November harmadik szerdáján az IAB Hungary Adat Munkacsoportja egy belvárosi pubba szervezett késő délutáni workshopot, ahol talán sosem hangzott el annyiszor a first és third party cookie-k kifejezése, mint aznap, függetlenül attól, hogy poharazgatás előtt vagy után került szóba. Az esemény mindhárom előadója azzal a szándékkal állt a szakmai közönség elé, hogy lehetőségeket mutasson a harmadik feles sütik kivezetése utáni online környezetben, segítsen eligazodni a hamarosan életbe lépő, új adatvédelmi törvények világában, és válaszokat találjon mindazon kérdésekre, amelyekre jelenleg egy egész kontinensnyi digitális piac kíváncsi.
„A korábbi években számos privacy issue volt, amely miatt sokkal fontosabbá vált a felhasználó és adatainak védelme. A 2018-tól kötelezően alkalmazandó GDPR-nak volt a legnagyobb visszhangja Európában, amikor kimondták, hogy a felhasználó részéről egyértelmű hozzájárulás kell adatai használatához, és fel kell hívni a figyelmét arra, hogy ezeket ki és milyen célból tárolja. Ekkor kezdtek gombamód szaporodni a különböző hozzájárulás-kezelés platformok, és gyűjtik ezeket azóta is szabályos vagy kevésbé szabályos módon. Pedig ha egy oldalnak a felhasználótól nincs hozzájárulási nyilatkozata, akkor nem lenne szabad személyre szabott tartalmakkal megcélozni őt” – kezdte előadását Csingár Zoltán, az ügynökségeknek hirdetéstechnológiai szolgáltatásokat nyújtó AdDIG Kft. ügyvezető igazgatója.
Ezzel párhuzamosan a böngészők is a privacy témát tűzték ki legfontosabb megoldandó feladatként maguknak, amelynek eredménye az lett, hogy Safariban és Firefoxban már jó ideje nem lehet third party cookie-t használni, de például Chrome-ban – amelyet a felhasználók kétharmada is használ (Forrás: Statcounter) – a Google a harmadik feles adatokra épülő hirdetéseit is új, cookie-mentes megoldásokra fogja váltani. A 3rd party cookie kivezetésének időpontja a Chrome böngészőből a legutóbb beharangozott új dátum szerint 2024 harmadik negyedéve.
- A first party cookie-t a weboldal tulajdonosa gyűjti a saját látogatóiról, ezeknek a szerepe a következő években jelentősen felértékelődik.
- A third party cookie-k pedig azon adatok, amelyeket mások gyűjtenek a felhasználókról. Ha egy felhasználó egy másik weboldalt meglátogat, és azon a weboldalon maga az adatgyűjtő vendor is aktív, már követni is tudja a felhasználót, és egy csomó plusz információhoz juthat a böngészési tevékenységéről.
És mivel a harmadik feles adatokat még mindig használják egy kampányban a felhasználók célzására, a különböző viselkedés- vagy érdeklődés alapú targetálásokra, az elérések, a konverzió mérésére és az attribúciós modellek felállítására, ezért ezekre mind megoldást kell találnia a piacnak a 2024 ősze utáni időszakra.
Vannak jó megoldások?
Vannak. Nem számít ugyan újdonságnak, de a kontextuális célzást például a jó megoldások között emlegetik, szerepe a közeli jövőben felértékelődhet, de csak magában a targetálásban tud segíteni. De van, hogy offline háztartási adatokat digitalizálnak úgy, hogy azokat összevetik az eszközök lokációjával, valószínűségszámítási modellek segítségével. Az ilyen, cookie-mentes targetálási mód kiegészítő célzásnak jó lehet, de a komplex problémát továbbra sem oldja meg – hívja fel a figyelmet Csingár Zoltán.
Ezért tartja most fél szemét a világ folyamatosan a Google-n, amely a megoldást a Privacy Sandboxban látja. Ennek célja, hogy a jogszabályok által előírt adatvédelmi gyakorlat betartása mellett a sikeres online jelenléthez, online kampányokhoz szükséges eszközöket is biztosítsák. A third party cookie-kal a cross site megoldásokat is kivezetik, hogy a felhasználónak teljes kontrollja legyen saját adatai felett, amelyeket aztán a böngészőben fognak tárolni.
