Otestovali sme 108 e-shopov. 58% ukladalo dáta ešte pred súhlasom

To, že webová stránka používa cookie banner, ešte samo osebe nehovorí, čo sa na stránke deje pred rozhodnutím používateľa. 

V DASE sme sa preto pozreli na 108 vybraných e-shopov a sledovali, čo sa na nich deje ešte pred akoukoľvek interakciou používateľa s cookie bannerom. Zaujímalo nás najmä to, či sa už v tomto momente odosielajú požiadavky na analytické alebo marketingové služby, a či sa do prehliadača ukladajú cookies spojené s týmito nástrojmi.

Cieľom nebolo urobiť reprezentatívnu štúdiu celého slovenského e-commerce ani rebríček porušovateľov zákona. Kategórie použité v screeningu sú neutrálne technické pozorovania, nie definitívne právne posúdenia. Ukazujú, kde má zmysel nastavenie consentu preveriť podrobnejšie. 

Zaujíma vás výsledok? Čítajte ďalej.

Pravidlá konsentu

Na Slovensku upravuje ukladanie informácií do zariadenia používateľa a prístup k nim § 109 ods. 8 zákona č. 452/2021 Z. z. o elektronických komunikáciách. Regulačný úrad upozorňuje, že pri cookies, ktoré nie sú nevyhnutné, je potrebný preukázateľný súhlas. Výnimka pre nevyhnutné technické cookies nie je všeobecnou výnimkou pre analytiku alebo reklamu.

Vyplýva z toho praktická otázka, či implementácia rešpektuje rozhodnutie návštevníka aj technicky.

Samotné zobrazenie lišty ešte neznamená, že súhlas vznikol. A existencia tlačidla „Odmietnuť“ nehovorí nič o tom, čo web stihol urobiť pred jeho stlačením.

Zároveň treba rozlišovať medzi uložením cookie a odoslaním sieťovej požiadavky. Napríklad pokročilý Google Consent Mode môže pri zamietnutom súhlase odosielať takzvané cookieless pingy bez čítania či zapisovania analytických cookies. Neprítomnosť cookies preto neznamená nulovú komunikáciu. Ani označenie cookieless však samo osebe nie je právnym potvrdením prípustnosti konkrétneho merania.

Práve preto sme v screeningu nehodnotili všetky zachytené aktivity ako rovnaký jav.

Ako sme screening robili

Na screening sme použili Website Evidence Collector (WEC), open-source nástroj na technickú analýzu webových stránok. Rovnaký nástroj využíva pri kontrolách cookies aj slovenský regulačný úrad.

Každý test vychádzal z nového profilu prehliadača, otvorenia vstupnej stránky a scenára bez kliknutia na cookie lištu. Výstupy skenov sme následne porovnali s rovnakým zoznamom pravidiel pre všetky e-shopy. 

Pravidlá rozpoznávali vybrané domény, požiadavky a názvy cookies spojené s analytickými či marketingovými nástrojmi. Patrili medzi ne napríklad Google Analytics, Google Ads, Meta, Microsoft Clarity či Hotjar. 

Každý dokončený sken sme zaradili do jednej z troch kategórií: 

1. Bez rozpoznanej aktivity pred súhlasom (strict consent) – sken nezachytil žiadnu požiadavku ani cookie z našej sady pravidiel. Neberieme to ako certifikát súladu s legislatívou. Hovorí iba o tom, že počas konkrétneho pozorovania nevznikla zhoda s definovanými pravidlami.
2. Obmedzené meranie (limited measurement) – v druhej skupine sme zachytili komunikáciu s analytickou alebo marketingovou službou, ale nie zodpovedajúcu cookie.
   Môže ísť o meraciu požiadavku bez uloženia cookie, ale aj o načítanie tagu či skriptu. Preto túto kategóriu nemožno interpretovať rovnako jednoznačne ako uloženie cookie.
3. Cookies pred súhlasom (pre-consent storage) – do tejto kategórie sme zaradili skeny, pri ktorých sa pred akoukoľvek interakciou používateľa objavila cookie zodpovedajúca našim pravidlám pre analytické alebo marketingové nástroje.
   Patria sem napríklad cookies súvisiace s Google Analytics, Meta Pixelom, Microsoft Clarity či Hotjarom. V našom hodnotení išlo o najsilnejší pozorovaný signál.

Dôležitý je aj rozsah testu. Neoverovali sme správanie po udelení, odmietnutí ani odvolaní súhlasu. Použitý zoznam pravidiel navyše nedokáže rozpoznať každý vlastný alebo neštandardný spôsob merania. 

