Confidential Matching w Google Ads - dopasowanie danych bez ich ujawniania

Confidential matching to metoda łączenia danych własnych reklamodawcy z danymi Google, w której całe porównanie rekordów odbywa się wewnątrz zaufanego środowiska wykonawczego (TEE), a nie na zwykłych serwerach przetwarzających dane w postaci jawnej. Google opisuje ją jako sposób na znalezienie części wspólnej między listą klientów wgraną przez reklamodawcę a danymi użytkowników Google, przy czym dane pozostają zaszyfrowane także w trakcie samego przetwarzania. Rozwiązanie zbudowano na produkcie Google Cloud Confidential Space, jest domyślnie włączone dla Customer Match i konwersji rozszerzonych i nie wiąże się z dodatkową opłatą dla reklamodawcy.

W rozmowach o danych własnych wraca zawsze to samo pytanie, zwykle zadawane przez kogoś z działu prawnego: „czy wgranie naszej bazy mailingowej do Google Ads oznacza, że oddajemy tę bazę Google?”. Przez lata odpowiedź brzmiała: dane idą zahashowane, Google deklaruje, że używa ich tylko do dopasowania. Deklaracja to jednak nie jest to samo co dowód techniczny. Confidential matching jest właśnie próbą zamiany deklaracji na mechanizm, który da się zweryfikować kryptograficznie. Zajmuję się tym tematem od strony wdrożeniowej i uważam, że jest to najciekawsza zmiana w warstwie danych własnych od czasu wprowadzenia konwersji rozszerzonych.

Czym jest confidential matching w Google Ads?

Confidential matching to sposób dopasowania listy klientów reklamodawcy do bazy zalogowanych użytkowników Google, w którym całe porównanie zachodzi w izolowanym, szyfrowanym środowisku sprzętowym.

Google nie odczytuje wgranych rekordów w postaci jawnej, a zwraca wyłącznie listę odbiorców powstałą z części wspólnej obu zbiorów.

Różnica wobec klasycznego uploadu jest subtelna, ale istotna. W klasycznym modelu reklamodawca hashuje dane po swojej stronie i ufa, że po drugiej stronie nikt tych hashy nie użyje do niczego poza dopasowaniem. W modelu poufnym to zaufanie zostaje przeniesione z umowy na sprzęt: przetwarzanie odbywa się w środowisku, którego stan można zweryfikować kryptograficznie, a operator infrastruktury nie ma technicznej możliwości podejrzenia zawartości pamięci. Zaufanie do warstwy dopasowania jest warunkiem korzystania z danych własnych, na których opiera się dziś optymalizacja kampanii Google Ads w kontach z długim cyklem sprzedaży.

Trzy cechy odróżniają poufne dopasowanie od zwykłego wgrania pliku z listą klientów:

• Szyfrowanie w trakcie użycia: dane są chronione nie tylko podczas przesyłania i przechowywania, ale również w momencie, w którym są faktycznie przetwarzane w pamięci.
• Możliwość atestacji: środowisko potrafi udowodnić kryptograficznym podpisem, jaki dokładnie kod w nim działa, zanim dostanie klucz do odszyfrowania danych.
• Usuwanie niewykorzystanych identyfikatorów: rekordy z listy, które nie znalazły dopasowania, są usuwane zamiast pozostawać w zasobach systemu reklamowego.

Pojęcie „dane własne” oznacza tu dokładnie to, co klient przekazał firmie samodzielnie: adres e-mail, numer telefonu, imię, nazwisko, kod pocztowy i kod kraju. Poufne dopasowanie nie tworzy nowych danych i nie wzbogaca listy o informacje z zasobów Google. Ono wyłącznie wskazuje przecięcie.

Jak działa zaufane środowisko wykonawcze (TEE) przy dopasowaniu danych?

Zaufane środowisko wykonawcze to konfiguracja sprzętu i oprogramowania ze sprzętowym korzeniem zaufania, która zapewnia poufność przetwarzania i pozwala stronie zewnętrznej sprawdzić, że w środku działa dokładnie ten kod, który zadeklarował jego twórca.

Google buduje poufne dopasowanie na produkcie Confidential Space z Google Cloud.

