Hátraarcok sorozata jellemzi a Google harmadik feles sütik kivezetésére irányuló útját, legutóbb júliusban olvashattunk arról, hogy a 2018-ban elkezdett, és tervezetten 2024 végére befejeződő folyamat mégsem megy végbe: a techóriás úgy döntött, hogy a piaci, hirdetői nyomásnak enged, és nem vezeti ki teljesen a mára adatvédelmi szempontból erősen megkérdőjelezhető, harmadik féltől származó cookie-kat a Chrome böngészőből. Arról, hogy miért beszélünk egyáltalán a hirdetőket egyébként meglehetősen hátrányosan érintő cookie-felszámolásról, mi is írtunk februárban, röviden a lényeg: a GDPR bevezetésével, a piaci környezet és a fogyasztói igények átalakulásával visszássá vált a Google azon gyakorlata, miszerint a user minden létező mozdulatát lekövetik az interneten, majd az összegyűlt adatokból a hirdetők célzott kampányokat építenek. 

A megváltozott környezetre válaszul a Google még évekkel ezelőtt bejelentette: véget kíván vetni ennek a gyakorlatnak, és felszámolja a harmadik féltől származó sütiket a böngészőjéből. A hirdetők és reklámosok számára ez azért problémás, mert rengeteg olyan értékes adattól esnek el, melyek segítségével eddig pontosan meg tudták célozni az elérendő fogyasztói csoportokat.

Az ígérgetés tehát évek óta megy, a reklámipari szereplők pedig eltérő módszerekkel és sebességgel, de felkészültek a cookie utáni világra. 

A fentebb említett cikkünkben piaci szereplőket is megkérdeztünk, akik elmondták: a megoldás a zero és first party adatok lehetnek, amikhez hozzá lehet jutni, csak más irányból kell közelíteni, ez pedig adaptációt igényel.

A július végi hírre alapozva joggal vakarja a fejét bármelyik ügynökség analitikával, adatokkal dolgozó csapata, ugyanis egy hosszú, adott esetben költségekkel is járó felkészülés után a techóriás mégis visszavonulót fúj. Hogy kell ebben a környezetben viselkedni? Hogyan juthatunk hozzá legálisan a számunkra szükséges adatokhoz? Milyen jogi környezetben tehetjük ezt meg? Az IAB Hungary adatworkshopján többek közt ezen kérdésekben kaphattunk iránymutatást.

Vissza a jövőbe

A workshop első előadásában Szutor Ferenc, a DataMe Kft. ügyvezető igazgatója, az IAB Hungary Adat Munkacsoport vezetője röviden felvázolta, hogyan is jutottunk ide: az utóbbi tíz évben a többnyire szabályozatlan környezetben egyre több és több sütit alkalmaztak a hirdetők a célzáshoz. Egy 2014-es adat szerint egy átlagfelhasználóról tíz cookie gyűjtött adatokat, Szutor szerint ez a szám manapság nagyjából száz körül lehet, ami viszont már óriási aggályokat vet fel személyes adatvédelmi szempontból. Ezt a piac és a fogyasztó is észrevette, emiatt is döntött úgy a Google 2018-ban, hogy közbelép. De miért is beszélünk csak a Google-ről? A válasz egyszerű: a hazai böngészőpiac 76 százalékát ugyanis a Chrome adja (globális szinten ez 65 százalék körül alakul), tehát lényegében monopóliumot élveznek.

A szakember szerint cookie-felszámolás ide vagy oda, a harmadik feles sütik jelentősége folyamatosan csökkenőben van, és nem szabad a techóriásokra számítani a pontos iránymutatásban. A Google egyébként maga is folyamatosan dolgozik alternatív adatgyűjtési megoldásokon, ennek egyik eszköze az a Privacy Sandbox lehet, aminek hátulütőiről még márciusban írtunk a Kreatívon: több szakmai szervezet, köztük a brit Gazdasági Versenyhivatal (CMA) és az IAB is úgy tartja, a Google a saját kezére játszik az eszközzel. 

A jó adatstratégia 2025-ben tehát nem alapulhat a harmadik feles sütiken, más irányt kell vennie a hirdetőknek. 

