Co się zmieniło i dlaczego to nie zniknie

Krótkie podsumowanie stanu, w którym pracujemy dzisiaj.

Podstawą pozostaje ogólne rozporządzenie o ochronie danych i nic go nie zastąpiło — reszta to warstwy nakładane na tę samą konstrukcję. W warstwie technicznej narzędzia reklamowe wymagają dziś przekazywania stanu zgody użytkownika, a nie tylko jej zbierania, a wtyczka zarządzająca zgodami musi mieć odpowiednią certyfikację, żeby jej sygnał był respektowany. W polskim porządku prawnym doszło nowe Prawo komunikacji elektronicznej, które porządkuje między innymi kwestię jednej zgody marketingowej i zasady przechowywania informacji na urządzeniu użytkownika.

Osobna warstwa dotyczy sztucznej inteligencji: pierwsze przepisy unijnego rozporządzenia zaczęły obowiązywać w lutym i na razie dotykają przede wszystkim praktyk zakazanych oraz obowiązku zapewnienia kompetencji osobom, które z takich systemów korzystają. Dla marketingu to na dziś głównie zadanie inwentaryzacyjne — trzeba wiedzieć, jakie narzędzia oparte na modelach są w firmie faktycznie używane i do czego.

Warto przy tym rozstać się z nadzieją, która jeszcze niedawno bywała argumentem za odkładaniem prac: że problem zgód rozejdzie się sam po wycofaniu ciasteczek zewnętrznych. Google w połowie zeszłego roku zapowiedział, że zamiast usuwania ich z przeglądarki postawi na wybór po stronie użytkownika. Zgody zostają z nami na dłużej.

Krok 1: policz, co naprawdę zbierasz

Zaczynam od tabeli, którą wypełniam ręcznie, przechodząc przez witrynę jak użytkownik. Każdy wiersz to jedno miejsce, w którym strona pobiera od kogoś dane.

Formularze kontaktowe i zapytania ofertowe. Zapis do newslettera. Rejestracja i logowanie. Koszyk i płatność. Czat. Ankiety. Konkursy. Pliki do pobrania za podanie adresu. Prośby o powiadomienie o dostępności. Do każdego wpisuję: jakie pola, czy są obowiązkowe, gdzie dane trafiają, kto ma do nich dostęp i jak długo tam leżą.

Najczęstsze odkrycia z tego kroku są zawsze podobne. Formularz zbiera numer telefonu, którego nikt nie używa. Zapytania z dwóch różnych formularzy trafiają na skrzynkę osoby, która nie pracuje już w firmie. Baza zapisów do newslettera z konkursu z 2021 roku wciąż leży w narzędziu, do którego nikt nie ma hasła.

Zasada, którą stosuję na koniec tego kroku: jeśli nikt nie potrafi wskazać, do czego dane w konkretnym polu są używane, to pole ma zniknąć z formularza. To najprostsze i najskuteczniejsze działanie w całym audycie.

Krok 2: co strona wysyła na zewnątrz

Druga część jest techniczna i tu spędzam najwięcej czasu.

Otwieram stronę z podglądem ruchu sieciowego i patrzę, do jakich domen wychodzą zapytania — przed wyrażeniem zgody i po. Osobno robię to na stronie głównej, na karcie produktu albo usługi, w formularzu i na stronie podziękowania, bo to zwykle cztery różne zestawy skryptów.

Potem otwieram menedżer tagów i porównuję listę z tym, co zobaczyłem w podglądzie. Rozbieżności są normą: część kodu jest wstawiona bezpośrednio w szablonie motywu, część przez wtyczki, część została kiedyś dodana „na test” i nigdy nie usunięta.

Trzy rzeczy, które sprawdzam szczególnie uważnie. Czy przed zgodą nie wychodzą żadne identyfikatory do systemów reklamowych. Czy w adresach zapytań do narzędzi analitycznych nie ma danych, które nie powinny się tam znaleźć — zdarzają się adresy e-mail w parametrach, najczęściej przez nieuważną konfigurację strony podziękowania. I czy jakiś skrypt nie przekazuje treści wpisywanych w pola formularza w czasie rzeczywistym, co niektóre narzędzia do nagrywania sesji robią domyślnie.

Efektem tego kroku jest lista wszystkich odbiorców danych. Bez niej trzeci krok nie ma sensu.

Krok 3: mechanizm zgód, nie sam banner

Banner to interfejs, a nie mechanizm. Sprawdzam, czy odmowa naprawdę coś zmienia.

• Test odmowy — odrzucam wszystko i przeglądam ruch sieciowy oraz pamięć przeglądarki. Jeśli po odmowie nadal wychodzą identyfikatory reklamowe, całe wdrożenie jest ozdobą.

• Symetria wyboru — czy odmowa jest równie łatwa jak zgoda i czy nie wymaga wejścia w trzy poziomy ustawień.

• Wycofanie zgody — czy da się ją zmienić po fakcie i czy odnośnik do tego jest dostępny na każdej podstronie.

