Używać Facebook Pixel zgodnie z prawem: instrukcja

Pixel Facebook jest najprawdopodobniej najbardziej popularnym narzędziem remarketingowym i jednocześnie bardzo ryzykownym pod kątem ochrony danych osobowych. Artykuł pokazuje, jak można używać Facebook Pixel w sposób dość prawidłowy z punktu widzenia prawnego.

Facebook Pixel i ochrona danych osobowych

Jasne, firma Facebook (USA) gromadzi ogromne dane swoich użytkowników. Platforma jest sama w sobie bezpłatna, a użytkownik płaci za nią danymi. Było w przeszłości już dość problematyczne, jeśli chcemy być miłosierni, ale od 25 maja 2018 roku Rozporządzenie o ochronie danych osobowych jest wysoce eksplozywny.

Kluczowym elementem proponowanej rozwiązania jest samodzielnie opracowany wybór opcji odłączenia Facebooka Pixel, który w połączeniu z innymi działaniami pomaga jak najlepiej spełniać przepisy RODO. Nie ma jednak pewności, które dane Facebook (lub Meta) przetwarza i do czego. W każdym razie istnieje wyrok dotyczący Facebooka Plugin (wyrok TSUE z dnia 29.07.2019 – C‑40/17 – "Fashion ID"), który mówi o wspólnej odpowiedzialności. Gdy więc pojawiają się problemy, siedzą w jednym łodziach zarówno administrator strony internetowej, który włączył FB Pixel, jak i Meta. Jednak należy przyjąć, że Meta nie będzie brała udziału.

Warunki

Dla narzędzi analitycznych na stronach internetowych muszą być spełnione pewne warunki, aby miały szansę na prawidłowe działanie. Do nich należą:

Prośba o wyrażenie zgody: Piksel może zostać załadowany tylko po wyrażeniu zgody przez użytkownika (= odwiedzającego stronę internetową). Wynika to m.in. z § 25 TTDSG, art. 49 RODO, orzeczenia ETS w sprawie Schrems II (wyrok z 16.07.2020 – C-311/18) oraz art. 5 ust. 1 lit. c RODO („minimalizacja danych”).
Tekst dla polityki prywatności: Wymienienie składnika, jego przeznaczenia, firmy dostarczającej (adres), linku do polityki prywatności firmy dostarczającej wskazującego na składnik, danych osobowych zebranej z użytkownika, innych informacji (np. odniesienia do konta Facebooka jeśli użytkownik jest aktualnie zalogowany tam)
Możliwość odmowy zbierania danych osobowych przez narzędzie analityczne (Opcja wykluczenia)
Anonimizacja adresów IP (patrz na przykład Google Analytics)
Zminimalizowanie danych do poziomu uzasadniającego ich potrzebę (nie wiem dlaczego musiałoby się dowiedzieć dokładnego wieku odwiedzających swojej strony internetowej, prawo takiego nie przysługuje nikomu)
Umowa dotycząca przetwarzania zlecenia z dostawcą narzędzi analitycznych
Gwarancja, że dostawca narzędzi do analizy przestrzega obowiązujących w kraju zasad ochrony danych osobowych

Kto uważa, że to możliwe dla Facebook Pixel, może przekierować. Niektóre punkty nie dotyczą tego pikułu niekoniecznie, ponieważ nie musi być zawsze traktowany jako narzędzie analityczne.

Zgoda poprosić

Krok 1: Nie ładować pikseli

Zdecydowanie nie wykorzystywać kodu dla FB Pixel, licząc na to, że narzędzie do zgody zablokuje ten kod, aż użytkownik wyrazi zgodę. Zobacz moją badanie dotyczące narzędzi do plików cookie.

Zamiast tego użyj jednej z następujących dwóch możliwości:

Ładuj kod dla piksela FB po tym, jak użytkownik wyraził zgodę.
Kod nieaktywny wykorzystać i aktywować dopiero po uzyskaniu zgody od użytkownika.

Możliwość pierwsza może być np. zrealizowana za pomocą mojego kostenfreien Consent Tool.

Opcja druga wykorzystuje już dość powszechnie dyrektywę data-src (zamiast src) w instrukcjach skryptowych. Kod dla FB Pixela będzie następujący:

<script data-src="/script/to/pixel-code"></script>

Warunkiem jest, aby kod do ładowania Facebooka Pixels znajdował się w pliku skryptowym. Kto szuka technicznych sugestii dotyczących tego, może znaleźć je w moim wpisie o wspomnianym narzędziu do zgody. Może również być przydatne następujące przykładowe kodowanie.

Krok 2: Informacje o ochronie danych w zapytaniu o zgodę

W mojej liście sprawdzającej zgody na zapytania znajdziecie Państwo informacje, które należy umieścić w często nazywanym "Cookie Popup" okienku o zgadzaniu się. Są to m.in.:

Nazwa usługi, tutaj: Facebook Pixel (lub inny w zależności od rodzaju załadowanego FB usługi)
Krótka opis celu
Dostawcy wymienić: Meta z podaniem kraju (pełna adresa również lub najpóźniej w polityce prywatności)
Wspomnij, że ryzyko związane jest zgodnie art. 44 RODO z powodu przesyłania danych do USA
Wszystkie ciasteczka nazywają się, każde ciasteczko
- Name
- Opis celu
- Okres życia

Uwzględnij, aby opcja akceptacji na "Cookie Popup" nie była wizualnie wyeksponowana w porównaniu z możliwością odmowy. Odmowa musi być co najmniej tak łatwa do wykonania jak zgoda.