Szutor szerint a megoldás a zero és a first party adatok: azok az információk, amiket közvetlen interakciókból gyűjt össze az adott cég. Ennek a megközelítésnek az a lényege, hogy a felhasználó önként és örömmel járuljon hozzá a személyes adatainak jövőbeli felhasználásához, akár adatbázisban is. 

Hogyan lehet begyűjteni ezeket az adatokat? Trubek Péter, a Perform Media alapítója, ügyvezető igazgatója, az IAB Adat Munkacsoport tagja szerint erre alkalmas felület lehet a saját cégünk weboldala, egy microsite, egy landing oldal, de alkalmas lehet a közösségi média is, egy offline rendezvény vagy egy online form/kérdőív is. A lényeg az, hogy a folyamat átláthatóan, legálisan és a felhasználó beleegyezésével történjen. A zero és a first party adatok előnye szerinte az, hogy a viselkedés alapú adatoknál jóval pontosabbak, és hogy a beszerzésük útja személyre szabható, hiszen az automatikus sütikkel ellentétben mi magunk kérdezhetünk rá dolgokra.

A hirdetők előtt két út áll, ha hozzá szeretnének jutni a kívánt zero és first party adatokhoz: saját adatbázist építenek, vagy harmadik féltől vásárolnak adatokat. Mindkettőnek van előnye és hátránya is, az utóbbi előnye, hogy nem a szóban forgó ügynökség vagy cég marketinges csapatát terheli a feladat, azonban hátránya, hogy a márka - amivel vagy aminek dolgozunk - korlátozottan tud csak megjelenni ezekben a gyűjtésekben, illetve rendre alacsonyabb a fogyasztói elköteleződés. Ha egy hirdető ezen szempontok figyelembevétele után vásárlásra adja a fejét, akkor az is előny lehet, hogy sok esetben olcsóbban jön ki, hiszen az adatbázisok árazása leadenként történik, mivel egy promóciós vagy nyereményjátékkal egybefűzött kérdőíves adatgyűjtés eredményeit több cég is fel tudja használni.

A workshop harmadik előadását Szabó Balázs, a HD Marketing PPC és Analitikai Divíziójának vezetője, az IAB Analitika Munkacsoport tagja tartotta, aki a CDP-k, tehát a Customer Data Platformok fontosságára hívta fel a figyelmet. Ezek a rendszerek arra valók, hogy a cégünk által gyűjtött vagy vásárolt zero és first party adatokat átláthatóan integrálja a kampányokba. Tapasztalatai szerint a CDP-k iránt 2022-ben kezdtek el érdeklődni komolyabban a cégek, viszont a júliusi hírek hallatán ez az érdeklődés valamelyest visszaesett, pedig nem kellene, hogy így legyen: a szakember szerint az első féltől származó adatok aranybányát jelentenek a marketingesek számára, csak el kell jutni arra a pontra, ahol ezeket az adatokat hatékonyan tudják alkalmazni. 

Amikor CDP-t választ egy cég, ügynökség, hirdető, akkor több szempontot is figyelembe kell vennie: fontos, hogy a rendszer:

• skálázható legyen,
• integrálható legyen a legnépszerűbb platformokba,
• személyre szabott ügyfélélményt nyújtson,
• támogassa a több csatornás marketinget,
• valós időben dolgozza fel az adatokat,
• és hogy adatvizualizációs képességekkel is rendelkezzen,
• teljes folyamatában értse a felhasználó viselkedését.

Az analitikai szakember a jelenlévőket is megkérdezte arról, hogy kik használnak közülük CDP-t, azonban senki nem emelte fel a kezét, ezért példákat hozott a jól használható, hatékony CDP-rendszerekre: jó eszköz lehet a Piwik (tag managert és consent managert is tartalmaz), a Hightouch (rengeteg más platformmal össze lehet kötni, szinkronizálható), illetve a Lytics is (olcsóbb alternatíva).

