Retargeting med Meta-annonser og personvern i Norge

Hva retargeting er og hvordan det fungerer

Retargeting betyr at en bedrift viser annonser til personer som allerede har vært i kontakt med den, for eksempel ved å besøke nettsiden eller se på et produkt. Tanken er at et besøk som ikke endte i kjøp kan få en påminnelse når personen senere er på Facebook eller Instagram. Teknisk bygger det på at nettstedet gjenkjenner besøkende gjennom små datafiler eller skript, og at annonseplattformen kobler besøket til en brukerprofil.

Slik sporing er en form for profilering. Store norske leksikon beskriver at nettaktivitet som avslører interesser og handlingsmønstre ofte overvåkes via informasjonskapsler, og at slik overvåkning kan gå på bekostning av personvernet. For en liten bedrift betyr det at retargeting ikke bare er et annonseverktøy, men også en behandling av opplysninger om enkeltpersoner.

Metas egne hjelpesider endrer seg ofte, så knapper, menynavn og grenser må sjekkes i Annonsebehandling og i Metas dokumentasjon før noe settes i drift.

Retargeting er dessuten markedsføring, og da gjelder også de generelle kravene i markedsføringsloven. Etter markedsføringsloven § 2 må markedsføring ikke stride mot god markedsføringsskikk. Ved vurderingen legges det vekt på om markedsføringen krenker allmenne etikk- og moraloppfatninger eller bruker støtende virkemidler, og på om den på grunn av utforming, format, omfang eller andre virkemidler fremstår som særlig påtrengende. Det er et relevant poeng for annonser som følger de samme personene igjen og igjen.

Meta-piksel: hva den gjør og hvilke data den samler

En Meta-piksel er en kodebit som legges på nettstedet. Når en besøkende laster siden, sender koden informasjon om besøket til Meta, slik at det kan knyttes til en bruker som også er innlogget på Facebook eller Instagram. Det er dette som gjør det mulig å bygge en gruppe av nettstedbesøkende og å måle hva som skjer etter at noen har sett en annonse.

Pikselen kan registrere både sidevisninger og mer spesifikke handlinger, som at et produkt ses, legges i handlekurven eller kjøpes. Hvilke hendelser som er tilgjengelige, og hva de heter, må leses i Metas gjeldende dokumentasjon. Bruk bare de hendelsene som faktisk trengs, for jo mer som samles inn, desto mer må bedriften kunne forklare og forsvare overfor de besøkende.

Installasjonen skjer vanligvis ved at koden limes inn i nettstedets mal, eller at et tillegg i nettbutikkplattformen eller en tag-styring brukes. Pikselen skal ikke laste før den besøkende har samtykket. Dette utdypes i avsnittet om informasjonskapsler lenger ned.

Etter installasjon bør pikselen kontrolleres: sjekk at riktige hendelser utløses på riktige sider, og at ingen hendelser inneholder mer personinformasjon enn nødvendig, for eksempel navn eller e-postadresser i nettadresser. Noter hvem i bedriften som har tilgang til pikselen og til annonsekontoen, slik at tilganger kan fjernes når ansatte eller byråer slutter.

Conversions API og andre datakilder

Ved siden av pikselen finnes det serverbaserte løsninger for deling av hendelser, kalt Conversions API hos Meta. Forskjellen er i prinsippet hvor dataene sendes fra: pikselen kjører i den besøkendes nettleser, mens en serverbasert løsning sender hendelser fra bedriftens egen server. Detaljene må leses i Metas gjeldende dokumentasjon.

Dette endrer ikke det rettslige bildet. Opplysninger om enkeltpersoner deles fortsatt med Meta, og det må finnes et lovlig grunnlag og tilstrekkelig informasjon uansett teknisk vei. Å flytte delingen til serveren er derfor ingen snarvei rundt samtykkekravet, og gode rutiner må sørge for at serveren heller ikke sender hendelser for besøkende som har sagt nei.

Kundelister og andre egne data er en tredje kilde. Her er det særlig viktig å vite hvor opplysningene kommer fra og hva kundene ble fortalt da de ble samlet inn.

Et praktisk grep er å la samtykkestatus følge med hver hendelse gjennom hele kjeden, fra nettleser til server. Da kan serveren droppe hendelser uten samtykke, og bedriften kan dokumentere at valget til den besøkende faktisk ble respektert.

Tilpassede målgrupper steg for steg

Tilpassede målgrupper opprettes i Meta Annonsebehandling. Der kan det velges kilde, for eksempel nettstedtrafikk fra pikselen, en opplastet kundeliste eller engasjement på Facebook- og Instagram-kontoen. Hvilke tidsrom og hendelser som kan velges, bestemmes av Meta, og grensene må leses av i grensesnittet.

