Polityka cookies a Google Analytics i Tag Manager: test i poprawki

Otwierasz politykę cookies swojej strony i czytasz: „Nie używamy Google Analytics ani innych narzędzi analitycznych”. Potem włączasz narzędzia przeglądarki i widzisz plik _ga, a obok skrypt Google Tag Managera. Dokument mówi jedno, strona robi… drugie.

Na taki rozjazd trafiliśmy przy przeglądzie kilku stron naraz. Polityki twierdziły, że analityki nie ma, a GA4 i Tag Manager działały na każdej z nich. Pokażę Ci, jak sprawdzić to u siebie, co ustawić i co dopisać do polityki cookies i polityki prywatności, żeby opisywały stronę taką, jaka jest dziś.

Dlaczego polityka cookies rozjeżdża się ze stroną?

Najczęściej z prostego powodu: dokument powstał przy starcie strony, a Google Analytics 4 (GA4) i Google Tag Manager (narzędzie, przez które wstawia się na stronę kody pomiarowe) doszły później. Ktoś podpiął statystyki, ktoś inny dodał tag, czyli kolejny kod uruchamiany przez Tag Managera, pod reklamy. Polityki nikt już nie otworzył.

Taki rozjazd ma skutki prawne. Według art. 399 Prawa komunikacji elektronicznej zapisanie informacji w urządzeniu odwiedzającego (na przykład pliku cookie) albo odczytanie jej wymaga zgody. Wcześniej odwiedzający ma dostać jednoznaczną, łatwą i zrozumiałą informację o celu i o tym, że może określić warunki w ustawieniach przeglądarki. Bez zgody wolno tylko to, co jest konieczne do działania usługi, o którą sam prosi. Jeśli polityka mówi, że analityki nie ma, odwiedzający nie dostał rzetelnej informacji o celu, więc nawet kliknięta zgoda nie spełnia warunków ustawy. A jeśli baner o analitykę w ogóle nie pyta, GA4 działa bez zgody.

Do tego dochodzi RODO. Jego art. 13 wymaga podania między innymi odbiorców danych, przekazania poza Europejski Obszar Gospodarczy, okresu przechowywania i prawa do wycofania zgody. Jak zbudować cały dokument, opisaliśmy we wpisie Polityka cookies - wzór do pobrania (gotowy szablon). Tutaj skupiam się na tym, co zmienia GA4.

Jak sprawdzić, czy GA4 wysyła dane przed zgodą?

Wystarczy Chrome, bez dodatkowych narzędzi. Nie klikaj niczego w banerze, bo właśnie stan sprzed decyzji chcesz zobaczyć.

1. Otwórz stronę w oknie incognito (Ctrl+Shift+N), żeby przeglądarka nie pamiętała Twojej wcześniejszej zgody.
2. Naciśnij F12, przejdź na kartę Network (Sieć) i w polu filtra wpisz collect.
3. Odśwież stronę i odczekaj kilka sekund. Baner zostaw w spokoju.
4. Zaakceptuj zgody w banerze i sprawdź, czy zapytania pojawiły się teraz, na tej samej podstronie.

Każde zapytanie z /g/collect w adresie (zwykle do google-analytics.com, na przykład region1.google-analytics.com), które pojawi się przed kliknięciem, oznacza, że GA4 wysyła dane, zanim odwiedzający zdecydował. Samo pobranie pliku gtm.js to jeszcze nie GA4, tylko Tag Manager, który dopiero uruchamia inne tagi. W zapytaniach do Google zobaczysz też parametr gcs. Według dokumentacji Google o trybie uzyskiwania zgody przekazuje on stan zgody na pliki reklamowe i analityczne (ad_storage i analytics_storage).

A jeśli pliku gtm.js nie widać na karcie Sieć ani przed kliknięciem zgody, ani po nim, kłopot leży w samym kontenerze. Jak rozstrzygnąć, czy winny jest wtedy baner, czy kod, opisałam we wpisie Tag Assistant nie widzi Tag Managera: baner cookies czy błąd w kodzie?

