Audyt zgody na cookies w 30 minut: co odpala się w sklepie mimo „odrzuć” i jak to naprawić

Baner zgody na cookies ma dziś każdy sklep. Gorzej z respektowaniem tego, co klient w nim kliknie. Brian Clifton z Verified Data od wiosny publikuje audyty, w których symuluje użytkownika odrzucającego śledzenie i patrzy, co przeglądarka i tak wysyła: 40 największych szwedzkich witryn z handlu, motoryzacji, finansów i telekomunikacji, gdzie przycisk „Odrzuć wszystko" był na ekranie, a skrypty analityczne, reklamowe i społecznościowe ładowały się dalej, oraz 20 aptek internetowych z Europy, Wielkiej Brytanii i USA. W samych wpisach nie ma odsetków, tylko rozrzut „od bardzo dobrze do bardzo źle". Liczby są w raporcie o 59 dużych amerykańskich serwisach szpitali i klinik, zamówionym przez Piwik PRO: 73% z nich uruchamiało tagi reklamowe mimo aktywnego sygnału Global Privacy Control. To nie są dane o polskich sklepach i nie wolno ich tak czytać. Mechanizm jest jednak wszędzie ten sam: baner to warstwa wizualna, a zgoda to stan, który musi dotrzeć do każdego tagu. W sklepach, które audytujemy, między jednym a drugim jest zwykle dziura. I to jest jednocześnie ryzyko prawne i błędne dane, bo jeśli Meta Pixel i tag Google Ads odpalają się każdemu, Twój „odsetek odmów" i modelowanie w GA4 stoją na fałszywych założeniach.

Trzy scenariusze, które widzimy najczęściej

Tagi startują przed decyzją. GTM ładuje GA4, Pixel i tag Google Ads na wyzwalaczu „Wszystkie strony" w chwili wejścia, a baner pojawia się ułamek sekundy później. Klient klika „odrzuć", ale cookies _ga, _fbp i _gcl_au są już w przeglądarce.

„Odrzuć" zamyka baner, ale nie zmienia stanu. Platforma zgody wpięta jako zwykły skrypt, bez szablonu Consent Mode. GTM nigdy nie dostaje aktualizacji, więc tagi działają w stanie domyślnym, który ktoś kiedyś ustawił na „granted".

Tagi spoza GTM. Pixel wklejony na sztywno w szablonie sklepu, widżet czatu, nagrywanie sesji, skrypt porównywarki, moduł opinii. Żaden nie pyta GTM o zgodę. Osobny wariant tego scenariusza to sGTM: serwer nie naprawia zgody, tylko dostaje to, co wyśle przeglądarka. Jeśli przeglądarka nie przekazuje stanu zgody, serwer przekaże zdarzenie do Meta CAPI tak samo bez niej. Pisaliśmy o Server-Side GTM jako fundamencie i podtrzymuję to, ale fundament nie zwalnia z drzwi.

Co mówi prawo, w trzech zdaniach i bez porady prawnej

Od 10 listopada 2024 r. cookies reguluje w Polsce Prawo komunikacji elektronicznej, które zastąpiło dawny art. 173 Prawa telekomunikacyjnego. Jego art. 399 mówi, że przechowywanie informacji w urządzeniu użytkownika i dostęp do niej wymagają wcześniejszej, jasnej informacji o celu oraz zgody, którą użytkownik może wyrazić także ustawieniami oprogramowania. Dane osobowe w tych cookies to już RODO, a do tego dochodzi wymóg samego Google'a, który bez Consent Mode v2 nie pozwala tagom reklamowym normalnie działać w EOG. Jeśli masz wątpliwość co do konkretnego tagu, pytaj prawnika, ale audyt techniczny zrób wcześniej, bo prawnik i tak zapyta, co dokładnie się ładuje.

Audyt w 30 minut

Potrzebujesz przeglądarki, DevTools i rozszerzenia Tag Assistant. Zapisuj wyniki w tabeli: tag, ładuje się przed decyzją, ładuje się po odmowie, skąd pochodzi.

1. Przed decyzją (pięć minut). Okno incognito, DevTools, zakładka Network, wejdź na stronę główną i nie dotykaj banera. Filtruj po collect, fbevents, tr/?, clarity, hotjar, doubleclick. W zakładce Application sprawdź cookies: _ga, _ga_, _fbp, _fbc, _gcl_au, _clck. Wszystko, co tu widzisz, zanim klient cokolwiek kliknął, jest do wyjaśnienia.
2. Po „odrzuć" (pięć minut). Kliknij odmowę, odśwież, wejdź na kartę produktu, dodaj do koszyka. W żądaniach do Google'a znajdź parametr gcs. Jak opisuje Simo Ahava, ma format G1xy, gdzie x to zgoda reklamowa, a y analityczna: G100 oznacza podwójną odmowę i ping bez cookies, G111 obie zgody. Jeśli po odmowie widzisz G111, stan zgody nie dociera do tagów. Parametr gcd niesie cztery sygnały Consent Mode v2. Każde żądanie do facebook.com/tr po odmowie oznacza, że Pixel ignoruje decyzję. Sprawdź też, czy przybyły nowe cookies.
3. Tag Assistant (10 minut). Google w instrukcji debugowania każe patrzeć na cztery sygnały: ad_storage, ad_user_data, ad_personalization, analytics_storage. Zakładka Consent pokazuje kolumny „On-page Default" i „On-page Update": pierwsza ma być „denied", druga ma pojawić się po kliknięciu w baner. Dla każdego tagu sprawdź, czy ma wymagane zgody i czy odpalił się, czy został zablokowany.
4. Serwer (pięć minut). Jeśli masz sGTM, w podglądzie kontenera serwerowego zobacz, czy przychodzące zdarzenia niosą stan zgody i czy tagi Meta CAPI i GA4 po stronie serwera go respektują.
5. Skrypty poza GTM (pięć minut). Źródło strony i szukanie fbq(, gtag(, clarity(, hj(. Każde trafienie poza kontenerem to osobna pozycja w tabeli z nazwiskiem właściciela.

