Server-side tracking и съгласие

Какво е server-side tracking?

При обикновеното проследяване цялата работа се върши в браузъра. Страницата Ви зарежда скриптове от Google, Meta и други доставчици и всеки скрипт изпраща данни директно от браузъра на посетителя към сървърите на съответния доставчик.

При server-side tracking браузърът първо изпраща данните на едно място: сървър, който Вие контролирате, обикновено на поддомейн на собствения Ви сайт, например metrics.example.bg. Този сървър приема заявката, превръща я в събития и решава какво да препрати към кой доставчик. Най-известният пример е server-side Google Tag Manager: „сървърен контейнер“, който работи в Google Cloud или при специализиран хостинг доставчик, до обичайния уеб контейнер в браузъра. Типични приложения са GA4 през сървърен контейнер и Meta Conversions API, с който сървърът Ви изпраща конверсии директно към Meta.

Важното: при повечето настройки браузърът на посетителя пак изпълнява скрипт и пак изпраща данните. Разликата е къде отиват първо.

Изисква ли server-side tracking съгласие?

Прилагат се два набора от правила, както при всяко друго проследяване (вижте Законодателството на ЕС за бисквитките):

1. Правилото за бисквитките. В ЕС това е член 5, параграф 3 от Директивата за ePrivacy, а в България член 4а от Закона за електронната търговия. Съхраняването на информация на устройството на посетителя или четенето на информация от него е допустимо само след ясна информация и, според КЗЛД, предварително съгласие, освен ако е строго необходимо за услуга, която посетителят е поискал. Подробности в Правилата за бисквитките в България.
2. ОРЗД: обработването на лични данни изисква правно основание, прозрачност и гаранции.

Server-side tracking не Ви изважда от обхвата на правилото за бисквитките. То се отнася до това, което става на устройството, а не до това къде отиват данните. Прилага се за всяка информация, независимо дали е лични данни, както потвърди Съдът на ЕС в делото Planet49 (2019 г.). В Насоки 2/2023 относно техническия обхват на член 5, параграф 3 Европейският комитет по защита на данните (ЕКЗД) обяснява, че:

• уебсайт, който с JavaScript кара браузъра да изпрати информация, получава достъп до тази информация, а това попада под правилото;
• добавянето на идентификатори към URL адреси или към пиксели за проследяване е указание към устройството да изпрати този идентификатор обратно и също е достъп;
• събирането на уникален идентификатор, например хеширан имейл адрес, чрез код в браузъра също попада под правилото;
• дори проследяване само по IP адреса може да попадне под него, освен ако можете да гарантирате, че адресът не идва от устройството на посетителя.

Server-side настройката прави точно това: тагът на Google в браузъра изпраща събития към Вашия сървър, а сървърният контейнер може да постави бисквитка на Вашия домейн, за да разпознава посетителя. Затова бисквитка на първа страна, поставена през сървърен контейнер за анализ или маркетинг, изисква съгласие, точно както бисквитка, поставена от скрипт. КЗЛД изисква съгласие за статистическите бисквитки, освен ако се използват в анонимизиран вид и не се споделят, и изрично съгласие за маркетинговите. Тези изключения зависят от целта, а не от технологията.

ОРЗД се прилага и на сървъра

Щом данните стигнат до сървъра Ви, ОРЗД се прилага за всичко, което правите с тях: препращането им към Google или Meta, обогатяването им с данни от поръчки или CRM, изграждането на аудитории. Нужно Ви е правно основание за всяка цел, а според насоките на ЕКЗД за съгласието, когато основанието е съгласие, то трябва да бъде получено преди обработването да започне.

За реклама и профилиране това основание на практика е съгласие. В делото Meta Platforms срещу Bundeskartellamt (C-252/21, 4 юли 2023 г.) Съдът на ЕС постанови, че персонализираната реклама не може да оправдае обработването на данни на потребителите от Meta като легитимен интерес без съгласието на потребителя. Уебсайт, който изпраща данни за посетителите към рекламна платформа за таргетиране или измерване на конверсии, трудно може да твърди легитимен интерес там, където самата платформа не може.

Какво всъщност променя server-side tracking

Server-side tracking не е начин да заобиколите съгласието, но може да направи проследяването Ви по-щадящо за поверителността и по-лесно за контрол:

• Контрол върху това, което получават доставчиците. Google посочва, че до данните в сървърния контейнер имате достъп само Вие, докато не решите да ги препратите. Можете да премахнете полета, да съкратите URL адреси или да изоставите събития, преди да напуснат сървъра Ви.
• IP адреси и идентификатори. Можете да решите да не препращате пълния IP адрес или да замените идентификаторите, преди да изпратите данните нататък. Това подкрепя свеждането на данните до минимум (член 5, параграф 1, буква „в“ от ОРЗД).
• По-малко заявки към трети страни в браузъра. По-малко скриптове на доставчици на страницата означава по-малко страни, които могат да четат данни директно от устройството на посетителя.
• Предаване извън Европа. Ако сървърът Ви работи в ЕС и премахва данни, преди да ги препрати, по-малко лични данни стигат до доставчици извън Европа. Френският надзорен орган CNIL описва такъв „прокси“ сървър за измерване на аудиторията при строги условия: без препращане на IP адреса, със заменен идентификатор, без referrer и параметри в URL адреса, без идентификатори между сайтове и с хостинг, който не допуска предаване извън ЕС. CNIL го представя като решение на въпроса с предаването, а не като причина да не искате съгласие.

