Jak na GDPR (5): Cookies, Google Analytics, remarketing

17. 5. 2018 | Online marketing, GDPR

[SERIÁL] Chcete vědět, jak se na svém webu a v online marketingu vypořádat s obecným nařízením o ochraně osobních údajů (GDPR)? V 5. dílu zjistíte, jak informovat o souborech cookie, jak nastavit zásady GDPR v Google Analytics a jak se vypořádat s remarketingem a retargetingem.

ČTĚTE TAKÉ:

Jak na GDPR (1): Co musíte vědět a znát

Jak na GDPR (2): Právní tituly a účely zpracování a kdy nepotřebujete souhlas

Jak na GDPR (3): Jak vypadá souhlas, o čem informovat a jak na PDF knížky

Jak na GDPR (4): Řešíme formuláře, recenze a komentáře na webu a e-shopu

Informování o souborech cookie

Cookie je malý soubor, který se při návštěvě webu ukládá do vašeho počítače. Co například tyto soubory obsahují:

• Google Analytics si do něj může uložit čas vstupu na web, odkud jste přišli, vaši IP adresu, případně další údaje.
• E-shop do něj může ukládat obsah vašeho košíku, takže při odchodu z webu se košík nevyprázdní.
• Může obsahovat přihlašovací údaje k webu, abyste se nemuseli pokaždé přihlašovat.

Soubory cookie mohou obsahovat informace, díky kterým lze identifikovat konkrétního člověka, proto mohou být osobním údajem. A jejich používání tedy reguluje GDPR.

GDPR říká, že uživateli musíte dát možnost vybrat si, zda chce soubory cookie nechat ukládat, či nikoliv = metoda opt-in. Přitom je potřeba poskytnout stejně funkční zážitek z webu i bez ukládání souborů cookie.

Kdy použít metodu opt-in

Na které soubory cookie se metoda souhlasu opt-in nevztahuje a na které ano?

• Nevztahuje se na soubory cookie, které jsou nutné pro provoz webu – bez jejich použití není možné zajistit stejný zážitek z webu.
• Nevztahuje se na funkční soubory cookie – například uložení zboží do košíku. Použijete právní titul Oprávněný zájem.
• Nevztahuje se na standardní měření návštěvnosti pomocí Google Analytics. Použijete právní titul Oprávněný zájem.
• Vztahuje se na marketingové soubory cookie. Je třeba použít právní titul Souhlas.

Jak k tomu přistoupit

Pokud používáte běžné měření Google Analytics, informujte o tom návštěvníky na stránce Zásady ochrany osobních údajů. A nezapomeňte také sdělit, že používání souborů cookie lze v prohlížeči zakázat. Jedna z formulací by mohla vypadat takto:

Při procházení webových stránek se zaznamenává vaše IP adresa, jak dlouho se na stránce zdržíte a ze které stránky přicházíte. Používání souborů cookie pro měření návštěvnosti webu a přizpůsobení zobrazení webových stránek vnímáme jako oprávněný zájem správce.

Používání souborů cookie můžete ve svém prohlížeči zakázat.

Pokud ukládáte soubory cookie třetích stran (Google, Facebook, SmartSupp apod.,), je třeba o tom uživatele informovat – komu cookie patří, k čemu je a na jak dlouho ji ukládáte.

Je třeba cookie lišta?

POZOR: Následující informace byly ze strany ÚOOÚ upraveny. Čtěte celý článek s příklady »

Pokud budete používat pouze standardní měření Google Analytics a funkční cookie (nejde o osobní údaje), lišta by neměla být třeba a stačí informování v zásadách ochrany osobních údajů.

Jde o mou interpretaci. Vysvětluji si to tak, že dle GDPR mám informovat o tom, jaké osobní údaje sbírám. Ale protože v základním měření Google Analytics, v němž navíc anonymizuji IP adresu (viz dále), nesbírám osobní údaje, výslovné informování pomocí rušivé lišty by nemělo být třeba. Navíc chystané nařízení ePrivacy by lišty mělo zrušit úplně a tato funkce by se měla přenést do prohlížeče.

Chcete-li mít jistotu, nějakou nevtíravou lištu umístěnou ke spodní hraně prohlížeče se základním informováním použijte.

Chcete-li používat sledovací cookie pro marketingové účely a sociální sítě, pak je třeba lištu zobrazit ihned po vstupu na web, a nechat uživatele vybrat. Zajímavě to má vyřešené například ČEZ, NIKE či IBM.

