Consenso, privacy e quanto guadagna un publisher

Se vendi pubblicità e hai traffico europeo, il consenso dell'utente non è più solo una questione legale: è una variabile che finisce dritta nel fatturato. Ecco che cosa significano CMP, TCF e Consent Mode, e che cosa serve avere montato.

Il consenso è entrato nel conto economico

Per anni l'avviso sui cookie è stato una formalità: una barra in basso, un pulsante per accettare e via. È finita. Oggi quello che l'utente risponde decide quali dati la catena pubblicitaria può usare per valutare un'impression, e un'impression valutata con meno informazioni viene pagata meno.

Conviene separare due normative che si confondono. Il GDPR (Regolamento generale sulla protezione dei dati) regola il trattamento dei dati personali: per che cosa vengono usati e con quale base giuridica. Le regole ePrivacy, la legge sui cookie di ogni paese, regolano qualcosa di più circoscritto: memorizzare o leggere informazioni sul dispositivo. La seconda obbliga al banner; la prima dice che cosa puoi farci.

Che cos'è una CMP e che cosa fa davvero

Una CMP (Consent Management Platform, piattaforma di gestione del consenso) è il software che mostra l'avviso, raccoglie la decisione, la conserva e, questa è la parte importante, la trasmette al resto dei sistemi della pagina. Un banner che compare senza comunicare è decorazione.

Verifica tre cose separatamente: che le informazioni siano comprensibili e le opzioni equilibrate, che la decisione resti registrata con data e portata, e che esca un segnale leggibile per l'ad server, i wrapper d'asta e la misurazione. Se fallisce la terza, il rischio legale resta e in più perdi denaro: un sistema senza segnale presume il peggio.

L'IAB TCF: la lingua comune del consenso

Il TCF (Transparency and Consent Framework, quadro per la trasparenza e il consenso) è uno standard di settore, promosso da IAB Europe, perché quel segnale sia uguale per tutti. Senza di esso ogni CMP direbbe «l'utente ha accettato» a modo suo e nessun SSP saprebbe interpretarlo.

Definisce tre cose:

• Un elenco numerato di finalità: memorizzare informazioni sul dispositivo, creare profili per la pubblicità personalizzata, misurare il rendimento degli annunci.
• La Global Vendor List, in cui ogni fornitore partecipante dichiara per quali scopi tratta i dati.
• La TC String, la stringa che codifica quali finalità e quali fornitori quell'utente ha accettato e che viaggia con la richiesta di annuncio.

Per vendere inventario europeo serve una CMP integrata con il quadro: Google richiede una CMP da lui certificata per pubblicare annunci nello Spazio economico europeo (SEE) e nel Regno Unito. Le versioni successive hanno ristretto ciò che può appoggiarsi al legittimo interesse, e il quadro è stato oggetto di contenzioso in Europa: non è un porto sicuro definitivo, ma lo standard operativo del mercato.

Consent Mode v2 di Google: che cos'è e perché esiste

Il Consent Mode (modalità di consenso) è un meccanismo diverso e complementare. Invece di decidere se i suoi tag si caricano, Google chiede di comunicargli lo stato del consenso attraverso alcuni parametri e i suoi prodotti si adeguano. Quelli originari coprono l'archiviazione pubblicitaria e quella analitica; la versione 2 ne ha aggiunti due: inviare dati dell'utente a fini pubblicitari e personalizzare la pubblicità.

Perché la versione 2? Perché il Digital Markets Act europeo (DMA) obbliga le grandi piattaforme a chiedere un consenso esplicito per combinare dati personali tra servizi diversi, e Google ha trasferito l'obbligo a chi usa i suoi strumenti: senza quei segnali, alcune funzioni di pubblico e di misurazione smettono di essere disponibili per il traffico del SEE.

Che cosa succede ai ricavi quando qualcuno rifiuta

Rifiutare non significa spegnere la pubblicità. Se è montato bene, a quell'utente continuano a essere serviti annunci non personalizzati, decisi dal contesto della pagina, dalla lingua o dal dispositivo. Pagano, ma di solito pagano meno: l'acquirente non può applicare i suoi segmenti, né limitare la frequenza, né attribuire la conversione.

