Guida · Regolamento europeo

DMA: perché Google ha iniziato a richiedere Consent Mode v2

Il Digital Markets Act (DMA) è una regola europea per le grandi piattaforme, come Google. Non parla direttamente al tuo sito, ma ha cambiato il modo in cui Google riceve il consenso dei visitatori europei. Questa guida spiega cos'è il DMA, cosa richiede a Google e cosa cambia per editori e inserzionisti.

Fai l'audit del mio sito ora Leggi la guida

✓Basato sul sito ufficiale del DMA della Commissione europea
✓Spiega il legame con i segnali ad_user_data e ad_personalization
✓Lettura del sito senza modificare nulla

7aziende designate come gatekeeper dalla Commissione europea

8servizi di Alphabet, proprietaria di Google, nell'elenco del DMA

10%del fatturato mondiale, tetto delle multe, o 20% in caso di recidiva

2024anno in cui i gatekeeper hanno iniziato a rispettare tutti gli obblighi

Che cos'è

Una legge per le grandi piattaforme digitali

Il Digital Markets Act (DMA) è il Regolamento (UE) 2022/1925. È entrato in vigore il 1° novembre 2022 ed è diventato applicabile il 2 maggio 2023.

L'obiettivo è rendere i mercati digitali più equi e aperti. Per questo, il DMA crea un elenco di doveri e divieti per i cosiddetti gatekeeper, o controllori dell'accesso: aziende molto grandi che funzionano da porta d'ingresso tra imprese e consumatori.

Il DMA non sostituisce il GDPR né le regole sulla concorrenza. Aggiunge obblighi a quelli già esistenti. E, a differenza del GDPR, non è rivolto ai siti comuni: a doverlo rispettare sono i gatekeeper.

Ciononostante, l'effetto arriva a qualsiasi sito con annunci di Google. Per rispettare il DMA, Google ha dovuto cambiare il modo in cui riceve e usa il consenso dei visitatori europei, e ha trasferito questo obbligo a editori e inserzionisti.

Checklist

Cosa devi rispettare

Il DMA obbliga i gatekeeper, ma Google trasferisce al tuo sito il dovere di raccogliere e inviare il consenso dei visitatori dello SEE.

Chiedi il consenso anche per Google
La politica sul consenso di Google richiede un consenso valido per i cookie, quando la legge lo prevede, e per l'uso di dati personali negli annunci personalizzati. Questo vale per ogni sito che usa prodotti Google con visitatori dello SEE.
Esempio
Google compare nell'elenco dei partner del banner, con le finalità pubblicitarie.
Invia i quattro segnali di Consent Mode v2
Per continuare a usare misurazione, annunci personalizzati e remarketing con visitatori dello SEE, Google chiede che il sito invii i segnali ad_user_data e ad_personalization, oltre a ad_storage e analytics_storage.
Esempio
Nella CMP, attiva l'integrazione con Consent Mode e controlla che i quattro segnali compaiano.
3
Imposta il valore predefinito prima di qualsiasi tag
Google chiede che il comando predefinito di consenso venga eseguito su tutte le pagine prima di qualsiasi comando che invia dati. Così nulla parte prima della scelta del visitatore.
```
gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'analytics_storage': 'denied'
});
```
Usa una CMP certificata con TCF per gli annunci
Per gli annunci personalizzati di Google nello SEE, nel Regno Unito e in Svizzera, AdSense e Ad Manager richiedono una CMP certificata da Google e integrata con IAB TCF.
Abilita le finalità di cui Google ha bisogno
Nel TCF, Google ha bisogno del consenso per le finalità 1, 3 e 4 per gli annunci personalizzati e per la finalità 1 per quelli non personalizzati. Senza consenso per la finalità 1, il sito non deve chiamare il tag degli annunci di Google.
Esempio
Nella CMP, attiva Google come fornitore e segna le finalità 1, 3 e 4 come disponibili.
Indica il consenso quando invii elenchi di clienti
Da marzo 2024, gli elenchi di clienti dello SEE inviati a Google Ads devono riportare entrambi i consensi come concessi. Senza di essi, quei dati non vengono usati per la personalizzazione.
Conserva i registri e spiega come revocare
La politica di Google chiede che il sito conservi il registro dei consensi e dia istruzioni chiare per ritirare la scelta.
Esempio
Un link fisso nel footer, Preferenze sulla privacy, riapre il banner.

