Samtykkeplatform (CMP): hvad den skal kunne

Hvad er en samtykkeplatform?

En samtykkeplatform, forkortet CMP (Consent Management Platform), er den software, der på dit website beder de besøgende om samtykke, gemmer det, dokumenterer det og giver det videre til alle integrerede tjenester. Det eneste, man ser, er cookiebanneret. Bag det ligger det egentlige arbejde: CMP'en sørger for, at Google Analytics, Google Ads, Meta Pixel og andre tjenester først sætter cookies eller sender data, når den besøgende har tilladt det. Den kaldes også ofte en consent manager eller et samtykkeværktøj. Det dækker over det samme.

Det juridiske grundlag i Tyskland er § 25 i Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), som indtil maj 2024 hed TTDSG. Paragraffen regulerer, hvornår man må tilgå en brugers enhed, altså hvornår cookies må sættes eller læses. Til alt, der ikke er strengt nødvendigt, kræves der som regel samtykke. Databeskyttelsesforordningen (GDPR) kræver desuden i artikel 7, at du kan dokumentere samtykket, og at det skal være lige så let at trække samtykket tilbage som at give det. Denne artikel er ikke juridisk rådgivning, den forklarer teknikken.

Hvilke opgaver har en consent manager?

En consent manager løser seks opgaver, der hænger tæt sammen. Svigter én af dem, opstår der enten problemer med databeskyttelsen eller huller i dine tal.

• Indhentning: Banneret forklarer formålene forståeligt og tilbyder accept og afvisning på lige fod.
• Lagring: Beslutningen gemmes i browseren, så banneret ikke dukker op igen ved hver sidevisning.
• Dokumentation: Hvert samtykke registreres med tidspunkt, bannerversion og valgte formål.
• Videregivelse: Beslutningen sendes til Google Consent Mode og alle andre tags, der afhænger af den.
• Tilbagetrækning: De besøgende kan til enhver tid ændre deres beslutning, for eksempel via et link i sidefoden.
• Scanning: En cookiescanning viser, hvilke cookies og tjenester der faktisk forekommer på siden.

→ Cookie-banner med Consent Mode v2: Overholdende, uden månedlig licens

Consent management og Google Consent Mode v2

For Google er CMP'ens vigtigste opgave at give beslutningen videre til Google Consent Mode v2, den grænseflade, som Google-tags bruger til at kende den besøgendes beslutning. Consent Mode kender fire signaler: ad_storage og analytics_storage styrer, om der må sættes cookies til annoncering og analyse. ad_user_data styrer, om brugerdata må sendes til Google til annonceformål, og ad_personalization, om personaliserede annoncer er tilladt. Når siden indlæses, sætter CMP'en en standardværdi for alle fire, i EU normalt »denied«. Når den besøgende klikker på en knap, sender CMP'en en opdatering med den faktiske beslutning.

Siden marts 2024 forventer Google, at disse signaler sendes for besøgende fra Det Europæiske Økonomiske Samarbejdsområde (EØS), når data skal bruges til annoncering og remarketing. Mangler de, kan Google Ads kun i begrænset omfang bruge målgrupper og konverteringer. Google skelner mellem to varianter: Ved den grundlæggende implementering indlæses Google-tags først efter samtykket. Ved den avancerede implementering indlæses de med det samme med standardværdien »denied« og sender uden samtykke kun målinger uden cookies, som Google bruger til at estimere manglende værdier. Hvilken variant der passer, er en afvejning, som du bør foretage bevidst.

Andre tjenester har deres egne mekanismer. Microsoft Advertising understøtter sit eget samtykkesignal til Universal Event Tracking (UET). For Meta, LinkedIn, TikTok og Pinterest indstilles tagget i Google Tag Manager som regel, så det først udløses efter samtykke til marketing. En god CMP stiller en egen hændelse eller variabel til rådighed i Google Tag Manager-containeren, som triggerne kan rette sig efter.

Cookiescanningen er endnu en opgave for en CMP. Den åbner automatisk dine sider og viser, hvilke cookies, hvilken lokal lagring og hvilke tjenester der faktisk forekommer. Det er vigtigt, fordi websites hele tiden ændrer sig: Et nyt plugin indlejrer et kort, en video kommer fra en platform, et chatvindue sætter sine egne cookies. Dukker en tjeneste op i scanningen, men ikke i banneret, så spørger banneret ikke om noget, der alligevel sker. Resultaterne af scanningen hører desuden hjemme i cookietabellen i din privatlivspolitik, så de besøgende kan læse, hvad de giver samtykke til.