Mechanicznie proces wygląda tak:

1. Normalizacja danych po stronie reklamodawcy - pola kontaktowe sprowadzasz do jednolitego formatu: małe litery, brak spacji, numer telefonu w formacie międzynarodowym E.164.
2. Hashowanie SHA-256 - każde pole zamieniasz na skrót kryptograficzny, więc już na wyjściu z Twojego systemu nie ma jawnych adresów ani numerów.
3. Przesłanie do środowiska poufnego - zbiór trafia do Confidential Space, gdzie jest odszyfrowywany wyłącznie wewnątrz izolowanej enklawy.
4. Porównanie zbiorów - wewnątrz enklawy zachodzi dopasowanie skrótów z Twojej listy do skrótów po stronie Google.
5. Zwrot wyniku i sprzątanie - na wyjściu powstaje lista dopasowanych użytkowników, a identyfikatory, które nie znalazły pary, są usuwane.

Kluczowe słowo w tym opisie to „atestacja”. Atestacja pozwala środowisku udowodnić, że uruchomiło konkretne, zaudytowane oprogramowanie, i robi to przez wygenerowanie podpisu kryptograficznego. Reklamodawca, który zaszyfrował dane własnym kluczem, może uzależnić wydanie klucza od pozytywnego wyniku atestacji. Jeśli w enklawie działa cokolwiek innego niż zadeklarowany kod, klucz nie zostaje wydany, a dane pozostają nieczytelne.

Które produkty Google Ads korzystają z confidential matching?

Poufne dopasowanie obsługuje dziś Customer Match oraz konwersje rozszerzone, a w integracji z Google tag gateway obejmuje także dane podane przez użytkownika, zbierane przez tagi first-party na stronie reklamodawcy. Dla Customer Match jest to obecnie technika domyślna.

Jeśli dopiero układasz proces wgrywania list, warto najpierw zrozumieć sam format i wymagania segmentów, które opisuję w tekście o tym, jak działa Customer Match w Google Ads. Poufne dopasowanie jest warstwą pod spodem, a nie osobnym narzędziem do nauczenia się od zera.

Osobny wątek to konwersje rozszerzone. Jeśli wysyłasz dane użytkownika przez kontener serwerowy, mechanizm poufny wpina się w istniejący przepływ, a nie zastępuje go. Sposób wdrożenia takiego przepływu opisuję szerzej przy okazji tematu, jakim są konwersje rozszerzone przez server-side GTM.

Czy confidential matching trzeba włączać i ile kosztuje?

Nie trzeba nic włączać i nic to nie kosztuje. Dokumentacja Google Ads Data Manager podaje wprost, że poufne dopasowanie jest włączone domyślnie, bezpłatne, a reklamodawca nie musi wykonywać żadnej akcji, żeby z niego korzystać.

To jest jednocześnie największa pułapka komunikacyjna wokół tej funkcji. Skoro działa sama, łatwo uznać, że temat jest zamknięty. Tymczasem domyślnie włączony jest wariant podstawowy, w którym dane szyfruje Google. Wariant, w którym to Ty trzymasz klucz i wymagasz atestacji przed odszyfrowaniem, jest opcjonalny i wymaga świadomej konfiguracji.

Rzeczy, które nadal wymagają Twojego działania:

• Zebranie podstawy prawnej: zgoda marketingowa na wykorzystanie danych kontaktowych w celach reklamowych musi istnieć niezależnie od tego, jak Google przetwarza plik.
• Poprawny format pliku: nagłówki kolumn, normalizacja pól i hashowanie zgodne ze specyfikacją, bo błąd formatu odrzuca rekord jeszcze przed etapem dopasowania.
• Cykliczna aktualizacja listy: segment starzeje się razem z bazą, a lista sprzed roku dopasowuje się gorzej z każdym miesiącem.
• Decyzja o szyfrowaniu własnym kluczem: to świadomy wybór między prostotą wdrożenia a pełną kontrolą nad dostępem do danych.

Jeśli chcesz sprawdzić, w jakim wariancie działa dziś Twoje konto i czy listy w ogóle się odświeżają, to jeden z pierwszych punktów, które przechodzę podczas audytu konta Google Ads.

Na czym polega szyfrowanie danych własnym kluczem przed wysłaniem do Google?

