Co to jest CMP i co musi umieć platforma zarządzania zgodami

Co to jest platforma zarządzania zgodami?

Platforma zarządzania zgodami, w skrócie CMP (Consent Management Platform), to oprogramowanie, które na Twojej stronie pyta użytkowników o zgodę, zapisuje ją, dokumentuje i przekazuje do wszystkich podłączonych usług. Widać z tego tylko baner cookies. Właściwa praca dzieje się w tle: CMP dba o to, by Google Analytics, Google Ads, Piksel Meta i inne usługi zapisywały pliki cookie lub wysyłały dane dopiero wtedy, gdy użytkownik na to pozwoli. Często mówi się też o menedżerze zgód lub narzędziu do zarządzania zgodami. Chodzi zawsze o to samo.

Podstawą prawną w Niemczech jest § 25 niemieckiej ustawy o ochronie danych w telekomunikacji i usługach cyfrowych (TDDDG), która do maja 2024 roku nazywała się TTDSG. Przepis ten określa, kiedy wolno uzyskiwać dostęp do urządzenia końcowego użytkownika, czyli kiedy można zapisywać lub odczytywać pliki cookie. Na wszystko, co nie jest niezbędne, zwykle potrzebna jest zgoda. Ogólne rozporządzenie o ochronie danych (RODO) wymaga dodatkowo w art. 7, abyś mógł wykazać udzielenie zgody i aby jej wycofanie było równie proste jak jej wyrażenie. Ten artykuł nie jest poradą prawną, wyjaśnia technikę.

Jakie zadania ma menedżer zgód?

Menedżer zgód wykonuje sześć ściśle powiązanych zadań. Jeśli któreś z nich nie działa, pojawiają się problemy z ochroną danych albo luki w Twoich danych.

• Pytanie o zgodę: baner zrozumiale wyjaśnia cele i oferuje akceptację oraz odrzucenie jako równorzędne opcje.
• Zapisywanie: decyzja jest zapisywana w przeglądarce, żeby baner nie pojawiał się przy każdym wyświetleniu strony.
• Dokumentowanie: każda zgoda jest rejestrowana z datą i godziną, wersją banera i wybranymi celami.
• Przekazywanie: decyzja trafia do Google Consent Mode i do wszystkich innych tagów, które od niej zależą.
• Wycofanie zgody: użytkownicy mogą w każdej chwili zmienić decyzję, na przykład przez link w stopce.
• Skanowanie: skan plików cookie pokazuje, jakie pliki cookie i usługi faktycznie występują na stronie.

→ Baner cookie z trybem Consent Mode v2: zgodny z prawem, bez miesięcznej licencji

Zarządzanie zgodami i Google Consent Mode v2

Z perspektywy Google najważniejszym zadaniem CMP jest przekazywanie decyzji do Google Consent Mode v2, czyli interfejsu, przez który tagi Google poznają wybór użytkownika. Consent Mode zna cztery sygnały: ad_storage i analytics_storage określają, czy wolno zapisywać pliki cookie do celów reklamowych i analitycznych. ad_user_data określa, czy dane użytkowników mogą trafiać do Google w celach reklamowych, a ad_personalization, czy dozwolone są reklamy spersonalizowane. Przy ładowaniu strony CMP ustawia dla wszystkich czterech wartość domyślną, w UE zwykle „denied”. Po kliknięciu przycisku wysyła aktualizację z faktyczną decyzją.

Od marca 2024 roku Google oczekuje, że w przypadku użytkowników z Europejskiego Obszaru Gospodarczego te sygnały będą przekazywane, jeśli dane mają służyć reklamie i remarketingowi. Jeśli ich brakuje, Google Ads może tylko w ograniczonym zakresie korzystać z list odbiorców i konwersji. Google rozróżnia dwa warianty. W wersji podstawowej tagi Google ładują się dopiero po wyrażeniu zgody. W wersji zaawansowanej ładują się od razu z wartością domyślną „denied” i bez zgody wysyłają tylko pomiary bez plików cookie, na podstawie których Google szacuje brakujące wartości. Wybór wariantu to decyzja, którą warto podjąć świadomie.

Inne usługi mają własne mechanizmy. Microsoft Advertising obsługuje dla swojego Universal Event Tracking (UET) własny sygnał zgody. W przypadku Meta, LinkedIn, TikTok czy Pinterest tag w Google Tag Managerze ustawia się zwykle tak, by uruchamiał się dopiero po zgodzie na marketing. Dobra CMP udostępnia w tym celu w kontenerze Google Tag Managera własne zdarzenie lub zmienną, na których mogą opierać się reguły.

Skan plików cookie to kolejne zadanie CMP. Skaner automatycznie odwiedza Twoje podstrony i wypisuje pliki cookie, dane w pamięci lokalnej i usługi, które faktycznie tam występują. To ważne, bo strony ciągle się zmieniają: nowa wtyczka osadza mapę, film pochodzi z zewnętrznej platformy, okno czatu zapisuje własne pliki cookie. Jeśli usługa pojawia się w skanie, ale nie w banerze, baner nie pyta o coś, co i tak się dzieje. Wyniki skanu powinny też trafić do tabeli plików cookie w polityce prywatności, aby użytkownicy mogli sprawdzić, na co wyrażają zgodę.