Sådan kender du en god CMP

En god CMP kender du på teknikken og på, hvordan den fungerer i hverdagen, ikke på bannerets udseende. Disse punkter hjælper dig med valget, uanset om du bruger et færdigt samtykkeværktøj eller får en løsning sat op.

• Consent Mode v2 er indbygget direkte og sætter standardværdien, før et eneste tag udløses.
• »Afvis alle« står ligeværdigt på første niveau og er ikke gemt væk i indstillingerne.
• Banneret indlæses hurtigt: få filer og ingen indlæsning fra mange eksterne servere.
• Samtykkedokumentationen gemmes dataminimerende, helst uden IP-adresse.
• Tilslutningen til Google Tag Manager er dokumenteret og fungerer uden egen kode.
• Teksterne findes på de sprog, som dit website bruger.

Indlæsningstiden for en CMP bliver ofte glemt, når man vælger. Fordi CMP'en skal indlæses meget tidligt, så standardværdien er sat før alle andre tags, forsinker hver ekstra fil starten på målingen og ofte også opbygningen af siden. Tjek derfor på en testside, hvor mange filer banneret indlæser, og hvornår det bliver synligt. Et banner, der på mobilen først vises efter flere sekunder, koster besøgende og forværrer Core Web Vitals.

→ Sådan opsætter du Google Consent Mode v2 korrekt: ingen advarsel i Tag Assistant

Typiske fejl, og hvordan du opdager dem

En hyppig fejl ved en CMP er et banner, der godt nok vises, men ikke styrer noget. Tags i Google Tag Manager udløses ved sidevisningen, uanset hvad den besøgende vælger. Du opdager det, hvis du klikker på »Afvis alle« i et privat vindue og alligevel finder cookies som _ga eller _fbp i udviklerværktøjerne under Application. En anden fejl er en manglende standardværdi: Consent Mode får først et signal efter klikket, og de første hits sendes uden samtykkestatus.

Det sker også, at samtykket bliver gemt, men aldrig sendt som opdatering til Consent Mode. Så forbliver alt på »denied«, og Google Analytics viser næsten ingen data, selvom mange besøgende giver samtykke. Forkert tildelte kategorier er også almindelige: Meta Pixel ligger under »Statistik« i stedet for »Marketing«, eller en tjeneste står slet ikke i banneret. I eksempelvisningen i Google Tag Manager kan du på fanen for samtykke se, hvilken status der gjaldt på hvilket tidspunkt.

Eksempel fra praksis: lille netbutik med WooCommerce

En butik med kaffeudstyr bruger WooCommerce, Google Analytics 4, Google Ads og Meta Pixel. Banneret blev for flere år siden indbygget via et plugin, og tags blev senere tilføjet via Google Tag Manager. Testen viser: Banneret beder korrekt om samtykke, men Meta Pixel er desuden hårdkodet i temaet og indlæses altid. Samtidig mangler standardværdien til Consent Mode, og derfor ser Google Ads næsten ingen konverteringer fra EU.

Løsningen består af tre trin. Pixlen fjernes fra temaet og udløses kun via Google Tag Manager med en trigger for samtykke til marketing. CMP'en sætter standardværdien »denied« helt i starten. Derefter testes alle forløb: uden valg, med afvisning og med accept. Først når det rigtige sker i alle tre tilfælde, går ændringen live.

Få consent management sat op

Trackum sætter samtykket op, så det virkelig fungerer i din virksomheds Google Tag Manager: Consent Mode v2 med standardværdi, triggere for hver annonceplatform og en test i eksempelvisningen med og uden samtykke, før noget går live. Opsætningen med Google Analytics 4 og Consent Mode v2 koster 150 € én gang. Trackums cookiebanner, én enkelt fil på 6,6 KB, der ikke indlæser noget ekstra, fås som tilvalg for 50 € plus 4,90 € om måneden og er inkluderet i abonnementet til 19 € om måneden. Alle priser er ekskl. moms.

Hvis du først vil vide, om din nuværende CMP fungerer korrekt, tjekker det gratis tjek din side for 0 € og uden tilmelding i en rigtig browser med og uden samtykke og viser dig fundene med fast pris.