Persze, nem egyedül fejleszti mindezt a Google, hanem számos iparági szereplő bevonásával. A fejlesztések még javában zajlanak, és bár jövő nyáron mindenki számára megnyitják a Privacy Sandboxot, mellette párhuzamosan még mindig használhatók maradnak a third party cookie-k egy évig.
Még fejlesztés alatt álló, Privacy Sandboxon belüli termékek:
- Topics Api: az érdeklődés alapú targetálásért felel majd. Lényege, hogy amikor egy user meglátogat egy weboldalt, pl. olvas valamit sport témában, akkor őt beteszik a fitness kategóriába. Minél több témában olvas tartalmat, annál több kategóriába kerül. A felhasználó a róla gyűjtött adatokat a böngészőjében megnézheti, a kategóriákat pedig módosíthatja vagy akár törölheti is. Ezek az adatok titkosítva kerülnek majd át más szereplőkhöz.
- Fledge: a retargetálásért felel, amely során a DSP (Demand Side Platform, hirdető oldali technológia) ad jelzést a böngészőnek, hogy milyen adatokra van szüksége az adott kampány sikeréhez. A felhasználó adatai a böngészőjében tárolódnak és maga a licitálási folyamat is ott zajlik: amikor egy hirdetést kihelyeznek az adott weboldalra, a DSP ezeket a felhasználói adatokat fogja átvenni a böngészőtől. A böngésző tehát egyszerre mindig csak egy külsős partner felé fog adatot továbbítani anonimizálva.
- Attribution: ez felel majd azért, hogy egy kampányból mérési adatokat lehessen szerezni. A DSP itt is az egyes szereplők különböző kampányaihoz kapcsolódó adatait fogja lekérni a böngészőből.
Na, de mi a helyzet a többi böngészővel?
Mert bár elég valószínű, hogy a Google-nek lesz egy jól működő megoldása, de szinte biztos, hogy ez csak a Chrome-ban fog működni. Vagyis olyan megoldások kellenek, amelyek más keresőkben is jól használhatók. Csingár Zoltán szerint ezek lehetnek a különböző ID-alapú megoldások, amelyből jelenleg 80-nál is több létezik a globális piacon, és mind különböző. „Van, amelyik az ember, más az eszköz alapján azonosítja be a felhasználót; van, ahol determinisztikus adatokból, máshol probabilisztikus módszerrel teszik ezt, és persze van olyan, amely mindennek az ötvözete. A közös elvárás ezen ID-alapú megoldásokkal kapcsolatban, hogy legyenek egyszerűen aktivizálhatók és skálázhatók, költséghatékonyan, lokálisan és globálisan is lehessen használni őket, és feleljenek meg minden jogi követelménynek”.
Vannak olyan ID-alapú megoldások, amelyeknél a felhasználót konkrét személyes adat alapján azonosítják be. Ilyen pl. az amerikai Trade Desk technológiai cég Unified ID 2.0 verziója – ami mögé szintén sok piaci szereplő beállt már –, és amely az azonosításhoz a felhasználó email-címét vagy telefonszámát kéri el. Ez csak egyszeri bejelentkezést igényel és a felhasználó részéről hozzájárulást kér. A személyes adatából hoznak létre egy anonim azonosítót, amelyet tokenné alakítanak, és végül ezt osztják meg a különböző szereplőkkel. Ha ez a megoldás elterjed, könnyen elképzelhető, hogy a jövőben kiadói oldalon a cikkek olvasását az emailcímek megadásához fogják kötni. Persze nagy kérdés, hányan akarnak majd beregisztrálni egy oldalra azért, hogy elolvassanak egy cikket. És itt most nem az általunk rendszeresen követett, kedvenc híroldalunkra kell gondolni.
Aztán ott van még példaként az Adform ID Fusion megoldása is, amely már a kiadó oldali first party adatokkal dolgozik, és amely kapcsán Csingár Zoltán érdekességként említette, hogy amíg sok országban ma már jóval több hirdetési bevétel származik a first party adatra épülő megoldásokból, addig a hazai piacnak mindössze 40-50 százalékát lehet first party ID-val elérni. A nagyobb piaci szereplők jelentős része azonban még csak nem is szolgáltat ilyen adatot hirdetési kampányokhoz.
