Nem minden analitikai eszköz egyforma. Némelyik alapból tolakodó az adatvédelem szempontjából (mindent követ, harmadik féllel megosztja az adatokat, bonyolult adatvédelmi beállítás kell hozzá). Mások adatvédelem-központúak (minimalizálják a gyűjtést, alapból nem osztanak meg semmit, eleve megfelelnek az előírásoknak). A jó eszköz kiválasztásával az adatvédelem könnyű lesz, nem nehéz.
Hogyan értékeld az analitikai eszközöket adatvédelmi szempontból
Kérdések, amiket minden szolgáltatónak fel kell tenned
1. Milyen adatokat gyűjtenek? Kérj konkrét listát. A „felhasználói viselkedés” homályos. Az „oldalmegtekintések, gombkattintások, űrlapbeküldések, vásárlási események” konkrét.
2. Kell hozzájárulás a követéshez? Ha igen, az eszköz személyes adatot gyűjt. Ha nem, lehet, hogy csak anonimizált vagy összesített adatot gyűjt.
3. Megosztják az adatokat harmadik féllel? Ha igen, milyen célból? Kiléphetsz?
4. Van adatfeldolgozási szerződésük (DPA)? Ha harmadik fél eszközét használod, DPA-ra van szükséged.
5. Hol tárolják és dolgozzák fel az adatokat? Az EU-ban (GDPR-előny)? Az USA-ban (más adattovábbítási mechanizmusok kellenek)? Választhatsz?
6. Mi az adatmegőrzési szabályuk? Határozatlan ideig őrzik az adatokat? Kérhetsz törlést?
7. Anonimizálják vagy összesítik az adatokat? Hogyan? Mikor?
Vészjelek
Nincs adatvédelmi tájékoztató, vagy homályos: Ha a szolgáltató nem magyarázza el, mit csinál az adatokkal, ne használd.
Kötelező harmadik féllel való megosztás: Egyes eszközök megkövetelik, hogy hirdetési hálózatokkal vagy adatkereskedőkkel oszd meg az adatokat. Ez szűkíti a megfelelési lehetőségeidet.
Nincs DPA: Ha nem írnak alá DPA-t, nem veszik komolyan az adatvédelmi megfelelést.
Nincs adatmegőrzési szabály: A „mindent örökre megtartunk” felelősséget jelent.
Kényszerített ujjlenyomat-azonosítás vagy oldalak közötti követés: Egyes eszközök arra kényszerítenek, hogy oldalak között kövesd a felhasználókat. Ha ezt nem akarod, ne használd őket.
Az analitikai eszközök kategóriái
Adatvédelem-központú eszközök
Az adatvédelem alapelvként került bele a tervezésükbe. Példa: cookie nélküli analitikai eszközök. Ezek az eszközök: nem használnak cookie-t, nem követnek oldalak között, nem osztanak meg adatot harmadik féllel, alapból megfelelnek a GDPR-nak, a legtöbb esetben nem kérnek hozzájárulási sávot.
Előnyök: egyszerűség, beépített megfelelés, nincs bonyolult beállítás.
Hátrányok: kevésbé részletes adatok, korlátozott szegmentálás, bonyolult használati eseteket nem biztos, hogy támogatnak.
Adatvédelemre beállítható eszközök
Általános célú analitikai platformok, amelyeket be lehet állítani az adatvédelemhez. Példa: a Google Analytics (megfelelő beállítással) és a legtöbb termékanalitikai platform. Ezeket lehet adatvédelembarát módon használni, de munka kell hozzá: hozzájárulás beállítása, adatminimalizálás, harmadik felekkel kapcsolatos beállítások finomhangolása.
Előnyök: részletes analitika, rugalmas, erős szegmentálás.
Hátrányok: adatvédelmi szakértelem kell hozzá, könnyű elrontani a beállítást, az alapbeállítások gyakran tolakodóak.
Adatvédelmi szempontból tolakodó eszközök
Olyan eszközök, amelyeket arra terveztek, hogy a lehető legtöbb adatot gyűjtsék, és széles körben megosszák. Példa: egyes hirdetési hálózatok és adatkereskedők. Ezek az eszközök: oldalak között követnek, széles körben osztanak meg adatot, átláthatatlanul működnek. Kerüld őket az analitikában. Megnehezítik az adatvédelmi megfelelést.
Népszerű adatvédelembarát és beállítható eszközök
Google Analytics (beállítható)
Az iparági standard. Megfelelő beállítással: IP-anonimizálás, hozzájárulási mód (consent mode), adatminimalizálás. Lehet GDPR-kompatibilis. Munkát és szakértelmet igényel.
Cookie nélküli analitika (adatvédelem-központú)
Nincs cookie, nincs személyes adat, alapból megfelel a GDPR-nak. Egyszerű vezérlőpultok a legfontosabb mutatókra.
Könnyű célkövetők (adatvédelem-központú)
Hasonlóak a cookie nélküli analitikához. Nincs cookie, nincs személyes adat. Adatvédelem-központú tervezés.
Eseményanalitikai platformok (beállítható)
Erős eseményanalitika. Megfelelő DPA-val és beállításokkal adatvédelemre hangolható.
