Server-side tracking e consentimento

O que é o server-side tracking?

No rastreamento habitual, o browser faz todo o trabalho. A tua página carrega scripts da Google, da Meta e de outros fornecedores, e cada script envia dados diretamente do browser do visitante para os servidores desse fornecedor.

Com o server-side tracking, o browser envia primeiro os dados para um só sítio: um servidor que controlas, normalmente num subdomínio do teu próprio site, como metrics.exemplo.pt. Esse servidor recebe o pedido, transforma-o em eventos e decide o que reencaminha para cada fornecedor. O exemplo mais conhecido é o Google Tag Manager server-side: um "contentor de servidor" que corre no Google Cloud ou num fornecedor de alojamento especializado, ao lado do contentor web normal no browser. Os usos mais comuns são o GA4 através de um contentor de servidor e a Conversions API da Meta, que permite ao teu servidor enviar conversões diretamente à Meta.

O ponto essencial: na maioria das configurações, o browser do visitante continua a executar um script e continua a enviar os dados. A diferença está no sítio para onde vão primeiro.

O server-side tracking precisa de consentimento?

Aplicam-se dois conjuntos de regras, como a qualquer outro rastreamento (vê A lei de cookies da UE explicada):

1. A regra dos cookies, em Portugal o artigo 5.º da Lei n.º 41/2004, que transpõe o artigo 5.º, n.º 3, da Diretiva ePrivacy: guardar informação no dispositivo do visitante, ou ler informação que lá esteja, exige consentimento prévio, salvo se for estritamente necessário para um serviço que o visitante pediu ou para transmitir uma comunicação.
2. O RGPD, completado pela Lei n.º 58/2019: tratar dados pessoais exige um fundamento jurídico, transparência e garantias.

O server-side tracking não te tira da regra dos cookies. A regra trata do que acontece no dispositivo, não do sítio onde os dados acabam. Aplica-se a qualquer informação, seja ou não um dado pessoal, como o Tribunal de Justiça confirmou no acórdão Planet49 (2019). Nas suas Diretrizes 2/2023 sobre o âmbito técnico do artigo 5.º, n.º 3, o Comité Europeu para a Proteção de Dados (CEPD) explica que:

• um site que usa JavaScript para levar o browser a enviar informação está a obter acesso a essa informação, o que cai na regra;
• acrescentar identificadores a URLs ou a píxeis de rastreamento é uma instrução ao dispositivo para enviar de volta esse identificador, e também conta como acesso;
• recolher um identificador único, como um e-mail com hash, através de código no browser também cai na regra;
• mesmo o rastreamento baseado apenas no endereço IP pode cair na regra, a menos que consigas garantir que o endereço não vem do dispositivo do visitante.

Uma configuração server-side faz exatamente isto: a tag da Google no browser envia eventos para o teu servidor, e o contentor de servidor pode colocar um cookie no teu domínio para reconhecer o visitante. Por isso, um cookie próprio colocado através de um contentor de servidor precisa de consentimento para análise ou marketing, tal como um colocado por um script. O CEPD acrescenta que a regra se aplicar nem sempre significa que é preciso consentimento: o armazenamento estritamente necessário está isento. Alguns países, como a França, admitem também uma medição de audiências limitada sem consentimento, mas a lei portuguesa não tem essa exceção, e a CNPD escreveu em 2021 que os cookies para fins de analítica precisam de consentimento.

O RGPD continua a aplicar-se no servidor

Quando os dados chegam ao teu servidor, o RGPD aplica-se a tudo o que fazes com eles: reencaminhá-los para a Google ou a Meta, enriquecê-los com dados de encomendas ou do CRM, criar audiências. Precisas de um fundamento jurídico para cada finalidade, e as diretrizes do CEPD sobre o consentimento dizem que, quando o fundamento é o consentimento, este tem de ser obtido antes de o tratamento começar.

