RODO i Consent Mode v2 | lista kontrolna zgodności
Consent Mode v2 stał się obowiązkowy dla wszystkich reklamodawców w Europejskim Obszarze Gospodarczym w marcu 2024 roku, a egzekwowanie przepisów tylko się zaostrza. Jeśli Twoje dane w GA4 lub konwersje w Google Ads podejrzanie ucichły, jest duża szansa, że konfiguracja zgód jest błędna. Oto praktyczna lista kontrolna, która pomoże Ci zweryfikować zgodność | krok po kroku, bez zgadywanek.
1. Domyślna zgoda | zacznij od odmowy
Zanim użytkownik wykona jakąkolwiek interakcję, Twoja strona musi ustawić ad_storage, analytics_storage, ad_user_data i ad_personalization na 'denied'. To mówi Google: „nie ustawiaj ciasteczek, nie wysyłaj danych osobowych, nie personalizuj reklam" | dopóki użytkownik wyraźnie nie zaznaczy zgody. Jeśli Twój baner cookie ładuje się po kontenerze GTM, już wyciekasz dane.
Prawidłowa konfiguracja umieszcza skrypt domyślnej zgody przed kontenerem GTM w sekcji <head> strony. Bez tego Google Analytics i Google Ads odpalają się z pełnymi ciasteczkami zanim użytkownik zdąży kliknąć cokolwiek.
2. Aktualizacja zgody | nadawaj uprawnienia po interakcji
Gdy użytkownik kliknie „Akceptuję wszystkie" na banerze, musisz odpalić komendę update, która przełączy odpowiednie flagi z 'denied' na 'granted'. Google modeluje wtedy brakujące dane dla użytkowników, którzy odmówili | to właśnie modelowanie behawioralne utrzymuje Twoje raporty użytecznymi nawet przy zgodach poniżej 50%.
Większość platform CMP (Cookiebot, CookieYes, Usercentrics, Silktide) obsługuje to automatycznie przez szablon GTM. Jeśli używasz własnego banera, musisz odpalić komendę update ręcznie.
3. Sprawdź kolejność tagów w GTM
To najczęstszy błąd w polskich wdrożeniach. Tag „Consent Initialization" musi odpalać się przed tagami GA4 i Google Ads. Jeśli Analytics ładuje się z priorytetem wyższym niż inicjalizacja zgód, przez pierwsze milisekundy wysyłasz dane bez zgody. Sprawdź w GTM kolejność tagów i ustaw tag inicjalizacji zgód na najwyższy priorytet.
4. Zweryfikuj, czy baner cookie w ogóle działa
Brzmi banalnie, ale w praktyce widzimy to regularnie: baner się nie wyświetla, wyświetla się tylko na desktopie, wyświetla się za drugim razem, albo znika po 0,5 sekundy przez konflikt z innym skryptem. Otwórz stronę w trybie incognito i sprawdź, czy baner pojawia się przed załadowaniem tagów Google. Użyj Tag Assistant Companion do weryfikacji stanu zgód.
5. Sprawdź ustawienia regionu w Consent Mode
Google pozwala ograniczyć działanie Consent Mode do konkretnych regionów. Jeśli ustawiłeś region na PL, użytkownicy spoza Polski nie przejdą przez Consent Mode, a ich dane będą zbierane bez ograniczeń | co może być naruszeniem RODO przy ruchu z UE. Poprawna konfiguracja to EEA (Europejski Obszar Gospodarczy) lub brak ograniczenia regionalnego.
6. Dane osobowe w URL-ach i dataLayerze
Sprawdź, czy nie przekazujesz PII przez URL-e (np. adresy e-mail w parametrach po przekierowaniu z newslettera) i przez dataLayer (np. dataLayer.push({'userId': 'jan@firma.pl'})). Consent Mode kontroluje ciasteczka, ale nie oczyści danych wysłanych przez Ciebie ręcznie. Wycinaj adresy e-mail, numery telefonów i numery PESEL zanim trafią do Google.
7. Dokumentacja RODO | co musisz mieć
Polskie firmy muszą prowadzić rejestr czynności przetwarzania danych. W przypadku trackingu marketingowego musisz udokumentować: jakie dane zbierasz (lista zdarzeń GA4, lista pikseli reklamowych), na jakiej podstawie prawnej (zgoda użytkownika przez baner), gdzie przechowujesz dane (serwery Google w UE/US) i jak długo (domyślnie 2 miesiące w GA4, 14 miesięcy jako opcja maksymalna). UODO w Polsce coraz częściej kontroluje strony pod kątem prawidłowego działania banerów cookie.
8. Test końcowy | 5 rzeczy do zweryfikowania
- Wejdź na stronę w trybie incognito | czy baner pojawia się przed tagami?
- Nie klikaj niczego | otwórz Tag Assistant. Czy zgody są
'denied'? - Kliknij „Odrzuć wszystko" | czy GA4 nadal rejestruje zdarzenia? Powinny, ale bez ciasteczek.
- Kliknij „Akceptuję wszystkie" | czy zgody zmieniły się na
'granted'? - Sprawdź w GA4 raport „Przegląd w czasie rzeczywistym" | czy widzisz swoją wizytę?
Jeśli którekolwiek z pięciu pytań daje wynik negatywny, masz problem ze zgodnością. Większość można naprawić w ciągu jednego dnia, ale im dłużej zwlekasz, tym więcej danych tracisz | nie tylko w sensie prawnym (ryzyko kary UODO), ale też marketingowym (Google Ads bez modelowania behawioralnego działa gorzej).
North Digital audytuje zgodność Consent Mode dla polskich firm | odezwij się, sprawdzimy Twój setup za darmo.