• Przekazywanie stanu zgody do narzędzi — czy sygnał faktycznie dochodzi do systemów pomiarowych i reklamowych w wymaganym formacie. To sprawdzam w podglądzie zdarzeń, a nie na słowo dostawcy wtyczki.

• Rejestr zgód — czy gdzieś zapisuje się, kto, kiedy i na co się zgodził. Bez tego nie da się niczego wykazać.

Przy tej okazji weryfikuję też zgody w formularzach: czy nie są połączone w jedną klauzulę razem z regulaminem, czy nie są domyślnie zaznaczone i czy ich treść odpowiada temu, co faktycznie robimy z danymi.

Krok 4: dane w narzędziach reklamowych

Ta część audytu jest moją bezpośrednią odpowiedzialnością, więc traktuję ją najsurowiej.

Sprawdzam, czy do systemów reklamowych nie trafiają dane pozwalające zidentyfikować osobę w postaci jawnej — w nazwach konwersji, w wartościach parametrów, w nazwach list odbiorców. Weryfikuję, skąd pochodzą listy klientów wgrywane do dopasowywania odbiorców i czy osoby na nich się na to zgodziły. Przy rozwiązaniach opartych na danych z formularzy potwierdzam, że dane wychodzą wyłącznie w postaci skróconej kryptograficznie i wyłącznie dla użytkowników, którzy udzielili zgody.

Osobno przeglądam ustawienia przechowywania danych w narzędziu analitycznym. Domyślne okresy retencji rzadko odpowiadają temu, co firma zadeklarowała w swojej polityce, a to jest rozbieżność, którą łatwo sprawdzić i tanio naprawić.

Ostatnia rzecz w tym kroku: lista osób i firm mających dostęp do kont reklamowych i analitycznych. Byli pracownicy, dwie poprzednie agencje i prywatne konta Google używane przez zewnętrznych wykonawców to standardowe znaleziska.

Krok 5: bezpieczeństwo, nie tylko zgodność

Najlepiej opisana zgodność nie pomoże, jeśli dane wyciekną z serwera.

Minimalny zakres, który sprawdzam: aktualność oprogramowania strony i wtyczek, wymuszone szyfrowane połączenie na całej witrynie, uwierzytelnianie dwuskładnikowe dla wszystkich kont administracyjnych, brak współdzielonych haseł, ograniczenie dostępu do panelu i regularne kopie zapasowe, które ktoś kiedykolwiek próbował odtworzyć.

Do tego rzeczy specyficzne dla formularzy: zabezpieczenie przed masowym wysyłaniem, ograniczenie liczby zgłoszeń z jednego adresu, brak zapisywania treści zgłoszeń w miejscu dostępnym publicznie i sensowne przechowywanie załączników. Widziałem katalogi z plikami wysłanymi przez klientów dostępne pod przewidywalnym adresem — to najgorszy możliwy przypadek, a przyczyna bywa banalna.

Jeśli firma podlega nowym wymogom dotyczącym cyberbezpieczeństwa w swojej branży, to jest moment, żeby to ustalić z działem prawnym; polskie przepisy wdrażające tę część regulacji były w marcu wciąż w toku prac legislacyjnych, ale kierunek jest znany od dawna i nie warto czekać z podstawami.

Krok 6: dokumenty, retencja i procedury

Na końcu, nie na początku, zaglądam do dokumentów — bo dopiero teraz wiem, czy opisują rzeczywistość.

Sprawdzam, czy polityka prywatności wymienia wszystkich odbiorców danych z listy z drugiego kroku, czy podane okresy przechowywania odpowiadają ustawieniom w narzędziach i czy rejestr czynności przetwarzania obejmuje wdrożenia z ostatniego roku. Potem umowy powierzenia z dostawcami: narzędziem do newslettera, firmą hostingową, agencją, dostawcą czatu.

Osobno pytam o dwie procedury. Co się dzieje, gdy ktoś prosi o usunięcie danych — kto to robi i w ilu systemach. I co się dzieje w razie incydentu: kto podejmuje decyzję o zgłoszeniu i w jakim czasie.

Odpowiedź „nie mieliśmy takiego przypadku” jest w porządku. Odpowiedź „nie wiem, kto by się tym zajął” oznacza, że procedury nie ma.

Jak często i kto

Pełny przegląd raz w roku, a lżejszy — sprowadzający się do kroku drugiego i testu odmowy zgody — raz na kwartał. Dodatkowo zawsze po trzech zdarzeniach: zmianie wykonawcy strony, wdrożeniu nowego narzędzia marketingowego i przebudowie ścieżki zakupowej.

Najważniejsze ustalenie organizacyjne jest jednak inne. Ktoś musi mieć przypisaną odpowiedzialność za listę skryptów na stronie. Nie za zgodność, nie za dokumenty — za listę. W firmach, w których taka osoba istnieje, audyt trwa dzień. W pozostałych zaczyna się od tygodnia ustalania, kto w ogóle wstawił połowę tego kodu.