Абяцанне «банер не патрэбны»

Інструменты аналітыкі, арыентаваныя на прыватнасць, часта пазіцыянуюць сябе як тыя, што не выкарыстоўваюць cookie, а некаторыя ідуць далей і намякаюць, што банер згоды вам больш не патрэбны. Для выдаўца з лёгкім стэкам гэта прывабная ідэя. Рэальнасць тонкая. Ці патрэбна згода, залежыць ад таго, што інструмент насамрэч робіць на прыладзе, якія даныя апрацоўвае, дзе знаходзяцца вашы карыстальнікі і што яшчэ працуе на вашых старонках.

У гэтым артыкуле тлумачацца пытанні, якія варта задаць, перш чым выключаць аналітыку з налады згоды. Гэта агульнае кіраўніцтва, а не юрыдычная кансультацыя.

Cookie — не адзіны трыгер

У ЕС правіла пра згоду для прылад вынікае з артыкула 5(3) Дырэктывы ePrivacy. Яно ахоплівае захоўванне інфармацыі на прыладзе карыстальніка або доступ да інфармацыі з яе — не толькі cookie. Лакальнае сховішча, сховішча сесіі, пікселі, што выклікаюць чытанне інфармацыі, і метады, што атрымліваюць ідэнтыфікатары з характарыстык прылады, — усё гэта можа падпадаць пад яго. Еўрапейская рада па абароне даных выклала гэта шырокае тлумачэнне ў сваіх Рэкамендацыях 2/2023 пра тэхнічны ахоп артыкула 5(3).

Таму «мы не ўсталёўваем cookie» — гэта пачатак аналізу, а не яго канец. Трэба ведаць, ці захоўвае інструмент або чытае штосьці на прыладзе наогул.

Чатыры пытанні да любога інструмента аналітыкі

1. Ці захоўвае ён або чытае штосьці на прыладзе?

Праверце панэлі сховішчаў браўзера пасля загрузкі старонкі: cookie, лакальнае сховішча, сховішча сесіі, IndexedDB. Праверце ў скрыпце код, што збірае характарыстыкі прылады для пабудовы ідэнтыфікатара. Калі нешта захоўваецца або чытаецца ў мэтах аналітыкі, правіла ePrivacy ўступае ў дзеянне, калі не прымяняецца выключэнне.

2. Ці апрацоўвае ён персанальныя даныя?

Нават без захоўвання на прыладзе аналітыка звычайна апрацоўвае IP-адрасы, user agent і URL старонак. Паводле GDPR яны могуць быць персанальнымі данымі. Для гэтага патрэбна прававая падстава — ёю можа быць законны інтарэс, а не згода, — а таксама празрыстасць у паведамленні пра канфідэнцыйнасць, мінімізацыя даных і адпаведныя тэрміны захоўвання. «Без банера» ніколі не азначае «без абавязацельстваў».

3. Ці прымяняецца выключэнне ў краінах вашых карыстальнікаў?

Некаторыя рэгулятары прызнаюць, што абмежаванае вымярэнне аўдыторыі можа быць вызвалена ад згоды пры выкананні строгіх умоў. Французская CNIL апублікавала ўмовы вызвалення трэкераў вымярэння аўдыторыі і вядзе праграму, што вызначае інструменты, якія можна наладзіць у адпаведнасці з імі. Умовы, як правіла, уключаюць выключна first-party выкарыстанне, толькі агрэгаваную статыстыку, адсутнасць адсочвання паміж сайтамі і абмежаванае захоўванне. Закон Вялікабрытаніі Data (Use and Access) Act 2025 увёў новыя выключэнні з патрабавання пра згоду паводле PECR, у тым ліку для пэўных статыстычных мэт, пры ўмовах накшталт выразнай інфармацыі і магчымасці запярэчыць. Не ўсе краіны прытрымліваюцца аднолькавага погляду, таму праверце пазіцыю ў кожным абслугоўваным вамі рынку і тое, якія палажэнні дзейнічаюць.

