GDPR и отслеживание конверсий: паника преувеличена (Camp Nerd)

На Camp Nerd 2024 я выступил с докладом под намеренно провокационным названием: «DSGVO ist ein riesen Scam» (по-немецки GDPR называется DSGVO), то есть «GDPR — огромная афера». К самому тезису я отношусь всерьёз.

Запись доклада: DSGVO ist ein riesen Scam — Conversion Tracking in Marketingkanälen, Camp Nerd 2024. (Запись на немецком.)

Тезис: паника вокруг GDPR вредит больше, чем защищает

Чтобы меня поняли правильно: GDPR — важный закон, и защищать данные нужно. Но то, что происходит на практике, нередко мало связано с настоящей целью регламента.

Что я каждый день вижу в компаниях:

• Отслеживание полностью отключено: из страха перед Abmahnung (юридическими претензиями с требованием устранить нарушение, часто с оплатой расходов на юриста)
• Рекламные бюджеты тратят вслепую: нет данных, которые показывали бы, что работает
• Cookie-баннеры настроены неверно: блокируют больше, чем нужно
• От Google Ads отказываются совсем: потому что «GDPR и Google несовместимы»

Результат: компании теряют деньги. Не потому, что этого требует GDPR, а потому, что его неправильно применяют.

Что на самом деле разрешено

Серверное отслеживание

Серверное отслеживание через Google Tag Manager можно настроить так, чтобы собирать минимум данных и учитывать согласие пользователя. Допустима ли конкретная схема юридически, всё равно зависит от целей обработки, используемых сервисов, того, куда передаются данные, и вашей юридической проверки:

• Данные идут через ваш собственный сервер, а не напрямую в Google
• Вы точно контролируете, какие данные передаются дальше
• IP-адрес анонимизируется на вашем сервере до передачи данных в Google
• Сторонние cookie не нужны

Consent Mode v2

Google Consent Mode v2 обязателен для рекламодателей Google Ads в ЕС с марта 2024 года. Что он на самом деле делает, понимают очень немногие:

• Granted Mode: полный сбор данных после явного согласия
• Advanced Mode: пинги без cookie, отправленные до согласия, могут дать данные для моделирования конверсий. Юридически это более спорный вариант, и перед использованием его нужно проверить применительно к вашей ситуации
• Basic Mode: никаких данных до согласия. Это соответствует требованиям, но вы теряете 40–70 % данных о конверсиях

Расширенные конверсии (enhanced conversions)

Данные, которые вы получаете напрямую от пользователя (e-mail, телефон), хешируются алгоритмом SHA-256 и передаются в Google:

• Пользователь сам ввёл данные (форма, заказ)
• С вашего сервера данные уходят только в виде хеша
• Google может сопоставить хеш с авторизованными пользователями, не устанавливая новых cookie

Самые частые ошибки с GDPR в маркетинге

1. Cookie-баннер блокирует всё

Во многих CMP настройки блокируют все теги даже после согласия. Результат: 0 % данных о конверсиях, хотя пользователь согласился.

2. Аналитику и рекламу считают одним и тем же

У Google Analytics и Google Ads разные правовые основания. GA4 требует согласия (аналитика). Отслеживание конверсий Google Ads при определённых обстоятельствах может опираться на законный интерес.

3. «На всякий случай всё отключим»

Самая частая ошибка. После неё компания тратит 5 000 € в месяц на рекламу, не зная, работает ли она. Это не «безопасно», это халатность.

4. Уловки в cookie-баннерах (dark patterns)

Другая крайность: баннеры с большой зелёной кнопкой «Принять» и спрятанной кнопкой «Отклонить». Такие баннеры не соответствуют требованиям и не вызывают доверия.

Прагматичный путь

1. Настроить Server-Side GTM: контроль над потоком данных
2. Consent Mode v2 в режиме Advanced: максимум данных при максимальном соответствии требованиям
3. Включить расширенные конверсии: использовать данные, полученные напрямую от пользователя
4. Правильно настроить CMP: блокировать не слишком много и не слишком мало
5. Вести документацию: поддерживать в актуальном состоянии Verarbeitungsverzeichnis (реестр операций обработки данных)

Главные выводы

• GDPR ≠ отказ от отслеживания. Отслеживание можно настроить с учётом согласия и собирать минимум данных. Юридическую допустимость нужно оценивать для каждой конкретной схемы.
• Серверное отслеживание — стандарт. Если собирать данные только в браузере, часть данных теряется и выше риск проблем.
• Используйте Consent Mode v2. Режим Advanced даёт данные для моделирования конверсий и без явного согласия.
• Прагматизм побеждает панику. Продуманная настройка защищает пользователей и ваш бизнес.

Хотите настроить отслеживание с учётом требований GDPR? Напишите мне.