CCPA מול GDPR: מה שונה במודעות פייסבוק

דף הבית » מרכז הידע » CCPA מול GDPR: מה שונה במודעות פייסבוק

אם אני צריך לסכם את זה במשפט אחד: GDPR חוסם מעקב לפני הסכמה, ו-CCPA/CPRA עוצר שיתוף אחרי בקשת ביטול. זה כל ההבדל שמזיז את הפיקסל, הריטרגטינג, המדידה והדיווח.

אם אני מפרסם לקהל באירופה ובקליפורניה, אני צריך לזכור 4 דברים:

אירופה = opt-in: בלי הסכמה מראש, ה-Meta Pixel לא אמור לפעול.
קליפורניה = opt-out: אפשר לאסוף ולשתף מידע עד שהמשתמש מבקש להפסיק.
הפגיעה הראשונה שונה: באירופה אני מאבד נפח מדידה וקהלים מהרגע הראשון; בקליפורניה הפגיעה מגיעה אחרי בקשות ביטול.
הסיכון לא רק משפטי: GDPR כולל קנסות של עד 4% מהמחזור הגלובלי או €20 מיליון; ב-CCPA קנס יכול להגיע עד $7,500 לכל הפרה מכוונת.

מה זה אומר בפועל? אם אני עובד עם תנועה מה-EEA, אני צריך לחסום פיקסל, קובצי Cookie וכלי מדידה עד אישור. אם אני עובד עם תושבי קליפורניה, אני צריך להציג הודעת איסוף, לתת קישור ברור ל-"אל תמכור/שתף את המידע האישי שלי", ולטפל בבקשות opt-out בלי עיכוב.

השורה התחתונה: מי שמפריד קהלים לפי אזור, מגדיר הסכמה לפי חוק, ומעדכן Pixel, CAPI ו-Custom Audiences בהתאם – שומר טוב יותר על הדיווח, על הקהלים ועל הציות.

השוואה מהירה

נושא	GDPR	CCPA/CPRA
מודל	Opt-in	Opt-out
מתי הפיקסל פועל	רק אחרי הסכמה	פועל עד ביטול
ריטרגטינג	רק למסכימים	לכולם חוץ ממי שביטל
רשימות לקוחות	צריך בסיס חוקי	צריך לכבד opt-out
מה נפגע קודם	המרות, ROAS, גודל קהל	שיתוף מידע והתאמה אישית

מכאן, קל יותר להבין למה אותם קמפיינים נראים אחרת לגמרי באירופה מול קליפורניה.

GDPR vs CCPA/CPRA: השוואה מלאה למפרסמים בפייסבוק

ה-GDPR דורש בסיס חוקי לעיבוד נתונים לצורכי פרסום, ובפועל זה אומר לא פעם הסכמה מראש. ה-CCPA/CPRA עובד אחרת: זה מודל של opt-out. כלומר, אפשר לאסוף ולשתף מידע עד שהמשתמש מבקש להפסיק מכירה או שיתוף. בפייסבוק, ההבדל הזה משנה דבר פשוט אבל כבד משקל: מתי מותר להפעיל את הפיקסל, להשתמש ב-Custom Audiences ולבצע מדידה.

על מי חל כל חוק

ה-GDPR חל על כל עסק שמעבד נתונים של תושבי האיחוד האירופי או ה-EEA, בלי קשר למקום שבו העסק רשום. זה אומר שגם מפרסם ישראלי שמריץ קמפיין לגרמניה כפוף ל-GDPR ביחס לאותם משתמשים.

ה-CCPA/CPRA חל על עסקים שאוספים מידע של תושבי קליפורניה ועומדים ברף החוקי המתאים. בפועל, המשמעות היא שריטרגטינג, סנכרון רשימות ומדידה של קהלים מקליפורניה עשויים להיכנס לתחום החוק.

למה כלי המודעות של Meta מושפעים ישירות

Meta Pixel אוסף מזהים דיגיטליים כמו IP, מזהי מכשיר וקובצי Cookie. שני החוקים מתייחסים לפרטים כאלה כאל מידע אישי.

