Consent manager e GDPR: cosa deve fare una CMP

Cos'è una Consent Management Platform?

Una Consent Management Platform, in breve CMP, è il software che sul tuo sito raccoglie il consenso dei visitatori, lo salva, lo documenta e lo trasmette a tutti i servizi integrati. Di tutto questo si vede solo il banner dei cookie. Dietro c'è il lavoro vero: la CMP fa in modo che Google Analytics, Google Ads, il Meta Pixel e gli altri servizi impostino cookie o inviino dati solo dopo che il visitatore lo ha permesso. Viene chiamata anche consent manager o strumento di gestione del consenso. Si intende sempre la stessa cosa.

In Germania la base giuridica è l'art. 25 del Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), che fino a maggio 2024 si chiamava TTDSG. Stabilisce quando è consentito accedere al dispositivo di un utente, cioè quando si possono impostare o leggere cookie. Per tutto ciò che non è strettamente necessario serve di norma il consenso. Il Regolamento generale sulla protezione dei dati (GDPR) richiede inoltre all'articolo 7 che tu possa dimostrare questo consenso e che revocarlo sia facile quanto darlo. Questo articolo non è una consulenza legale, spiega l'aspetto tecnico.

Quali sono i compiti di un consent manager?

Un consent manager svolge sei compiti strettamente collegati. Se uno di questi manca, si creano problemi di privacy o lacune nei tuoi dati.

• Raccolta: il banner spiega le finalità in modo comprensibile e offre “Accetta” e “Rifiuta” con lo stesso rilievo.
• Salvataggio: la scelta viene salvata nel browser, così il banner non ricompare a ogni pagina visitata.
• Documentazione: ogni consenso viene registrato con data e ora, versione del banner e finalità scelte.
• Trasmissione: la scelta viene inviata al Google Consent Mode e a tutti gli altri tag che ne dipendono.
• Revoca: i visitatori possono cambiare la propria scelta in qualsiasi momento, ad esempio tramite un link nel piè di pagina.
• Scansione: una scansione dei cookie mostra quali cookie e servizi sono effettivamente presenti sul sito.

→ Banner cookie con Consent Mode v2: conforme, senza canone mensile

Gestione del consenso e Google Consent Mode v2

Per Google, il compito più importante della CMP è la trasmissione al Google Consent Mode v2, l'interfaccia attraverso cui i tag di Google vengono informati della scelta del visitatore. Prevede quattro segnali: ad_storage e analytics_storage stabiliscono se possono essere impostati cookie pubblicitari e di analisi. ad_user_data stabilisce se i dati degli utenti possono essere inviati a Google per scopi pubblicitari, e ad_personalization se è consentita la pubblicità personalizzata. Al caricamento della pagina, la CMP imposta un valore predefinito per tutti e quattro, nell'UE di solito “denied”. Dopo il clic su un pulsante invia un aggiornamento con la scelta effettiva.

Da marzo 2024 Google si aspetta che questi segnali vengano trasmessi per i visitatori dello Spazio economico europeo quando i dati devono essere usati per pubblicità e remarketing. Se mancano, Google Ads può usare segmenti di pubblico e conversioni solo in modo limitato. Google distingue due varianti: con l'implementazione di base, i tag di Google si caricano solo dopo il consenso. Con l'implementazione avanzata, si caricano subito con il valore predefinito “denied” e, senza consenso, inviano solo ping senza cookie, da cui Google stima i valori mancanti. Quale variante scegliere è una valutazione da fare consapevolmente.

Altri servizi hanno meccanismi propri. Microsoft Advertising supporta un proprio segnale di consenso per il suo Universal Event Tracking (UET). Per Meta, LinkedIn, TikTok o Pinterest, il tag in Google Tag Manager viene di solito impostato in modo da attivarsi solo dopo il consenso al marketing. Una buona CMP fornisce nel container di Google Tag Manager un evento o una variabile dedicata su cui basare gli attivatori.

La scansione dei cookie è un altro compito della CMP. Visita automaticamente le tue pagine ed elenca quali cookie, dati nella memoria locale e servizi vi sono effettivamente presenti. È importante perché i siti cambiano di continuo: un nuovo plugin integra una mappa, un video arriva da una piattaforma esterna, una finestra di chat imposta cookie propri. Se un servizio compare nella scansione ma non nel banner, il banner non chiede il consenso per qualcosa che avviene comunque. I risultati della scansione vanno inoltre inseriti nella tabella dei cookie della tua informativa privacy, così i visitatori possono leggere a cosa acconsentono.