Ha nem figyelünk, nem lesz termés

Deli Norbert, a HD Markering alapítója, tulajdonosa és szakmai vezetője, az IAB Analitika Munkacsoport vezetője a workshop negyedik előadásában egy picit más irányba vitte a közös gondolkodást a személyes adatkezelésről, ugyanis a marketingesek által megugrandó, egyre bonyolultabb feladatot egy almafa gondozásához hasonlította. 

Az analógia lényege abban állt, hogy az adatkezelésnek vannak olyan elemei, amelyek adottak: mint például egy weboldal, ami adatot gyűjt. Mások viszont egyszerűen a piaci környezet változásával átalakulnak, eltűnnek, irrelevánssá válnak: ilyenek például a harmadik féltől származó sütik is. 

Egy almafa esetében nagyjából ugyanez mondható el, hiszen vannak alapszükségletek: évi 1200-1300 óra napsütés, mininum 750 köbméter víz és a vegyszerezés. A szakember szerint azok az adottságok, amelyek eddig biztosították a bő termést, a klímaváltozás miatt átalakulnak, eltűnnek, és az a gazda, aki nem lép közbe, elvesztheti az almáit. Az a marketinges, aki nem lép közbe az adatkezelés megváltozó folyamatába, szintén termés nélkül marad, hiszen nem lesznek adatai, amivel sikeresen elérheti a célközönségét. Ezért a jelenlegi „klímában" Deli is a zero és first party sütik felhalmozását, gondozását javasolja. 

Hogy ehhez mi szükséges? Szükséges, hogy a gazda – ha jó, előrelátó gazda szeretne lenni – gondoljon a megfelelő tápanyag-utánpótlásra. Tápanyagot jelent az adatkezelés világában jelenleg a CMP-rendszerek alkalmazása és az, ha a meglévő, bekért adatainkat legalább és minimum egy sheetben vagy Big Query-ben rendszerezzük. Végül pedig: figyeljük a trendeket, követjük az időjárást, és a jogi környezet változásait sem szabad figyelmen kívül hagyni.

Jogszabály jogszabály hátán

A workshopot dr. Kapi Anikó ügyvéd, a Kapi Legal alapítója, az IAB Hungary Influenszer Munkacsoport vezetője és az Adat Munkacsoport tagja zárta, aki bemutatta a közönségnek azt az EU-s jogszabálycsomagot, rendelettervezetet, ami adott esetben kihívást is jelenthet az adatpiaci szereplők számára. Összesen hat jogszabállyal ismerkedhettünk meg az előadásban: szó esett az e-Privacy Rendelettervezetről, a Digital Markets Actről (DMA), a Digital Services Actről (DSA), a Digital Governance Actről (DGA), a Data Actről, és az AI Actről is. Ezek mindegyike azt szolgálja, hogy a 2018 óta rohamosan megváltozó adatkezelési piaci tendenciákra reagálva az Európai Unió jogászai iránymutatást adjanak a szereplőknek. Természetesen ezeknek a jogszabályoknak van felkészülési ideje, például az AI Act hiába lépett hatályba augusztus elsején, csak jövő év februárjától lesz szakaszosan közvetlenül alkalmazandó.

Az EU reagálási képességeiről az árulkodik a legjobban, hogy a legkorábbi, sütiket is érintő rendelettervezet (e-Privacy) már 2018 óta kellene, hogy éljen, de ezt a mai napig nem fogadták el, itt ugyanis még nem született meg a szakmai egyetértés a piaci szakértők között. 

Azonban vannak dolgok, amik hosszú évek alatt sem változnak: például a Google és a Meta szerepe a globális adatkezelési piacon. Ők hat éve is gigavállalatok voltak, azzal a különbséggel, hogy akkoriban még jóval kevesebb jogszabálynak kellett eleget tenniük. 

Ez azonban a Digital Markets Acttel (DMA) megváltozott: a jogszabályok szerint ún. „kapuőröknek" lettek nyilvánítva, amely címszó rengeteg szabályozási kötelezettséggel jár, nem beszélve a jogsértések utáni bírságokról, amelyekről a Kreatívon is szokunk írni.

