Sprzedajesz do Kalifornii? Jak CCPA traktuje reklamę targetowaną
Coraz więcej polskich sklepów i marek sprzedaje za ocean. Razem z klientami z USA pojawiają się amerykańskie przepisy o prywatności, a najbardziej znanym z nich jest kalifornijska ustawa CCPA (California Consumer Privacy Act). Jej podejście do reklamy targetowanej różni się od tego, do czego przyzwyczaiło nas RODO. Warto rozumieć te różnice, zanim skonfigurujesz baner i tagi dla ruchu z Ameryki.
Co CCPA uznaje za reklamę targetowaną
Ustawa nie używa określenia „reklama targetowana”. Mówi o cross-context behavioral advertising, czyli reklamie behawioralnej opartej na aktywności w różnych kontekstach. Chodzi o kierowanie reklam na podstawie danych o tym, co użytkownik robi w innych firmach, serwisach, aplikacjach czy usługach niż ta, z której świadomie korzysta.
W praktyce oznacza to, że reklamą w rozumieniu CCPA może być nie tylko remarketing, ale także sytuacja, w której dane z Twojej strony trafiają do zewnętrznej firmy, np. Google, i są wykorzystywane do śledzenia zachowań użytkownika poza Twoją stroną. Jak zauważa opracowanie, na którym oparliśmy ten tekst, korzystanie z narzędzi takich jak Google Analytics czy Google Ads może podpaść pod tę definicję.
Sprzeciw zamiast zgody z góry
To najważniejsza różnica wobec przepisów europejskich. W Polsce, na podstawie Prawa komunikacji elektronicznej i RODO, narzędzia analityczne i reklamowe mogą ruszyć dopiero po zgodzie użytkownika. CCPA w zakresie reklamy działa w modelu opt-out: daje mieszkańcom Kalifornii prawo do sprzeciwu.
Według CCPA strona musi umożliwić użytkownikom z Kalifornii:
- rezygnację z reklamy targetowanej,
- rezygnację z udostępniania lub sprzedaży ich danych podmiotom trzecim.
Taki sprzeciw trzeba uszanować, a osoby, które z niego skorzystały, nie mogą być z tego powodu dyskryminowane. Firma musi też mieć technikę, która pozwala faktycznie usunąć pliki cookie i zrealizować żądanie w terminie.
Global Privacy Control, czyli sprzeciw z przeglądarki
Ważny szczegół: sprzeciw nie musi przyjść przez kliknięcie w baner. Według CCPA trzeba go uszanować także wtedy, gdy przeglądarka wysyła go automatycznie przez mechanizm Global Privacy Control (GPC). Użytkownik włącza tę opcję raz w przeglądarce lub rozszerzeniu, a każda odwiedzana strona powinna ją odczytać jako rezygnację.
Dla właściciela sklepu oznacza to, że baner i tagi muszą umieć rozpoznać ten sygnał i zablokować narzędzia reklamowe bez czekania na reakcję użytkownika.
W praktyce sprawdza się to w prosty sposób: wystarczy włączyć GPC w przeglądarce, która to obsługuje, albo w rozszerzeniu, wejść na swoją stronę i zobaczyć w narzędziach deweloperskich, czy piksele i tagi reklamowe nadal wysyłają dane. Jeśli tak, konfiguracja wymaga poprawki. Taki test warto powtarzać po każdej większej zmianie w Google Tag Managerze, bo nowy tag dodany „na szybko” łatwo omija wcześniej ustawione reguły.
Klienci z Kalifornii mają prawo powiedzieć „nie” reklamie targetowanej, także automatycznie przez GPC. Klienci z Polski i UE nadal muszą powiedzieć „tak”, zanim narzędzia reklamowe w ogóle się uruchomią. Jeden sklep, dwa różne modele.
Czym według CCPA nie jest zgoda
Choć w reklamie CCPA opiera się na sprzeciwie, sama ustawa definiuje zgodę w sposób bliski RODO: jako dobrowolne, konkretne, świadome i jednoznaczne wyrażenie woli, np. przez wyraźne działanie. Ustawa wylicza też, czego za zgodę uznać nie można:
- akceptacji ogólnego regulaminu, w którym informacje o danych są wymieszane z innymi treściami,
- najechania kursorem na element strony,
- wyciszenia, wstrzymania lub zamknięcia jakiejś treści,
- zgody uzyskanej za pomocą tzw. dark patterns, czyli manipulacyjnych rozwiązań w interfejsie.
To dobra wskazówka także dla europejskiego banera: zamknięcie okienka czy przewinięcie strony to nie zgoda.
Co powinien zrobić sklep sprzedający do USA
Pamiętaj, że CCPA nie obejmuje każdej firmy. Stosuje się do przedsiębiorstw, które spełniają określone w ustawie progi, dlatego zakres obowiązków najlepiej potwierdzić z prawnikiem znającym prawo amerykańskie. Jeśli ustawa Cię dotyczy, typowe kroki wyglądają tak:
- Baner z centrum preferencji dla użytkowników z Kalifornii, informujący o narzędziach reklamowych od pierwszej wizyty i pozwalający łatwo z nich zrezygnować.
- Obsługa GPC - automatyczne traktowanie sygnału z przeglądarki jako rezygnacji.
- Link w stopce „Do Not Sell or Share My Personal Information” albo jego wariant odnoszący się wprost do reklamy behawioralnej.
- Polityka cookies, która wyjaśnia, jakie pliki reklamowe są używane i po co.
- Zaktualizowana polityka prywatności z informacją, kiedy i jak zbierasz dane do reklam oraz jak z tego zrezygnować.
Nie psuj zgodności w Europie
Największe ryzyko przy dostosowaniu strony do CCPA polega na tym, że model opt-out „przecieknie” na ruch z Europy. Jeśli sklep ma jedną wersję dla wszystkich, ustawienia regionalne muszą być jasne: użytkownicy z UE widzą baner, w którym narzędzia są domyślnie wyłączone, a Google Consent Mode v2 dostaje stan „odmowa” do czasu zgody. Model sprzeciwu dotyczy wyłącznie tych, do których stosuje się prawo kalifornijskie.
Zanim zaczniesz kampanie w USA, sprawdź, jak Twoja strona zachowuje się wobec polskiego użytkownika. Darmowy Skaner zgody pokaże, czy skrypty reklamowe nie startują przed zgodą. Dopiero na takim fundamencie warto dokładać reguły dla innych rynków.
Źródło: Termly
CCPAreklama targetowanaGlobal Privacy Controle-commerceUSA