Co wolno wysłać po odmowie, a czego nie

Google rozróżnia dwa tryby. W podstawowym tagi Google'a nie ładują się przed zgodą, a po odmowie nie wysyłają nic. W zaawansowanym ładują się, ale po odmowie nie zapisują ani nie czytają cookies analitycznych i wysyłają „pingi bez cookies" ze zgrubną informacją, cytuję: user agent, rozdzielczość ekranu, adres IP, którego Google Analytics nie przechowuje. Z tych pingów GA4 buduje modelowanie zachowań i konwersji. Wybór między trybami jest decyzją biznesowo-prawną: zaawansowany daje modelowanie, ale wymaga, żebyś umiała pokazać, że ping naprawdę nie niesie identyfikatora. Dla ad_storage dokumentacja Consent Mode dodaje, że po odmowie nowe cookies reklamowe nie powstają, ale do Google'a nadal trafia pełny adres strony razem z parametrami kliknięcia w reklamę. Meta nie ma odpowiednika trybu zaawansowanego: Pixel po odmowie ma milczeć, a CAPI po stronie serwera nie może być obejściem tej ciszy. Nagrywanie sesji po odmowie jest wyłączone, bez wyjątków.

Naprawa w GTM: pięć ruchów

1. Domyślny stan „denied" dla wszystkich typów zgody, ustawiony na wyzwalaczu Consent Initialization, zanim załaduje się cokolwiek innego.
2. Platforma zgody przez szablon z galerii GTM obsługujący Consent Mode albo własne wywołanie aktualizacji zgody podpięte pod „akceptuj", „odrzuć" i „zapisz wybór".
3. Dla każdego tagu wymagane zgody w jego ustawieniach: GA4 potrzebuje analytics_storage, Google Ads i Meta ad_storage oraz ad_user_data, remarketing dodatkowo ad_personalization. Tag bez wymaganej zgody nie odpala, i to GTM ma pilnować, nie Ty.
4. Kolejność: inicjalizacja zgody, potem platforma zgody, potem tagi. Przejrzyj własne wyzwalacze typu „Inicjalizacja" i „Wszystkie strony", bo to w nich najczęściej ktoś obszedł kolejkę.
5. Skrypty z szablonu przenieś do kontenera albo obuduj warunkiem odczytu stanu zgody; do sGTM przekazuj stan zgody jako parametr zdarzenia. Potem powtórz audyt od kroku drugiego.

„Odzyskiwanie" konwersji, czyli gdzie kończy się rzetelność

Po naprawie liczby w GA4 spadną. To nie jest utrata danych, tylko koniec liczenia danych, których nie miałaś prawa mieć. Dwa uczciwe sposoby zasypania luki: modelowanie w trybie zaawansowanym, pod warunkiem że dane modelowane oznaczasz w raportach jako modelowane i nie liczysz na nich POAS bez zastrzeżenia, oraz praca nad odsetkiem zgód: układ banera, treść, równorzędne przyciski. Piwik PRO opisał 31 sierpnia „odzyskiwanie" porzuconych lejków banerem przypominającym, który działa w ramach już udzielonej zgody na analitykę; to materiał producenta bez liczb, ale kierunek jest właściwy: działaj w granicach zgody, nie obok niej. Czego nie robić: „wyjątku" dla tagu reklamowego, bo „bez niego kampania nie działa". Taka kampania działa na danych, których nie masz prawa mieć, i to jest gra w ciemno z pełnym raportem w ręku. O lukach Consent Mode od strony danych pisaliśmy przy okazji pułapek GA4; tu chodzi o to, żeby luka była legalna.

Co zrobić w najbliższym tygodniu

1. Przejdź audyt z tego tekstu na trzech stronach: głównej, karcie produktu i w koszyku. Tabela z tagami to wynik.
2. Do każdego skryptu spoza GTM dopisz właściciela i termin przeniesienia do kontenera.
3. Sprawdź w GTM stan domyślny zgody i wyzwalacz, na którym jest ustawiany.
4. Zdecyduj o trybie podstawowym albo zaawansowanym i zapisz uzasadnienie w jednym akapicie, na wypadek pytania z zewnątrz.
5. Zapisz dzisiejszy odsetek zgód z platformy zgody jako punkt odniesienia, zanim cokolwiek zmienisz.
6. W dniu wdrożenia poprawki dodaj adnotację w GA4, żeby spadek liczb miał wytłumaczenie za pół roku.
7. Wpisz kroki pierwszy i drugi audytu do procedury po każdej aktualizacji sklepu i motywu.

Dane zebrane wbrew decyzji klienta nie są lepsze, tylko liczniejsze, a decyzje budżetowe na nich podjęte są tak samo złe jak na danych brakujących. Jeśli chcesz, żebyśmy przeszli ten audyt razem z Tobą na Twoim kontenerze i powiedzieli, co naprawić najpierw, umów bezpłatną konsultację.