Szyfrowanie własnym kluczem opiera się na szyfrowaniu kopertowym: klucz szyfrujący dane (DEK) szyfruje same rekordy, a klucz szyfrujący klucz (KEK) zabezpiecza ten pierwszy i pozostaje pod kontrolą reklamodawcy w Google Cloud Key Management Service. Google nie przechowuje klucza reklamodawcy.

Przygotowanie pliku przebiega w ustalonej kolejności i każdy krok ma znaczenie:

1. Sformatowanie pól PII - e-mail, telefon, imię, nazwisko, kod kraju i kod pocztowy sprowadzone do wymaganej postaci.
2. Hashowanie SHA-256 - zamiana każdego pola na skrót kryptograficzny.
3. Kodowanie Base64 - przygotowanie skrótu do bezpiecznego zapisu w pliku tekstowym.
4. Szyfrowanie kluczem DEK - algorytmem XChaCha20Poly1305, czyli szyfrem strumieniowym z uwierzytelnianiem.
5. Ponowne kodowanie Base64 - zapis zaszyfrowanej wartości w kolumnie wynikowej.
6. Dopisanie kolumn kontrolnych - plik wyjściowy zawiera dodatkowo pola encrypted_dek oraz kek_uri, po których system rozpoznaje sposób odszyfrowania.

Warunek wstępny jest jasny: potrzebujesz projektu w Google Cloud, ról Cloud KMS Admin oraz IAM Workload Identity Pool Admin, zainstalowanego narzędzia gcloud i pliku CSV z nagłówkami email, phone, first_name, last_name, zip_code, country_code. Konfiguracja obejmuje utworzenie pęku kluczy, puli tożsamości obciążeń i warunku atestacji, który sprawdza, że po klucz sięga konto usługi działające w środowisku CONFIDENTIAL_SPACE z podpisanym przez Google kodem.

Uważam, że w większości firm ten wariant jest przerostem formy nad treścią i warto go rozważać tylko wtedy, gdy dział prawny albo dział bezpieczeństwa realnie blokuje wgrywanie danych bez kontroli nad kluczem. Koszt wdrożenia to nie licencja, tylko czas kompetentnej osoby po stronie IT plus utrzymanie rotacji kluczy, którą w politykach Cloud KMS ustawia się zwykle w cyklu 365-dniowym. Widziałem projekty, w których ta konfiguracja rozstrzygnęła spór z działem compliance w tydzień zamiast w kwartał. Widziałem też takie, w których leżała nieużywana, bo nikt nie odświeżał pliku źródłowego.

Jak sprawdzić, czy confidential matching działa na koncie Google Ads?

Najprostszy dowód znajdziesz w interfejsie Google Ads: na stronie konwersji rozszerzonych pojawia się plakietka „Confidential matching”, która oznacza, że funkcja jest aktywna dla tego strumienia danych.

Dla list klientów status sprawdzisz w Google Ads Data Manager, w konfiguracji połączenia ze źródłem.

Kolejność weryfikacji, którą stosuję na kontach klientów:

1. Sprawdź plakietkę przy konwersjach rozszerzonych - jej brak zwykle oznacza, że sam mechanizm konwersji rozszerzonych nie został poprawnie skonfigurowany.
2. Otwórz połączenie w Data Managerze - zobacz, jakim kanałem wchodzą dane: plik z Cloud Storage, SFTP, HTTPS czy połączenie bezpośrednie.
3. Sprawdź mapowanie kolumn - przy szyfrowaniu własnym kluczem w mapowaniu muszą być widoczne pola encrypted_dek i kek_uri.
4. Zajrzyj w statystyki segmentu - liczba dopasowanych użytkowników i data ostatniego odświeżenia mówią więcej niż sam status połączenia.
5. Skonfrontuj z logami po swojej stronie - jeśli włączyłeś logi audytowe dla IAM, KMS i STS, masz zapis każdego sięgnięcia po klucz.

To dokładnie ten fragment konfiguracji, który sprawdzam, zanim zacznę oceniać wyniki kampanii opartych na danych własnych - segment z zerowym odświeżaniem potrafi udawać, że działa, przez wiele miesięcy. Jeśli chcesz zobaczyć, jak takie segmenty wpinają się w szerszą architekturę kierowania, opisuję ją w materiale o tym, jak działają listy odbiorców i targetowanie w Google Ads.