In pratica

Giusto e sbagliato

SbagliatoI tag di Google scattano prima del banner e senza i nuovi segnali.
GiustoI tag di Google partono con i quattro segnali negati e cambiano solo dopo la scelta.
SbagliatoRifiutare richiede di aprire più schermate, mentre accettare richiede un clic.
GiustoIl visitatore può accettare o rifiutare con la stessa facilità.
SbagliatoLa policy non menziona Google né le altre reti pubblicitarie.
GiustoLa privacy policy cita Google e spiega come usa i dati.

Strumenti ufficiali

CMP certificate e link ufficiali

Il DMA non ha un elenco proprio di CMP, quindi valgono l'elenco di CMP certificate di Google e la guida ufficiale di Consent Mode.

Gatekeeper

Chi è stato designato dalla Commissione europea

Sei aziende sono state designate il 6 settembre 2023. Booking è entrata a maggio 2024. In totale, l'elenco ufficiale comprende 23 servizi di piattaforma di base.

Alphabet (Google)

Ricerca, YouTube, Android, Chrome, Google Play, Google Maps, Google Shopping e il servizio di pubblicità online.

Amazon e Apple

Marketplace e pubblicità di Amazon. App Store, iOS, iPadOS e Safari di Apple.

ByteDance, Microsoft e Booking

TikTok, LinkedIn, Windows e la piattaforma di prenotazioni di Booking.

La regola del consenso

Il punto del DMA che incide sugli annunci

Tra le regole del DMA, una riguarda direttamente la pubblicità: il gatekeeper non può trattare dati personali di utenti che arrivano da servizi di terzi per fare pubblicità, né combinare o incrociare dati tra i suoi servizi, senza che l'utente l'abbia scelto e abbia dato il consenso ai sensi del GDPR.

I considerando del regolamento spiegano come deve essere questo consenso. La persona deve poter scegliere liberamente. Non dare il consenso non può essere più difficile che darlo. Revocarlo deve essere facile quanto darlo. E il gatekeeper non può chiedere di nuovo più di una volta all'anno a chi ha già rifiutato.

Chi rifiuta deve anche avere accesso a un'alternativa meno personalizzata, ma equivalente. Il servizio non può essere subordinato al consenso.

Per Google, questo significa: quando i dati di un visitatore arrivano tramite i tag installati su siti e app di terzi, come quelli di Google Ads, Analytics, AdSense e Ad Manager, Google deve sapere se quel visitatore europeo ha dato il consenso. È qui che entrano i nuovi segnali di Consent Mode.

Cronologia

Dal regolamento ai nuovi segnali di Google

Le date che spiegano perché il 2024 è stato l'anno del cambiamento.

1° novembre 2022
Il DMA entra in vigore
Il Regolamento (UE) 2022/1925 esiste ufficialmente.
2 maggio 2023
Il DMA diventa applicabile
Le aziende che raggiungono le soglie hanno due mesi per avvisare la Commissione.
6 settembre 2023
Gatekeeper designati
Alphabet, Amazon, Apple, ByteDance, Meta e Microsoft vengono designati, con fino a sei mesi per rispettare gli obblighi.
Ottobre 2023
Google avvisa gli sviluppatori
Google pubblica modifiche alle API degli annunci a supporto del DMA, con oggetto di consenso per conversioni ed elenchi di clienti.
16 gennaio 2024
CMP certificata per gli editori
AdSense, Ad Manager e AdMob iniziano a richiedere una CMP certificata da Google e integrata con il TCF per gli annunci personalizzati nel SEE e nel Regno Unito.
7 marzo 2024
Gli obblighi del DMA valgono per intero
I gatekeeper devono rispettare tutti gli obblighi. Google rafforza la politica sul consenso dell'UE e gli elenchi di clienti senza consenso iniziano a perdere portata.

