Zgody cookies i Consent Mode v2 w organizacji — co realnie musicie mieć

Czym zgoda musi być

RODO wymaga, żeby zgoda była dobrowolna, konkretna, świadoma i jednoznaczna. W praktyce oznacza to cztery rzeczy, których większość banerów na polskich stronach nie spełnia:

• Odrzucenie musi być równie łatwe jak akceptacja. Jeśli „Akceptuję wszystkie" jest dużym pomarańczowym przyciskiem, a „Odrzuć" szarym linkiem w rogu — to nie jest dobrowolna zgoda.
• Nic nie może się uruchomić przed zgodą. Baner, który tylko informuje, a skrypty analityczne startują razem ze stroną, nie spełnia wymogu.
• Zgoda musi być podzielona na kategorie. Osobno analityka, osobno marketing. Zgoda „na wszystko albo nic" nie jest konkretna.
• Zgodę trzeba dać się wycofać — równie łatwo, jak się ją wyraziło, w dowolnym momencie.

Consent Mode v2 — wymóg od Google

To osobna warstwa, która myli się z bannerem, choć rozwiązuje inny problem. Consent Mode to sposób, w jaki strona informuje narzędzia Google o decyzji użytkownika. Bez niego dzieją się dwie rzeczy:

• Google Analytics przestaje otrzymywać dane od osób, które nie wyraziły zgody — i nie potrafi ich nawet oszacować, więc raporty pokazują ułamek rzeczywistego ruchu.
• Kampanie reklamowe tracą dane o konwersjach, a listy remarketingowe przestają się zapełniać.

Przy poprawnie wdrożonym Consent Mode Google dostaje sygnał „brak zgody" i modeluje brakujące dane statystycznie. Raporty są niepełne, ale użyteczne — zamiast być puste.

Trzy mity

„Nie mamy reklam, więc nas to nie dotyczy." Dotyczy każdej strony, która używa Google Analytics, wtyczki Facebooka, mapy Google czy osadzonego filmu z YouTube. Każde z tych narzędzi zapisuje dane w przeglądarce odwiedzającego.

„Jesteśmy organizacją non-profit, mamy taryfę ulgową." RODO nie różnicuje podmiotów ze względu na formę prawną. Fundacja podlega tym samym zasadom co spółka.

„Wystarczy polityka prywatności." Polityka prywatności jest wymagana, ale opisuje, co robicie z danymi. Zgoda to osobna rzecz — to moment, w którym użytkownik na to pozwala.

Przechowywanie zgód

To punkt pomijany najczęściej. W razie kontroli trzeba wykazać, że konkretna osoba wyraziła zgodę o określonej treści w określonym momencie. Baner, który zapisuje decyzję tylko w przeglądarce użytkownika, nie da takiego dowodu. Potrzebny jest rejestr zgód po stronie strony — z datą, zakresem i wersją treści, na którą użytkownik wyraził zgodę.

Jak to wygląda w praktyce

Poprawnie wdrożony mechanizm to: baner z trzema równorzędnymi opcjami (akceptuj / odrzuć / ustawienia), podział na kategorie, blokada skryptów do momentu decyzji, sygnał Consent Mode v2 do narzędzi Google, zapis zgody w rejestrze i możliwość zmiany decyzji z poziomu stopki. Brzmi na dużo — jest to jednorazowe wdrożenie, po którym temat schodzi z głowy.