Používejte Google Tag Manager v souladu s GDPR – to říká právní situace

Používejte Správce značek Google v souladu s GDPR – Jaký je právní stav? Tento článek vás informuje o tom, jak funguje Správce značek Google, o právním vztahu k GDPR a životaschopných řešeních pro souhlas s používáním souborů cookie.

Správce značek Google a soubory cookie – takto nástroj funguje

Správce značek Google slouží jako nástroj pro správu a kontrolu souborů cookie, konverzních pixelů nebo měřicích kódů z programů jako Google Analytics nebo Bing Ads. Samotná aplikace pracuje se značkami a spouštěči a – jak se často předpokládá – předává informace shromážděné na webu prostřednictvím cookies přímo příslušným nástrojům k dalšímu zpracování. Samotné kódy, které se na webu používají k různým účelům (reklama, sledování…), nejsou uloženy ve zdrojovém kódu webu, ale ve speciálním kontejneru.

Práce se správcem značek je efektivní a zjednodušuje správu sledování a souborů cookie. I lidé s malými zkušenostmi s IT jsou schopni vložit požadované kódy. To platí i pro ovládání tag manageru přes jednoduše navržené a intuitivní webové rozhraní, které navíc nevyžaduje žádné odborné znalosti. A co víc, téměř všechny potřebné značky a pixely jsou obvykle k dispozici jako šablona . Uživatelé mohou těžit nejen z (téměř) povinných aplikací, jako je Google Analytics, ale také z Bing Ads, Google Ads nebo testovacích nástrojů, jako je AB Tasty.

Bez správce značek by se jednotlivé fragmenty kódu musely vkládat do zdrojového kódu webu s odpovídající dobou. K tomu jsou ale potřeba patřičné znalosti programování, pokud má web po „zásahu“ správně fungovat.

Zásady ochrany osobních údajů Správce značek Google

Nekomplikovaná práce Tag Manageru zajišťuje, že marketing je do značné míry nezávislý na IT . To nejen šetří čas společností, ale také umožňuje alokovat cenné IT zdroje jinam. Stejně přínosné jsou četné šablony pro Správce značek Google. GTM poskytuje šablony pro programy jako Google Analytics, Google Ads Remarketing, Hotjar nebo Tradedoubler, které můžete rychle a snadno přidat. Podrobně můžete využívat následující výhody:

• snadné použití prostřednictvím webového rozhraní
• Režim náhledu zjednodušuje testování značek
• k dispozici mnoho šablon
• různé značky, spouštěče a šablony proměnných
• se bez problémů integruje do vesmíru Google

Zajistěte, aby Správce značek Google odpovídal GDPR

Správce značek Google je považován za problematický od zrušení dohody Privacy Shield Evropským soudním dvorem (ESD) v červenci 2020 („ Schrems II “). Dohoda o štítu na ochranu soukromí původně stanovila, že evropští spotřebitelé se mohou při přenosu dat přes rybník spolehnout na stejnou úroveň ochrany údajů, jakou mají v EU. Problém: Vzhledem k právní situaci v USA mohou úřady přistupovat k datům amerických gigantů jako Microsoft, Google nebo Amazon prostřednictvím zákona o státním dohledu. Pro Google Tag Manager a na něj napojené aplikace to znamená, že přenos dat lze teoreticky realizovat v nejlepším případě po velmi úzkém právně-technickém koridoru. V praxi však: Podle Schrems II nelze aplikace jako Google Analytics & Co vymáhat zákonným způsobem .

Platí to i pro Správce značek Google? V zásadě to znamená, že Správce značek Google sám žádné soubory cookie nenastavuje a pouze spravuje soubory cookie z AdSense nebo Google Analytics v kontejneru. Z pohledu GDPR je zde problém dodatek o zpracování údajů (12. dubna 2021):

„Pokud jste při vytváření účtu uvedli, že se nacházíte v Evropském hospodářském prostoru (EHP), přijali jste již dodatek o zpracování dat jako součást smluvních podmínek.“

Google Tag Manager dodatek ke zpracování dat

Nařízení o ochraně údajů však vyžaduje transparentnost, zatímco informace o zpracování údajů gigantem ve vyhledávačích zůstávají mlhavé a vágní:

„Naše využití dat Správce značek Google
Můžeme shromažďovat informace, například o tom, jak se služba používá a jak a jaké značky jsou nasazeny. Tyto údaje můžeme použít ke zlepšení, údržbě, ochraně a rozvoji služby, jak je popsáno v našich zásadách ochrany osobních údajů, ale bez vašeho souhlasu je nebudeme sdílet s žádným jiným produktem Google.“

soukromí Google

Google zde tvrdí, že bez souhlasu nepropojuje žádná data s jinými službami Google; to však v žádném případě nevylučuje zpřístupnění třetím osobám. Není také jasné, zda je sběr dat nezbytně nutný, nebo jde nad rámec pouhé (technické) nutnosti.

