Server-side tagging e tracking: perché il consenso GDPR resta obbligatorio

I tag manager si stanno spostando sul server. Il server container di Google Tag Manager, Tealium EventStream, Adobe Event Forwarding, Segment e servizi in hosting come Stape vi permettono di inviare gli eventi a un server che controllate voi e di inoltrarli da lì, su un sottodominio come data.example.com o su un percorso del dominio principale come example.com/metrics. Nulla di tutto questo cambia ciò che richiedono il GDPR e le regole ePrivacy: il consenso prima dei cookie di analytics e pubblicità e una base giuridica per ogni dato personale che inviate a una piattaforma pubblicitaria o di analytics.

Cambia invece il percorso che il consenso deve seguire. Il banner continua a funzionare nel browser, ma la decisione di inviare dati a un fornitore ora viene presa sul vostro server, quindi la scelta del visitatore deve viaggiare con ogni evento.

Server-side tagging e tracking: perché il consenso GDPR resta obbligatorio

Due modi per eseguire i tag sul vostro dominio

	Sottodominio	Percorso sul dominio principale
Esempio	data.example.com	example.com/metrics
Come si configura	Un record DNS punta il sottodominio al vostro server di tagging	La CDN o il reverse proxy instrada il percorso al vostro server di tagging
Cosa cambia	Richieste e cookie sono di prima parte	Le richieste sono same-origin, quindi script dei tag ed eventi si caricano come il resto del sito
Serve ancora il consenso	Sì	Sì

Safari limita la durata dei cookie impostati da un sottodominio che punta a un indirizzo IP diverso da quello del sito principale, ed è uno dei motivi per cui sempre più configurazioni usano un percorso sul dominio principale. Per il consenso la scelta non fa differenza: in entrambi i casi i tag e i cookie sono vostri, e lo è anche la responsabilità.

Perché il server-side tagging non elimina il consenso

Quattro convinzioni ricorrono spesso, e nessuna regge.

• «I cookie del server non sono cookie.» Un cookie impostato dal vostro server viene comunque memorizzato sul dispositivo del visitatore. Le regole ePrivacy riguardano la memorizzazione e la lettura di informazioni su un dispositivo, chiunque le imposti.
• «Prima parte significa esente.» Non esiste alcuna esenzione per la prima parte. Un cookie di prima parte usato per analytics o pubblicità richiede il consenso esattamente come uno di terza parte. In futuro il Digital Omnibus dell'UE potrebbe esentare una parte della misurazione di prima parte, ma per ora è un testo negoziale, non una legge.
• «Il browser non comunica mai con il fornitore, quindi va bene.» Il GDPR si applica ai dati personali che inoltrate, come indirizzi IP, email sottoposte a hash e dettagli degli ordini, sia che partano dal browser sia che partano dal vostro server.
• «Gli ad blocker non lo vedono, quindi non conta.» Nascondere le richieste ai blocker non cambia l'obbligo di legge. Ciò che potete raccogliere lo decide sempre la scelta del visitatore nel vostro banner.

Il server-side tagging resta comunque utile. Decidete voi cosa esce dalla vostra infrastruttura: potete eliminare gli indirizzi IP, accorciare gli user agent e rimuovere i campi che non servono a un fornitore prima di inoltrare i dati, a sostegno della minimizzazione dei dati prevista dal GDPR. Ha solo bisogno dello stesso segnale di consenso dei tag nel browser, trasmesso in modo diverso.

Dove le configurazioni lato server lasciano passare i dati

Il server inoltra gli eventi senza verificare il consenso

Un server container o una pipeline di eventi inoltra ciò che riceve. I tag di Google leggono Google Consent Mode e adeguano ciò che inviano, ma la maggior parte degli altri connettori, come la Meta Conversions API, la TikTok Events API, LinkedIn e la OpenAI Conversions API usata per ChatGPT Ads, non verifica il consenso da sola. Con le impostazioni predefinite inviano ogni evento, compresi quelli dei visitatori che hanno rifiutato.

Gli script serviti dal vostro dominio partono prima del banner

Quando il tag manager o la CDN serve gli script dei tag dal vostro dominio e li aggiunge alle pagine, potreste non controllare più l'ordine in cui vengono caricati. Se vengono eseguiti prima che la CMP abbia impostato il consenso, possono impostare cookie e inviare dati prima che il visitatore abbia visto il banner. Si parla in questo caso di segnale di consenso tardivo (late consent signal). La configurazione CDN con un clic di Google Tag Gateway è un esempio tipico.

I controlli basati sui domini smettono di funzionare

I blocker di script e i semplici audit dei tag riconoscono i tracker dai loro domini. Quando tutto si carica dal vostro dominio, non riescono più a distinguere un tracker dal vostro codice, quindi verificate il consenso sulle richieste che il sito invia davvero.