Come riconoscere una buona CMP

Una buona CMP si riconosce dalla tecnologia e da come si comporta nell'uso quotidiano, non dall'aspetto del banner. Questi punti ti aiutano nella scelta, sia che tu usi uno strumento di gestione del consenso pronto all'uso, sia che ti faccia configurare una soluzione.

• Il Consent Mode v2 è integrato direttamente e imposta il valore predefinito prima che qualsiasi tag si attivi.
• “Rifiuta tutto” ha lo stesso rilievo di “Accetta tutto” già al primo livello, non è nascosto nelle impostazioni.
• Il banner si carica rapidamente: pochi file, nessun caricamento aggiuntivo da molti server esterni.
• Le prove del consenso vengono salvate secondo il principio di minimizzazione dei dati, idealmente senza indirizzo IP.
• L'integrazione con Google Tag Manager è documentata e funziona senza codice personalizzato.
• I testi sono disponibili nelle lingue parlate dal tuo sito.

Nella scelta ci si dimentica spesso del tempo di caricamento di una CMP. Poiché la CMP deve caricarsi molto presto, in modo che il valore predefinito sia impostato prima di tutti gli altri tag, ogni file in più ritarda l'avvio della misurazione e spesso anche la visualizzazione della pagina. Controlla quindi su una pagina di test quanti file carica il banner e quando diventa visibile. Un banner che sullo smartphone compare solo dopo diversi secondi fa perdere visitatori e peggiora i Core Web Vitals.

→ Configurare correttamente Google Consent Mode v2: nessun avviso in Tag Assistant

Errori tipici e come riconoscerli

Un errore frequente è un banner che compare ma non controlla nulla. I tag in Google Tag Manager si attivano al caricamento della pagina, indipendentemente dalla scelta. Te ne accorgi se in una finestra di navigazione in incognito clicchi su “Rifiuta tutto” e negli strumenti per sviluppatori, alla voce Applicazione, trovi comunque cookie come _ga o _fbp. Un secondo errore è la mancanza del valore predefinito: il Consent Mode riceve un segnale solo dopo il clic e i primi hit partono senza stato del consenso.

Capita anche che il consenso venga salvato ma non venga mai trasmesso come aggiornamento al Consent Mode. Allora tutto resta su “denied” e Google Analytics mostra pochissimi dati, anche se molti visitatori acconsentono. Sono frequenti anche le categorie assegnate in modo errato: il Meta Pixel è collegato a “Statistiche” invece che a “Marketing”, oppure un servizio non è elencato affatto nel banner. Nell'anteprima di Google Tag Manager, nella scheda dedicata al consenso, vedi quale stato era attivo in quale momento.

Esempio pratico: piccolo negozio online con WooCommerce

Un negozio di accessori per il caffè usa WooCommerce, Google Analytics 4, Google Ads e il Meta Pixel. Il banner è stato installato anni fa con un plugin, i tag sono stati aggiunti in seguito tramite Google Tag Manager. Il test mostra che il banner raccoglie correttamente il consenso, ma il Meta Pixel è anche inserito direttamente nel codice del tema e si carica sempre. Inoltre manca il valore predefinito per il Consent Mode, per cui Google Ads non vede quasi nessuna conversione dall'UE.

La soluzione prevede tre passaggi. Il pixel viene rimosso dal tema e attivato solo in Google Tag Manager con un attivatore legato al consenso al marketing. La CMP imposta il valore predefinito “denied” all'inizio di tutto. Poi si testa ogni percorso: senza scelta, con rifiuto, con consenso. Solo quando in tutti e tre i casi succede la cosa giusta, la modifica va online.

Far configurare la gestione del consenso

Trackum configura il consenso in modo che funzioni davvero nel Google Tag Manager della tua azienda: Consent Mode v2 con valore predefinito, attivatori per ogni piattaforma pubblicitaria e un test nell'anteprima con e senza consenso prima della pubblicazione. La configurazione con Google Analytics 4 e Consent Mode v2 costa 150 € una tantum. Il banner dei cookie di Trackum, un unico file da 6,6 KB che non carica altro, è disponibile come extra a 50 € più 4,90 € al mese ed è incluso nell'abbonamento da 19 € al mese. Tutti i prezzi sono IVA esclusa.

Se prima vuoi sapere se la tua CMP attuale funziona correttamente, il check gratuito, a 0 € e senza registrazione, analizza il sito in un browser reale con e senza consenso e ti mostra i problemi rilevati con un prezzo fisso per risolverli.