniczenia Consent Mode, co prowadzi do zbierania ich danych bez respektowania woli użytkownika. Właściwa konfiguracja wymaga ustawienia regionu na EEA, ewentualnie braku jakichkolwiek ograniczeń regionalnych.

6. Dane osobowe w URL-ach i dataLayerze

Należy zbadać, czy kod nie eksponuje danych osobowych (PII) w adresach URL, na przykład przekazując maile w parametrach po wejściu z newslettera, oraz w obiekcie dataLayer, jak przy dataLayer.push({'userId': 'jan@firma.pl'}). Consent Mode decyduje tylko o zapisywaniu ciasteczek, pomijając całkowicie sanityzację własnych danych. Adresy poczty elektronicznej, numery telefonów oraz PESEL należy wycinać ze skryptów przed wysyłką do platform reklamowych.

7. Dokumentacja RODO - co musisz mieć

Polskie firmy mają obowiązek prowadzić rejestr czynności przetwarzania danych. Dokumentacja trackingu marketingowego obejmuje zakres zbieranych informacji, podstawę prawną opartą na dobrowolnej zgodzie, lokalizację baz serwerowych oraz dokładny czas retencji, domyślnie ustawiany na 2 miesiące w GA4. UODO w Polsce coraz częściej nakłada kary za witryny, które nieprawidłowo wdrażają banery zgód.

8. Test końcowy - 5 rzeczy do zweryfikowania

1. Wejdź na stronę w trybie incognito. Sprawdź, czy baner ładuje się przed tagami śledzącymi.
2. Uruchom Tag Assistant bez wchodzenia w interakcje. Sprawdź, czy flagi mają status 'denied'.
3. Wybierz "Odrzuć wszystko". GA4 powinno nadal rejestrować zdarzenia, ale działać w pełni bez ciasteczek.
4. Wybierz "Akceptuję wszystkie". Zgody powinny bez opóźnień zmienić stan na 'granted'.
5. Otwórz GA4 i wejdź do zakładki "Przegląd w czasie rzeczywistym". Poszukaj tam swojej testowej sesji.

Negatywny wynik któregokolwiek punktu oznacza błędy w zgodności. Większość daje się poprawić w ciągu pojedynczej sesji pracy analityka, natomiast przedłużanie tego stanu prowadzi do utraty informacji analitycznych. Naraża to biznes na działania UODO i obniża jakość kampanii z braku dobrych danych dla algorytmów Google Ads.