Jak rozpoznać dobrą platformę zarządzania zgodami

Dobrą CMP rozpoznasz po technice i po tym, jak zachowuje się na co dzień, a nie po wyglądzie banera. Poniższe punkty pomogą w wyborze, niezależnie od tego, czy korzystasz z gotowego narzędzia do zarządzania zgodami, czy zlecasz konfigurację rozwiązania.

• Consent Mode v2 jest wbudowany i ustawia wartość domyślną, zanim uruchomi się jakikolwiek tag.
• Przycisk „Odrzuć wszystkie” jest równorzędny i widoczny na pierwszej warstwie, a nie ukryty w ustawieniach.
• Baner ładuje się szybko: mało plików i żadnego doczytywania z wielu zewnętrznych serwerów.
• Dowody zgody są przechowywane z minimalną ilością danych, najlepiej bez adresu IP.
• Integracja z Google Tag Managerem jest udokumentowana i działa bez własnego kodu.
• Teksty są dostępne we wszystkich językach Twojej strony.

Przy wyborze CMP często zapomina się o czasie ładowania. Ponieważ CMP musi wczytać się bardzo wcześnie, aby wartość domyślna była ustawiona przed wszystkimi innymi tagami, każdy dodatkowy plik opóźnia start pomiaru, a często także budowanie strony. Sprawdź więc na stronie testowej, ile plików ładuje baner i kiedy staje się widoczny. Baner, który na telefonie pojawia się dopiero po kilku sekundach, kosztuje Cię użytkowników i pogarsza wskaźniki Core Web Vitals.

→ Konfiguracja Google Consent Mode v2: brak ostrzeżeń w Tag Assistant

Typowe błędy i jak je rozpoznać

Częstym błędem CMP jest baner, który się wyświetla, ale niczym nie steruje. Tagi w Google Tag Managerze uruchamiają się przy otwarciu strony, niezależnie od decyzji. Rozpoznasz to, gdy w oknie prywatnym klikniesz „Odrzuć wszystkie”, a w narzędziach deweloperskich w zakładce Aplikacja mimo to znajdziesz pliki cookie takie jak _ga czy _fbp. Drugim błędem jest brak wartości domyślnej: Consent Mode dostaje sygnał dopiero po kliknięciu, więc pierwsze odsłony są wysyłane bez statusu zgody.

Zdarza się też, że zgoda jest zapisana, ale nigdy nie trafia do Consent Mode jako aktualizacja. Wtedy wszystko pozostaje na „denied”, a Google Analytics pokazuje bardzo mało danych, choć wielu użytkowników wyraża zgodę. Częste są również źle przypisane kategorie: Piksel Meta jest podpięty pod „Statystyki” zamiast pod „Marketing” albo jakiejś usługi w ogóle nie ma w banerze. W trybie podglądu Google Tag Managera na karcie zgody zobaczysz, jaki status obowiązywał w danym momencie.

Przykład z praktyki: mały sklep internetowy z WooCommerce

Sklep z akcesoriami do kawy korzysta z WooCommerce, Google Analytics 4, Google Ads i Piksela Meta. Baner został dodany lata temu przez wtyczkę, a tagi dołożono później przez Google Tag Managera. Test pokazuje, że baner poprawnie pyta o zgodę, ale Piksel Meta jest dodatkowo wpisany na stałe w motyw i ładuje się zawsze. Do tego brakuje wartości domyślnej dla Consent Mode, przez co Google Ads widzi bardzo mało konwersji z UE.

Rozwiązanie składa się z trzech kroków. Piksel zostaje usunięty z motywu i uruchamia się już tylko w Google Tag Managerze, z regułą opartą na zgodzie na marketing. CMP ustawia wartość domyślną „denied” na samym początku. Potem testowana jest każda ścieżka: bez decyzji, z odrzuceniem i z akceptacją. Dopiero gdy we wszystkich trzech przypadkach wszystko działa prawidłowo, zmiana trafia na stronę.

Zlecenie konfiguracji zarządzania zgodami

Trackum konfiguruje zgody tak, by naprawdę działały w Google Tag Managerze Twojej firmy: Consent Mode v2 z wartością domyślną, reguły dla każdej platformy reklamowej i test w trybie podglądu ze zgodą i bez niej, zanim cokolwiek trafi na stronę. Konfiguracja z Google Analytics 4 i Consent Mode v2 kosztuje jednorazowo 150 €. Baner cookies Trackum, jeden plik o wadze 6,6 KB, który niczego nie doczytuje, jest dodatkiem za 50 € plus 4,90 € miesięcznie, a w abonamencie za 19 € miesięcznie jest już wliczony. Wszystkie ceny netto, do których dolicza się VAT.

Jeśli najpierw chcesz sprawdzić, czy Twoja obecna CMP działa poprawnie, bezpłatny test (0 €, bez rejestracji) sprawdzi stronę w prawdziwej przeglądarce ze zgodą i bez niej i pokaże wyniki wraz ze stałą ceną naprawy.