Ami változott az elmúlt években ezen jogszabályok segítségével, az az, hogy a felhasználó jóval értékesebb döntési lehetőségeket kapott különösen az adatai kezelése szempontjából, és ezt mindenki tapasztalhatja, aki szörföl az interneten: az összes oldal felteszi ugyanis a kardinális kérdést: hozzájárulsz-e az adataid felhasználásához, vagy nem? Az persze más kérdés, hogy a nemleges válasz esetén milyen user experience-t nyújtanak egyes oldalak, de ez egy másik téma. Erre a user-szabadságra alapul lényegében az európai uniós digitális jogszabálycsomag, a cél pedig a biztonságosabb, tisztességes versenyt és a felhasználók alapvető jogainak online térben történő védelmét biztosító digitális tér létrehozása.

Ebben nyújt további segítséget a DSA (Digital Services Act), hiszen szabályozza a közvetítőként működő szolgáltatókat, akiknek letelepedési helyüktől függetlenül kell követniük a szabályokat, amelyek alapvetően az átláthatóságra és a profilozási tilalmakra épülnek (pl. 18 év alattiakat nem lehet személyre szólóan hirdetésekkel célozni). Fontos előrelépés az az AI Act is, ami a világon először foglalja jogszabályi keretekbe a mesterséges intelligenciát mint olyat. 

Az AI Act alapvetően nem adatvédelmi fókuszú jogszabály, de helyenként adatvédelmi aspektusokat is érint és az biztos, hogy a GDPR-ral összhangban kell értelmezni és alkalmazni. A rendelet 180 preambulumbekezdésből – ún. bevezető részből – áll, ami szokatlanul hosszú bevezetés egy jogszabálynál, de ezek a rendelkezések adnak igazán magyarázatot a rendelet céljának, alkalmazásának és a szellemiségének a megértéséhez. 

Ami az AI Act hatalmas hozadéka, hogy kockázatarányosan különbségeket tesz AI kategóriák között és a hozzájuk kapcsolódó kötelezettségek között.

Mégis hogyan lehet egy ilyen rendszerezésnek nekifutni?

Az EU-s jogászok igyekeztek az AI Act megalkotása során időtálló kategóriákat létrehozni. Hogy ez mennyire sikerült, azt majd az idő múlása és a piac alakulása megítéli, mindenesetre találkozhatunk a jogszabályban: „tiltott AI megoldásokkal” „nagy kockázatú rendszerekkel", „korlátozott kockázatú rendszerekkel", „minimális kockázatú rendszerekkel” és „általános célú AI-rendszerekkel (GPAI modellek)” is. Ezek a kategóriák a szakember elmondása szerint lényegében az előírt kötelezettségek és a bírságolhatóság mértékét szabályozzák, például a minimális kockázatú AI-rendszerekre nem is szabnak meg jogszabályi előírást. Ami negatívumot jelenthet, hogy az AI Act sem szűkölködik adminisztrációs előírásokban, csak úgy mint ahogy már a GDPR-nál megtapasztalhattuk. Ha viszont nem tartják be a cégek az AI Act hatályba lépése után a jogszabályokat, akkor akár a tilalmak be nem tartása miatt egy csinos, 35 millió eurós bírságot kaphatnak a nyakukba. 

Kapi Anikó azt is elmondta, hogy itthon egyébként találkozhattunk már hasonló, AI miatt kirótt bírsággal, ugyanis 2022 februárjában a Budapest Bank a NAIH-tól (Nemzeti Adatvédelmi és Információszabadság Hatóság) 250 milliós bírságot kapott a mesterséges intelligencia jogszerűtlen használatáért: a call centerekben az AI segítségével elemezték a felhívott emberek hangját, hogy kiderítsék, kikre érdemes egyáltalán időt áldozni. A szakember szerint ez az eset is jól mutatja, hogy a cégeknek abszolút nem érdemes a fű alatt ilyen megoldásokat alkalmazni, ugyanis az egyre szigorodó jogszabályi környezet egyre komolyabb bírságokat vonhat maga után.

Borítókép: IAB Hungary Adatworkshop szeptember 25-én / Fotó: Koncz Márton, IAB Hungary