Prywatność danych i RODO w analityce: kiedy warto zlecić to specjaliście

Kiedy zlecić analizę RODO w analityce

Zlecenie prac specjaliście ma sens wtedy, gdy nie wiadomo, jakie dane są zbierane przez sklep, jakie narzędzia je przetwarzają i czy mechanizm zgód jest prawidłowo powiązany z analityką oraz reklamą.

W praktyce nie chodzi o samo ustawienie jednego przełącznika w GA4. Dane mogą być zbierane przez Google Tag Manager, GA4, narzędzia reklamowe, system zgód, rozwiązania do remarketingu, wtyczki sklepu i dodatkowe skrypty. Każdy z tych elementów może wymagać osobnej weryfikacji.

Przed zleceniem warto ustalić, czy potrzebny jest wyłącznie audyt techniczny, poprawa istniejącej konfiguracji, czy pełne uporządkowanie pomiaru i sposobu zarządzania zgodami.

Co obejmuje RODO w analityce sklepu

RODO nie jest funkcją Google Analytics ani Google Tag Managera. Dotyczy sposobu przetwarzania danych osobowych i organizacji procesów, w których dane są wykorzystywane.

Od strony technicznej trzeba natomiast sprawdzić, jakie dane trafiają do poszczególnych narzędzi i w jakich warunkach może dojść do ich przekazania.

W ramach prac analitycznych można zweryfikować między innymi:

• konfigurację GA4,
• tagi w Google Tag Managerze,
• zdarzenia i parametry,
• pomiar transakcji,
• identyfikatory użytkowników i klientów,
• mechanizm zgód,
• skrypty marketingowe,
• tagi reklamowe,
• remarketing,
• integracje z innymi systemami,
• zakres danych wysyłanych do zewnętrznych usług.

Sam audyt techniczny nie zastępuje porady prawnej. Jego zadaniem jest ustalenie, jak faktycznie działa implementacja i gdzie występują punkty wymagające decyzji lub korekty.

GA4 a prywatność danych

GA4 pozwala analizować zachowanie użytkowników i wyniki sklepu, ale sposób konfiguracji ma znaczenie dla zakresu przetwarzanych danych.

Przed zleceniem audytu warto sprawdzić, jakie informacje są przekazywane w zdarzeniach i parametrach. Dotyczy to również danych umieszczanych przypadkowo w adresach URL, nazwach zdarzeń, parametrach formularzy czy innych polach wysyłanych do systemu analitycznego.

Szczególnej uwagi wymagają dane, które mogą pozwolić na identyfikację konkretnej osoby. Nie powinny być traktowane jako zwykłe dane analityczne tylko dlatego, że zostały przekazane przez kod strony.

Specjalista może przeprowadzić przegląd implementacji i wskazać, które elementy należy usunąć, zmienić lub dodatkowo zweryfikować.

Google Tag Manager i zgody

Google Tag Manager jest często miejscem, w którym znajduje się duża część implementacji analitycznej i marketingowej.

Dlatego analiza RODO nie powinna kończyć się na sprawdzeniu ustawień GA4. Trzeba również przejrzeć tagi, reguły uruchamiania, zmienne oraz sposób reagowania na status zgody.

Przykładowe pytanie brzmi: czy dany tag uruchamia się dopiero po uzyskaniu wymaganej zgody, czy może zostać uruchomiony wcześniej?

Ważne jest również sprawdzenie, czy zmiana decyzji użytkownika jest prawidłowo obsługiwana przez implementację.

Przy większej liczbie tagów ręczne przejrzenie konfiguracji może być czasochłonne, dlatego zakres zlecenia powinien uwzględniać liczbę narzędzi i reguł znajdujących się w kontenerze.

Analityka powinna wykorzystywać tylko dane potrzebne do określonego celu pomiarowego.

Consent Mode i konfiguracja zgód

Mechanizm zgód powinien być analizowany razem z rzeczywistym sposobem działania strony.

Sama obecność banera cookies nie oznacza jeszcze, że wszystkie tagi są prawidłowo kontrolowane. Trzeba sprawdzić przepływ informacji pomiędzy platformą zarządzania zgodami, stroną, Google Tag Managerem, GA4 i narzędziami reklamowymi.

W ramach zlecenia można sprawdzić między innymi:

• jakie kategorie zgód są wykorzystywane,
• jakie tagi zależą od poszczególnych zgód,
• kiedy tagi mogą zostać uruchomione,
• jak działa zmiana decyzji użytkownika,
• czy konfiguracja odpowiada przyjętemu modelowi zgód,
• czy występują tagi uruchamiane niezależnie od mechanizmu zgód.