I cookie impostati dal server mancano nella cookie policy

I cookie impostati dal server di tagging portano il vostro dominio e sfuggono facilmente. Devono comunque essere elencati nella cookie policy e coperti dal banner. Una scansione dei cookie trova anche i cookie di prima parte.

Come trasmettere il consenso ai tag lato server

1. Caricate prima la CMP. Se i tag si caricano dal vostro dominio, servite il banner nello stesso modo, così non è più lento dei tag: UniConsent supporta un dominio di prima parte per la CMP.
2. Inviate la scelta con ogni evento. Aggiungete lo stato del consenso a ogni evento che il browser invia al vostro server: i valori di Google Consent Mode per Google, la stringa IAB TCF per i fornitori pubblicitari che la leggono e flag per finalità o vendor per tutti gli altri.
3. Verificate il consenso sul server prima di inoltrare. Ogni connettore di un fornitore si attiva solo quando la finalità o il vendor corrispondente è consentito.
4. Conservate un registro. Inviate il consent ID con ogni evento, così potete dimostrare su quale scelta si basa ogni evento inoltrato.

Nel Google Tag Manager lato server, la configurazione più diffusa, i tag di Google passano da soli Consent Mode al server container, così Google Analytics e Google Ads seguono la scelta del visitatore. Gli altri tag del container no. Inoltrate dal web container il valore di consenso che vi serve e aggiungetelo al trigger di ogni tag Meta, TikTok, LinkedIn o OpenAI.

Come UniConsent si adatta a qualsiasi configurazione lato server

UniConsent funziona con qualsiasi tag manager usiate sul server. Raccoglie la scelta del visitatore una sola volta e la rende disponibile al client browser del vostro tag manager:

• tramite la Consent Ready API e la JavaScript API, compreso il consent ID;
• come valori di Google Consent Mode v2, impostati su negato per i visitatori di UE, SEE, Regno Unito e Svizzera prima che venga eseguito qualsiasi tag Google;
• come stringhe IAB TCF e GPP per i fornitori pubblicitari che le leggono;
• per finalità, categoria e vendor nel data layer, per ogni altro tag.

UniConsent è una CMP certificata da Google e registrata nell'IAB TCF. Offre tag di consenso pronti all'uso per Meta Pixel, TikTok Pixel e Microsoft UET e vendor personalizzati per le piattaforme esterne all'IAB TCF, come OpenAI. Consent Logging conserva un registro di ogni scelta. Per gli strumenti lato server di Google, consultate le guide alla configurazione per GTM lato server e Google Tag Gateway.

Iniziate una prova gratuita oppure verificate subito il vostro sito con il Consent Mode Checker gratuito.

Checklist del consenso per il server-side tagging

• La CMP si carica prima di qualsiasi tag, compresi gli script serviti dal vostro dominio.
• Ogni evento inviato al server contiene lo stato del consenso del visitatore.
• Ogni connettore di un fornitore sul server si attiva solo con il consenso corrispondente.
• I campi che non servono a un fornitore vengono rimossi sul server prima dell'inoltro.
• I cookie impostati dal server sono elencati nella cookie policy.
• Un rifiuto nel banner blocca tutto il traffico dal server verso le piattaforme pubblicitarie. Verificatelo prima di andare online.

FAQ

Il server-side tagging rende il mio sito conforme al GDPR?

No. Vi dà più controllo sui dati che inviate, e questo aiuta, ma il consenso resta necessario per i cookie di pubblicità e analytics e per condividere dati personali con le piattaforme pubblicitarie e di analytics.

Serve un banner dei cookie se i miei tag girano sul mio dominio?

Sì, se usate cookie o tecnologie simili per analytics o pubblicità e avete visitatori nell'UE, nel SEE o nel Regno Unito. I cookie impostati dal vostro dominio sono comunque cookie.

Per il consenso è meglio un sottodominio o un percorso sul dominio principale?

Nessuno dei due cambia le regole sul consenso. Un percorso sul dominio principale evita il limite di Safari sui cookie dei sottodomini con un indirizzo IP diverso, ma gli script serviti in questo modo possono caricarsi prima del banner se non controllate l'ordine.

Il mio server può leggere la stringa IAB TCF?

Sì. Inviate la stringa TC con ogni evento. Il server può verificare finalità e vendor prima di inoltrare, e i fornitori che supportano il TCF possono leggerla direttamente.

Google Tag Gateway aggira il consenso?

No. I tag continuano a rispettare Google Consent Mode, purché la CMP imposti il consenso prima che vengano eseguiti. UniConsent è progettata per farlo.