Nastavení zásad GDPR v Google Analytics

GDPR nařizuje uchovávat osobní údaje po omezenou dobu. Pokud do Google Analytics ukládáte osobní údaje (co je osobní údaj) – typicky údaje k remarketingu, je třeba nastavit dobu expirace těchto údajů.

Musíte sbírat osobní údaje?

Přesvědčte se, zda sbíráte remarketingové údaje: Správce > vyberte službu (web) > Údaje o měření > Shromažďování dat. Pokud remarketing nevyužíváte, sběr vypněte.

Anonymizace IP adresy

Dále doporučuji anonymizovat IP adresy při měření návštěvnosti webu.

Ruku na srdce, víte vůbec, že je sbíráte? Pokud nikoliv, můžete jejich sběr zrušit. Pokud je samozřejmě k něčemu využíváte, tak sběr nerušte.

Anonymizace IP adresy probíhá při jejím sběru = nastavení proto najdete ve svém redakčním systému, či jiném řešení. Případně kontaktujte svého webmastera, aby pozměnil měřicí kód.

Následující obrázek ukazuje možnost nastavení anonymizace IP adresy v modulu Google Analytics v redakčním systému WordPress, který využívají klienti MD webdesign:

Doba uchovávání údajů

Google Analytics nyní nabízí novou funkci, díky níž si můžete expirační doby pro měřené údaje nastavit sami. Podle Googlu:

„Doba uchovávání platí pro údaje týkající se uživatelů a událostí spojené se soubory cookie, identifikátory uživatelů (např. User ID) a identifikátory pro účely reklamy (např. soubory cookie DoubleClick, inzertní ID systému Android nebo identifikátor pro inzerenty v zařízeních Apple).“

Standardní přehledy by tímto nastavením neměly být ovlivněné. Ale část přehledů dotčena bude – například události, demografické údaje a další.

Nastavení najdete zde: Správce > vyberte službu (web) > Údaje o měření > Uchovávání dat.

Pokud nesbíráte osobní údaje, doporučuji nastavit Automatický konec platnosti není nastaven. Přeci jen nechcete o měřené údaje přijít.

Jestliže osobní údaje prokazatelně sbíráte a nemůžete nastavit neomezenou dobu, doporučuji nastavit co nejdelší dobu. Po této době totiž statistické údaje nebudou k dispozici a některé přehledy v Analytics budou značně zkreslené.

POZOR: Pokud toto nastavení neprovedete, budete mít po 25. květnu automaticky nastavenou nejkratší dobu a data se prostě budou mazat.

Co s remarketingem a retargetingem?

Retargeting od Seznamu

Začněme jednou dobrou zprávou – používáte-li retargeting v Seznam Skliku, nemusíte ohledně GDPR vlastně řešit vůbec nic.

Seznam situaci vyhodnotil tak, že v rámci pravidel retargetingu se nesbírají údaje, kterými byste mohli identifikovat konkrétní osobu. Nesbírají se tedy osobní údaje a GDPR se tak na retargeting nevztahuje. A o jeho využívání nemusíte návštěvníky informovat.

TIP: Čtěte vysvětlení přímo v článku na blogu Seznamu.

Remarketing od Googlu

Google však se svým remarketingem pracuje odlišně a zde už o sběr osobních údajů jde.

Abyste mohli využívat remarketing, musíte mít od uživatele informovaný souhlas metodou opt-in. Ideálním řešením je použití cookie lišty. Co je důležité – remarketingový kód se načítá až po odsouhlasení návštěvníkem webu. Pokud návštěvník souhlas neudělí, nemáte právo remarketing měřit.

Takto například vypadá cookie lišta na webu ČEZu:

POZNÁMKA: Nemyslete si, že když nebudete souhlasit s cookie pro remarketing, že se vám nebude při procházení webů zobrazovat reklama. Bude i nadále. Jen nebude vázaná na vaše návštěvy webů, takže bude velmi pravděpodobně podstatně méně relevantní.

Závěrem

Jak vidíte, na webech s příchodem GDPR nezůstane kámen na kameni. Některá řešení jsou jednoduchá a zvládnete je sami, jiná vyžadují technické změny.

V tomto článku jsem zmínil jen to, co sám řeším. Pokud na webu používáte například hodnocení produktů z Heureky, nebo lajkovací tlačítka Facebooku, řešit budete muset i je.

Začněte tím, že vypnete vše, co souvisí se sběrem osobních údajů, ale ve skutečnosti sbíraná data nevyužíváte, nebo pro vás nejsou důležitá.

Kartami navíc dále zamíchá nové nařízení ePrivacy, zvláště v oblasti souborů cookie. Takže se ještě máme na co těšit.