Co confidential matching zmienia w rozmowie o RODO?

Confidential matching wzmacnia warstwę zabezpieczeń technicznych i organizacyjnych, ale nie tworzy podstawy prawnej przetwarzania ani nie zwalnia z obowiązku informacyjnego. Zgoda marketingowa, zapisy w polityce prywatności i umowa powierzenia zostają po stronie reklamodawcy.

Ta różnica bywa myląca, bo słowo „poufne” brzmi jak odpowiedź na wszystkie pytania działu prawnego. W praktyce artykuł 32 RODO mówi o odpowiednich środkach technicznych, a nie o legalizacji przetwarzania. Poufne dopasowanie jest mocnym argumentem w ocenie ryzyka i w dokumentacji rozliczalności. Nie jest argumentem na to, że można wgrać bazę zebraną bez zgody.

Warstwa zgód pozostaje osobnym projektem i to ona najczęściej blokuje wykorzystanie danych własnych. Jak ułożyć ją poprawnie po stronie strony internetowej, opisuję w tekście o tym, czym jest Consent Mode v2 w Google Ads.

Czy confidential matching poprawia współczynnik dopasowania listy?

Nie poprawia. Poufne dopasowanie zmienia miejsce i sposób przetwarzania, natomiast liczba rekordów, które da się połączyć z kontem Google, zależy od jakości danych i od tego, czy klient w ogóle korzysta z usług Google na tym samym adresie.

Warto rozłożyć ten spadek na czynniki pierwsze, bo w większości kont wygląda podobnie. Poniżej kaskada z jednego z audytowanych sklepów z artykułami dla zwierząt, na eksporcie z CRM obejmującym 42 800 rekordów: 6 340 rekordów odpadło z braku zgody marketingowej, 3 120 z powodu błędnego formatu telefonu lub adresu, a 5 900 nie znalazło pary po stronie Google. Do segmentu weszło ostatecznie 27 440 użytkowników, czyli 64,1% wejściowej bazy.

Wniosek z tej kaskady jest niewygodny dla marketingu: dwie z trzech strat powstały poza Google. Zgody i formaty to procesy wewnętrzne, na które masz pełny wpływ. Trzecia strata, czyli brak pary po stronie Google, jest zależna od zachowania klientów i tu przestrzeń manewru kończy się szybko.

Przy okazji przypomnienie o progu, który wraca w każdym wdrożeniu: dokumentacja Google Ads zaleca listę odbiorców liczącą co najmniej 100 użytkowników, a reklamy wyświetlają się dopiero wtedy, gdy w momencie emisji liczba aktywnych użytkowników z listy przekracza minimalny próg. Baza kilkuset rekordów po odsianiu zgód i formatów potrafi zejść poniżej tego poziomu.

Jakie błędy najczęściej psują dopasowanie danych własnych?

Najczęstszy błąd to wysłanie pliku z danymi w formacie niezgodnym ze specyfikacją: numer telefonu bez prefiksu kraju, adres e-mail z wielkimi literami lub spacją na końcu, kod pocztowy z myślnikiem tam, gdzie system oczekuje ciągu cyfr.

Rekord odpada wtedy przed etapem dopasowania, cicho i bez komunikatu w interfejsie.

Lista rzeczy, które psują wynik w kolejności, w jakiej spotykam je na kontach:

• Podwójne hashowanie: ktoś hashuje dane w narzędziu do eksportu, a potem system wgrywający robi to drugi raz. Skrót skrótu nie pasuje do niczego.
• Mieszanie danych zahashowanych i jawnych w jednej kolumnie: zdarza się przy sklejaniu eksportów z dwóch systemów CRM.
• Brak filtra zgód na etapie eksportu: wgrywanie całej bazy „bo i tak Google odsieje” jest błędem procesowym, nie technicznym.
• Wgranie listy raz i zapomnienie o niej: segment starzeje się i po kilku kwartałach kieruje reklamy do klientów, którzy dawno odeszli.
• Ignorowanie kodu kraju: przy sklepach sprzedających za granicę brak pola z krajem obniża dopasowanie numerów telefonów najbardziej ze wszystkich pojedynczych błędów.
• Rotacja klucza bez aktualizacji konfiguracji: przy wariancie z własnym kluczem zmiana w Cloud KMS bez poprawienia kek_uri zatrzymuje odświeżanie listy.

