Os dois novos sinais do Google Consent Mode v2

O que o Google Consent Mode v2 mudou?

Em novembro de 2023, o Google Consent Mode v2 acrescentou dois parâmetros de publicidade, ad_user_data e ad_personalization, ao lado dos sinais ad_storage e analytics_storage que as tags do Google já liam. A documentação da plataforma de tags do Google diz isso com todas as letras: "Consent mode was updated in November, 2023 and now contains two additional parameters" (Gerenciar o consent mode). A mecânica por baixo, os comandos default e update e a modelagem que o Google roda sobre os resultados, está coberta em um guia prático do consent mode. Esta página fica no que a versão 2 colocou em cima disso.

O que ad_user_data e ad_personalization controlam?

Os dois parâmetros dividem uma pergunta antiga em duas. A referência do gtag do Google define ad_user_data como "Sets consent for sending user data to Google for advertising purposes" e ad_personalization como "Sets consent for personalized advertising" (referência do gtag.js). Um governa a transmissão, o outro governa o uso. Um visitante pode concordar que os dados dele cheguem ao Google para medição de conversão e ainda assim recusar ser alvo de segmentação com eles, e a versão 2 dá a essa distinção um formato de transmissão.

Existem sete tipos de consentimento na API. As descrições do Google, citadas das páginas dele:

Cada um deles aceita exatamente dois valores, granted ou denied. Nada além disso é interpretado.

A GDPR exige o Google Consent Mode v2?

Não, e essa confusão é o erro mais comum no que se escreve sobre o assunto. O Google Consent Mode v2 é uma exigência que o Google impõe a anunciantes que querem continuar usando os produtos dele, carregada pela política de consentimento do usuário da UE, que se aplica a "end users in the European Economic Area, the UK and Switzerland" e obriga os anunciantes a obter consentimento para "the use of cookies or other local storage where legally required" e para "the collection, sharing, and use of personal data for personalization of ads" (política de consentimento do usuário da UE). A GDPR e a Diretiva ePrivacy é que impõem os deveres legais subjacentes. Nenhuma das duas nomeia um parâmetro de JavaScript.

A consequência prática: uma implementação que envia granted para tudo satisfaz o encanamento do Google e mesmo assim viola a lei se nenhum consentimento válido foi coletado. O que torna um consentimento válido em primeiro lugar fica antes de qualquer API, e está coberto em o que conta como consentimento de rastreamento e nos requisitos de consentimento da GDPR para web analytics. Ligue os sinais depois que a questão legal estiver resolvida, não no lugar dela.

Básico ou avançado: qual implementação escolher?

O Google documenta duas implementações do consent mode, e a versão 2 herda as duas. No consent mode básico, o site vai "prevent Google tags from loading until a user interacts with a consent banner", e "no data is sent before a user consents". No consent mode avançado, "Google tags load when a user opens the website or app" com os padrões definidos como denied, e "when consent is denied, consent state and cookieless pings are sent. When consent is granted, cookies are written" (Ajuda do Google Ads).

A diferença aparece na modelagem do Google. A mesma página de ajuda descreve o modo básico como produzindo um "General model (less detailed modeling)" e o modo avançado como produzindo um "Advertiser-specific model (more detailed modeling)". O modo avançado compra uma modelagem de conversão melhor transmitindo um ping sem cookies dos visitantes que disseram não, o que é uma decisão de proteção de dados que cabe ao jurídico e não ao time de crescimento. Qualquer que seja a sua escolha, o banner de consentimento tem que disparar a chamada update e não apenas se repintar.

O que quebra nos produtos de publicidade do Google quando os sinais faltam?

Faltar não é neutro. A documentação do Customer Match do Google afirma: "If these consents are missing, then the consent value is determined as not consented", e "Data from unconsented EEA users will not be processed and cannot be used for ad personalization using Customer Match" (Sobre o Customer Match e a política de consentimento do usuário da UE). A mesma página carrega a exigência datada: "Starting in March 2024, for Customer Match lists to be used in EEA, both consent fields of ConsentStatus type must be set to 'GRANTED' to indicate that you have received the required user consent."

Quais tags leem os sinais também está documentado. O Google lista os produtos cujas tags "contain built-in consent checks" como Google Analytics, Google Ads, Floodlight e Conversion Linker (Consent mode no Google Analytics). Uma tag fora dessa lista não responde a uma chamada gtag('consent', ...), então bloqueá-la é trabalho seu.

Como os comandos default e update carregam os novos parâmetros?

O comando default roda antes de qualquer tag do Google disparar, e o comando update roda quando o visitante responde. O formato documentado pelo Google:

gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied',
});
 
gtag('consent', 'update', {
  ad_storage: 'granted',
  ad_user_data: 'granted',
  ad_personalization: 'granted',
  analytics_storage: 'granted',
});

Duas opções importam para a correção. O Google documenta wait_for_update com "a millisecond value to control how long to wait before data is sent", para plataformas de consentimento que resolvem de forma assíncrona, e uma chave region definida "according to ISO 3166-2" no comando default, em que "the one with a more specific region will take effect". Fazer o default rodar depois que o gtag.js já enviou uma visualização de página é a falha que anula todo o setup em silêncio, e a mesma armadilha de ordem é dissecada no guia de consentimento de cookies do Google Analytics.