Un utente che rifiuta non vale zero. Vale meno. La differenza tra le due cose è la tua configurazione.

È qui che si perdono ricavi per motivi estranei alla legge. Un ad server senza la pubblicità non personalizzata attivata restituisce uno spazio vuoto invece di un annuncio pagato. Una CMP che blocca tutto finché non c'è una risposta, sommata a un utente che se ne va senza rispondere, lascia la pagina non monetizzata. Guarda due numeri separatamente: quante persone accettano e quanto rende chi non accetta.

Anche l'avviso è una decisione di prodotto

La tentazione è spingere verso il sì, e il margine è poco. Il consenso deve essere libero, informato, specifico e inequivocabile, e le autorità europee sono state esplicite su ciò che lo invalida: rifiutare deve costare quanto accettare, il silenzio e lo scorrimento non valgono, e le caselle non arrivano già spuntate.

Il resto è in mano tua: chiedere nel momento giusto, spiegare in una frase che cosa ci guadagna l'utente, non ripetere la domanda quando ha già risposto, e non lasciare che sia l'avviso a rovinare la velocità di caricamento.

La fine dei cookie di terze parti e che cosa ne prende il posto

Il cookie di terze parti, quello che un altro dominio lascia nel browser per riconoscere la stessa persona su altri siti, è in ritirata da anni. Safari e Firefox lo bloccano di default. Su Chrome la vicenda ha fatto diversi giri e gli annunci sulla sua scomparsa sono stati rinviati, quindi qui non ci saranno date: non scommettere né sul fatto che tutto resti uguale né sul fatto che sparisca domani.

Nel frattempo il mercato si è spostato verso alternative già in uso:

• Dati di prima parte: registrazione, newsletter, abbonamento. Ciò che l'utente ti dà direttamente.
• Il contestuale, tornato con strumenti migliori: si compra la pagina, non la persona che la legge.
• Pubblici dichiarati dall'editore stesso: il tuo pubblico in categorie standard, senza cedere identificatori.
• Identificatori propri del publisher, passati all'ad server per limitare la frequenza e targettizzare.
• Identificatori alternativi di settore, costruiti su un indirizzo email cifrato che l'utente ha fornito e consentito.
• Le API del browser proposte per sostituire parte di questi usi, un terreno ancora in movimento.

Il filo comune: quasi tutto ciò che sostituisce il cookie di terze parti dipende da una relazione diretta con il tuo pubblico, e quella relazione ha bisogno di un consenso chiesto bene e registrato bene.

Che cosa dovresti avere montato

Se vendi inventario a utenti europei, questa è la lista minima:

• Una CMP certificata da Google e integrata con il TCF, non un banner fatto in casa.
• Il segnale di consenso che arriva davvero all'ad server e ai wrapper d'asta, verificato nella richiesta reale.
• Consent Mode implementato, con i parametri della versione 2 presenti.
• Pubblicità non personalizzata attivata, perché il rifiuto non si traduca in spazi bianchi.
• L'elenco dei fornitori rivisto: ognuno che aggiungi è un soggetto in più da accettare.
• Registrazione del consenso e una via semplice per cambiarlo o ritirarlo dal sito stesso.
• L'informativa sulla privacy e quella sui cookie che dicono ciò che il sito fa davvero.
• I due percorsi testati: che cosa succede quando qualcuno accetta e che cosa succede quando qualcuno rifiuta.

Un avvertimento serio: questo spiega come funziona la meccanica pubblicitaria, non è una consulenza legale. L'interpretazione delle norme cambia da paese a paese e da autorità ad autorità, e ci sono punti ancora in discussione nei tribunali. Serve per parlare con il tuo avvocato sapendo di che cosa si tratta, non per farne a meno: quale base giuridica usare e come redigere i tuoi avvisi non si decide leggendo un blog.