Usare Google Tag Manager in modo conforme al GDPR

Google Tag Manager (googletagmanager.com) non carica tracker da sé, li gestisce. Il vero tema di protezione dei dati sono i tag che diffonde.

L'errore più comune con Tag Manager è supporre che basti uno strumento di consenso bloccato nel contenitore. Finché lo snippet del contenitore è nell'<head>, al caricamento della pagina si stabilisce una connessione a googletagmanager.com e l'indirizzo IP viene trasmesso a Google, prima che qualsiasi tag si attivi. Per il contenitore stesso lo si evita solo caricandolo dopo il consenso o servendolo lato server.

Google Consent Mode v2 è praticamente obbligatorio da marzo 2024 per le funzioni pubblicitarie nel SEE se i dati di conversione devono confluire in Google Ads. Ma non sostituisce uno strumento di consenso: Consent Mode adatta solo il comportamento dei tag Google allo stato di consenso; lo stato stesso deve essere raccolto da un banner che soddisfi i requisiti di un consenso.

Con il tagging lato server l'esecuzione dei tag si sposta su un endpoint proprio (spesso un sottodominio). Ciò migliora il tempo di caricamento e il controllo dei dati, ma non sposta l'obbligo di consenso: i tag attivati lato server che accedono a identificatori impostati lato client necessitano anch'essi di un consenso preventivo.

È un rischio?

Se il Tag Manager carica tag che richiedono il consenso (Analytics, Ads, pixel) prima o nonostante un rifiuto, manca per essi la base giuridica ai sensi del § 25 c. 1 TDDDG. La chiamata al container trasmette già l'IP a Google (USA).

Cosa puoi fare

• Usare la Consent Mode o una condizione di attivazione affinché i tag si attivino solo dopo il consenso.
• Assegnare ogni tag del container a una categoria e verificarlo rispetto allo stato di consenso.
• Valutare il tagging lato server, ma assumere la logica di consenso in modo coerente.
• Dopo la configurazione, verificare nella scheda «Rete» cosa si carica prima del primo clic.

Domande frequenti

Google Tag Manager stesso richiede il consenso?

La chiamata del contenitore non carica tracker, ma trasmette l'indirizzo IP a Google (USA) al caricamento della pagina. In senso stretto è già un accesso senza necessità tecnica: in via prudenziale il contenitore viene quindi caricato solo dopo il consenso.

Basta Consent Mode v2 al posto di un banner cookie?

No. Consent Mode controlla solo come i tag Google reagiscono allo stato di consenso. Lo stato deve essere raccolto da uno strumento di consenso separato che offra una scelta reale tra accettare e rifiutare.

Come assicuro che i tag si attivino solo dopo il consenso?

Dai a ogni tag nel contenitore un'eccezione di attivazione o una condizione di consenso che verifichi lo stato di consenso della categoria pertinente. Poi verifica in modalità anteprima e nella scheda Rete cosa si carica prima del primo clic.

Il tagging lato server aiuta con il consenso?

Migliora prestazioni e controllo dei dati, ma non sostituisce il consenso. I tag lato server che trattano dati personali necessitano della stessa base giuridica di quelli lato client.

Come aiuta consentglass

La scansione gratuita verifica l'HTML fornito e mostra quali servizi sono integrati, se viene rilevato un banner cookie e se i link a privacy e note legali sono presenti — con inquadramento per ogni riscontro. Non sostituisce una consulenza legale.