En grei fremgangsmåte er denne:

• Kontroller at pikselen sender de hendelsene som trengs, og at den bare utløses etter samtykke.
• Velg kilde i Annonsebehandling og definer hvem som skal inngå, for eksempel alle besøkende eller bare de som har sett bestemte sider.
• Velg tidsrom innenfor det Meta tillater, og velg kortere tidsrom for varer med kort kjøpsprosess.
• Gi målgruppen et navn som viser kilde og tidsrom, så den kan gjenfinnes senere.
• Lag en egen målgruppe av kjøpere som kan ekskluderes.
• Dokumenter hva målgruppen bygger på, og hvilket grunnlag som gjelder.

Sette opp en retargetingkampanje

Del besøkende inn etter hvor langt de kom. De som bare så forsiden trenger en annen beskjed enn de som la en vare i handlekurven.

Ekskluder alltid kunder som allerede har kjøpt, med mindre annonsen gjelder en ny vare. Å vise samme annonse til noen som nettopp har betalt er både bortkastet og irriterende. Hold også øye med hvor ofte samme person ser annonsen, for hyppig eksponering kan oppleves som sporing og skade omdømmet.

Sett et budsjett som det er råd til å teste, og vurder resultatene over tid i stedet for etter noen få dager. Mål mot et konkret mål, som kjøp eller henvendelser, og vær forsiktig med å love resultater i markedsføringen eller internt. Tallene påvirkes av at en del besøkende har takket nei til sporing, for de dukker ikke opp i målgruppene.

Varier annonsebudskapet, og test ett element av gangen, for eksempel bilde eller tekst, slik at det er mulig å lære noe av resultatet. Avslutt kampanjer som ikke lenger har et formål, og slett målgrupper som ikke brukes, så det ikke ligger igjen oppsamlede data uten bruk.

Personvernregelverket som gjelder

Personvernforordningen (GDPR) gjelder i Norge gjennom personopplysningsloven. Personopplysningsloven § 1 fastslår at forordningen gjelder som lov med de tilpasningene som følger av EØS-avtalen. Dermed gjelder reglene om vern av fysiske personer ved behandling av personopplysninger for norske virksomheter.

Informasjon som kobler en besøkende til en profil, en enhet eller en e-postadresse vil normalt være personopplysninger. Bedriften som velger å sette inn piksel og målgrupper, bestemmer formål og midler, og er dermed selv ansvarlig for behandlingen. Meta kan i tillegg ha et eget ansvar. Forordningen har en egen regel om felles behandlingsansvarlige i artikkel 26, og avtalevilkårene med Meta bør leses nøye for å forstå hvordan ansvaret er fordelt.

Alle behandlinger trenger et lovlig behandlingsgrunnlag. For retargeting vil samtykke i praksis ofte være det som kreves, fordi lagring og tilgang i brukerens utstyr krever samtykke etter ekomloven § 3-15. Vurderingen av grunnlaget bør nedtegnes skriftlig, slik at den kan vises frem hvis noen spør. Mer om pliktene i en bred sjekkliste finnes i GDPR for norske bedrifter.

Vilkårene for selve samtykket står i personvernforordningen artikkel 7. Bedriften må kunne påvise at den besøkende har samtykket, en anmodning om samtykke som også gjelder andre forhold, skal tydelig kunne skilles fra dem og stå på et klart og enkelt språk, og det skal være like enkelt å trekke samtykket tilbake som å gi det.

Samtykke og informasjonskapsler på nettstedet

Etter ekomloven § 3-15 er det ikke tillatt å lagre eller skaffe seg tilgang til opplysninger i brukerens kommunikasjonsutstyr uten at brukeren er informert om hvilke opplysninger som behandles, formålet og hvem som behandler dem, og uten at brukeren har gitt samtykke. Paragrafen krever også at samtykket oppfyller kravene til samtykke i personvernforordningen. Unntak gjelder for lagring som utelukkende overfører kommunikasjon eller som er strengt nødvendig for en tjeneste brukeren uttrykkelig ber om.

Markedsføringssporing med Meta-piksel faller ikke naturlig inn under unntakene, siden den ikke er nødvendig for å vise nettsiden. Pikselen bør derfor ikke utløses før den besøkende har sagt ja. Et samtykkevindu der «godta» er stort og «avvis» er skjult, er et vanlig problem, og samtykke som er presset frem eller samlet i én boks for mange formål, er svakt.

Praktisk betyr det at samtykkeløsningen må styre når piksel og andre markedsføringsskript lastes. Test dette selv: åpne nettstedet i et nytt privat vindu, avvis alt, og kontroller i nettleserens utviklerverktøy at ingen forespørsler går til Meta. Gjør testen på nytt etter hver endring i nettstedet eller i tilleggene.

Brukeren må også kunne endre valget sitt senere, for eksempel via en lenke i bunnteksten.

