Samtyckeshantering (CMP): vad plattformen måste klara

Vad är en samtyckesplattform?

En samtyckesplattform, förkortat CMP (Consent Management Platform), är programvaran för samtyckeshantering som på din webbplats frågar besökarna om samtycke, sparar det, bevisar det och skickar det vidare till alla anslutna tjänster. Det enda som syns är cookiebannern. Bakom den sker det egentliga arbetet: CMP:n ser till att Google Analytics, Google Ads, Meta Pixel och andra tjänster sätter cookies eller skickar data först när besökaren har tillåtit det. Den kallas ofta också samtyckeshanterare eller samtyckesverktyg. Det handlar alltid om samma sak.

Den rättsliga grunden i Tyskland är § 25 i Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), som fram till maj 2024 hette TTDSG. Paragrafen reglerar när man får komma åt en användares enhet, alltså när cookies får sättas eller läsas. För allt som inte är absolut nödvändigt krävs i regel samtycke. Dataskyddsförordningen (GDPR) kräver dessutom i artikel 7 att du kan bevisa samtycket och att det ska vara lika enkelt att återkalla samtycket som att ge det. Den här artikeln är ingen juridisk rådgivning, den förklarar tekniken.

Vilka uppgifter har en samtyckeshanterare?

En samtyckeshanterare sköter sex uppgifter som hänger tätt ihop. Om en av dem inte fungerar uppstår antingen dataskyddsproblem eller luckor i dina siffror.

• Fråga: Bannern förklarar syftena begripligt och erbjuder godkännande och avvisning på lika villkor.
• Spara: Beslutet sparas i webbläsaren så att bannern inte dyker upp igen vid varje sidvisning.
• Bevisa: Varje samtycke loggas med tidpunkt, bannerversion och valda syften.
• Vidarebefordra: Beslutet skickas till Google Consent Mode och alla andra taggar som beror på det.
• Möjliggöra återkallande: Besökare kan ändra sitt beslut när som helst, till exempel via en länk i sidfoten.
• Skanna: En cookieskanning visar vilka cookies och tjänster som faktiskt förekommer på sidan.

→ Cookie-banner med Consent Mode v2: följande regler, utan månatlig licens

Samtyckeshantering och Google Consent Mode v2

För Google är CMP:ns viktigaste uppgift att skicka beslutet vidare till Google Consent Mode v2, samtyckesläget, det gränssnitt genom vilket Google-taggar får veta besökarens beslut. Samtyckesläget har fyra signaler: ad_storage och analytics_storage styr om cookies för annonsering och analys får sättas. ad_user_data styr om användardata får skickas till Google i annonseringssyfte, och ad_personalization om anpassad annonsering är tillåten. När sidan laddas sätter CMP:n ett standardvärde för alla fyra, i EU vanligtvis ”denied”. Efter ett klick på en knapp skickar den en uppdatering med det faktiska beslutet.

Sedan mars 2024 förväntar sig Google att dessa signaler skickas för besökare från Europeiska ekonomiska samarbetsområdet (EES) när data ska användas för annonsering och remarketing. Saknas de kan Google Ads bara använda målgrupper och konverteringar i begränsad utsträckning. Google skiljer mellan två varianter: Vid grundläggande implementering laddas Google-taggarna först efter samtycke. Vid avancerad implementering laddas de direkt med standardvärdet ”denied” och skickar utan samtycke bara mätningar utan cookies, som Google använder för att uppskatta saknade värden. Vilken variant som passar är en avvägning som du bör göra medvetet.

Andra tjänster har egna mekanismer. Microsoft Advertising stöder en egen samtyckessignal för sin Universal Event Tracking (UET). För Meta, LinkedIn, TikTok eller Pinterest ställs taggen i Google Tag Manager oftast in så att den utlöses först efter samtycke till marknadsföring. En bra samtyckesplattform levererar en egen händelse eller variabel i Google Tag Manager-containern som utlösarna kan utgå från.

Cookieskanningen är ytterligare en uppgift för en CMP. Den öppnar dina sidor automatiskt och listar vilka cookies, vilken lokal lagring och vilka tjänster som faktiskt förekommer där. Det är viktigt eftersom webbplatser ändras hela tiden: Ett nytt tillägg bäddar in en karta, en video hämtas från en plattform, ett chattfönster sätter egna cookies. Om en tjänst dyker upp i skanningen men inte i bannern, frågar bannern inte om något som ändå sker. Resultaten av skanningen hör dessutom hemma i cookietabellen i din integritetspolicy, så att besökarna kan läsa vad de samtycker till.