Ten sam test w karcie Sieć wyłapie też piksel Meta, jeśli w filtrze wpiszesz facebook. Co z nim zrobić, opisujemy we wpisie Piksel Meta bez zgody na stronie przychodni: ryzyko, test i usunięcie. Test zgody w podglądzie Tag Managera, krok po kroku, jest we wpisie Wdrożenie GA4 przez Tag Manager: pusty raport kontaktów, co sprawdzić.

W sklepie na WooCommerce zajrzyj przy tym teście także do ciasteczek: pliki sbjs_* zapisuje sam WooCommerce, a nie Google. Co z nimi zrobić, opisujemy we wpisie Sbjs cookies w WooCommerce przed zgodą: skąd są i co z nimi zrobić.

GA4 bez cookies przed zgodą: czy tak wolno?

U nas GA4 przed zgodą nie zapisywało plików cookies, ale i tak wysyłało do Google odsłony, czyli informacje o wyświetleniu podstrony. Tak działa Consent Mode w wariancie zaawansowanym. Consent Mode, czyli tryb zgody Google, przekazuje narzędziom Google decyzję z banera. Gdy zgody nie ma, tagi Google wysyłają sygnały bez plików cookies, a Google na ich podstawie modeluje konwersje i kluczowe zdarzenia (opisuje to ta sama dokumentacja Google).

Kłopot w tym, że przepis o cookies nie dotyczy wyłącznie plików cookies. Europejska Rada Ochrony Danych (EROD) w wytycznych 2/2023 (wersja ostateczna z października 2024 r.) wskazuje, że art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej (w Polsce wdraża go art. 399 PKE) obejmuje też inne techniki, na przykład piksele śledzące i śledzenie przez adresy URL. „GA4 bez cookies” nie oznacza więc automatycznie „GA4 bez zgody”.

My wybraliśmy tryb podstawowy, w którym przed zgodą GA4 nie wysyła do Google żadnych danych pomiarowych. Czym różnią się oba tryby, wyjaśniamy we wpisie Consent Mode v2 - czym jest i dlaczego bez niego tracisz dane w Google Ads i Analytics.

Jak ustawić GA4, żeby ruszało dopiero po zgodzie?

W Tag Managerze otwórz tag Google z identyfikatorem GA4, potem Ustawienia zaawansowane i Ustawienia dotyczące wyrażania zgody. W sekcji Mechanizmy sprawdzania dodatkowej zgody wybierz „Wymagaj dodatkowej zgody na uruchomienie tagu” i dodaj analytics_storage. Tag uruchomi się tylko wtedy, gdy ta zgoda ma stan „Przyznano” (pomoc Tag Managera o ustawieniach zgody). To samo ustaw w każdym tagu zdarzenia GA4.

Potem powtórz test. Przed zgodą filtr collect ma zostać pusty, a po kliknięciu zgody odsłona ma pójść od razu, na tej samej podstronie. Przy pierwszym podejściu GA4 ruszało nam dopiero na następnej podstronie, bo tag miał ustawione uruchamianie raz na stronę. Pomogło odpalanie tagu po zdarzeniu zgody wysyłanym przez baner, z warunkiem, że GA4 nie załadowało się jeszcze na tej odsłonie.

Tag konwersji z e-mailem i telefonem: zgoda i opis albo wyłączenie

Druga rzecz, która łatwo umyka polityce, to tag pod konwersje rozszerzone Google Ads. Po wysłaniu formularza przekazuje do Google dane, które wpisał klient, na przykład e-mail, telefon i imię. Przed wysyłką są haszowane (jednokierunkowo przekształcane) algorytmem SHA256, ale to nadal dane osobowe: Google używa ich do dopasowania klientów do kont Google, na których byli zalogowani podczas interakcji z Twoją reklamą (pomoc Google Ads o konwersjach rozszerzonych).