כלי	תחת GDPR	תחת CCPA/CPRA
Meta Pixel	חסום עד הסכמה	מותר עד opt-out
Custom Audiences	דורש בסיס חוקי	מותר, אך ניתן לבקש הפסקת שיתוף
Lead Ads	דורש בסיס חוקי	דורש תמיכה בזכות מחיקה ובזכות לדעת

סנכרון רשימת לקוחות לפייסבוק נחשב "שיתוף" לפי ה-CPRA, ולכן צריך לאפשר opt-out ברור.

מכאן נכנסים לחלק המעשי: איך הפער בין הסכמה מראש לבין opt-out משנה את השימוש בפיקסל, בריטרגטינג ובמדידה.

הסכמה מול ביטול הסכמה: ההבדל המהותי

כאן ההבדל נהיה פרקטי מאוד: מתי מותר להתחיל למדוד, ומתי צריך לעצור.

ה-GDPR מבוסס על opt-in. כלומר, לפני שמפעילים פיקסלים או עוגיות לא חיוניות, צריך לקבל הסכמה מפורשת מראש. אם המשתמש לא לוחץ על "קבל", הפיקסל לא נטען. בפועל, זה אומר שלא מתחילים מדידה, לא בונים קהלים, ולא מפעילים ריטרגטינג.

לעומת זאת, ה-CCPA/CPRA פועל לפי opt-out. מותר להמשיך בעיבוד ובשיתוף עד שהמשתמש בוחר לבטל, כל עוד מוצגת הודעת איסוף (Notice at Collection) ויש מנגנון ביטול ברור. בשטח, זה בדרך כלל אומר קישור בולט שמאפשר לבטל את שיתוף המידע. רק אחרי שהמשתמש מבצע opt-out, צריך להפסיק את השיתוף עם Meta.

זה לא הבדל תיאורטי. הוא קובע מתי הפיקסל נטען, מתי קהלים מתחילים להיבנות, ואיך מודדים המרות.

תכונה	GDPR (האיחוד האירופי)	CCPA/CPRA (קליפורניה)
מודל הסכמה	Opt-in: נדרשת הסכמה לפני מעקב	Opt-out: עיבוד ושיתוף מותרים עד ביטול
באנר / הודעה	כפתורי "קבל" ו"דחה" בולטים באותה מידה	הודעת איסוף וקישור לביטול שיתוף
מועד הפעלה	לאחר אישור מפורש בלבד	פעיל עד opt-out
פעולה נדרשת מהמפרסם	תיעוד בסיס חוקי לכל פעולת עיבוד	הצגת הודעת איסוף ועדכון מדיניות פרטיות

תחת ה-GDPR, צריך לפרט אילו נתונים נאספים, למה אוספים אותם, ומהו הבסיס החוקי לעיבוד. לכן, כל שלב בבניית קהל או במדידת המרה צריך להישען על הסכמה מתאימה. תחת ה-CCPA/CPRA, הדגש הוא על גילוי: צריך להבהיר אם המידע משותף עם Meta לצורכי פרסום התנהגותי חוצה הקשרים, ולתת למשתמש דרך ברורה לעצור את השיתוף.

גם מדיניות הפרטיות צריכה להיות מדויקת. היא צריכה לציין שימוש ב-Meta Pixel וב-Conversions API, לפרט את סוגי המידע שנאספים, ולהסביר איך המשתמש יכול לממש את הזכויות שלו.

מכאן עוברים ליישום בפיקסל, בריטרגטינג ובמדידה.

כיצד כללי הפרטיות משנים את הפיקסל, הריטרגטינג, הקהלים והדיווח

אחרי שמבינים את ההבדל בין opt-in ל-opt-out, השאלה הבאה די פשוטה: מה זה עושה בפועל לפיקסל, לריטרגטינג ולדיווח.

הפיקסל והריטרגטינג תחת מגבלות הפרטיות

ההשפעה הראשונה נוגעת לאיסוף הנתונים.

תחת GDPR, הפיקסל חסום עד לקבלת אישור מפורש. משתמש שלא אישר פשוט לא נכנס למדידה. בפועל, זה אומר שקהלי ריטרגטינג גדלים לאט יותר, כי הם בנויים רק ממשתמשים שנתנו הסכמה למעקב.

תחת CCPA/CPRA, התמונה שונה. הפיקסל נטען כבר בכניסה לדף, והמעקב נמשך עד שהמשתמש מבצע opt-out דרך קישור כמו "אל תמכור/שתף את המידע האישי שלי".