Så här känner du igen en bra samtyckesplattform

En bra samtyckesplattform känner du igen på tekniken och på hur den fungerar i vardagen, inte på hur bannern ser ut. De här punkterna hjälper dig att välja, oavsett om du använder ett färdigt samtyckesverktyg eller låter någon installera en lösning.

• Consent Mode v2 är direkt inbyggt och sätter standardvärdet innan någon tagg utlöses.
• ”Avvisa alla” finns likvärdigt på första nivån och är inte gömt i inställningarna.
• Bannern laddas snabbt: få filer och ingen extra laddning från många externa servrar.
• Samtyckesbevisen sparas dataminimerande, helst utan IP-adress.
• Kopplingen till Google Tag Manager är dokumenterad och fungerar utan egen kod.
• Texterna finns på de språk som din webbplats använder.

Laddningstiden för en samtyckesplattform glöms ofta bort när man väljer. Eftersom CMP:n måste laddas mycket tidigt för att standardvärdet ska vara satt före alla andra taggar, fördröjer varje extra fil starten av mätningen och ofta även sidans uppbyggnad. Kontrollera därför på en testsida hur många filer bannern laddar och när den blir synlig. En banner som på mobilen dyker upp först efter flera sekunder kostar besökare och försämrar Core Web Vitals.

→ Så här ställer du in Google Consent Mode v2 korrekt: ingen varning i Tag Assistant

Typiska fel och hur du upptäcker dem

Ett vanligt fel med en samtyckesplattform är en banner som visserligen visas men inte styr något. Taggarna i Google Tag Manager utlöses vid sidvisningen oavsett beslut. Du märker det om du klickar på ”Avvisa alla” i ett privat fönster och ändå hittar cookies som _ga eller _fbp i utvecklarverktygen under Application. Ett annat fel är ett saknat standardvärde: Samtyckesläget får en signal först efter klicket, och de första träffarna skickas utan samtyckesstatus.

Det händer också att samtycket sparas men aldrig skickas som uppdatering till samtyckesläget. Då ligger allt kvar på ”denied”, och Google Analytics visar nästan ingen data trots att många besökare samtycker. Felaktigt tilldelade kategorier är också vanliga: Meta Pixel ligger under ”Statistik” i stället för ”Marknadsföring”, eller så finns en tjänst inte alls med i bannern. I förhandsvisningen i Google Tag Manager ser du på fliken för samtycke vilken status som gällde vid vilken tidpunkt.

Exempel från praktiken: liten nätbutik med WooCommerce

En webbutik för kaffetillbehör använder WooCommerce, Google Analytics 4, Google Ads och Meta Pixel. Bannern installerades för några år sedan via ett tillägg, och taggarna lades till senare via Google Tag Manager. Vid testet visar det sig att bannern frågar korrekt, men att Meta Pixel dessutom är hårdkodad i temat och alltid laddas. Samtidigt saknas standardvärdet för samtyckesläget, och därför ser Google Ads nästan inga konverteringar från EU.

Lösningen består av tre steg. Pixeln tas bort från temat och utlöses bara i Google Tag Manager med en utlösare för samtycke till marknadsföring. CMP:n sätter standardvärdet ”denied” allra först. Därefter testas varje väg: utan beslut, med avvisning och med godkännande. Först när rätt sak händer i alla tre fallen går ändringen live.

Få samtyckeshanteringen installerad

Trackum sätter upp samtycket så att det verkligen fungerar i ditt företags Google Tag Manager: Consent Mode v2 med standardvärde, utlösare för varje annonsplattform och ett test i förhandsvisningen med och utan samtycke innan något går live. Installationen med Google Analytics 4 och Consent Mode v2 kostar 150 € som engångsavgift. Trackums cookiebanner, en enda fil på 6,6 KB som inte laddar något mer, finns som tillägg för 50 € plus 4,90 € per månad och ingår i abonnemanget för 19 € per månad. Alla priser exkl. moms.

Om du först vill veta om din nuvarande samtyckesplattform fungerar korrekt, kontrollerar den kostnadsfria kontrollen din sida för 0 € och utan registrering i en riktig webbläsare med och utan samtycke och visar dig fynden med fast pris.