Samtykkeplattform (CMP): hva den må kunne

Hva er en samtykkeplattform?

En samtykkeplattform, forkortet CMP (Consent Management Platform), er programvaren som på nettstedet ditt ber de besøkende om samtykke, lagrer det, dokumenterer det og sender det videre til alle tilkoblede tjenester. Det eneste som synes, er cookie-banneret. Bak det ligger selve jobben: CMP-en sørger for at Google Analytics, Google Ads, Meta Pixel og andre tjenester først setter informasjonskapsler eller sender data når den besøkende har tillatt det. Den kalles ofte også samtykkeverktøy eller consent manager. Det er alltid det samme som menes.

Det juridiske grunnlaget i Tyskland er § 25 i Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), som het TTDSG fram til mai 2024. Paragrafen regulerer når man får lov til å få tilgang til en brukers enhet, altså når informasjonskapsler kan settes eller leses. For alt som ikke er strengt nødvendig, kreves det som regel samtykke. Personvernforordningen (GDPR) krever i tillegg i artikkel 7 at du kan dokumentere samtykket, og at det skal være like enkelt å trekke det tilbake som å gi det. Denne artikkelen er ikke juridisk rådgivning, den forklarer teknikken.

Hvilke oppgaver har et samtykkeverktøy?

Et samtykkeverktøy løser seks oppgaver som henger tett sammen. Svikter én av dem, får du enten personvernproblemer eller hull i tallene dine.

• Spørre: Banneret forklarer formålene forståelig og tilbyr å godta og avslå likeverdig.
• Lagre: Valget lagres i nettleseren, slik at banneret ikke vises på nytt ved hver sidevisning.
• Dokumentere: Hvert samtykke logges med tidspunkt, versjon av banneret og valgte formål.
• Videresende: Valget sendes til Google Consent Mode og til alle andre tagger som er avhengige av det.
• Gjøre tilbaketrekking mulig: Besøkende kan når som helst endre valget sitt, for eksempel via en lenke i bunnteksten.
• Skanne: En cookie-skanning viser hvilke informasjonskapsler og tjenester som faktisk finnes på siden.

→ Cookie-banner med Consent Mode v2: Overholdende, uten månedlig lisens

Samtykkeadministrasjon og Google Consent Mode v2

For Google er CMP-ens viktigste oppgave å sende valget videre til Google Consent Mode v2, samtykkemodusen, grensesnittet som Google-tagger bruker for å få vite den besøkendes valg. Samtykkemodus har fire signaler: ad_storage og analytics_storage styrer om informasjonskapsler for annonsering og analyse kan settes. ad_user_data styrer om brukerdata kan sendes til Google for annonseformål, og ad_personalization om personlig tilpassede annonser er tillatt. Når siden lastes, setter CMP-en en standardverdi for alle fire, i EU vanligvis «denied». Etter et klikk på en knapp sender den en oppdatering med det faktiske valget.

Siden mars 2024 forventer Google at disse signalene sendes for besøkende fra Det europeiske økonomiske samarbeidsområdet (EØS) når data skal brukes til annonsering og remarketing. Mangler de, kan Google Ads bare i begrenset grad bruke målgrupper og konverteringer. Google skiller mellom to varianter: Ved grunnleggende implementering lastes Google-taggene først etter samtykke. Ved avansert implementering lastes de umiddelbart med standardverdien «denied» og sender uten samtykke bare målinger uten informasjonskapsler, som Google bruker til å anslå manglende verdier. Hvilken variant som passer, er en avveining du bør gjøre bevisst.

Andre tjenester har egne mekanismer. Microsoft Advertising støtter et eget samtykkesignal for Universal Event Tracking (UET). For Meta, LinkedIn, TikTok og Pinterest stilles taggen i Google Tag Manager som regel inn slik at den først utløses etter samtykke til markedsføring. En god CMP leverer en egen hendelse eller variabel i Google Tag Manager-containeren som utløserne kan rette seg etter.

Cookie-skanningen er en annen oppgave for en CMP. Den åpner sidene dine automatisk og lister opp hvilke informasjonskapsler, hvilken lokal lagring og hvilke tjenester som faktisk finnes der. Det er viktig fordi nettsteder endrer seg hele tiden: En ny utvidelse bygger inn et kart, en video hentes fra en plattform, et chattevindu setter egne informasjonskapsler. Dukker en tjeneste opp i skanningen, men ikke i banneret, spør banneret ikke om noe som skjer likevel. Resultatene av skanningen hører også hjemme i cookie-tabellen i personvernerklæringen din, slik at besøkende kan lese hva de samtykker til.