Termékanalitikai platformok (beállítható)
Fejlett termékanalitika. Jó a részletes felhasználói útvonalakhoz. Adatvédelemre beállítható.
Automatikus eseményrögzítő platformok (adatvédelmi móddal)
Teljes értékű analitika adatvédelmi móddal. Beállíthatod, hogy minimalizálja az adatgyűjtést.
Az eszközváltás problémája
A legtöbb cég a jelenlegi analitikai eszköze mellett marad, még ha az adatvédelem szempontjából nem is ideális, mert a váltás drága és zavaró. Ha most egy tolakodó eszközt használsz, az adatvédelem-központúra váltás hosszú távú projekt. Tervezd fokozatos átállásnak: párhuzamos követés mindkét rendszerben, ellenőrzés, hogy mindkettő hasonló eredményt ad, és csak azután kapcsolj át.
Az eszközértékelési keretrendszered felépítése
Készíts pontozótáblát az eszközök értékeléséhez: adatvédelmi pontszám (minimalizálja az adatokat?), megfelelési pontszám (támogatni tudja a szabályozási kötelezettségeidet?), funkciópontszám (megvannak a szükséges funkciók?), költségpontszám (megfizethető?) és támogatási pontszám (kapsz segítséget, amikor kell?). Súlyozd a pontszámokat a prioritásaid szerint. Az az eszköz, amely az adatvédelemben erős, de a funkciókban gyenge, nem biztos, hogy jó a bonyolult analitikához, de tökéletes az egyszerű követéshez.
Milyen konkrét Google Analytics-beállításokat kell módosítanom a GDPR-megfeleléshez?
Kapcsold be az IP-anonimizálást (Adminisztráció > Tulajdon > Követési adatok). Kapcsold be a hozzájárulási módot (Adminisztráció > Hozzájárulás-kezelés). Állítsd az adatmegőrzést 14 hónapra (Adminisztráció > Adatmegőrzés). Távolítsd el az összes egyedi azonosítót, amely felhasználót azonosít. Teszteld a böngészőben: a hálózati fülön anonimizált adatnak kell megjelennie. Ez 1-2 órát vesz igénybe.
Hogyan hasonlítsam össze az adatvédelem-központú eszközöket a beállított GA-val?
Készíts értékelő pontozótáblát: szükséges funkciók (forgalom, konverziók, szegmensek?), megfelelés (GDPR/CCPA), költség, beállítási idő. Futtasd mindkettőt párhuzamosan 4 hétig, és hasonlítsd össze az eredményeket. Ha az adatvédelem-központú eszköz az igényeid 80%-át kisebb költséggel lefedi, válts. Ha bonyolult tölcsérek kellenek, a GA jobb. A tényleges igények alapján dönts, ne feltételezések alapján.
Mekkora a költségkülönbség az adatvédelem-központú és a beállítható analitika között?
Adatvédelem-központú eszközök: 5-20 dollár havonta. Beállított GA: ingyenes (de számolj 500-2000 dollárral a hozzájárulás-kezelő platformra és az adatvédelmi infrastruktúrára). Termékanalitikai platformok: 1000 dollár felett havonta. Kis oldalaknál az adatvédelem-központú a legolcsóbb. Nagy oldalaknál a beállított GA gyakran olcsóbb a termékanalitikai platformnál, még a magasabb beállítási költség mellett is.
Hogyan térjek át a Google Analyticsről adatvédelem-központú eszközre úgy, hogy ne vesszenek el a korábbi adatok?
Futtasd a két platformot párhuzamosan 3 hónapig. Exportáld a GA-adatokat referenciaként. Készíts egyenértékű vezérlőpultokat az új eszközben. Ellenőrizd, hogy a kulcsmutatók egyeznek (5-10%-os eltérésen belül). Jegyezd fel az átállás dátumát. Az átkapcsoláskor állítsd át a Google Tag Managert, hogy az új eszközbe küldjön. A GA-t tartsd meg a korábbi lekérdezésekhez 12 hónapig.
Melyik adatvédelem-központú eszközt válasszam az én esetemben?
Blog vagy tartalmi oldal: cookie nélküli analitikai eszköz (a legtöbbnek közel azonosak a funkciói). Webshop (egyszerű): cookie nélküli eszköz, ha csak a kiegészítő értékesítési tölcsér kell (korlátozott). Webshop (bonyolult): termékanalitikai platform, adatvédelemre beállítva. SaaS: termékanalitikai platform a kohorszelemzéshez. A tölcsér bonyolultsága alapján válassz, ne a márkaismertség alapján.
Milyen vészjelző kikötéseket utasítsak el a szállító DPA-jában?
Utasítsd el: a korlátlan adatmegőrzést, a kötelező harmadik féllel való megosztást, a törlési jog hiányát, az egyoldalú feltételmódosítást. Alkudj: az automatikus megújításra (kérj kilépési záradékot), a felelősségi korlátokra (magasabbat célozz), az auditjogokra (negyedévente kérd). Nem alku tárgya: a titkosítás, az incidensértesítés (30 nap), a GDPR betartása. Állj fel az asztaltól, ha a szállító megtagadja a törlést.