Server-side tracking a zgoda na pliki cookie

Czym jest server-side tracking?

Przy zwykłym śledzeniu całą pracę wykonuje przeglądarka. Twoja strona ładuje skrypty Google, Meta i innych dostawców, a każdy z nich wysyła dane prosto z przeglądarki odwiedzającego na serwery swojej firmy.

Przy server-side trackingu przeglądarka wysyła dane najpierw w jedno miejsce: na serwer, który kontrolujesz, zwykle w subdomenie twojej strony, np. metrics.twojafirma.pl. Ten serwer odbiera żądanie, zamienia je na zdarzenia i decyduje, co i do którego dostawcy przekazać dalej. Najbardziej znany przykład to server-side Google Tag Manager: „kontener serwerowy”, który działa w Google Cloud albo u wyspecjalizowanego dostawcy hostingu, takiego jak Stape, obok zwykłego kontenera internetowego w przeglądarce. Typowe zastosowania to GA4 przez kontener serwerowy i Meta Conversions API, przez które twój serwer wysyła konwersje bezpośrednio do Meta.

Najważniejsze: w większości konfiguracji przeglądarka odwiedzającego nadal uruchamia skrypt i nadal wysyła dane. Różnica polega na tym, dokąd trafiają najpierw.

Czy server-side tracking wymaga zgody?

Obowiązują dwa zestawy przepisów, tak samo jak przy każdym innym śledzeniu:

1. Przepis o cookies, w Polsce art. 399 Prawa komunikacji elektronicznej, który wdraża art. 5 ust. 3 dyrektywy ePrivacy: przechowywanie informacji na urządzeniu odwiedzającego lub uzyskiwanie do nich dostępu wymaga informacji i zgody, chyba że jest konieczne do przesłania komunikatu albo do usługi, o którą prosi odwiedzający. Więcej w poradniku Przepisy o plikach cookie w Polsce.
2. RODO: przetwarzanie danych osobowych wymaga podstawy prawnej, przejrzystości i zabezpieczeń.

Server-side tracking nie wyprowadza cię poza przepis o cookies. Przepis dotyczy tego, co dzieje się na urządzeniu, a nie tego, gdzie trafiają dane. Obejmuje wszelkie informacje, niezależnie od tego, czy są danymi osobowymi, co TSUE potwierdził w sprawie Planet49 (2019). W wytycznych 2/2023 w sprawie zakresu technicznego art. 5 ust. 3 Europejska Rada Ochrony Danych (EROD) wyjaśnia, że:

• strona, która za pomocą JavaScriptu każe przeglądarce wysłać informacje, uzyskuje do nich dostęp, a to podlega przepisowi;
• dodawanie identyfikatorów do adresów URL lub pikseli śledzących to polecenie dla urządzenia, by odesłało identyfikator, i również jest uzyskiwaniem dostępu;
• zbieranie unikalnego identyfikatora, np. zahaszowanego adresu e-mail, przez kod w przeglądarce także podlega przepisowi;
• nawet śledzenie oparte wyłącznie na adresie IP może mu podlegać, chyba że masz pewność, że adres nie pochodzi z urządzenia odwiedzającego.

Konfiguracja server-side robi dokładnie te rzeczy: tag Google w przeglądarce wysyła zdarzenia na twój serwer, a kontener serwerowy może zapisać plik cookie w twojej domenie, żeby rozpoznać odwiedzającego. Własny plik cookie ustawiony przez kontener serwerowy wymaga więc zgody na analitykę lub marketing tak samo jak plik ustawiony przez skrypt. EROD dodaje, że to, że przepis ma zastosowanie, nie zawsze oznacza konieczność zgody: wyjątek obejmuje to, co niezbędne, a niektóre kraje dopuszczają ograniczony pomiar oglądalności bez zgody. W Polsce takiego zwolnienia dla analityki nie ma: art. 399 ust. 3 obejmuje tylko to, co konieczne do przesłania komunikatu lub do usługi, o którą prosi odwiedzający. O tym, czy wyjątek ma zastosowanie, decyduje cel, a nie technologia.

RODO obowiązuje także na serwerze

Gdy dane trafią na twój serwer, RODO obejmuje wszystko, co z nimi robisz: przekazywanie do Google lub Meta, łączenie z danymi zamówień lub CRM, budowanie grup odbiorców. Każdy cel wymaga podstawy prawnej, a według wytycznych EROD dotyczących zgody, jeśli podstawą jest zgoda, trzeba ją uzyskać, zanim przetwarzanie się zacznie.