Consent Mode v2

I due segnali nati per rispettare il DMA

Prima del 2024, Consent Mode aveva due segnali principali: ad_storage, per i cookie degli annunci, e analytics_storage, per i cookie di misurazione. Dicevano se il browser poteva salvare cookie, ma non dicevano se la persona accettava che i suoi dati fossero usati da Google per la pubblicità.

La versione 2 ha portato due nuovi segnali. ad_user_data indica se i dati del visitatore possono essere inviati a Google per la pubblicità online. ad_personalization indica se la persona accetta annunci personalizzati, come il remarketing.

Con questi segnali, Google può dimostrare di avere il consenso richiesto dal DMA per usare i dati che arrivano dai tag. Senza di essi, Google smette di usare i dati dei visitatori del SEE per creare segmenti di pubblico, fare remarketing e personalizzare gli annunci.

Consent Mode non è un banner. A fare la domanda al visitatore è la CMP. Consent Mode porta solo la risposta fino ai tag di Google.

Cosa cambia per ciascuna parte

Editori e inserzionisti sentono il DMA in modi diversi

Lo stesso visitatore europeo passa per entrambi i lati: per il sito che mostra l'annuncio e per il sito dell'inserzionista che misura la conversione.

Editori (AdSense e Ad Manager)

Il segnale principale per gli annunci è la stringa del TCF inviata da una CMP certificata da Google.

La CMP certificata porta già il consenso a Google tramite il TCF
Chi rifiuta può comunque ricevere annunci non personalizzati o limitati
Consent Mode completa la configurazione quando il sito usa Analytics
Senza CMP certificata, il traffico del SEE perde gli annunci personalizzati
Un banner configurato male fa crollare i ricavi europei
La personalizzazione limitata compare nel pannello di AdSense

Inserzionisti (Google Ads e Analytics)

Il segnale principale è Consent Mode v2, con i quattro parametri.

Con la modalità avanzata, Google modella le conversioni di chi ha rifiutato
Segmenti di pubblico e remarketing continuano per chi ha accettato
Gli upload di conversioni ed elenchi portano con sé il consenso
Senza ad_user_data e ad_personalization, si perdono remarketing e segmenti di pubblico nel SEE
Gli elenchi di clienti senza consenso perdono portata
La misurazione delle conversioni resta incompleta

Controllo

Le sanzioni del DMA, che pesano sui gatekeeper

A far rispettare il DMA è la Commissione europea. Le multe riguardano i gatekeeper, ma la pressione arriva ai partner, che devono inviare i segnali giusti.

Multa fino al 10%

Del fatturato mondiale annuo totale dell'azienda per inadempienza.

Fino al 20% in caso di recidiva

Per violazioni ripetute, il tetto raddoppia.

Multe giornaliere

Pagamenti periodici fino al 5% del fatturato medio giornaliero per imporre il rispetto.

Relazioni di conformità

I gatekeeper consegnano relazioni e una descrizione sottoposta ad audit delle tecniche di profilazione dei consumatori.

Cosa fare

Come preparare il sito al DMA

Usa una CMP certificata da GooglePer gli editori con traffico da SEE, Regno Unito o Svizzera, è il requisito per gli annunci personalizzati. Il Messaggio sulla privacy di AdSense e di Ad Manager è una delle opzioni.
Attiva Consent Mode v2 nella CMPControlla che la CMP invii i quattro segnali: ad_storage, analytics_storage, ad_user_data e ad_personalization.
Definisci il valore predefinito prima dei tagIl comando di consenso predefinito deve stare in cima alla pagina, prima di gtag.js, di Google Tag Manager e del codice degli annunci.
Usa le regioniNega per impostazione predefinita dove la legge richiede il consenso preventivo e mantieni concesso nel resto del mondo, se la legge locale lo permette.
Controlla gli upload di datiSe invii a Google Ads conversioni offline o elenchi di clienti, indica anche il consenso oppure fai la conferma richiesta nell'interfaccia.