Opcja wycofania się (Opt-Out)

Pixel Facebooka nie oferuje zapisu do listy odrzucanych. Proponuję następujące rozwiązanie:

Krok 1: Wstawienie kodu JavaScriptu

Dodaj następujący kod na każdej stronie swojej strony internetowej, dostosuj ID Facebooka w kodzie do potrzeb. Kod można umieścić w obszarze BODY, np. u góry:

<!-- Facebook Pixel privacy protection (C) dr-dsgvo.de -->
<script>
var fpProperty = 'mde-service';
var fpdisableStr = 'fp-disable-' + fpProperty;
// Opt-out function
function fpOptout() {
document.cookie = fpdisableStr + '=true; expires=Thu, 31 Dec 2099 23:59:59 UTC; path=/';
window\[fpdisableStr\] = true;
alert("The Facebook Pixel is deactivated and will no longer be loaded. Please refresh the page");
}
function activatePixelMDE() {
document.cookie = fpdisableStr+'=true; Max-Age=-99999999;path=/';
window\[fpdisableStr\] = false;
alert("Facebook Pixel will be activated at next page load");
window.location=window.location;//Reload of page
}
if (document.cookie.indexOf(fpdisableStr + '=true') > -1) {
// FB-Pixel is deactivated by user, do nothing
console.log(atob("RmFjZWJvb2sgUGl4ZWwgaXN0IGRlYWt0aXZpZXJ0LiBEYXRlbnNjaHV0ei1NZWNoYW5pc211cyB2b24gaHR0cDovL3d3dy5tZWluZS1kYXRlbnNjaHV0emVya2xhZXJ1bmcuZGU="));
}else {
!function(f,b,e,v,n,t,s)
{if(f.fbq)return;n=f.fbq=function(){n.callMethod?
n.callMethod.apply(n,arguments):n.queue.push(arguments)};
if(!f.\_fbq)f.\_fbq=n;n.push=n;n.loaded=!0;n.version='2.0';
n.queue=\[\];t=b.createElement(e);t.async=!0;
t.src=v;s=b.getElementsByTagName(e)\[0\];
s.parentNode.insertBefore(t,s)}(window, document,'script',
'https://connect.facebook.net/en\_US/fbevents.js');
fbq('init', '2051522461760028');//Put your ID in here
fbq('track', 'PageView');
console.log(atob("RGF0ZW5zY2h1dHotTWVjaGFuaXNtdXMgdm9uIGh0dHA6Ly93d3cubWVpbmUtZGF0ZW5zY2h1dHplcmtsYWVydW5nLmRl"));
}
</script>

Sprawdź, czy odświeżenie strony po zrealizowanym odwołaniu działa poprawnie.

Krok 2: Uzupełnij swoją politykę prywatności

Ichh użytkownicy muszą otrzymać możliwość wycofania się (Opt-Out) z Facebooka Pixel. Może być ona zrealizowana przy pomocy kodu JavaScript. Kopiuje poniższy kod do swojej Polityki prywatności, gdzie użytkownik ma możliwość wyłączenia Facebooka Pixel.

<script>
if (document.cookie.indexOf(fpdisableStr + '=true') > -1) {
document.write('<div class="text-center" style="margin-top:24px"><a onclick="activatePixelMDE()">Activate FB Pixel</a></div>');
}else {
document.write('<div class="text-center" style="margin-top:24px;margin-bottom:96px"><a onclick="fpOptout()">Deactivate the pixel</a></div>');
}
</script>

Najlepiej skopiujcie ten kod na koniec tekstu o ochronie danych w celu pixela Facebooka.

Porównanie rozszerzone

Facebook oferuje możliwość przeprowadzenia rozszerzonego łączenia danych. Ta opcja powinna zostać niezwłocznie wyłączona, aby uniknąć problemów z ochroną danych osobowych. Jeśli jednak chcielibyście nadal korzystać z tego rozszerzonego łączenia, powinniście przed użyciem paska zebrać zgodę od swoich użytkowników. Jak to osiągnąć pozostaje w waszej dyspozycji – nie wiem o żadnych dostępnych rozwiązaniach.

Przepisy prawne

Ten artykuł nie stanowi poradnictwa prawnego. Jeśli chcesz być całkiem pewny, zalecane jest następujące postępowanie, co jednak nie jest szczególnie przyjazne w praktyce:

Poproś swojego użytkownika o zgodę na użycie przez niego Facebooka Pixel i związanej z tym gromadzenia danych
Po uzyskaniu zgody, załadować kod Facebooka Pixel
Jeśli użytkownik odwołuje swoją zgodę – np. poprzez mechanizm Opt-Out jak powyżej przedstawiony – zapobiegajcie ponownemu załadowaniu kodu Facebooka

Zapytanie o zgodę wymienioną w punkcie 1 można połączyć z oknem pop-upa cookies, w którym prosimy o zgodę na użycie plików cookies. Wydaje się skomplikowane i niewygodne dla użytkownika, jest tak. Rozporządzenie o ochronie danych dotyczy ochrony danych a nie wygody użytkownika lub praktyczności. Miłego czasu!

Sprawdzanie ochrony danych dla stron internetowych

Ogromny tekst o ochronie danych dotyczący Facebooka Pixel oraz wsparcie dla wielu narzędzi analitycznych, skryptów i komponentów oferuje Check Ochrony Danych. Co żaden człowiek nie może zrobić, to moja aplikacja:automatyczna analiza ochrony danych strony internetowej* wraz z propozycjami rozwiązań dla znalezionych problemów.

Sprawdzić stronę internetową