4. Ці перадаюцца даныя камусьці яшчэ?

Калі інструмент адпраўляе даныя вендару, які выкарыстоўвае іх у сваіх мэтах або аб'ядноўвае даныя розных кліентаў, выключэнні, як правіла, перастаюць дзейнічаць. Чытайце ўмовы апрацоўкі, а не толькі маркетынгавую старонку.

Што звычайна ўсё яшчэ патрабуе згоды

• Рэкламныя тэгі. Выдаўцам з рэкламнай мадэллю патрэбна згода на персаналізаваную рэкламу і на захоўванне на прыладзе рэкламнымі вендарамі, што б ні рабіў іх інструмент аналітыкі.
• Інструменты з ідэнтыфікатарамі паміж сесіямі. Пастаянныя ідэнтыфікатары наведвальнікаў, нават first-party, як правіла, вывадзяць інструмент за межы большасці выключэнняў.
• Запіс сесій і цеплавыя карты. Яны фіксуюць падрабязныя паводзіны і рэдка лічацца вызваленым вымярэннем.
• Убудаваны кантэнт і сацыяльныя віджэты. Яны ўсталёўваюць уласныя cookie і ідэнтыфікатары.
• Пікселі канверсій і рэмаркетынгу. Яны існуюць, каб звязваць паводзіны з рэкламай.

Для большасці сайтаў з рэкламнай мадэллю банер патрэбны для рэкламнага стэку ў любым выпадку. Сапраўднае пытанне ў тым, ці павінна аналітыка ўваходзіць у лік блакаваных катэгорый, ці можа працаваць незалежна ў межах вузкага выключэння.

Практычны спосаб прыняць рашэнне

1. Пералічыце ўсе скрыпты аналітыкі і што кожны захоўвае, чытае і адпраўляе.
2. Вызначце краіны, дзе знаходзіцца большасць вашых карыстальнікаў.
3. Для кожнага інструмента праверце, ці адпавядае яго канфігурацыя выключэнню, што прызнаецца ў гэтых краінах.
4. Наладзьце інструмент па найстражэйшым патрэбным вам варыянце: усячэнне IP, без пастаянных ідэнтыфікатараў, кароткае захоўванне, без перадачы даных.
5. Задакументуйце абгрунтаванне і ў любым выпадку пакідайце інструмент аналітыкі ў спісе палітыкі cookie і паведамлення пра канфідэнцыйнасць.
6. Правярайце паўторна, калі вендар змяняе прадукт або змяняюцца вашы рынкі.

Аналітыка з выключэннем разам з CMP

Калі вы вырашылі, што інструмент падыходзіць, пазначце яго ў CMP як строга неабходны або вызвалены, каб ён раскрываўся, але не блакаваўся, і сачыце, каб яго канфігурацыя заставалася ў межах выключэння. Многія выдаўцы таксама захоўваюць залежную ад згоды наладу аналітыкі для больш поўнага вымярэння і выкарыстоўваюць Google Consent Mode v2 або падобныя сігналы, каб карэктаваць яе ў залежнасці ад выбару карыстальніка. FlexyConsent падтрымлівае Google Consent Mode v2 разам з IAB TCF 2.4 і IAB GPP v1.1.

Галоўныя высновы

• «Без cookie» не азначае аўтаматычна «згода не патрэбна»; артыкул 5(3) ахоплівае любое захоўванне на прыладзе або доступ да яго.
• Аналітыка без захоўвання на прыладзе ўсё роўна можа апрацоўваць персанальныя даныя і патрабуе прававой падставы і празрыстасці.
• Выключэнні для вымярэння аўдыторыі існуюць у некаторых краінах, але суправаджаюцца строгімі ўмовамі.
• Рэкламныя тэгі, запіс сесій і рэмаркетынг па-ранейшаму патрабуюць згоды.
• Дакументуйце, чаму інструмент лічыцца вызваленым, і рэгулярна правярайце паўторна.