Para publicidade e definição de perfis, esse fundamento é, na prática, o consentimento. No processo Meta Platforms/Bundeskartellamt (C-252/21, 4 de julho de 2023), o Tribunal de Justiça decidiu que a publicidade personalizada não justifica, enquanto interesse legítimo, o tratamento dos dados dos utilizadores pela Meta sem o seu consentimento. Um site que envia dados dos visitantes a uma plataforma de publicidade para segmentação ou medição de conversões dificilmente pode invocar o interesse legítimo quando a própria plataforma não o pode fazer.

O que o server-side tracking muda de facto

O server-side tracking não é uma forma de contornar o consentimento, mas pode tornar o teu rastreamento mais respeitador da privacidade e mais fácil de controlar:

• Controlo sobre o que os fornecedores recebem. A Google diz que só tu tens acesso aos dados no contentor de servidor até decidires enviá-los. Podes retirar campos, encurtar URLs ou descartar eventos antes de saírem do teu servidor.
• Endereços IP e identificadores. Podes optar por não reencaminhar o endereço IP completo ou por substituir identificadores antes de enviar os dados. Isso apoia a minimização dos dados (artigo 5.º, n.º 1, alínea c), do RGPD).
• Menos pedidos a terceiros no browser. Menos scripts de fornecedores na página significa menos entidades a ler dados diretamente do dispositivo do visitante.
• Transferências para fora da Europa. Se o teu servidor correr na UE e limpar os dados antes de os reencaminhar, chegam menos dados pessoais a fornecedores fora da Europa. A CNIL francesa descreve um "proxy" deste tipo para a medição de audiências, em condições rigorosas: sem transmissão do endereço IP, com o identificador substituído, sem referrer nem parâmetros de URL, sem identificadores entre sites e com um alojamento que impeça transferências para fora da UE. A CNIL apresenta-o como forma de resolver as transferências, não como razão para dispensar o consentimento.

Server-side tracking com banner de cookies e Consent Mode

A configuração que funciona é a mesma que sem contentor de servidor, com um passo a mais:

1. O teu banner de cookies recolhe a escolha e bloqueia as tags de análise e de marketing até o visitante dar o seu consentimento.
2. O Google Consent Mode v2 transmite a escolha (vê O Google Consent Mode v2 explicado). A documentação da Google diz que só precisas de configurar o Consent Mode no contentor web: a tag da Google junta o estado do consentimento a cada pedido que envia ao contentor de servidor.
3. As tags da Google no contentor de servidor seguem esse estado. No modo básico, as tags do Analytics ficam completamente bloqueadas e não são colocados nem lidos cookies do Analytics, nem no browser nem no servidor. No modo avançado, as tags do Analytics enviam medições anónimas. Sem consentimento, as tags de conversão do Google Ads não leem nem escrevem cookies, e os pedidos de remarketing do Google Ads e do Floodlight são bloqueados.
4. As tags de outros fornecedores exigem a tua atenção. A Google só garante isto para as suas próprias tags. Uma tag da Conversions API da Meta, ou qualquer outra tag no contentor de servidor, só deve disparar quando o estado do consentimento o permite; configura isso tu, com acionadores ou condições.

Um banner como o Cookie Confirm define as predefinições do Consent Mode antes de qualquer tag da Google carregar e atualiza-as depois de o visitante escolher, para que o estado do consentimento chegue ao contentor de servidor em cada pedido.

A Conversions API da Meta e o consentimento

A Conversions API da Meta liga o teu servidor à Meta, para poderes enviar eventos do site, como compras e leads, sem depender apenas do Meta Pixel no browser. A Meta usa esses eventos para medir e otimizar anúncios.