Informasjonsplikt og bruk av kundelister

Den som samler inn opplysninger, har informasjonsplikt etter personvernforordningen artikkel 13 og 14. Personvernerklæringen bør derfor si hva som samles inn gjennom piksel og målgrupper, hvorfor, hvem som mottar opplysningene og hvordan man kan reservere seg.

Skriv erklæringen på vanlig språk og unngå å gjemme annonsesporing i en lang liste. Oppdater den når nye verktøy tas i bruk, og lenk til den fra samtykkevinduet.

Kundelister krever ekstra aktsomhet. Å laste opp e-postadresser til en annonseplattform er en deling av personopplysninger, og kundene må ha blitt informert om at e-posten kan brukes slik, og det må finnes et gyldig grunnlag. Markedsføringsloven § 15 forbyr i næringsvirksomhet markedsføringshenvendelser til fysiske personer med elektronisk post uten forutgående samtykke, men gjør unntak for eksisterende kundeforhold når adressen er mottatt i forbindelse med salg og markedsføringen gjelder egne tilsvarende varer. Unntaket gjelder bare direkte henvendelser per e-post, og gir ikke i seg selv grunnlag for å dele listen med en annen aktør. Se også guiden om e-postmarkedsføring og samtykke.

Etter markedsføringsloven § 15 kan næringsdrivende markedsføre per e-post uten forhåndssamtykke i eksisterende kundeforhold der adressen er mottatt i forbindelse med salg. Da skal kunden enkelt og gebyrfritt få anledning til å reservere seg mot slike henvendelser når adressen samles inn, og eventuelt ved hver senere henvendelse. En kundeliste bør derfor renses for personer som har reservert seg eller meldt seg av før den brukes til noe som helst.

Brudd på personvernreglene kan få økonomiske konsekvenser for bedriften, også for små virksomheter.

Forbrukerrådet har også kritisert Meta for bruken av brukernes data til KI-trening. Forbrukerrådet krever at Meta stopper KI-trening på brukernes data. Saken gjelder noe annet enn retargeting, men viser at plattformens databruk er under oppmerksomhet, og at bedrifter ikke kan anta at alt plattformen tilbyr er i orden.

Markedsføringsloven og grensene for målrettet reklame

Personvern er ikke det eneste regelverket som berører retargeting. Annonsene er også markedsføring i lovens forstand, og da gjelder markedsføringsloven. Etter markedsføringsloven § 2 legges det ved vurderingen vekt på om markedsføringen krenker allmenne etikk- og moraloppfatninger, eller om det tas i bruk støtende virkemidler.

Samme paragraf, markedsføringsloven § 2, nevner også at det legges vekt på om markedsføringen på grunn av utforming, format, omfang eller andre virkemidler fremstår som særlig påtrengende. Dette er relevant for retargeting, fordi samme person kan få den samme annonsen gang på gang. En kampanje som følger de besøkende rundt i dagevis med uendret budskap, kan oppleves som påtrengende selv om sporingen i seg selv er lovlig. Begrenset frekvens og et budskap som endrer seg, er derfor ikke bare et spørsmål om annonsebudsjett, men også om å holde seg innenfor god skikk.

Loven setter også krav til selve annonsen. Den samme paragrafen slår fast at annonsør og den som utformer reklame, skal sørge for at reklamen ikke er i strid med likeverdet mellom kjønnene, jf. markedsføringsloven § 2. Etter markedsføringsloven § 2 skal reklame der en kropps fasong, størrelse eller hud er endret ved retusjering eller annen manipulering, merkes. Dette gjelder uansett om annonsen vises til alle eller bare til en tilpasset målgruppe, og kravet kommer i tillegg til personvernreglene.

Praktisk sjekkliste for små bedrifter

Sjekklisten under oppsummerer rekkefølgen som gir lavest risiko. Gå gjennom den før første kampanje og på nytt når nettstedet eller verktøyene endres.

Hvis retargeting er del av en bredere satsing på sosiale medier, gir guiden om å selge på Instagram et utgangspunkt for resten av oppsettet. Nettbutikker bør i tillegg lese om juridiske krav ved nettbutikkdrift.

• Innfør en samtykkeløsning der avvisning er like enkelt som godkjenning.
• Sørg for at piksel og serverbasert deling bare sender data etter samtykke.
• Oppdater personvernerklæringen med Meta, formål og rettigheter.
• Avklar behandlingsgrunnlag og ansvarsfordeling, og skriv det ned.
• Unngå å laste opp kundelister uten klar informasjon og grunnlag.
• Ekskluder kjøpere og begrens hvor ofte samme person ser annonsen.
• Test samtykkeløsningen i privat vindu etter hver endring.
• Dokumenter oppsettet og gjennomgå det jevnlig.