Mindemellett olyan ID-alapú megoldások is léteznek, amelyek first party cookie-k helyett bizonyos technikai adatokat vesznek alapul. Ezek az ún. probabilisztikus megoldások, amelyek legtöbbször a licitálási folyamat során megkapott technikai információk, mint például az eszköz adatai, idő és nyelvi beállításai, a használt böngésző típusa, valamint IP-címe alapján azonosítják be a felhasználót. Nem tökéletes megoldás, hívja fel a figyelmet a szakember, mert egyrészt csak 95-98 százalékos pontossággal képes beazonosítani a usert, másrészt már súrolja a fingerprinting megoldásokat, amelyek adatvédelmi szempontból erősen vitathatók.
Megoldási lehetőségek tehát vannak és még lesznek is, ezért a kérdés inkább az, hogy melyik lesz széles körben, akár minden böngészőben használható. A piaci szereplőknek tehát kitartóan kell figyelni a piacot, hogy a különböző technológiai szereplők milyen megoldásokat hoznak, a jelenlegieket pedig érdemes tesztelni.
First party adatok, e-Kréta, DMP
Hogy hirdetői és kiadói oldalon még jobban kell fókuszálni a first party adatokra, abban a workshop következő előadását tartó Szutor Ferenc, a DMP rendszerrel adatvezérelt hirdetéseket készítő DataMe Kft. ügyvezető igazgatója is egyetértett, aki az adatkezelésről és a first party adatokban rejlő lehetőségekről beszélt.
„Jelenleg bármilyen jellegű adatot gyűjtünk, a GDPR-t be kell tartani, előzetesen tájékoztatni kell a felhasználót arról, hogy ki, milyen adatot milyen céllal gyűjt róla, és azt mennyi ideig őrzi; az adatai gyűjtéséhez az előzetes engedélyt is meg kell kérni tőle, hozzáférést és jogot kell adni neki adatai törléshez és módosításához. Aztán ha bármilyen adatvédelmi incidens felmerül – lásd Kréta szoftver –, akkor minden felhasználót értesíteni kell az esetleges adatszivárgásról, fel kell hívni figyelmét a jelszóváltoztatásra, és arra, hogy illetéktelenek megpróbálhatnak visszaélni az adataival – sorolta Szutor Ferenc az adatkezeléssel kapcsolatos teendőket, majd hozzátette, a first party adatok felhasználása kapcsán a piaci szereplőknek a jövőben egyaránt kell figyelni a jogi környezetre, a szükséges technológiai háttér kiépítésére és a piaci konszenzusra törekvésre.
A technikai háttér kapcsán itt került szóba a DMP (Data Management Platform) és a Private DMP rendszere, amelyek közül utóbbi abban különbözik, hogy csak egy adott partnerrel, megrendelővel működik együtt, az adatok tulajdonjoga pedig nála is marad, vagyis nem kerül külső kézbe, hirdetőkhöz. „Az adatfeldolgozást végző szolgáltató tehát csak first party adatokat gyűjt first party cookie technológiával, amit nem érint a fentebb részletesen vázolt armageddon” – fogalmazott a szakember, majd hozzátette, mindkét típusú DMP a partner weboldalán helyez el különböző kódokat, amelyekkel követni tudják a felhasználók viselkedését és mozgását az oldal tartalmain belül.
A first party adatok használatának előnye kapcsán Szutor Ferenc arra a hazai jelenségre is utalt, amely egy-egy nagyobb online hírportál esetében már jól látható. „Mivel a first party cookie-k egy adott domainen működnek, ezért az utóbbi időben a nagyobb hírportálok a különböző kisebb lapjaiknak weboldalait bepakolták egy domain alá, még akkor is, ha teljesen más azoknak az arculata. És pontosan azért, mert a first party adatokat így lehet igazán hatékonyan használni és átjárhatóságot biztosítani az egyes weboldalak között. A DMP ezeket az adatokat gyűjti, profilozza, tisztítja – megnézi, hogy az tényleg valódi usertől származik -, majd a céloknak megfelelően szegmentálja. Ha mindez megtörtént, az adatokat különböző hirdetéskiszolgáló rendszerekben aktiválja, így az adott weboldal olyan adatalapú csomagokat tud képezni, amelyeket a teljes oldalon fel tud használni a célzáshoz.”