Trata-se, portanto, de um tratamento para fins de publicidade. Os Termos das Ferramentas de Negócio da Meta exigem que tenhas todos os direitos necessários e um fundamento lícito para os dados que partilhas e, nos países que exigem consentimento para guardar ou aceder a informação nos dispositivos (os termos referem a UE), que obtenhas um consentimento verificável dos visitantes. Segundo esses termos, na UE és tu o responsável pelo tratamento desses dados. Na prática:

• envia eventos da Conversions API apenas de visitantes que aceitaram o marketing no teu banner;
• não uses a Conversions API para "recuperar" conversões de visitantes que recusaram;
• menciona a Meta e a Conversions API na tua política de cookies e na tua política de privacidade.

A opção "Limited Data Use" da Meta destina-se a certas leis de privacidade estaduais dos EUA. Não é um mecanismo de consentimento europeu.

Erros comuns

• "É cookieless, por isso não precisa de consentimento." A regra dos cookies abrange mais do que cookies: scripts que levam o browser a enviar dados, píxeis de rastreamento, identificadores em URLs e identificadores únicos caem todos nela, segundo o CEPD.
• "Agora é first-party." A regra não distingue cookies próprios de cookies de terceiros, nem cookies colocados por um script de cookies colocados por um servidor. O que decide é a finalidade.
• Enviar dados antes da escolha. Se o teu contentor de servidor reencaminha visualizações de página ou conversões para fornecedores antes de o visitante clicar no banner, estás a tratar dados sem fundamento jurídico.
• "Um e-mail com hash é anónimo." Um e-mail com hash é um dado pseudonimizado, que o RGPD continua a tratar como dado pessoal (considerando 26). O hash serve precisamente para que uma plataforma como a Meta o possa associar a uma pessoa.
• Esquecer as tags que não são da Google. O Consent Mode só controla as tags da Google. Todas as outras tags no contentor de servidor precisam da sua própria verificação do consentimento.
• Não atualizar as tuas políticas. Os visitantes têm de saber que fornecedores recebem os seus dados, também quando os dados passam primeiro pelo teu servidor. Atualiza a tua política de cookies e a tua política de privacidade.

E em Portugal?

Em Portugal, quem fiscaliza tanto a regra dos cookies como o RGPD é a CNPD. A CNPD não publicou orientações próprias sobre server-side tracking, mas a sua nota informativa de 2021 é clara num ponto que conta aqui: quem tem o site responde por todos os cookies que deixa colocar, também os de terceiros, e os cookies de analítica precisam de consentimento. Um contentor de servidor não muda isso. Pela violação do artigo 5.º da Lei n.º 41/2004, uma empresa arrisca uma coima de 5000 a 5 000 000 de euros; vê Coimas por cookies em Portugal. Sobre o Google Analytics em particular, vê O Google Analytics e o RGPD.

Fontes

• Diário da República: Lei n.º 41/2004, de 18 de agosto
• Diário da República: Lei n.º 46/2012, de 29 de agosto (nova redação do artigo 5.º da Lei n.º 41/2004)
• Diário da República: Lei n.º 58/2019, de 8 de agosto
• EUR-Lex: Diretiva 2002/58/CE (Diretiva ePrivacy)
• EUR-Lex: Regulamento (UE) 2016/679 (RGPD)
• CNPD: Nota informativa relativa à utilização de cookies (25 de junho de 2021)
• CEPD: Diretrizes 2/2023 sobre o âmbito técnico do artigo 5.º, n.º 3, da Diretiva ePrivacy
• CEPD: Diretrizes 05/2020 relativas ao consentimento
• TJUE: processo C-673/17, Planet49 (1 de outubro de 2019)
• TJUE: processo C-252/21, Meta Platforms/Bundeskartellamt (4 de julho de 2023)
• Google: An introduction to server-side tagging
• Google: Implement consent mode with server-side Tag Manager
• Google: Custom domain for server-side tagging
• Meta for Developers: Conversions API
• Meta for Developers: Data Processing Options for US users
• Meta: Termos das Ferramentas de Negócio
• CNIL: Mesure d'audience et transferts de données (em francês)