Server-side tracking a souhlas: obejdeš tím cookie lištu?

Co je server-side tracking?

Při běžném měření dělá všechnu práci prohlížeč. Stránka načte skripty od Googlu, Mety a dalších dodavatelů a každý z nich posílá data z prohlížeče návštěvníka rovnou na servery svého dodavatele.

Při server-side trackingu posílá prohlížeč data nejdřív na jedno místo: na server, který ovládáš, obvykle na subdoméně tvého webu, třeba metrics.tvujweb.cz. Ten požadavek přijme, převede ho na události a rozhodne, co komu pošle dál. Nejznámějším příkladem je server-side Google Tag Manager: „serverový kontejner“ běžící v Google Cloudu nebo u specializovaného hostingu, vedle běžného webového kontejneru v prohlížeči. Typicky se používá pro GA4 přes serverový kontejner a pro Meta Conversions API, přes které tvůj server posílá konverze přímo Metě.

Podstatné je, že ve většině nastavení prohlížeč návštěvníka dál spouští skript a dál odesílá data. Mění se jen to, kam putují nejdřív.

Potřebuje server-side tracking souhlas?

Platí dvě sady pravidel, stejně jako u každého jiného měření (viz Zákon o cookies v Česku):

1. § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích, který provádí čl. 5 odst. 3 směrnice ePrivacy: ukládání údajů do zařízení návštěvníka nebo přístup k nim vyžaduje předchozí prokazatelný souhlas, pokud nejde o technické ukládání nezbytné pro službu, o kterou návštěvník požádal.
2. GDPR: zpracování osobních údajů potřebuje právní základ, informování a záruky.

Server-side tracking tě z prvního pravidla nevyvede. Pravidlo se týká toho, co se děje v zařízení, ne toho, kam data nakonec doputují. A platí pro jakékoli informace, ať jde o osobní údaje, nebo ne, jak potvrdil Soudní dvůr EU ve věci Planet49 (2019). ÚOOÚ také výslovně uvádí, že se netýká jen cookies, ale i local storage, dalších forem ukládání dat v prohlížeči a fingerprintingu. Evropský sbor pro ochranu osobních údajů (EDPB) v pokynech 2/2023 k technickému rozsahu čl. 5 odst. 3 vysvětluje, že:

• web, který pomocí JavaScriptu přiměje prohlížeč odeslat informace, získává k nim přístup, a to pod pravidlo spadá;
• přidání identifikátorů do URL nebo do sledovacích pixelů je pokyn zařízení, aby identifikátor poslalo zpět, a také se počítá jako přístup;
• pod pravidlo spadá i získání jedinečného identifikátoru, například hashovaného e-mailu, kódem v prohlížeči;
• i sledování založené jen na IP adrese pod něj může spadat, pokud nemůžeš zajistit, že adresa nepochází ze zařízení návštěvníka.

Server-side nastavení dělá přesně tohle: Google tag v prohlížeči posílá události na tvůj server a serverový kontejner může na tvé doméně uložit cookie, podle které návštěvníka pozná. Cookie první strany nastavená přes serverový kontejner tak pro analytiku nebo marketing potřebuje souhlas stejně jako cookie uložená skriptem. Česko navíc na rozdíl od některých jiných zemí nemá výjimku pro měření návštěvnosti: ÚOOÚ řadí analytické cookies mezi netechnické, které souhlas vyžadují.

Na serveru dál platí GDPR

Jakmile data dorazí na tvůj server, vztahuje se GDPR na všechno, co s nimi děláš: přeposílání Googlu nebo Metě, obohacování o údaje z objednávek nebo CRM, tvorbu publik. Pro každý účel potřebuješ právní základ, a pokud je jím souhlas, musíš ho podle pokynů EDPB k souhlasu získat předtím, než zpracování začne.

U reklamy a profilování je tím základem v praxi souhlas. Ve věci Meta Platforms proti Bundeskartellamt (C-252/21, 4. července 2023) Soudní dvůr EU rozhodl, že personalizovaná reklama nemůže bez souhlasu uživatele ospravedlnit zpracování jejich údajů Metou jako oprávněný zájem. Web, který posílá údaje o návštěvnících reklamní platformě kvůli cílení nebo měření konverzí, bude oprávněný zájem obhajovat jen těžko, když to nedokáže ani samotná platforma.

Co server-side tracking skutečně změní

Souhlas neobejdeš, ale měření může být šetrnější k soukromí a snáz se kontroluje:

• Kontrola nad tím, co dodavatelé dostanou. Podle Googlu máš k datům v serverovém kontejneru přístup jen ty, dokud je nepošleš dál. Pole, části URL nebo celé události můžeš odstranit, než opustí tvůj server.
• IP adresy a identifikátory. Můžeš se rozhodnout, že celou IP adresu dál neposíláš nebo že identifikátory před odesláním nahradíš. To podporuje minimalizaci údajů (čl. 5 odst. 1 písm. c) GDPR).
• Méně požadavků třetích stran v prohlížeči. Méně skriptů dodavatelů na stránce znamená méně stran, které mohou číst data přímo ze zařízení návštěvníka.
• Předávání mimo Evropu. Pokud tvůj server běží v EU a data před odesláním očistí, dostanou dodavatelé mimo Evropu méně osobních údajů. Francouzský úřad CNIL popisuje takovou „proxy“ pro měření návštěvnosti za přísných podmínek: žádné předávání IP adresy, nahrazený identifikátor, odstraněný referrer a parametry URL, žádné identifikátory napříč weby a hosting, který předávání mimo EU vylučuje. CNIL to ale předkládá jako řešení předávání údajů, ne jako důvod vynechat souhlas.

