Uso de Google Tag Manager: ¿qué debemos tener en cuenta en Alemania respecto a la protección de datos y el RGPD?

En la parte técnica no os saltéis la configuración del Consent Mode v2. Al crear los activadores, en vez de usar 'All Pages', escuchad los eventos personalizados (custom events) que envía la CMP. Probad vosotros mismos las peticiones salientes en la pestaña de red (network) del navegador para aseguraros de que los códigos no se ejecutan si el usuario no da permiso.

Abrid un Excel ya mismo y anotad todas las etiquetas actuales: 1) Nombre de la etiqueta, 2) Proveedor y ubicación del servidor 3) Finalidad 4) Categoría de consentimiento requerida (estadística, marketing etc.). Si pasáis al gestor de etiquetas sin este inventario, en tres meses nadie sabrá qué código se ejecuta ni cuándo.

Algunas agencias dicen eso de 'GTM es solo un contenedor, no pone cookies así que no hace falta consentimiento' para quitarse el problema de encima. Ese enfoque en Alemania es muuuuy arriesgado. Al descargar el código del contenedor, la IP del visitante va a un servidor de terceros. Por eso es imprescindible ponerlo en lo más alto del mecanismo de consentimiento.

nosotros pasamos x lo mismo el año pasado con nuestra agencia de hamburgo. el abogado nos hizo reescribir la datenschutzerklärung y nos metió una factura de 600 eur de consultoría. pero nos quedamos tranquilos si llega una inspección tenemos el expediente listo pa enseñar.

Cuando hicimos la migración en nuestra web medimos las tasas de aceptación. Cerca del 68% de los visitantes aceptó las cookies estadísticas, pero las de marketing solo las aceptó el 42%. Si no montáis bien la infraestructura de consentimientos podéis perder estos datos por completo.

¿El panel de consentimiento que usáis ahora soporta etiquetado del lado del servidor (Server-Side GTM)? Si queréis evitar que los datos vayan directamente a los servidores de Google, ¿os habéis planteado hacer un proxy a través de un servidor dentro de la UE?

Te recomiendo revisar las guías publicadas por las autoridades de protección de datos estatales (Landesbeauftragte für Datenschutz). La presencia de cláusulas contractuales tipo (SCC) para transferencias a terceros países y la transparencia del aviso de cookies son lo primero que miran en las auditorías.

Me quedé tranquilo al leer esta respuesta, así que no solo me pasa a mí. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Todos los que se apresuran con google tag manager proteccion de datos se atascan en el mismo punto. Eso es todo, disculpa si me he extendido demasiado.

Estoy siguiendo esto.

Me quedé tranquilo al leer esta respuesta, así que no solo me pasa a mí. Si decidimos sin medir, siempre acabamos en el mismo punto.

Eso es todo, disculpa si me he extendido demasiado.

Dejo una advertencia. No confíes en una sola medida; ve capa por capa.

Yo seguiría por ese camino.

A mí me pasó justo al revés, por eso escribo. en fin tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Le agradecería que compartiera el resultado.

Yo también pienso lo mismo. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Una copia de seguridad no probada no es una copia de seguridad. Si escribís el resultado aquí, también servirá de ayuda a otros.

Exactamente así. Una copia de seguridad no probada no es una copia de seguridad.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Hace mucho que oímos eso, pero a nosotros nunca nos pasó así. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Comprobado por experiencia.

Voy a contar mi experiencia. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Un informe de escaneo automático no es lo mismo que una prueba de penetración. Espero que le sea útil.

Estoy de acuerdo.