Przy reklamie i profilowaniu tą podstawą jest w praktyce zgoda. W wyroku Meta Platforms przeciwko Bundeskartellamt (C-252/21, 4 lipca 2023) TSUE orzekł, że reklama spersonalizowana nie uzasadnia przetwarzania danych użytkowników przez Meta jako prawnie uzasadniony interes bez zgody użytkownika. Strona, która wysyła dane odwiedzających do platformy reklamowej w celu targetowania lub pomiaru konwersji, z trudem obroni prawnie uzasadniony interes tam, gdzie nie może tego zrobić sama platforma.

Co server-side tracking naprawdę zmienia

Server-side tracking nie zwalnia ze zgody, ale może sprawić, że twoje śledzenie będzie bardziej przyjazne prywatności i łatwiejsze do kontrolowania:

• Kontrola nad tym, co dostają dostawcy. Google pisze, że dopóki nie zdecydujesz się przesłać danych dalej, dostęp do danych w kontenerze serwerowym masz tylko ty. Możesz usuwać pola, skracać adresy URL albo odrzucać zdarzenia, zanim opuszczą twój serwer.
• Adresy IP i identyfikatory. Możesz nie przekazywać pełnego adresu IP albo zastępować identyfikatory przed wysłaniem danych dalej. To wspiera zasadę minimalizacji danych (art. 5 ust. 1 lit. c RODO).
• Mniej żądań do stron trzecich w przeglądarce. Mniej skryptów dostawców na stronie to mniej podmiotów, które mogą odczytywać dane bezpośrednio z urządzenia odwiedzającego.
• Przekazywanie danych poza Europę. Jeśli twój serwer działa w UE i usuwa dane przed przekazaniem ich dalej, do dostawców spoza Europy trafia mniej danych osobowych. Francuski organ CNIL opisuje takie „proxy” do pomiaru oglądalności na surowych warunkach: bez przekazywania adresu IP, z zastąpionym identyfikatorem, bez referrera i parametrów URL, bez identyfikatorów między stronami i z hostingiem, który wyklucza przekazywanie danych poza UE. CNIL przedstawia to jako sposób na problem przekazywania danych, a nie jako powód, by pominąć zgodę.

Server-side tracking z banerem cookie i Consent Mode

Konfiguracja, która działa, jest taka sama jak bez kontenera serwerowego, z jednym dodatkowym krokiem:

1. Twój baner cookie zbiera wybór i blokuje tagi analityczne i marketingowe, dopóki odwiedzający nie wyrazi zgody.
2. Google Consent Mode v2 przekazuje wybór dalej (zobacz poradnik Google Consent Mode v2). Według dokumentacji Google Consent Mode konfigurujesz tylko w kontenerze internetowym: tag Google dodaje stan zgody do każdego żądania wysyłanego do kontenera serwerowego.
3. Tagi Google w kontenerze serwerowym stosują się do tego stanu. W trybie podstawowym tagi Analytics są całkowicie zablokowane i żadne pliki cookie Analytics nie są zapisywane ani odczytywane, ani w przeglądarce, ani na serwerze. W trybie zaawansowanym tagi Analytics wysyłają zamiast tego anonimowe pomiary. Bez zgody tagi konwersji Google Ads nie odczytują ani nie zapisują plików cookie, a żądania remarketingu Google Ads i Floodlight są blokowane.
4. Tagi innych dostawców wymagają twojej uwagi. Google obiecuje to tylko dla własnych tagów. Tag Meta Conversions API czy każdy inny tag w kontenerze serwerowym powinien uruchamiać się tylko wtedy, gdy pozwala na to stan zgody; ustaw to sam za pomocą reguł lub warunków.

Baner taki jak Cookie Confirm ustawia wartości domyślne Consent Mode, zanim załaduje się jakikolwiek tag Google, i aktualizuje je po wyborze odwiedzającego, więc stan zgody dociera do kontenera serwerowego z każdym żądaniem.

Meta Conversions API a zgoda

Meta Conversions API łączy twój serwer z Meta, dzięki czemu możesz wysyłać zdarzenia ze strony, takie jak zakupy i leady, bez polegania wyłącznie na Meta Pixel w przeglądarce. Meta wykorzystuje te zdarzenia do pomiaru i optymalizacji reklam.