משם, ההשפעה עוברת ישר לקהלים עצמם.

Custom Audiences, קהלי דמיון ונתוני לידים

השלב הבא הוא איכות הקהלים.

תחת GDPR, רשימת הזרע מצטמצמת רק לאנשים שיש לגביהם בסיס חוקי תקף. לכן גם קהלי הדמיון קטנים יותר, ובדרך כלל פחות מדויקים.

תחת CCPA/CPRA, אפשר להעלות רשימות כל עוד מציגים גילוי ברור על שיתוף המידע לצורכי פרסום חוצה הקשרים, ומכבדים בקשות opt-out. בפועל, צריך להסיר מהרשימה כל מי שביקש opt-out לפני ההעלאה. גם בטפסי לידים נדרש גילוי קצר כבר בנקודת האיסוף.

כשבסיס הקהל קטן יותר, גם המדידה והייחוס נעשים חלקיים יותר. זה קצת כמו לנסות להרכיב תמונה מפאזל כשחסרים חלקים.

פערים בדיווח ובייחוס

אחרי הקהלים, הפגיעה עוברת למדידה.

כשמשתמשים לא מסכימים תחת GDPR, הפיקסל לא רואה אותם בכלל. התוצאה היא פערי מדידה ותנועה שלא נספרת. לכן מספרי ההמרות וה-ROAS יכולים להיראות נמוכים יותר ממה שקורה בפועל.

תחת CCPA/CPRA, הנראות גבוהה יותר בתחילת הדרך. אבל ברגע שמשתמש מבצע opt-out, Meta חייבת להפסיק לקבל את הנתונים שלו.

היבט	GDPR (האיחוד האירופי)	CCPA/CPRA (קליפורניה)
הפעלת הפיקסל	חסום עד לאישור מפורש	נטען כבר בכניסה לדף; נעצר רק לאחר opt-out
קהל ריטרגטינג	קטן; כולל מסכימים בלבד	גדול; כולל את כולם פרט למי שביטל
העלאת רשימות לקוחות	דורשת בסיס משפטי תקף	מותרת כל עוד מכבדים opt-out של שיתוף מידע
המדד שנפגע ראשון	נפח המרות ו-ROAS	גודל קהל והתאמה אישית

מכאן כבר עוברים לצד המעשי: הודעות פרטיות, טפסים והגדרות נפרדות לכל אזור.

צעדים מעשיים לציות עבור מפרסמים בפייסבוק

אחרי שמבינים איפה נוצר הפער במדידה ובקהלים, השאלה נהיית פשוטה יותר: מה עושים ביום־יום כדי לעבוד נכון מול GDPR וגם מול CCPA/CPRA, בלי לאבד יותר מדי נתונים בדרך?

הגדרת הודעות פרטיות, תהליכי הסכמה וטיפול בבקשות opt-out

כדי לצמצם את הפער בין ציות למדידה, צריך לבנות תהליך לפי אזור. ב-EEA עובדים במודל opt-in. בקליפורניה עובדים במודל opt-out. בפועל, זה אומר לחסום את הפיקסל עד לקבלת הסכמה עבור משתמשי EEA, ולהציג הודעת opt-out יחד עם קישור בולט לביטול שיתוף עבור משתמשי קליפורניה.

ה-CMP צריך לתמוך ב-TCF 2.2 ולאכוף את ההסכמות כמו שצריך. בנוסף, חשוב לוודא שהפיקסל של Meta ו-SDKs לא נטענים לפני שמתקבלת הסכמה חיובית ממשתמשי EEA.

בטפסי לידים, כדאי להציג קישור למדיניות הפרטיות ולהסביר בצורה ברורה מה מטרת השימוש בנתונים.

מכאן עוברים לבדוק את ההגדרות בתוך Events Manager.

סקירת הגדרות Meta וטיפול נפרד בתנועה מהאיחוד האירופי ומקליפורניה

בתוך Events Manager יש לבדוק שני דברים. הראשון הוא הפעלת Limited Data Use ‏(LDU) עבור תנועה מקליפורניה. השני הוא לוודא ש-Conversions API ‏(CAPI) מעביר כמו שצריך את פרמטרי ההסכמה ad_user_data ו-ad_personalization עבור תנועת EEA.