Persze nemcsak a technológia a fontos – hangsúlyozza a szakember, utalva arra, hogy ebben a folyamatban a tanácsadás is kiemelt szerephez jut. Mert a szolgáltatást nyújtó feladata az is, hogy segítse eligazítani a weboldal tulajdonosát a felmerülő technológiai, jogi és üzleti kérdésekben, és abban, hogy megfelelő partnereket ajánljon ahhoz, hogy ezekre a kérdésekre a legmegfelelőbb válaszokat is megkaphassa.
Megint az a méret!
Mert önmagában az adatok gyűjtése és az adatbázis kialakítása nem elég, ha nem áll mögötte piaci konszenzus. „Nem véletlen, hogy az olyan nemzetközi szolgáltatók, mint a Google vagy a Facebook jól működnek az adatalapú csomagokkal. De ha például minden hazai weboldal elkészítené a saját adatbázisát, abból különböző taxonómiák, különböző szabályrendszerek mentén kialakulna több száz, sajátos adatbázis, és ha jön egy hirdető egy adott célcsoportra vonatkozó kívánsággal, akkor elkezdődik a dilemma, hogy a célcsoportját milyen siteon, milyen szegmensekben lenne jó elérni. És ennek mi a vége? Hogy inkább Facebookon hirdet, ahol két kattintással bárkit elérhet. Na, ez a probléma.”
Erre a problémára csatlakozva az IAB még 2020-ban kidolgozott egy Audience Taxonomy tanulmányt, amelyben három pillér mentén fekteti le azon szabályokat, hogyan lehetne képezni demográfiai, vásárlási és érdeklődés alapú szegmenseket. „Közel 1700 ilyen szegmenst hozott létre, ami önmagában nagyon jó, de ha azt mondjuk egy tartalomszolgáltatónak, hogy ennyi szegmenst kellene kialakítani a weboldalán, akkor a humánerőforrása és az erre fordítandó összeg gyakorlatilag a végtelenbe mutatna. Ezért kell kialakítanunk egy olyan egységes hazai szegmensrendszert, amely anyagi és humánerőforrás szempontjából is megfelelő ahhoz, hogy az egyes szolgáltatók a hazai piacon ezt kiépíthessék.”
Ehhez azonban a hirdetőknek, az ügynökségeknek és a szolgáltatóknak is egységes álláspontra kell jutni abban, hogyan képezzék ezeket a szegmenseket. Vagyis egy egységes piaci tudásra van szükség ahhoz, hogy meghatározzák, milyen szabályok mentén kerülnek be ezen szegmensekbe az egyes felhasználók. „Mert ha az egységes piaci konszenzus megvan, akkor a hirdető, amely egy új termékére vagy szolgáltatására szeretné megtalálni saját célcsoportját, akkor azt bármilyen weboldalon egyszerűen, könnyen megteheti majd a jövőben” – összegezte előadását Szutor Ferenc.
DMA, DSA: sok a kérdőjel
A workshopot Dr. Simon Ádám, a Bird & Bird nemzetközi ügyvédi iroda szenior ügyvédje zárta, aki előadásában a fentebb már többször emlegetett, reklámipart érintő új EU-s jogszabályokról, a DSA-ról és DMA-ról beszélt, amely mivel az Európai Unió digitális stratégiájának része, ezeket hazánkban is alkalmazni kell. A két új jogszabály mostanra véglegesedett szövegének értelmezése és a következtében várható változások mellett két fontos dátumra is felhívta a figyelmet.
- A digitális piacokról szóló rendelet (DMA, Digital Markets Act) a nagy technológiai platformokat (keresőfelületek, közösségi média szolgáltatók, online közvetítő szolgáltatók), vagyis az Európai Bizottság által, piaci vizsgálatot követően meghatározott “kapuőröket” szabályozza majd. A célja, hogy tisztességesebbé és nyitottabbá tegye a versenyt a digitális iparágban és védje a fogyasztók jogait. A DMA rendelkezéseit 2023. május 1-től kell alkalmazni.