To przetwarzanie do celów reklamowych. Warunki Meta Business Tools wymagają, żebyś miał wszystkie potrzebne prawa i podstawę prawną dla udostępnianych danych, a w krajach, które wymagają zgody na przechowywanie informacji na urządzeniach lub dostęp do nich (warunki wymieniają UE), żebyś uzyskał od odwiedzających możliwą do zweryfikowania zgodę. Zgodnie z tymi warunkami w UE jesteś administratorem tych danych. W praktyce:

• wysyłaj zdarzenia przez Conversions API tylko dla odwiedzających, którzy zaakceptowali marketing w twoim banerze;
• nie używaj Conversions API do „odzyskiwania” konwersji od odwiedzających, którzy odmówili;
• wymień Meta i Conversions API w polityce cookies i w polityce prywatności.

Opcja „Limited Data Use” w Meta jest przeznaczona dla niektórych przepisów stanowych w USA. Nie jest unijnym mechanizmem zgody.

Najczęstsze błędy

• „To rozwiązanie bez plików cookie, więc zgoda nie jest potrzebna.” Przepis obejmuje więcej niż pliki cookie: według EROD podlegają mu skrypty, które każą przeglądarce wysyłać dane, piksele śledzące, identyfikatory w adresach URL i unikalne identyfikatory.
• „Teraz to własne pliki cookie.” Przepis nie rozróżnia własnych plików cookie i plików stron trzecich ani plików ustawianych przez skrypt i przez serwer. Decyduje cel.
• Wysyłanie danych przed wyborem. Jeśli kontener serwerowy przekazuje odsłony lub konwersje dostawcom, zanim odwiedzający kliknie w banerze, przetwarzasz dane bez podstawy prawnej.
• „Zahaszowany e-mail jest anonimowy.” Zahaszowany adres e-mail to dane spseudonimizowane, które RODO nadal traktuje jako dane osobowe (motyw 26). Haszuje się go właśnie po to, żeby platforma taka jak Meta mogła dopasować go do osoby.
• Pominięcie tagów spoza Google. Consent Mode steruje tylko tagami Google. Każdy inny tag w kontenerze serwerowym potrzebuje własnego sprawdzenia zgody.
• Nieaktualna polityka cookies. Odwiedzający muszą wiedzieć, którzy dostawcy otrzymują ich dane, także wtedy, gdy dane przechodzą najpierw przez twój serwer. Pomoże ci wzór polityki cookies.

Kto to sprawdza w Polsce?

Przestrzegania art. 399 Prawa komunikacji elektronicznej pilnuje Prezes UKE, a RODO Prezes UODO. Obaj mogą nakładać kary pieniężne: Prezes UKE do 3% przychodu z poprzedniego roku kalendarzowego, Prezes UODO do 20 mln € lub 4% całkowitego rocznego światowego obrotu. O ile nam wiadomo, żaden z nich nie zajął osobnego stanowiska w sprawie server-side trackingu. Obowiązują więc ogólne zasady opisane wyżej i wytyczne EROD, którymi kierują się wszystkie unijne organy ochrony danych. Więcej o analityce w poradniku Google Analytics a RODO, a o karach w poradniku Kary za pliki cookie.

Źródła

• ISAP: ustawa z 12 lipca 2024 r. Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1221 (art. 399, 400, 444 i 446)
• Dyrektywa ePrivacy 2002/58/WE (wersja skonsolidowana), art. 5 ust. 3
• EUR-Lex: rozporządzenie (UE) 2016/679 (RODO)
• EROD: Wytyczne 2/2023 w sprawie zakresu technicznego art. 5 ust. 3 dyrektywy ePrivacy
• EROD: Wytyczne 05/2020 dotyczące zgody na mocy rozporządzenia 2016/679
• TSUE: sprawa C-673/17, Planet49 (1 października 2019 r.)
• TSUE: komunikat prasowy 113/23 w sprawie C-252/21, Meta Platforms przeciwko Bundeskartellamt (4 lipca 2023 r.)
• Google: Wprowadzenie do tagowania po stronie serwera
• Google: Consent Mode w server-side Tag Manager
• Google: Własna domena dla tagowania po stronie serwera
• Stape: hosting server-side Google Tag Manager
• Meta for Developers: Conversions API
• Meta for Developers: Data Processing Options dla użytkowników z USA
• Meta: Warunki Business Tools
• CNIL: Pomiar oglądalności i przekazywanie danych (po francusku)