Jeśli rozpoznajesz u siebie choćby dwa punkty z tej listy, problemem nie jest technologia dopasowania, tylko proces po stronie firmy - i to jest rozmowa, którą warto odbyć, zanim zaczniesz planować kolejne kampanie na danych własnych.

Czego confidential matching nie rozwiązuje?

Confidential matching zabezpiecza moment dopasowania danych, ale nie dotyka reszty łańcucha pomiarowego: nie odzyskuje sygnału utraconego przez brak zgody na pliki cookie, nie zastępuje modelowania konwersji i nie ma wpływu na to, jak kampania licytuje.

To wąski, precyzyjny mechanizm, a nie strategia danych.

Granice, o których warto pamiętać przy planowaniu:

• Nie dotyczy ruchu anonimowego: użytkownik, który nie zostawił żadnych danych kontaktowych, nie trafi do listy niezależnie od mechanizmu dopasowania.
• Nie zastępuje warstwy zgód: ograniczenia wynikające z odmowy zgody na pliki cookie działają wcześniej, na etapie zbierania danych.
• Nie jest pokojem czystym danych: nie umożliwia analizy na połączonych zbiorach, a jedynie znajduje część wspólną i zwraca segment.
• Nie zmienia zasad retencji: okresy przechowywania segmentów i konwersji ustawiasz osobno w konfiguracji konta.
• Nie jest tym samym co Privacy Sandbox: Sandbox dotyczy przeglądarki i sygnałów bez identyfikatorów, a poufne dopasowanie działa na danych, które użytkownik świadomie podał firmie.

Ostatni punkt bywa mylony najczęściej. Poufne dopasowanie i technologie przeglądarkowe rozwiązują dwa różne problemy i nie zastępują się nawzajem, co szerzej rozkładam w tekście o tym, czym są Privacy Sandbox i cookieless tracking. Uważam, że mylenie tych dwóch warstw jest dziś najczęstszą przyczyną złych decyzji budżetowych w projektach pomiarowych.

Podsumowanie

Confidential matching przenosi ochronę danych własnych z poziomu obietnicy umownej na poziom mechanizmu, który da się sprawdzić kryptograficznie.

Dla reklamodawcy w wariancie podstawowym nie zmienia się nic operacyjnie: funkcja jest włączona domyślnie, bezpłatna i obejmuje Customer Match oraz konwersje rozszerzone. Zmienia się natomiast treść odpowiedzi, jakiej można udzielić działowi prawnemu.

Przestań traktować poufne dopasowanie jak funkcję do włączenia. Zacznij postrzegać je jako argument, który odblokowuje projekt danych własnych w firmach, gdzie dotąd blokował go brak dowodu technicznego. Sama technologia nie doda Ci ani jednego dopasowanego rekordu - robi to jakość bazy, dyscyplina zgód i harmonogram odświeżania listy.

Praktyczna kolejność działań wygląda tak: najpierw uporządkuj zgody i format eksportu, potem ustaw cykliczne odświeżanie segmentu, a dopiero na końcu rozważ wariant z własnym kluczem, jeśli wymaga tego dział bezpieczeństwa. Odwrotna kolejność kończy się elegancką konfiguracją Cloud KMS nad pustą listą. Warto też co kwartał sprawdzić, czy segmenty faktycznie się odświeżają, bo to jedyny sygnał, który mówi prawdę o całym procesie.

Ten wpis należy do obszaru Pomiar i analityka - zobacz pozostałe teksty z tego obszaru albo wróć do bazy wiedzy Google Ads.

Samodzielny Specjalista Google Ads

Artur Smolicki

Od ponad 15 lat specjalizuję się w przygotowaniu, wdrożeniu i optymalizacji kampanii Google Ads. W 2024 roku uzyskałem status Google Premier Partner dla 3% najlepszych specjalistów i agencji w Polsce. Prowadzę kampanie reklamowe na 29 rynkach zagranicznych, tak dla segmentu e-commerce jak i B2B.

Współpraca →Poznaj mnie →