Kvůli těmto nejistotám by Správce značek Google neměl být nikdy spuštěn bez souhlasu uživatele . Tím spíše, že jak se zdá, Google Tag Manager sám nastavuje cookies jako kontrolní a administrační nástroj, i když běžné výroky ukazují jiným směrem. Tvrdí se, že GTM pouze odesílá data z webové stránky do odpovídajících připojených nástrojů.

Podle tohoto čtení probíhá správa cookies, tedy nastavení, změna a mazání, pouze v aplikacích, jako je Google Analytics. To umožňuje GTM pracovat ruku v ruce se správci souhlasu s cookies. Tam, kde může návštěvník webu od začátku blokovat značky a spouštěče, se již nenastavují nepodstatné soubory cookie. Výhoda centrálního ovládání důležitých marketingových nástrojů je však pryč, protože žádná z aplikací nesmí sbírat vůbec žádná data.

V této souvislosti však blogy upozorňují, že data (IP, informace o prohlížeči, jazyk, …) a případně soubory cookie jsou přenášeny již při načtení Správce značek Google před spuštěním služby Google Analytics a spol. S ohledem na Schrems II je tato situace diskutabilní, protože data jsou zasílána přes rybník do USA, státu, který byl po Schrems II považován za „nebezpečnou třetí zemi“ kvůli četným datovým skandálům. Dalším problémem je potřeba vysvětlit všechny používané nástroje, včetně GTM, v souladu s článkem 13 GDPR, protože tyto nástroje by měly být vysvětleny alespoň v prohlášení o ochraně osobních údajů .

Správce značek Google a funkce přihlášení

Google Tag Manager se ukazuje jako více kompatibilní s GDPR, pokud jde o přihlášení. Pozadí: Od rozhodnutí ESD o souhlasu s používáním souborů cookie z 1. října 2019 musí uživatelé aktivně souhlasit s používáním souborů cookie a buď sami kliknou na odpovídající zaškrtávací políčka, nebo ne. Chcete-li zabránit nastavování souborů cookie bez aktivního souhlasu, nastavte možnost přihlášení prostřednictvím Správce značek Google. Tím je zajištěna ochrana dat ve Správci značek Google.

Chcete-li nastavit přihlášení ve Správci značek Google, vytvořte proměnnou, pravidlo a značku TAG. Po nastavení souboru cookie nastavte spouštěč a blokujte analýzy. Nakonec implementujte předdefinovaný odkaz HTML na stránku o tiráži nebo ochraně dat na webu. Pokud CMS zabrání implementaci odkazu, je vyžadována událost onload, která změní kód značky a odpovídajícím způsobem upraví pravidlo.

Nastavení funkce opt-in přes Google Tag Manager je relativně nekomplikované díky snadno srozumitelným pokynům dostupným online a nevyžaduje nutně hluboké znalosti IT.

Správce značek Google – nástroje pro souhlas s GDPR a soubory cookie

Pouze pokud odmyslíte problémové oblasti GDPR a Schrems II, můžete stále uvádět základní pohodlí Google Tag Manageru jako výhodu. To vyplývá z jednoduché a nekomplikované integrace řešení pro souhlas se soubory cookie do aplikace Google. Banner souhlasu se soubory cookie slouží jako prostředník mezi možnostmi přihlášení definovaných v GTM a návštěvníkem webu, který by se měl svobodně rozhodnout, zda bude souhlasit se soubory cookie nebo jejich výběrem, nebo zda všechny soubory cookie odmítne.

V souladu s tím předpisy o ochraně údajů vedou k rozdělení úkolů a spolupráci mezi řešeními pro obsah souborů cookie a Správcem značek Google. Pro výchozí nastavení přihlášení postačuje Správce značek Google. Aby byl Google Tag Manager v souladu s DSGVO, jsou nepostradatelná řešení pro souhlas se soubory cookie, protože návštěvníkovi webu zobrazují okno výběru pro souhlas nebo odmítnutí souborů cookie. Dokud uživatel neudělí svůj souhlas, Správce značek Google bude i nadále blokovat soubory cookie, které mají být nastaveny. Odpovídající soubory cookie budou uloženy na koncovém zařízení uživatele pouze v případě, že návštěvník webu aktivně souhlasil s používáním souborů cookie.