Výsledky

Zo 108 vykonaných skenov sme vo viac ako polovici prípadov zachytili uloženie analytických alebo marketingových cookies ešte pred tým, ako používateľ udelil alebo odmietol súhlas. 

Výsledky sme rozdelili do troch kategórií podľa toho, či sa pred interakciou s cookie bannerom uložila rozpoznaná cookie, prebehla iba analytická alebo marketingová komunikácia bez uloženia cookie, alebo sme nezachytili žiadny z definovaných signálov.

Najdôležitejšie zistenie sa nachádza v tretej skupine: pri 63 e-shopoch sken evidoval rozpoznané analytické alebo marketingové cookies ešte pred vyjadrením súhlasu. Pri každom z týchto webov sa zároveň našla zhoda aj s pravidlami pre sieťové požiadavky.

Pri ďalších 43 e-shopoch sa objavili rozpoznané požiadavky, ale nie cookies z našej sady. Tieto dve skupiny nemôžeme jednoducho sčítať a výsledok označiť za podiel porušení zákona. Navyše päť z týchto skenov pôvodné pravidlá označili iba ako načítanie skriptu alebo kontakt s doménou, nie ako identifikovaný merací ping.

Rovnako neplatí, že iba dva e-shopy majú konsent nastavený správne. To by bol silnejší záver, než naše dáta umožňujú. Pri týchto dvoch skenoch jednoducho nebol zachytený žiadny z definovaných signálov.

Pri 58,3 % skenov sa analytická alebo marketingová cookie objavila ešte pred rozhodnutím používateľa.

Ako vyzerajú výsledky podľa segmentov

Kategórie e-shopov sme pre lepšiu čitateľnosť spojili do siedmich širších skupín. Tabuľka ukazuje počet dokončených skenov a podiel tých, v ktorých boli zaznamenané rozpoznané cookies pred súhlasom.

Najvyšší podiel sme zaznamenali pri elektronike a spotrebičoch, kde sa cookies pred súhlasom objavili pri 7 z 9 skenov.

Pri skupine dom, záhrada a auto to bolo 15 z 24 skenov a pri móde, športe a hobby 19 z 32.

Rozdiely medzi segmentmi však netreba preceňovať. Počet skenov sa v jednotlivých skupinách líši a screening nebol navrhnutý ako reprezentatívne porovnanie odvetví.

Dôležitejší je spoločný menovateľ – cookies pred súhlasom sme zachytili naprieč rôznymi typmi e-shopov, nejde teda o jav viazaný na jeden konkrétny segment.

Konsent sa môže pokaziť aj po správnej implementácii

Za výsledkami nemusí byť vedomé ignorovanie pravidiel.

Web je živý systém. Pri spustení môže byť Consent Management Platforma aj Google Tag Manager nastavený správne. O niekoľko mesiacov však web developer nasadí novú verziu webu, marketing pridá nový Meta Pixel alebo nástroj na A/B testovanie. Ak sa zmena neotestuje, pôvodná kontrola už nemusí zodpovedať aktuálnemu správaniu webu.

Konsent preto nie je jednorazová implementačná úloha. Je to súčasť meracej infraštruktúry webu.

Kontrolu má zmysel opakovať najmä po väčších zmenách webu, nasadení nového marketingového nástroja alebo úpravách v Google Tag Manageri.

To, že bol konsent nastavený správne pred rokom, ešte neznamená, že funguje správne aj dnes.

Záver

Screening 108 e-shopov ukázal, že pri 58,3 % testov sa rozpoznané analytické alebo marketingové cookies uložili ešte predtým, než používateľ vyjadril súhlas.

Výsledok neznamená, že rovnaký podiel slovenských e-shopov porušuje zákon. Ukazuje však rozdiel medzi dvoma vecami, ktoré sa často zamieňajú. Medzi existenciou cookie banneru a správnym technickým nastavením analytických a marketingových technológií.

A práve druhá vrstva sa pri postupných zmenách webu môže veľmi ľahko rozbiť.

Ak potrebujete pomôcť s nastavením konsentu alebo si chcete overiť, či vaše súčasné riešenie funguje správne aj po zmenách na webe či v Google Tag Manageri, ozvite sa nám v DASE.

Pozrieme sa nielen na samotný banner, ale najmä na to, čo sa na vašom webe reálne spúšťa pred rozhodnutím používateľa a po ňom.