Какво се случва без съгласие: Реални глоби и казуси
Мислите, че банерите за съгласие са незадължителни? Мислите, че прост cookie-известие е достатъчно? Регулаторите не са съгласни — и имат доказателства. От влизането в сила на GDPR през 2018 г. органите за защита на данните в Европа и по света са издали над 4,5 млрд. евро глоби. Много от тях бяха пряко свързани с неспазване на изискванията за валидно съгласие от страна на потребителя.
Ето реалните случаи, реалните числа и какво означават те за вашия бизнес.
Най-големите глоби, свързани със съгласие, в историята
Meta (Facebook/Instagram) -- Ирландия, 2023
Ирландската DPC установи, че Meta е прехвърлила данни на потребители от ЕС в САЩ без валидни правни механизми и без надлежно съгласие. Това остава най-голямата глоба, издавана по GDPR. Meta беше глобена и с 390 млн. евро през януари 2023 г. за принуждаване на потребителите да приемат персонализирана реклама като условие за използване на Facebook и Instagram — явно нарушение на изискването за „свободно дадено" съгласие.
Amazon -- Люксембург, 2021
Amazon беше глобена за обработване на лични данни с цел целева реклама без надлежно съгласие от потребителите. Люксембургският орган за защита на данните (CNPD) установи, че системата за таргетиране на реклами на Amazon не отговаря на изискванията за съгласие по GDPR.
Google -- Франция (CNIL), 2022
CNIL глоби Google, тъй като механизмът за съгласие с бисквитките на google.fr и youtube.com позволяваше приемането на всички бисквитки с едно щракване, но изискваше множество щраквания за отказ. Беше постановено, че този асиметричен дизайн — при който отказът е по-труден от приемането — представлява нарушение на принципа за „свободно дадено" съгласие.
TikTok -- Ирландия, 2023
TikTok беше глобена за обработване на лични данни на деца без достатъчно съгласие и мерки за прозрачност. DPC установи, че детските акаунти са зададени като публични по подразбиране и че настройките за поверителност на платформата не са достатъчно достъпни.
Criteo -- Франция (CNIL), 2023
Рекламно-технологичната компания беше глобена за събиране на данни за сърфиране на милиони потребители чрез проследяващи бисквитки без доказателство за получено валидно съгласие. CNIL установи, че Criteo не може да докаже валидна верига на съгласие от уебсайтовете, на които са поставени бисквитките.
Не само големи технологични компании: Глоби за малкия бизнес
Не мислете, че глобите са само за технологичните гиганти. Органите за защита на данните в Европа редовно налагат санкции на малки и средни предприятия за нарушения на изискванията за съгласие:
- Испанска AEPD: Редовно налага глоби от 2 000 до 60 000 евро на малки предприятия за поставяне на бисквитки без съгласие или за липса на политики за бисквитки.
- Италиански Garante: Глоби малък онлайн магазин с 20 000 евро за използване на Google Analytics без валидни механизми за прехвърляне на съгласие.
- Френска CNIL: Глоби здравен уебсайт с 150 000 евро за събиране на чувствителни данни чрез формуляри без изрично съгласие.
- Австрийска DSB: Постанови, че използването на Google Analytics без съгласие е незаконно, създавайки прецедент, засегнал хиляди предприятия.
- Белгийска DPA: Глоби IAB Europe с 250 000 евро за проблеми с низовете за съгласие на TCF, демонстрирайки, че самата рамка за съгласие подлежи на правоприлагане.
Отвъд глобите: Скритите разходи
Финансовите санкции са само върхът на айсберга. Реалните щети често включват:
- Репутационни вреди: Глобите по GDPR са публичен запис. Вашата марка се свързва с нарушения на поверителността в новинарски публикации и резултати от търсене.
- Загуба на приходи от реклами: Без сертифициран CMP Google може да ограничи показването на реклами в ЕИП. Издателите съобщават за спад в приходите с 30-70%, когато настройката им за съгласие не е в съответствие.