Řešení pro souhlas se soubory cookie pro zabezpečení a pohodlí

Trh nabízí řadu různých řešení pro zajištění souladu s GDPR a také směrnicemi ePrivacy souvisejícími s cookies a sledováním. Existují řešení, která v podstatě blokují všechny cookies a trackery a uvolňují je až poté, co s tím návštěvník webu souhlasí. V tomto případě by teoreticky nebylo nutné nastavovat opt-in ve Správci značek Google.

Jiná řešení pro správu obsahu souborů cookie nabízejí rozsáhlé služby tím, že provozují všechny služby Google v síti pod rozhraním webové stránky a generují pro návštěvníka stránky výběrové okno. Takto podporujete řešení pro souhlas se soubory cookie při zajišťování souladu Správce značek Google s DSGVO. Vzhledem k současné právní situaci se domnělý komfort Google Tag Manageru mění v poddolované území. Jediná cesta ven by byla méně pohodlná: proč nepoužít správce značek, který běží lokálně na vašem vlastním serveru, místo použití externího?

Individuálně přizpůsobené řešení pro každého provozovatele webu

Banner souhlasu je okno pro výběr, které řešení pro souhlas se soubory cookie představuje návštěvníkovi webu, aby povolil nebo odmítl ukládání souborů cookie. Tato okna se liší uživatelskou přívětivostí, často se přizpůsobují rozložení webu a spolupracují se Správcem značek Google, aby byla zajištěna shoda s GDPR. Protože Správce značek zruší přihlášení pouze v případě, že návštěvník webu souhlasí s ukládáním souborů cookie.

Trh nabízí širokou škálu výkonných řešení pro souhlas se soubory cookie, známých také jako poskytovatelé správy souhlasu (CMP). V některých případech můžete řešení optimálně přizpůsobit požadavkům vaší společnosti nebo vašeho webu. To zahrnuje integraci stávajících analytických nástrojů, individuální návrh okna pro přihlášení nebo přednastavení výběru souborů cookie pro návštěvníka webu.

Jako společnost máte na výběr mezi bezplatným a placeným řešením. Zejména menší společnosti často jako první krok volí bezplatná řešení. Ujistěte se však, že vybraný CMP spolehlivě splňuje požadavky GDPR.

Požadavky GDPR na poskytovatele správy souhlasu

GDPR se netýká pouze Správce značek Google, ale také požadavků na obsahový design banneru se souhlasem. Tyto body byly potvrzeny i soudním rozsudkem ESD, a jsou tedy závazné.

• Příjemci údajů musí být uvedeni jasně
• přehledná prezentace činnosti zpracování dat, marketingu, analýzy atd.
• Návštěvník webu musí mít možnost vybrat nebo zrušit výběr každé klasifikace jednotlivě
• žádný předvýběr příjemců a aktivit
• všechny cookies musí být zablokovány, dokud uživatel nesouhlasí

Další důležité body, které musí výkonné řešení souhlasu splňovat a které byste rozhodně měli mít na paměti, než se rozhodnete pro produkt od poskytovatele:

• Místo uložení souhlasu – lokálně na zařízení uživatele nebo v databázi (důležité pro možnost provozovatele webu poskytovat informace)
• Jaké možnosti má uživatel k odvolání souhlasu nebo ke kontrole stavu vlastního souhlasu?
• Délka životnosti cookies
• Existují podrobné informace o zpracování údajů?
• Je účel souboru cookie jasně rozpoznatelný?

Bez ohledu na to, zda používáte placený nebo bezplatný nástroj: zvolte pouze řešení pro souhlas se soubory cookie od poskytovatele správy souhlasu, který splňuje tyto požadavky.

Závěr

Samozřejmě: Google Tag Manager výrazně zjednodušuje integraci běžných nástrojů zejména pro marketingové účely. Nicméně integrace se ukázala jako problematická nejpozději s rozsudkem ESD z července 2020 označovaným jako Schrems II. Data se do USA dostávají pomocí GTM (a dalších připojených nástrojů) a nabízejí tak cíle pro soudní spory a pokuty. Také z pohledu GDPR funguje Google Tag Manager vše, jen ne v souladu s GDPR kvůli vágním prohlášením o předmětu zpracování dat. Právně bezchybná integrace GTM je tedy téměř nemožná. Jedinou perspektivou, která v současné době zbývá, je načíst jej pouze po souhlasu poskytovatele souhlasu se soubory cookie, jako je například správce souhlasu, jako preventivní opatření. To však neznamená, že jste na bezpečné straně.