אחרי שהחלק הטכני מסודר, צריך לוודא שגם העלאת הקהלים עומדת באותם כללים.

לפני שמעלים Custom Audiences, צריך לוודא שהנתונים נאספו עם הסכמה מפורשת לשימוש שיווקי עבור משתמשי EEA, ושכל בקשת opt-out של משתמשי קליפורניה כבר טופלה מראש.

ניהול של שכבות כאלה דורש בקרה שוטפת על מדידה, הסכמות והגדרות פרטיות.

סיכום: איזה רגולציה מחמירה יותר בפועל?

אחרי שבוחנים את ההבדלים בהסכמה, במדידה ובקהלים, התמונה די ברורה: GDPR מחמירה יותר בפועל במודעות פייסבוק. הסיבה פשוטה. GDPR דורשת הסכמה מראש, בעוד ש-CCPA/CPRA נשענת על ביטול הסכמה. כלומר, תחת GDPR איסוף הנתונים מוגבל כבר מההתחלה; תחת CCPA, המגבלה נכנסת בעיקר אחרי שהמשתמש בחר לבצע opt-out.

למפרסמים שפונים לקהלים באירופה זה יוצר לחץ גדול יותר על המדידה ועל יכולות הפרסונליזציה. בפועל, הם מתמודדים עם פערי דיווח גדולים יותר ועם מגבלות חדות יותר על התאמת מודעות. בקליפורניה, לעומת זאת, ההשפעה נוגעת בעיקר למשתמשים שביצעו opt-out באופן פעיל.

בגלל זה, הצעד הראשון בניהול קמפיינים הוא חלוקת קהלים לפי אזור. אם מפרסם מריץ קמפיינים גם לאירופה וגם לקליפורניה, הוא צריך להפריד בין שתי האוכלוסיות כבר ברמת קבוצת המודעות, להחיל כללי מעקב שונים לכל אחת, ולהתאים את ציפיות הדיווח בהתאם: פחות נתונים גרנולריים מהאיחוד האירופי, ויותר נתונים מקליפורניה, לצד חובות גילוי ברורות.

FAQs

הכול תלוי בשני דברים: איפה המשתמשים נמצאים ומה בדיוק העסק עושה. במקרים לא מעטים, עסק יכול להיות כפוף לשני החוקים באותו זמן.

GDPR חל על עיבוד נתונים של אנשים שנמצאים פיזית באיחוד האירופי, והוא דורש הסכמה מפורשת מראש.

CCPA חל על עסקים למטרות רווח שפועלים מול תושבי קליפורניה, כל עוד הם עומדים בלפחות אחד מהקריטריונים שנקבעו.

לא. Conversions API לא עוקף את מגבלות ההסכמה תחת GDPR.

גם אם אתם משתמשים בכלי הזה, עדיין צריך לאסוף, לתעד ולנהל את הסכמת המשתמש דרך פתרון ניהול הסכמה תואם. אם המשתמש לא נתן הסכמה, אי אפשר לעבד את הנתונים שלו לצורכי פרסום – לא משנה איך הנתונים נשלחים.

מה צריך לשנות בפועל בפיקסל ובקהלים לפי אזור?

יש הבדל חשוב בין GDPR ל-CCPA.

ב-GDPR צריך לקבל הסכמה מפורשת (Opt-in) לפני שמתחילים לעבד נתונים אישיים. בפועל, זה אומר שצריך CMP תואם שיודע להעביר אותות הסכמה לפני שמפעילים את הפיקסל.

ב-CCPA, הסיפור קצת שונה. כאן הדגש הוא על זכות הביטול (Opt-out). לכן, צריך לאפשר למשתמשים להוציא את עצמם ממכירה או מהעברה של מידע.

בשטח, מיישמים הגדרות שונות לפי אזור גיאוגרפי. באיחוד האירופי חוסמים איסוף נתונים כל עוד לא התקבל אישור. בארה״ב, הדגש הוא על מנגנון ביטול נגיש וברור.

לא יודעים איך להתחיל?
תנו לנו לעשות את העבודה!

אהבתם את הכתבה?
שתפו לחבריכם!

כתבות נוספות
שיעניינו אתכם