- Правни разходи: Защита срещу жалби, отговори на разследвания на DPA и преструктуриране на практиките за данни може да струва стотици хиляди в хонорари.
- Оперативни смущения: DPA могат да ви наредят да спрете изцяло обработването на данни до постигане на съответствие — ефективно спирайки онлайн бизнеса ви.
- Риск от колективни искове: GDPR позволява колективни правни действия. Потребителски организации в Австрия, Франция и Германия са завели колективни искове срещу компании за нарушения на съгласието.
Най-честите грешки при съгласие, водещи до глоби
- Предварително отбелязани полета за съгласие: GDPR изрично забранява това. Съгласието трябва да е утвърдително действие.
- Cookie walls: Блокирането на достъпа до съдържание, освен ако потребителите не приемат всички бисквитки, не е „свободно дадено" съгласие.
- Асиметрични бутони: Открояването на „Приемам", докато „Отказвам" е скрит или минимизиран, нарушава принципа за свободно дадено съгласие.
- Обединено съгласие: Комбинирането на съгласие за множество цели в едно действие „Приемам" лишава потребителите от конкретния избор, на който имат право.
- Липса на механизъм за оттегляне: Ако потребителите не могат лесно да променят или оттеглят съгласието си, цялото събиране на съгласие е невалидно.
- Липсващи записи за съгласие: Без времеви печати, показващи кой е дал съгласие, кога и за какво, не можете да докажете съответствие по време на одит.
- Проследяване преди съгласие: Зареждането на анализи, рекламни пиксели или маркетингови скриптове преди потребителят да направи избор е най-честото — и най-лесно откривано — нарушение.
Как регулаторите откриват неспазването
Органите за защита на данните не чакат само жалби. Те активно сканират уебсайтове с автоматизирани инструменти, които откриват:
- Бисквитки, задавани преди каквото и да е взаимодействие за съгласие
- Липсващи или непълни банери за съгласие
- Невалидни или изтекли низове за съгласие
- Скриптове за проследяване, активирани преди да е записано съгласие
- Асиметрични дизайни на банери, благоприятстващи приемането
Например CNIL (Франция) е сканирала хиляди уебсайтове и е издала десетки глоби единствено въз основа на автоматично откриване — без каквато и да е жалба от потребител.
Как изглежда правилното съгласие през 2026 г.
За да избегнете глоби и да защитите бизнеса си, вашата реализация на съгласието трябва да:
- Блокира всички несъществени бисквитки и скриптове до даване на изрично съгласие
- Осигурява еднакво визуално тегло на опциите за приемане и отказване
- Позволява детайлен избор по категория бисквитки (анализи, маркетинг, функционални)
- Съхранява записи за съгласие с времеви печати и идентификатори на потребителите
- Поддържа IAB TCF 2.3 за програматична реклама
- Интегрира Google Consent Mode V2 за съвместимо рекламно показване
- Позволява лесно оттегляне на съгласие по всяко време
- Показва на езика на потребителя
Как FlexyConsent ви защитава
FlexyConsent е създаден специално за предотвратяване на описаните по-горе нарушения:
- Автоматично блокиране на скриптове: Никакво проследяване не се активира до дадено съгласие
- Съвместим дизайн на банера: Равни бутони за приемане/отказване, без тъмни шаблони
- Готови за одит записи: Всяко решение за съгласие се записва с времеви печати
- Google Certified CMP: Отговаря на изискванията на Google за рекламно показване в ЕИП
- IAB TCF 2.3: Валидни низове за съгласие за програматична реклама
- Consent Mode V2: Нативна интеграция с Google за непрекъснатост на измерванията
- 43 езика: Автоматична локализация за глобални посетители
- Гео-таргетиране: Регионално подходящи банери за GDPR, CCPA, LGPD и други