- A digitális szolgáltatásokról szóló rendelet (DSA, Digital Services Act) fő célja pedig, hogy egyenlő feltételeket biztosítson a digitális piaci iparágban működő vállalatok számára, de nagyobb hangsúlyt fektet a fogyasztók és jogaik védelmére azáltal, hogy biztosítja az átláthatóságot, megvédi a felhasználókat az illegális tartalmaktól, és szabályozza az online platformok felelősségét. A rendeletet 2024. február 17-től kell alkalmazni.
Hogy ezeket a gyakorlatban hogyan fogjuk használni és mindez milyen következményekkel jár, az még mindenki számára kérdéses, de fontos, hogy már most elkezdjünk velük ismerkedni – hívta fel a figyelmet Dr. Simon Ádám, majd hozzátette, a fentebb említett kapuőröket még nem jelölte ki az EU Bizottsága, így aztán pontosan nem tudni, hogy a DMA-val kiket akarnak majd megregulázni, de a legesélyesebb szereplőnek a Meta, a Google, az Apple, az Amazon és a Microsoft tűnik. A szakember hat témáról is beszélt, amelyekben a DMA hatással lehet a reklámtechnológiai (AdTech) szolgáltatások piacára, ezek a következők:
- A hirdetők és kiadók ellenőrizhetik a kapuőr felületein megjelent hirdetéseiket, amelyre a jövőben sokkal több és részletesebb szabályok vonatkoznak majd.
- A felhasználók törölhetik a platform alapvető szolgáltatásait, vagyis ha pl. az Apple kapuőr lesz, akkor az AppStore-t egy felhasználó bármikor letörölheti majd iPhone-járól.
- A transzparenciára vonatkozó kötelezettségek kiemelten fontossá válnak a hirdetési szolgáltatások szempontjából.
- A végfelhasználók nyomon követéséhez a kapuőröknek mindenképp szüksége lesz a felhasználók hozzájárulására.
- Egy platformszolgáltató a saját szolgáltatásait nem sorolhatja előrébb, pl. ha az Amazon kapuőr lesz, nem jelenhetnek majd meg termékei egy kereső találati listájában előrébb sorolva, mint a többi forgalmazóé.
- Szolgáltatásaik kapcsán átjárhatóságra kötelezik a kapuőröket, amely azt jelenti, hogyha az Apple-t és a Facebookot is kapuőrré nyilvánítják, akkor előbbinek az iMessage, utóbbinak a WhatsApp üzenetküldő programját kell átjárhatóvá, a másikkal összeköthetővé alakítania.
Ezek a megkötések várhatóan a kapuőrök pozícióját gyengítik majd, de közvetlen hatással lesznek a hirdetésekre is, amelyeket a DMA külön szabályoz. „A kapuőröket arra kötelezik, hogy beszámoljanak a hirdetőknek és kiadóknak arról, hogy a felületein megjelenített hirdetésekért mennyit fizettek, a díjazást részletesen le kell bontaniuk elemeire, és azokat a mérőszámokat is közzé kell tenniük, amelyek alapján az egyes árakat, díjakat és díjazásokat kiszámították. És a hirdetők, hirdetés-közzétevők kérésére ezen mérőszámokhoz és adatokhoz való hozzáférést a transzparencia értelmében díjmentesen kell a kapuőröknek biztosítania, akár napi rendszerességgel.”
Mindez egyben azt is jelenti az ügynökségek számára, hogy a Google-n és Facebookon megjelenített hirdetéseikről – amelyek kapcsán eddig csak körülbelüli számokat láthattak arról, hogy hány emberhez jutottak el és hányan kattintottak rájuk – az új szabály értelmében harmadik feles eszközök segítségével már valódi, pontos, auditált számokat fognak kapni.
De a kapuőrök transzparencia kötelezettségéhez tartozik az is, hogy az üzleti felhasználóik és privát felhasználóik által megadott adatokat elérhetővé kell tenni számukra, ami egyben itt is azt jelenti, hogy harmadik feles eszközökkel más cégek rá fognak tudni csatlakozni ezekre a platformokra, és olyan termékeket tudnak majd gyártani, amelyekben ezeket az adatokat akár hirdetési kontextusban is felhasználhatják.