Esempio di valore predefinito negato per alcune regioni (l'elenco completo comprende tutti i paesi del SEE, più Regno Unito e Svizzera)

gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied',
  region: ['AT', 'BE', 'DE', 'ES', 'FR', 'IT', 'PT', 'GB', 'CH'],
  wait_for_update: 500
});

Errori comuni

Cosa compare più spesso nei siti dopo il DMA

Tutti questi errori lasciano il banner apparentemente funzionante, ma Google riceve il segnale sbagliato.

Consent Mode v1 ancora nel sito

Il sito invia ad_storage e analytics_storage, ma non ad_user_data e ad_personalization. Per Google, manca il consenso richiesto per gli annunci.

Segnali inviati dopo i tag

La CMP si carica dopo il codice degli annunci. Le prime richieste partono senza alcun segnale di consenso.

Rifiuto che non arriva a Google

Il visitatore rifiuta nel banner, ma l'update non viene inviato. I tag continuano come se nulla fosse cambiato.

Tutto negato in tutto il mondo

Il valore predefinito negato vale per tutti i paesi. I visitatori di Brasile e USA perdono annunci senza necessità.

In ConsentMode

Cosa controlla l'audit su DMA e Consent Mode

Apre il sito come visitatore del SEE e legge i comandi di consenso nel codice della pagina, nell'ordine in cui compaiono.
Controlla che i quattro segnali siano presenti nel valore predefinito e nell'update dopo la scelta.
Identifica la CMP, legge la stringa del TCF e verifica se la CMP è nell'elenco delle certificate di Google.
Confronta la visita europea con quella da fuori Europa per vedere se le regioni sono corrette.
Mostra dove correggere, con screenshot e il percorso nella CMP, in Google Tag Manager o in WordPress.

Avvia un audit Vedi tutto ciò che viene controllato

Domande frequenti sul DMA

Il DMA si applica al mio sito?

Non direttamente. Il DMA è per i gatekeeper, come Alphabet. Ma, per rispettare il DMA, Google richiede a editori e inserzionisti di inviare il consenso dei visitatori europei. In pratica, chi usa prodotti di Google ne sente l'effetto.

Qual è la differenza tra DMA e GDPR?

Il GDPR protegge i dati personali e vale per qualsiasi azienda che tratti dati di persone in Europa. Il DMA regola il comportamento delle grandi piattaforme sul mercato. Il DMA usa la definizione di consenso del GDPR.

Il mio pubblico è solo brasiliano. Mi serve Consent Mode v2?

Per i visitatori del Brasile, Google non lo richiede. Se hai visitatori del SEE, l'obbligo vale per loro. Usa le regioni per non negare il consenso in Brasile.

Consent Mode v2 è la stessa cosa del TCF?

No. Il TCF è lo standard di IAB Europe che le CMP certificate usano per trasmettere il consenso a tutti i partner pubblicitari. Consent Mode è il modo in cui Google riceve la scelta nei propri tag. Una CMP certificata di solito gestisce entrambi.

I nuovi segnali fanno calare i ricavi?

Non di per sé. Ciò che riduce i ricavi è non inviare i segnali, o negare tutto in tutto il mondo. Con i segnali corretti e regioni ben definite, chi accetta continua ad avere annunci personalizzati.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Controlla se il tuo sito invia i segnali che Google si aspetta

L'audit legge i comandi di consenso, la CMP e il TCF come un visitatore europeo e mostra cosa correggere.

Avvia l'audit

DMA: perché Google ha iniziato a richiedere Consent Mode v2

Una legge per le grandi piattaforme digitali

Cosa devi rispettare

Chiedi il consenso anche per Google

Invia i quattro segnali di Consent Mode v2

Imposta il valore predefinito prima di qualsiasi tag

Usa una CMP certificata con TCF per gli annunci

Abilita le finalità di cui Google ha bisogno

Indica il consenso quando invii elenchi di clienti

Conserva i registri e spiega come revocare