W tym miejscu trzeba rozdzielić dwie kwestie. Specjalista techniczny może sprawdzić działanie implementacji, natomiast ocena podstawy prawnej i obowiązków administratora wymaga odpowiedniej oceny prawnej.

Dane bez decyzji zostają liczbą. Dopiero pytanie nadaje im sens.

Pomiar konwersji a prywatność

Pomiar zakupów, formularzy i innych konwersji często wymaga przekazywania informacji o zdarzeniu, produkcie, wartości zamówienia czy źródle ruchu.

Nie oznacza to jednak, że do narzędzia analitycznego należy wysyłać wszystko, co jest dostępne w sklepie.

Przy audycie warto sprawdzić każdy element danych przekazywanych wraz ze zdarzeniami.

W sklepie internetowym może to dotyczyć między innymi:

• identyfikatora transakcji,
• wartości zamówienia,
• waluty,
• identyfikatorów produktów,
• nazw produktów,
• danych użytkownika,
• danych formularzy,
• informacji umieszczanych w adresach URL.

Celem jest rozdzielenie informacji potrzebnych do analizy od danych, które nie powinny być przekazywane do konkretnego narzędzia.

Audyt skryptów i narzędzi zewnętrznych

GA4 i GTM to tylko część całego ekosystemu.

Sklep może korzystać również z narzędzi do reklam, remarketingu, czatu, map, testów A/B, opinii, rekomendacji produktów czy analizy zachowania użytkowników.

Jeżeli takie skrypty są ładowane bezpośrednio na stronie albo przez GTM, powinny zostać uwzględnione w audycie.

W praktyce warto przygotować listę wszystkich usług, które otrzymują dane ze strony. Następnie można określić, które z nich są związane z analityką, które z reklamą, a które pełnią inne funkcje.

Zakres dostępnych danych może zależeć od zgód użytkownika i zastosowanego sposobu pomiaru.

Co powinien obejmować audyt techniczny

Przy zleceniu audytu dobrze jest jasno określić jego zakres.

Podstawowy audyt może obejmować:

• przegląd konfiguracji GA4,
• przegląd kontenera GTM,
• analizę tagów,
• analizę zdarzeń,
• analizę mechanizmu zgód,
• sprawdzenie wybranych skryptów,
• wskazanie problemów technicznych,
• listę rekomendowanych zmian.

Szerszy zakres może dodatkowo obejmować testy na stronie, analizę przepływu zgód, sprawdzenie pomiaru transakcji, reklam i remarketingu oraz weryfikację wdrożenia po wykonaniu zmian.

Co wpływa na koszt zlecenia

Koszt prac zależy przede wszystkim od złożoności środowiska, które trzeba sprawdzić.

Znaczenie mają między innymi:

• liczba domen i subdomen,
• platforma sklepu,
• liczba tagów w GTM,
• liczba zdarzeń GA4,
• liczba narzędzi marketingowych,
• używany system zarządzania zgodami,
• liczba integracji,
• sposób wdrożenia analityki,
• liczba formularzy i procesów zakupowych,
• zakres pomiaru e-commerce,
• liczba rynków i wersji językowych,
• konieczność testów po wdrożeniu,
• zakres dokumentacji i raportu.

Innego nakładu wymaga prosty sklep z kilkoma tagami, a innego rozbudowany e-commerce z wieloma systemami reklamowymi i kilkoma ścieżkami zakupowymi.

To, co widać na ekranie, ma potwierdzenie w tym, co dzieje się w sklepie.

Audyt RODO czy wdrożenie zmian

Przed rozpoczęciem współpracy warto zdecydować, czy wykonawca ma tylko znaleźć problemy, czy również je naprawić.

Audyt kończy się zazwyczaj raportem z opisem obecnego stanu, problemów i rekomendacji.

Wdrożenie obejmuje natomiast modyfikację konfiguracji, testy i ponowną kontrolę działania.

Przy większych projektach dobrym rozwiązaniem może być rozdzielenie tych etapów. Najpierw ustala się rzeczywisty stan techniczny, a dopiero później zakres zmian.

Kontrola przepływu danych pomaga znaleźć miejsca, w których mogą być przekazywane zbędne informacje.

Raport powinien prowadzić do konkretnych decyzji

Raport z audytu nie powinien ograniczać się do listy błędów.

Przydatne jest wskazanie miejsca występowania problemu, jego wpływu na pomiar lub prywatność oraz rekomendowanego sposobu postępowania.