DSA: szűkebb kötelezettséget tartalmaz, de sokkal tágabb körre
Ahogy Simon Ádám fogalmazott, a DSA (digitális szolgáltatásokról szóló rendelet) nehéz szülés volt, mert amíg az EU a fogyasztók jogainak védelmével érvelt, a másik oldal azzal, hogy az új szabályok bonyolultak, ellehetetlenítik az innovációt és növelik az adminisztrációs terhet. A rendelet végső szövegezése mostanra lezárult, és bár az minden méretű vállalkozásra kiterjed, a kis- és középvállalkozások épp az előbb említett problémák miatt sok esetben kivételt jelentenek a szabály alól. Összességében a viták eredménye az lett, hogy lépcsőzetes szabályozást vezetnek be: a legnagyobb keresőmotorokra, legnagyobb online platformokra külön szabályok vonatkoznak majd, az összes többi, kisebb méretű online platformra, a hosting- és közvetítő szolgáltatókra pedig inkább általános, kevésbé súlyos kötelezettségek lesznek érvényesek. Egy biztos, a DSA nagyon sok szabályt tartalmaz, és alaposan átrajzolja az online világról eddig ismert képet.
- Tilos lesz például a kiskorúak profilozása, célzása, ezért paradoxon módon, a jövőben úgy kell „nem profilozni” őket a neten, hogy közben nem deríthető ki a pontos életkoruk. Vagyis mindig a platformnak kell megbizonyosodnia arról, hogy ha kiskorú néz egy adott oldalt, akkor tényleg nem juttat el hozzájuk célzott hirdetést. Ebben a témában a DSA és a GDPR rendelkezéseit együtt kell majd értelmezni.
- A különleges adatokat kizárják a profilozásból, vagyis minden olyan folyamatból, amelyek a hirdetések célba juttatásához szükségesek. Ezt már egyébként az IAB TCF-szabályozása is így kezeli. Ide tartozik a politikai hovatartozás kérdése (és ennek értelmében a politikai hirdetések célzása teljesen ellehetetlenül), de ilyen a szexuális orientáció, az etnikai hovatartozás és az egészségügyi állapot is. Külön érdekesség, hogy a pénzügyi adatok nem számítanak majd különleges adatnak.
- A hirdetéseket címkézni kell, vagyis bizonyos információknak valós időben kell megjelenni rajtuk (ezekről ebben a pdf-ben lehet olvasni). A legnagyobb online platformoknak hirdetéstárakat is ki kell alakítani, vagyis adatbázist kell létrehozniuk arról, hogy milyen hirdetések léteznek az adott platformon (ezekről bővebben itt lehet olvasni)
- A két éve, az adatvédelemmel kapcsolatban elterjedt sötét megoldásokat betiltják, vagyis nem lehet majd a felhasználókat arra ösztönözni, hogy hozzájáruljanak a reklámozáshoz, és ahhoz, hogy kövessék őket hosszú időn keresztül, illetve nem lehet megnehezíteni a felhasználó szolgáltatásról való leiratkozását sem. Ezt a kérdés a DSA és a DMA is szabályozza.
Összességében azonban nemcsak a két új törvény szabályozása részletesebb, de megszegésüket is jóval magasabb szankciókkal díjazzák, mint ahogy korábban a GDPR tette. Mert például ilyen esetekben a DMA szerint egy kapuőr világ méretű forgalmának akár 10%-ával, a DSA szerint a vállalat világ méretű forgalmának 6%-ával fizethet, de az EU-ban letelepedett cégeket akár üzleti tevékenységüktől is eltilthatják – zárta előadását Dr. Simon Ádám.
A prezentációkat pdf-formátumban IAB-tagjaink a Dokumentumtárunkban találják:
- Csingár Zoltán: Hol tart most a 3rd party cookie gate, és mi várható?
- Szutor Ferenc: A first party adatokban rejlő lehetőségek
- Dr. Simon Ádám: A reklámipart érintő új EU-s jogszabályok: a DSA és DMA
Fotók: Polyák Attila
