Server-side tracking wordt vaak genoeg als privacyverbetering verkocht dat het de moeite waard is precies te zijn over wat het onder de AVG wel en niet doet. De korte versie: het verandert de route die je gegevens afleggen, wat echt nuttig is, en het verandert geen van de verplichtingen die aan het verzamelen ervan vastzitten.
Wat server-side tracking wél verandert
De gegevens komen eerst bij jou. Bij een client-side opzet stuurt de browser rechtstreeks naar Google of Meta, en wat het script besloot mee te sturen is wat zij krijgen. Bij een server-side opzet komt het eerst binnen bij een server die jij beheert. Je kunt zien wat erin zit, velden weglaten, waarden afronden, of helemaal stoppen met sturen naar een bestemming.
Dat is een echt vermogen, en het is degene die telt voor dataminimalisatie. Het is het verschil tussen hopen dat het script van een leverancier zich gedraagt en zelf bepalen wat er weggaat.
Je kunt de server in de EU zetten. Draait de container in de EU, dan roept het stuk van bezoeker naar jouw server geen vraag op over internationale doorgifte. Het stuk van jouw server verder wel, en eerlijk gezegd meestal ook — de meeste advertentieplatformen zitten niet in de EU. Server-side haalt dat niet weg; het maakt er één duidelijk benoemde doorgifte van in plaats van een diffuus geheel.
Wat server-side tracking niet verandert
Je hebt nog steeds een grondslag nodig, en meestal toestemming. Wat je op iemands apparaat mag plaatsen en uitlezen wordt geregeld door de ePrivacy-regels, en die gaan over het apparaat, niet over welke machine daarna het verzoek verstuurt. Het versturen server-side maken verandert een cookie die toestemming nodig had niet in een cookie die dat niet heeft.
Je moet de keuze nog steeds respecteren. Een server-side opzet maakt het makkelijker een toestemmingssignaal goed door te geven, omdat jij de tussenstap beheert. Dat is een argument om het goed te doen, geen argument om het over te slaan.
Je bent nog steeds verantwoordelijke. Het is jouw site, jouw doeleinden, jouw meetplan. Een partij die de container voor je host is verwerker en heeft een verwerkersovereenkomst met je nodig. Die verplichting verhuist niet mee met de infrastructuur.
De vier documenten
Neemt de jurist van je klant je opzet door, dan is dit meestal de lijst. Het is de moeite waard om alle vier te kunnen laten zien zonder te hoeven bellen.
Een verwerkersovereenkomst op grond van artikel 28, met de verplichte inhoud er werkelijk in in plaats van op aanvraag beloofd. Een subverwerkerslijst die elke betrokken partij noemt en waar die zit. Een privacyverklaring die beschrijft wat er verwerkt wordt en hoe lang. En voorwaarden die zeggen wat er met de gegevens gebeurt als je stopt.
Bij ons staan ze alle vier op de site in plaats van achter een formulier: de verwerkersovereenkomst, de subverwerkerslijst, de privacyverklaring en de voorwaarden. Ze zijn geschreven op het echte product, wat ook betekent dat ze het lezen waard zijn in plaats van het doorbladeren.
De eerlijke samenvatting
Server-side tracking is een betere plek om privacybeslissingen vandaan te nemen, en een slechter excuus om ze niet te nemen. Kies je een aanbieder mede hierop, dan zijn de vragen: waar de servers staan, wie de subverwerkers zijn, en of de verwerkersovereenkomst vandaag bestaat.
Server-side tracking tools vergeleken loopt de andere criteria langs. Ben je eerder in het traject, dan legt client-side versus server-side tracking het mechanisme uit, en behandelt het stuk over de Meta Conversions API het platform waar de meesten voor komen.
Dit is een beschrijving van hoe de techniek zich tot de regels verhoudt, geen juridisch advies. Vraag voor je eigen opzet iemand die daarvoor is opgeleid.