Przykładowo zamiast informacji, że „tag wymaga poprawy”, lepiej wskazać, jaki tag jest uruchamiany, przy jakim zdarzeniu, od czego powinno zależeć jego uruchomienie i jak należy zweryfikować zmianę.

Dzięki temu raport może służyć jako dokument roboczy dla osoby wdrażającej poprawki.

Testowanie po wdrożeniu

Zmiana konfiguracji zgód lub tagów może wpłynąć również na pomiar danych.

Po wdrożeniu należy więc sprawdzić, czy rozwiązanie działa zgodnie z założeniami.

Testy mogą obejmować różne warianty decyzji użytkownika, przejście przez sklep, dodanie produktu do koszyka, rozpoczęcie płatności i zakup.

W zależności od konfiguracji sprawdza się również zachowanie tagów reklamowych i analitycznych oraz dane pojawiające się w narzędziach diagnostycznych.

RODO a raporty i dostęp do danych

Prywatność dotyczy nie tylko wysyłania danych do narzędzi, ale również sposobu ich udostępniania i wykorzystywania.

Przy zleceniu analityki warto ustalić, kto ma dostęp do GA4, GTM, systemu zgód oraz raportów.

Znaczenie ma również sposób udostępniania raportów klientom, pracownikom, agencjom i innym podmiotom.

Jeżeli dane są eksportowane do dodatkowych systemów lub arkuszy, taki przepływ również powinien być uwzględniony w szerszej analizie procesu.

Każdy krok procesu zostawia ślad, który da się sprawdzić.

Co przygotować przed zleceniem

Przed rozpoczęciem prac warto zebrać informacje o całym środowisku analitycznym.

Przydatne będą:

• dostęp do GA4,
• dostęp do Google Tag Managera,
• informacja o używanym systemie zgód,
• lista narzędzi reklamowych,
• lista dodatkowych skryptów,
• informacje o platformie sklepu,
• opis pomiaru konwersji,
• informacje o integracjach,
• dane dotyczące domen i subdomen.

Jeżeli firma posiada wcześniejszy audyt lub dokumentację wdrożenia, również warto ją przekazać.

Jak wybrać zakres zlecenia

Przy prostym problemie można zacząć od audytu konkretnego elementu, na przykład konfiguracji zgód i tagów.

Przy rozbudowanym sklepie lepszy może być pełny audyt obejmujący GA4, GTM, pomiar e-commerce, zgody i narzędzia marketingowe.

Jeżeli problem dotyczy utraty danych po wdrożeniu banera cookies, zakres powinien obejmować zarówno system zgód, jak i faktyczne uruchamianie tagów.

Jeżeli problem dotyczy nieprawidłowych danych sprzedażowych, potrzebna może być dodatkowo kontrola implementacji e-commerce.

Zakres prac powinien więc wynikać z konkretnego problemu, a nie z samej nazwy usługi.

Kiedy potrzebny jest również prawnik

Audyt techniczny i analiza prawna to dwa różne zadania.

Specjalista od analityki może sprawdzić, jakie dane są wysyłane, kiedy uruchamiają się tagi i jak działa mechanizm zgód. Nie powinien natomiast zastępować prawnika w ocenie podstaw prawnych przetwarzania danych, obowiązków administratora czy treści dokumentacji prawnej.

Jeżeli projekt wymaga oceny zgodności prawnej, zakres prac warto podzielić pomiędzy specjalistę technicznego i osobę posiadającą odpowiednie kompetencje prawne.

Takie rozdzielenie odpowiedzialności pozwala uniknąć sytuacji, w której poprawna technicznie implementacja jest traktowana jako automatyczne potwierdzenie zgodności z RODO.

Kiedy zlecenie ma największy sens

Zlecenie RODO w analityce jest szczególnie uzasadnione przed uruchomieniem rozbudowanego pomiaru, po zmianie systemu zgód, podczas migracji sklepu albo wtedy, gdy w kontenerze GTM znajduje się wiele historycznych tagów i integracji.

Dobrym momentem jest również sytuacja, w której raporty GA4 przestały odpowiadać rzeczywistym wynikom sprzedaży i jednocześnie nie wiadomo, czy problem dotyczy pomiaru, zgód czy samego sklepu.

Zakres prac może obejmować audyt, wdrożenie poprawek, testy i dokumentację. Na koszt wpływa przede wszystkim liczba narzędzi, tagów, zdarzeń, domen, integracji oraz stopień skomplikowania procesu zakupowego.

Przed rozpoczęciem warto jasno rozdzielić audyt techniczny od oceny prawnej i określić, jakie decyzje mają zostać podjęte na podstawie wyników prac.