Mätning
Konverteringsspårning för betald trafik: samtycke, krav och mätning
Alla som behandlar personuppgifter måste följa dataskyddsförordningen (GDPR).
Samtycke och GDPR: vad som gäller när konverteringar spårs
Alla som behandlar personuppgifter måste följa dataskyddsförordningen (GDPR). IMY sammanfattar kraven: följ de grundläggande principerna, ha en rättslig grund för behandlingen och informera de registrerade om hur deras personuppgifter hanteras. Konverteringsspårning i betald trafik omfattas så snart en klick- eller konverteringshändelse kan kopplas till en enskild användare – till exempel via en cookie eller en klickidentifierare från annonsen.
IMY beskriver att förordningen skärper kraven på den som behandlar personuppgifter och stärker de registrerades rättigheter. Den som behandlar uppgifterna måste säkerställa att rättigheterna tas om hand. Myndigheten har också en introduktion om syftet med förordningen, när den gäller och inte gäller, samt skillnaden mellan personuppgifter och känsliga personuppgifter.
Inventera därför vad spårningen skickar innan den sätts upp: vilka taggar och pixlar som laddas på landningssidan, i kassan och på tacksidan, vilka uppgifter varje anrop innehåller (händelsenamn, konverteringsvärde, klickidentifierare, cookie-id), vilka mottagare uppgifterna går till och hur länge de sparas. Inventeringen är underlag för både valet av rättslig grund och informationen till användaren.
Kritiska uppgifter vid konverteringsspårning
- Spårningsuppgifter
- Händelsenamn, konverteringsvärde, klickidentifierare, cookie-id
- Mottagare
- Annonsplattformar, analysverktyg, partnerföretag
- Lagringstid
- Anpassad efter syfte – upp till 13 månader enligt god praxis
- Rättslig grund
- Samtycke ofta avgörande i betald trafik
Rättslig grund för spårning – varför samtycke ofta blir avgörande
IMY:s genomgång är tydlig: behandling av personuppgifter måste vila på någon av de sex rättsliga grunder som förordningen anger. Vilken grund som gäller beror på vad spårningen används till och vilka uppgifter som behandlas. Samtycke är den grund där användaren själv godkänner behandlingen.
Grunden påverkar uppsättningen direkt: den styr vad som får ske innan användaren har tagit ställning, vad som ska hända om användaren invänder och vilken information som ska lämnas. Dokumentera därför grunden per behandling – en rad per tagg eller pixel med syfte, grund, mottagare och lagringstid – så att du kan visa varför just den spårningen körs.
Rättsliga grunder för personuppgiftsbehandling enligt GDPR
- SamtyckeAnvändarens frivilliga godkännande – krävs för spårning i betald trafik om uppgifter kopplas till enskilda individer.
- KontraktNödvändigt för att utföra ett avtal med användaren, t.ex. när konverteringsmätning ingår i tjänsten.
- Laglig intresseTillåtet om det finns en balans mellan intresset och användares rättigheter; kräver dokumenterad riskbedömning.
- Obligatoriska uppgifterOm behandlingen är obligatorisk enligt svensk lag, t.ex. inom offentlig verksamhet.
- Uppgifter för försvar av rättTillåtet vid juridiska processer eller tvister.
- Uppgifter för offentlig myndighetFör behandling av uppgifter i offentlig sektor, t.ex. av Trafikverket eller kommuner.
Information och registrerades rättigheter vid mätning
För betald trafik behöver integritetspolicyn och cookieinformationen beskriva de verktyg som faktiskt används i kampanjerna, vilka mottagare uppgifterna förs vidare till och hur länge de sparas. Informationen ska gå att nå från den sida där användaren tar ställning. Skriv rutinen för registrerades rättigheter i förväg: vem som söker i vilka system, hur uppgifter från annons- och analysplattformar tas fram och hur svaret dokumenteras.
Samtyckesstyrd mätning med flexibla spårningsmetoder
Sphinxly beskriver i ett blogginlägg daterat 2024-03-05 att Consent Mode är flexibelt: en av nyckelfunktionerna är att spårningsmetoderna kan anpassas efter användarens samtycke.
I praktiken behöver varje tagg och pixel gås igenom för sig och tilldelas ett beteende för respektive samtyckesläge – vad som får laddas, vad som ska hållas tillbaka och vad som bara får skickas i aggregerad form. Dokumentera besluten tillsammans med den rättsliga grunden. Kontrollera sedan i webbläsarens nätverksvy att anropen ser ut som avsett i varje läge.
Mätning av annonsengagemang och undvikande av dubbletter
Marknadsföringscookies kan också spåra användarens engagemang för de annonser som slutligen visas. Det beskriver Miele i sin integritetspolicy, där syftet anges vara att undvika oönskade dubbletter av reklam.
Samma cookies kan alltså fylla två ändamål: mäta hur annonsen presterade och styra hur ofta den visas. Båda ändamålen måste framgå av beskrivningen till användaren. Köper du annonser behöver du veta om frekvensstyrningen ligger hos annonsplattformen eller i en cookie på den egna sajten, eftersom det avgör vilka uppgifter som samlas in och vilka mottagare som ska anges.
Praktisk tillämpning för betald trafik
- Inventera spårningenvilka taggar och pixlar som laddas från annonser, landningssidor, kassa och tacksida, och vilka uppgifter varje anrop skickar. 2) Bestäm och dokumentera rättslig grund per behandling, i linje med IMY:s krav på att behandlingen ska vila på någon av de sex grunderna.
- Beskriv spårningen, mottagarna och lagringstiderna i integritetspolicy och cookieinformation, och se till att rutinen för registrerades rättigheter är bemannad. 4) Konfigurera Consent Mode så att spårningsmetoderna anpassas efter användarens samtycke. 5) Testa i webbläsarens nätverksvy vilka anrop som går iväg i respektive samtyckesläge och justera taggarna tills beteendet stämmer med det som beskrivits för användaren. 6) Gå igenom rapporteringen i annons- och analysplattformar och anteckna vad som inte mäts när samtycke saknas, så att du vet vad siffrorna står för vid optimering. 7) Uppdatera inventeringen och dokumentationen när nya kampanjer, taggar eller annonspartners tillkommer.