Slik kjenner du igjen en god samtykkeplattform

En god samtykkeplattform kjenner du igjen på teknikken og på hvordan den fungerer i hverdagen, ikke på hvordan banneret ser ut. Disse punktene hjelper deg å velge, uansett om du bruker et ferdig samtykkeverktøy eller får satt opp en løsning.

• Consent Mode v2 er innebygd og setter standardverdien før en eneste tagg utløses.
• «Avslå alle» står likeverdig på første nivå og er ikke gjemt i innstillingene.
• Banneret laster raskt: få filer og ingen ekstra lasting fra mange eksterne servere.
• Samtykkedokumentasjonen lagres dataminimerende, helst uten IP-adresse.
• Tilkoblingen til Google Tag Manager er dokumentert og fungerer uten egen kode.
• Tekstene finnes på de språkene nettstedet ditt bruker.

Lastetiden til en samtykkeplattform blir ofte glemt når man velger. Fordi CMP-en må laste svært tidlig for at standardverdien skal være satt før alle andre tagger, forsinker hver ekstra fil starten på målingen og ofte også oppbyggingen av siden. Sjekk derfor på en testside hvor mange filer banneret laster og når det blir synlig. Et banner som på mobilen først vises etter flere sekunder, koster besøkende og svekker Core Web Vitals.

→ Sett opp Google Consent Mode v2 riktig: ingen advarsel i Tag Assistant

Typiske feil og hvordan du oppdager dem

En vanlig feil ved en samtykkeplattform er et banner som riktignok vises, men ikke styrer noe. Taggene i Google Tag Manager utløses ved sidevisning, uavhengig av valget. Du oppdager det hvis du klikker «Avslå alle» i et privat vindu og likevel finner informasjonskapsler som _ga eller _fbp i utviklerverktøyene under Application. En annen feil er manglende standardverdi: Samtykkemodus får først et signal etter klikket, og de første treffene sendes uten samtykkestatus.

Det hender også at samtykket lagres, men aldri sendes som oppdatering til samtykkemodus. Da blir alt stående på «denied», og Google Analytics viser nesten ingen data selv om mange besøkende samtykker. Feil kategorisering er også vanlig: Meta Pixel ligger under «Statistikk» i stedet for «Markedsføring», eller en tjeneste står ikke i banneret i det hele tatt. I forhåndsvisningen i Google Tag Manager ser du i fanen for samtykke hvilken status som gjaldt til hvilket tidspunkt.

Praksiseksempel: liten nettbutikk med WooCommerce

En nettbutikk for kaffeutstyr bruker WooCommerce, Google Analytics 4, Google Ads og Meta Pixel. Banneret ble installert med en utvidelse for noen år siden, og taggene ble lagt til senere via Google Tag Manager. Testen viser at banneret ber om samtykke på riktig måte, men Meta Pixel er i tillegg hardkodet i temaet og laster alltid. Samtidig mangler standardverdien for samtykkemodus, og derfor ser Google Ads nesten ingen konverteringer fra EU.

Løsningen består av tre trinn. Pikselen fjernes fra temaet og utløses bare i Google Tag Manager med en utløser for samtykke til markedsføring. CMP-en setter standardverdien «denied» helt i begynnelsen. Deretter testes alle forløp: uten valg, med avslag og med samtykke. Først når det riktige skjer i alle tre tilfellene, publiseres endringen.

Få samtykkehåndteringen satt opp

Trackum setter opp samtykket slik at det faktisk virker i bedriftens Google Tag Manager: Consent Mode v2 med standardverdi, utløsere for hver annonseplattform og en test i forhåndsvisningen med og uten samtykke før noe publiseres. Oppsettet med Google Analytics 4 og Consent Mode v2 koster 150 € én gang. Cookie-banneret fra Trackum, én enkelt fil på 6,6 KB som ikke laster noe ekstra, fås som tillegg for 50 € pluss 4,90 € i måneden og er inkludert i abonnementet til 19 € i måneden. Alle priser er eksklusive merverdiavgift.

Hvis du først vil vite om den nåværende samtykkeplattformen din fungerer riktig, sjekker den gratis kontrollen siden din for 0 € og uten registrering i en ekte nettleser med og uten samtykke og viser deg funnene med fast pris.