Google sam wymaga, żebyś poinformował o tym klientów, na przykład w polityce prywatności (zasady dotyczące danych klienta). Do tego przy odmowie zgody na wysyłanie do Google danych w celach reklamowych (ad_user_data) tryb zgody Google wyłącza zbieranie tych danych. Masz więc dwie drogi: opisać tag w dokumentach i uruchamiać go dopiero po tej zgodzie albo tag wyłączyć.

Reklamy stoją? Wyłącz tag. Tak zrobiliśmy: kampanie Google Ads były wstrzymane, więc tag z danymi z formularza nie miał żadnego zadania. RODO pozwala przetwarzać tylko dane potrzebne do celu (art. 5 ust. 1 lit. c), a brak reklam to brak celu. W Tag Managerze wystarczy tag wstrzymać i opublikować nową wersję kontenera, czyli zestawu tagów strony. Wrócisz do niego razem z kampanią, a wtedy dopiszesz go do polityki.

Link do zmiany zgody w stopce: gdzie wycofać zgodę na cookies?

Polityka może dokładnie opisywać wycofanie zgody, ale musi być gdzie kliknąć. Art. 7 ust. 3 RODO mówi wprost: wycofanie zgody ma być równie łatwe jak jej wyrażenie. Kto raz kliknął zgodę w banerze, potrzebuje stałego miejsca, z którego otworzy go ponownie. Najczęściej jest to link w stopce, na przykład „Ustawienia cookies”.

Ten link łatwo zgubić. U nas usunęliśmy go ze stopki, gdy na stronach nie było jeszcze banera, więc nie miał czego otwierać. Po dodaniu banera wrócił dopiero przy przeglądzie polityk. Przy każdej zmianie stopki sprawdź dwie rzeczy: czy link jest na wszystkich podstronach, także na stronach samych polityk, i czy po kliknięciu baner naprawdę się otwiera.

Link w stopce to jeden z trzech elementów, które razem wystarczą zamiast osobnej zakładki z polityką cookies. Cały zestaw opisujemy we wpisie Czy polityka cookies jest obowiązkowa jako osobna zakładka?

W polityce cookies i polityce prywatności wskaż ten link z nazwy, dokładnie tak, jak brzmi na stronie. RODO wymaga informacji o prawie do wycofania zgody (art. 13 ust. 2 lit. c), a czytelnik ma wiedzieć, gdzie to zrobić.

Google Analytics a RODO: co wpisać do polityki cookies i prywatności?

Kiedy GA4 rusza już dopiero po zgodzie, dopasuj dokumenty. Poniżej lista z naszej poprawki. Każdy punkt sprawdź we własnych ustawieniach, nie przepisuj go w ciemno.

Okresy znajdziesz w GA4: Administracja, Ustawienia danych, Przechowywanie danych. W darmowej wersji wybierasz 2 albo 14 miesięcy, osobno dla danych na poziomie użytkownika i dla pozostałych danych o zdarzeniach (pomoc Google Analytics o przechowywaniu danych). Wpisz liczby z ustawień, a nie z cudzej polityki.

Zasada działa w obie strony. Polityka nie może pomijać narzędzi, które działają, ale nie powinna też opisywać jako aktywnych tych, które są wyłączone, na przykład wstrzymanych tagów reklamowych. Zanim je włączysz, zaktualizuj dokument. Na górze zostaw datę obowiązywania nowej wersji, a na dole jedno zdanie o tym, co się zmieniło.

Najczęstsze pytania o politykę cookies i Google Analytics

Sprawdzaj politykę cookies po każdej zmianie na stronie

Pamiętaj: każde nowe narzędzie, każdy nowy tag i każda przebudowa stopki to moment, w którym polityka cookies przestaje się zgadzać ze stroną. Po każdej takiej zmianie powtórz test z F12 i przeczytaj obie polityki jeszcze raz.

Jeśli wolisz, żeby ktoś pilnował tego za Ciebie, zobacz nasz system zarządzania zgodami. Napisz do nas, a sprawdzę, co Twoja strona wysyła do Google przed zgodą.