O que o Google não documentou?

O Google não publicou nenhuma tabela de penalidades para o consent mode, nenhuma multa e nenhuma política de suspensão de conta ligada aos dois parâmetros. A única data firme nas páginas do próprio Google para esta atualização é a exigência do Customer Match de março de 2024 citada acima; trate qualquer outra data de fiscalização que circule em posts de blog como sem fonte até o Google publicá-la. A consequência documentada é funcional, não punitiva: dados não consentidos do EEE não são processados para personalização, e o recurso de público ou de medição que dependia deles se degrada.

Existe uma saída de todo esse aparato, que é simplesmente não enviar sinais de publicidade ao Google. Analytics sem cookies tira os parâmetros da questão, e a análise focada em privacidade do Flowsery é livre de cookies e hospedada na UE, então não existe decisão de ad_storage a modelar. As equipes que rodam Google Ads continuam precisando do consent mode do lado dos anúncios, já que uma ferramenta de medição não responde pelas tags de outro fornecedor.

Perguntas frequentes

O Google Consent Mode v2 é obrigatório?

Ele é obrigatório para anunciantes que querem que os recursos de publicidade e de medição do Google continuem funcionando com tráfego do EEE, do Reino Unido e da Suíça, sob a política de consentimento do usuário da UE do Google. Não é obrigatório sob a GDPR, que regula o consentimento em si e não a forma como você o transmite a um fornecedor. Um site que não roda nenhuma tag de publicidade do Google não tem obrigação de consent mode vinda do Google.

O que acontece se eu enviar só ad_storage e analytics_storage?

A documentação do Customer Match do Google afirma que, quando os campos de consentimento faltam, "the consent value is determined as not consented". Os parâmetros da v1 não substituem os da v2. Os recursos de personalização que dependem de ad_user_data e ad_personalization tratam esse tráfego como recusado.

ad_user_data pode ser granted enquanto ad_personalization está denied?

Pode, e essa combinação é justamente o motivo de os terem separado. Ela significa que os dados podem chegar ao Google para fins de publicidade enquanto a publicidade personalizada é recusada. Um banner de consentimento com controles separados por finalidade deve mapear para esse par em vez de colapsar os dois em uma única caixa.

O consent mode básico ainda conta como Consent Mode v2?

Conta. Básico e avançado são escolhas de implementação, e os dois carregam os quatro parâmetros de publicidade e de analytics. O modo básico bloqueia as tags do Google até o visitante interagir com o banner, então os parâmetros chegam só na chamada update.

Quais regiões a exigência do Google cobre?

A política de consentimento do usuário da UE do Google nomeia "end users in the European Economic Area, the UK and Switzerland". A exigência de consentimento do Customer Match citada pelo Google faz referência ao EEE. A documentação do Google não estende a exigência a outras regiões.

O consent mode devolve os dados que os visitantes recusaram?

Não. O consent mode alimenta a modelagem de conversão do Google, que produz estimativas em vez de observações, e o Google rotula as duas implementações como alimentando um modelo geral ou um modelo específico do anunciante. As ressalvas da modelagem, e como elas aparecem nos relatórios, estão cobertas em o guia do consent mode.

Qual é a diferença entre os sinais v1 e v2 do consent mode?

Os sinais v1 são ad_storage e analytics_storage. A versão 2 manteve os dois e acrescentou ad_user_data e ad_personalization em novembro de 2023, dividindo a antiga decisão única de consentimento em sinais separados para o envio de dados ao Google e para o uso em publicidade personalizada.

Quais tags do Google realmente verificam os sinais do consent mode?

O Google cita Google Analytics, Google Ads, Floodlight e Conversion Linker como os produtos cujas tags contêm verificações de consentimento embutidas. Uma tag fora dessa lista ignora uma chamada gtag('consent', ...) e continua disparando, a menos que algo mais a bloqueie.

O que o wait_for_update faz no consent mode?

É um parâmetro que o Google documenta para o comando default, definido como um valor em milissegundos que informa ao gtag.js quanto tempo reter as solicitações antes de enviá-las. Ele existe para plataformas de gestão de consentimento que resolvem de forma assíncrona, para que as tags não disparem já no carregamento inicial antes de a plataforma reportar uma decisão.

O parâmetro region pode definir padrões diferentes para países diferentes?

O comando default aceita uma chave region com códigos ISO 3166-2, e o Google aplica a região correspondente mais específica. Um site pode assim definir um padrão para o EEE e outro separado para o restante dentro da mesma chamada default.