Server-side tracking с банер за бисквитки и Consent Mode

Работещата настройка е същата като без сървърен контейнер, с една допълнителна стъпка:

1. Банерът за бисквитки събира избора и блокира таговете за анализ и маркетинг, докато посетителят не даде съгласие.
2. Google Consent Mode v2 предава избора нататък (вижте Google Consent Mode v2, обяснен). Според документацията на Google е достатъчно да настроите Consent Mode в уеб контейнера: тагът на Google добавя състоянието на съгласието към всяка заявка към сървърния контейнер.
3. Таговете на Google в сървърния контейнер следват това състояние. В основния режим таговете на Analytics са изцяло блокирани и не се поставят и не се четат бисквитки на Analytics, нито в браузъра, нито на сървъра. В разширения режим таговете на Analytics изпращат вместо това анонимни измервания. Без съгласие таговете за конверсии на Google Ads не четат и не записват бисквитки, а заявките за ремаркетинг на Google Ads и Floodlight се блокират.
4. Таговете на други доставчици изискват Вашето внимание. Google обещава това само за собствените си тагове. Таг за Meta Conversions API или всеки друг таг в сървърния контейнер трябва да се задейства само когато състоянието на съгласието го позволява; настройте това сами с тригери или условия.

Банер като Cookie Confirm задава стойностите по подразбиране на Consent Mode, преди да се зареди който и да е таг на Google, и ги актуализира след избора на посетителя, така че състоянието на съгласието стига до сървърния контейнер с всяка заявка. Повече за GA4 в Google Analytics и ОРЗД.

Meta Conversions API и съгласие

Meta Conversions API свързва сървъра Ви с Meta, така че да изпращате събития от уебсайта, като покупки и запитвания, без да разчитате само на Meta Pixel в браузъра. Meta използва тези събития за измерване и оптимизиране на рекламите.

Това е обработване за рекламни цели. Условията на Meta за бизнес инструментите изискват да имате всички необходими права и правно основание за данните, които споделяте, и в държавите, които изискват съгласие за съхраняване на информация или достъп до нея на устройството (условията посочват ЕС), да получите проверимо съгласие от посетителите. Според тези условия в ЕС Вие сте администратор на тези данни. На практика:

• изпращайте събития през Conversions API само за посетители, които са приели маркетинговите бисквитки в банера;
• не използвайте Conversions API, за да „възстановявате“ конверсии от посетители, които са отказали;
• споменете Meta и Conversions API в политиката си за бисквитките и в политиката си за поверителност.

Опцията на Meta „Limited Data Use“ е предназначена за някои закони за поверителност в щати на САЩ. Тя не е механизъм за съгласие в ЕС.

Чести грешки

• „Без бисквитки е, значи не е нужно съгласие.“ Правилото обхваща повече от бисквитките: скриптове, които карат браузъра да изпраща данни, пиксели за проследяване, идентификатори в URL адреси и уникални идентификатори попадат под него според ЕКЗД.
• „Вече е на първа страна.“ Правилото не прави разлика между първа и трета страна, нито между бисквитки, поставени от скрипт или от сървър. Решаваща е целта.
• Изпращане на данни преди избора. Ако сървърният Ви контейнер препраща прегледи на страници или конверсии към доставчици, преди посетителят да е избрал в банера, обработвате данни без правно основание.
• „Хешираният имейл е анонимен.“ Хешираният имейл адрес е псевдонимизирани данни, които ОРЗД продължава да третира като лични данни (съображение 26). Хешира се именно за да може платформа като Meta да го съпостави с конкретен човек.
• Забравени тагове извън Google. Consent Mode управлява само таговете на Google. Всеки друг таг в сървърния контейнер се нуждае от собствена проверка за съгласие.
• Неактуализирана политика за бисквитките. Посетителите трябва да знаят кои доставчици получават данните им, също и когато данните минават първо през Вашия сървър. Вижте нашата примерна политика за бисквитките.

Кой упражнява контрол в България?

Контролът е разделен между две институции, точно както при обикновените бисквитки. Комисията за защита на потребителите (КЗП) контролира спазването на Закона за електронната търговия, включително член 4а. Комисията за защита на личните данни (КЗЛД) е надзорният орган по ОРЗД и разглежда жалби за обработването на лични данни, включително за това, което става на сървъра Ви. Какви санкции рискувате, ще намерите в Глоби за бисквитки.

Източници

• Закон за електронната търговия, член 4а (текст, публикуван от Министерството на транспорта и съобщенията)
• КЗЛД: Специфични насоки за различни сектори – Онлайн търговия, използване на „бисквитки“
• Директива 2002/58/ЕО (консолидиран текст), член 5, параграф 3
• Регламент (ЕС) 2016/679 (ОРЗД)
• ЕКЗД: Насоки 2/2023 относно техническия обхват на член 5, параграф 3 от Директивата за ePrivacy
• ЕКЗД: Насоки 05/2020 относно съгласието
• Съд на ЕС: Дело C-673/17, Planet49
• Съд на ЕС: Решение по дело C-252/21, Meta Platforms и др. срещу Bundeskartellamt
• Съд на ЕС: Прессъобщение № 113/23 по дело C-252/21
• Google: Въведение в тагването от страна на сървъра
• Google: Внедряване на Consent Mode със server-side Tag Manager
• Google: Собствен домейн за тагване от страна на сървъра
• Meta for Developers: Conversions API
• Meta for Developers: Data Processing Options за потребители в САЩ
• Meta: Business Tools Terms
• CNIL: Измерване на аудиторията и предаване на данни (на френски)