Server-side tracking s cookie lištou a Consent Mode

Funkční nastavení je stejné jako bez serverového kontejneru, jen s jedním krokem navíc:

1. Cookie lišta získá volbu a blokuje analytické a marketingové tagy, dokud návštěvník nesouhlasí.
2. Google Consent Mode v2 volbu předá dál (viz Google Consent Mode v2 srozumitelně). Podle dokumentace Googlu stačí Consent Mode nastavit ve webovém kontejneru: Google tag přidá stav souhlasu ke každému požadavku, který posílá do serverového kontejneru.
3. Tagy Googlu v serverovém kontejneru se podle něj řídí. V základním režimu jsou tagy Analytics úplně zablokované a žádné cookies Analytics se neukládají ani nečtou, v prohlížeči ani na serveru. V pokročilém režimu posílají tagy Analytics místo toho anonymní měření. Bez souhlasu tagy konverzí Google Ads cookies nečtou ani nezapisují a požadavky pro remarketing Google Ads a Floodlight jsou zablokované.
4. Tagy jiných dodavatelů si pohlídej sám. Google to slibuje jen pro své tagy. Tag Meta Conversions API nebo jakýkoli jiný tag v serverovém kontejneru se má spustit jen tehdy, když to stav souhlasu dovoluje; nastav to přes spouštěče nebo podmínky.

Lišta jako Cookie Confirm nastaví výchozí stav Consent Mode dřív, než se načte jakýkoli tag Googlu, a po volbě návštěvníka ho aktualizuje, takže se stav souhlasu dostane do serverového kontejneru s každým požadavkem.

Meta Conversions API a souhlas

Meta Conversions API propojí tvůj server s Metou, takže můžeš posílat události z webu, jako jsou nákupy a leady, aniž by ses spoléhal jen na Meta Pixel v prohlížeči. Meta je používá k měření a optimalizaci reklam.

Jde tedy o zpracování pro reklamu. Obchodní podmínky Meta Business Tools vyžadují, abys měl ke sdíleným údajům všechna potřebná práva a právní základ a abys v zemích, které pro ukládání informací v zařízení nebo přístup k nim vyžadují souhlas (podmínky jmenují EU), získal od návštěvníků ověřitelný souhlas. Podle těchto podmínek jsi za tato data v EU správcem ty. V praxi:

• události přes Conversions API posílej jen za návštěvníky, kteří v liště přijali marketing;
• nepoužívej Conversions API k „dohledání“ konverzí od návštěvníků, kteří souhlas odmítli;
• uveď Metu a Conversions API v zásadách cookies i v zásadách ochrany osobních údajů.

Volba „Limited Data Use“ od Mety je určená pro některé zákony o ochraně soukromí v amerických státech. Mechanismem souhlasu pro EU není.

Časté chyby

• „Je to bez cookies, takže souhlas netřeba.“ Pravidlo nepokrývá jen cookies: podle EDPB pod něj spadají i skripty, které přimějí prohlížeč odeslat data, sledovací pixely, identifikátory v URL a jedinečné identifikátory, podle ÚOOÚ i local storage a fingerprinting.
• „Teď je to first-party.“ Zákon nerozlišuje první a třetí strany ani cookies ze skriptu a ze serveru. Rozhoduje účel.
• Odesílání dat před volbou. Když serverový kontejner přeposílá zobrazení stránek nebo konverze dodavatelům dřív, než návštěvník v liště klikne, zpracováváš údaje bez právního základu.
• „Hashovaný e-mail je anonymní.“ Hashovaný e-mail je pseudonymizovaný údaj, který GDPR stále považuje za osobní údaj (bod 26 odůvodnění). Hashuje se právě proto, aby ho platforma jako Meta mohla přiřadit k člověku.
• Zapomenuté tagy mimo Google. Consent Mode řídí jen tagy Googlu. Každý jiný tag v serverovém kontejneru potřebuje vlastní kontrolu souhlasu.
• Neaktualizované zásady cookies. Návštěvníci musí vědět, kteří dodavatelé jejich data dostávají, i když jdou nejdřív přes tvůj server. Viz vzor zásad používání cookies.

Používáš server-side jen pro Google Analytics? Co platí pro GA4 v Česku, najdeš v průvodci Google Analytics a GDPR.

Zdroje

• Zákon č. 127/2005 Sb., o elektronických komunikacích, § 89 odst. 3 (e-Sbírka)
• Směrnice ePrivacy 2002/58/ES (konsolidované znění), čl. 5 odst. 3
• Nařízení (EU) 2016/679 (GDPR) (EUR-Lex)
• ÚOOÚ: Q&A – Cookies
• EDPB: Pokyny 2/2023 k technickému rozsahu čl. 5 odst. 3 směrnice ePrivacy
• EDPB: Pokyny 05/2020 k souhlasu podle nařízení 2016/679
• SDEU: věc C-673/17, Planet49 (1. října 2019)
• SDEU: tisková zpráva 113/23 k věci C-252/21, Meta Platforms proti Bundeskartellamt (4. července 2023)
• Google: Úvod do tagování na straně serveru
• Google: Implementace režimu souhlasu se server-side Tag Managerem
• Google: Vlastní doména pro tagování na straně serveru
• Meta for Developers: Conversions API
• Meta for Developers: Data Processing Options pro uživatele z USA
• Meta: Obchodní podmínky Business Tools
• CNIL: Měření návštěvnosti a předávání údajů (francouzsky)