Обещание «баннер не нужен»

Инструменты аналитики, ориентированные на приватность, часто позиционируют себя как не использующие cookie, а некоторые идут дальше и намекают, что баннер согласия вам больше не нужен. Для издателя с лёгким стеком это привлекательная идея. Реальность тоньше. Нужно ли согласие, зависит от того, что инструмент на самом деле делает на устройстве, какие данные обрабатывает, где находятся ваши пользователи и что ещё работает на ваших страницах.

В этой статье объясняются вопросы, которые стоит задать, прежде чем исключать аналитику из настройки согласия. Это общее руководство, а не юридическая консультация.

Cookie — не единственный триггер

В ЕС правило о согласии для устройств вытекает из статьи 5(3) Директивы ePrivacy. Она охватывает хранение информации на устройстве пользователя или доступ к информации с него — не только cookie. Локальное хранилище, хранилище сессии, пиксели, вызывающие чтение информации, и методы, получающие идентификаторы из характеристик устройства, — всё это может подпадать под неё. Европейский совет по защите данных изложил это широкое толкование в своих Руководящих принципах 2/2023 о техническом охвате статьи 5(3).

Поэтому «мы не устанавливаем cookie» — это начало анализа, а не его конец. Нужно знать, хранит ли инструмент или читает ли он что-либо на устройстве вообще.

Четыре вопроса к любому инструменту аналитики

1. Хранит ли он или читает что-либо на устройстве?

Проверьте панели хранилищ браузера после загрузки страницы: cookie, локальное хранилище, хранилище сессии, IndexedDB. Проверьте в скрипте код, собирающий характеристики устройства для построения идентификатора. Если что-либо хранится или читается в целях аналитики, правило ePrivacy вступает в действие, если не применяется исключение.

2. Обрабатывает ли он персональные данные?

Даже без хранения на устройстве аналитика обычно обрабатывает IP-адреса, user agent и URL страниц. По GDPR они могут быть персональными данными. Для этого нужно правовое основание — им может быть законный интерес, а не согласие, — а также прозрачность в уведомлении о конфиденциальности, минимизация данных и подходящие сроки хранения. «Без баннера» никогда не означает «без обязательств».

3. Применяется ли исключение в странах ваших пользователей?

Некоторые регуляторы признают, что ограниченное измерение аудитории может быть освобождено от согласия при соблюдении строгих условий. Французская CNIL опубликовала условия освобождения трекеров измерения аудитории и ведёт программу, определяющую инструменты, которые можно настроить в соответствии с ними. Условия, как правило, включают строго first-party использование, только агрегированную статистику, отсутствие отслеживания между сайтами и ограниченное хранение. Закон Великобритании Data (Use and Access) Act 2025 ввёл новые исключения из требования о согласии по PECR, в том числе для определённых статистических целей, при условиях вроде ясной информации и возможности возразить. Не все страны придерживаются одного взгляда, поэтому проверьте позицию в каждом обслуживаемом вами рынке и то, какие положения действуют.

4. Передаются ли данные кому-либо ещё?

Если инструмент отправляет данные вендору, который использует их в своих целях или объединяет данные разных клиентов, исключения, как правило, перестают действовать. Читайте условия обработки, а не только маркетинговую страницу.

Что обычно по-прежнему требует согласия

• Рекламные теги. Издателям с рекламной моделью требуется согласие на персонализированную рекламу и на хранение на устройстве рекламными вендорами, что бы ни делал их инструмент аналитики.
• Инструменты с идентификаторами между сессиями. Постоянные идентификаторы посетителей, даже first-party, как правило, выводят инструмент за рамки большинства исключений.
• Запись сессий и тепловые карты. Они фиксируют подробное поведение и редко считаются освобождённым измерением.
• Встроенный контент и социальные виджеты. Они устанавливают собственные cookie и идентификаторы.
• Пиксели конверсий и ремаркетинга. Они существуют, чтобы связывать поведение с рекламой.

Для большинства сайтов с рекламной моделью баннер требуется для рекламного стека в любом случае. Настоящий вопрос в том, должна ли аналитика входить в число блокируемых категорий или может работать независимо в рамках узкого исключения.

Практический способ принять решение

1. Перечислите все скрипты аналитики и что каждый хранит, читает и отправляет.
2. Определите страны, где находится большинство ваших пользователей.
3. Для каждого инструмента проверьте, соответствует ли его конфигурация исключению, признаваемому в этих странах.
4. Настройте инструмент по самому строгому нужному вам варианту: усечение IP, без постоянных идентификаторов, короткое хранение, без передачи данных.
5. Задокументируйте обоснование и в любом случае оставляйте инструмент аналитики в списке политики cookie и уведомления о конфиденциальности.
6. Перепроверяйте, когда вендор меняет продукт или меняются ваши рынки.

Аналитика с исключением вместе с CMP

Если вы решили, что инструмент подходит, укажите его в CMP как строго необходимый или освобождённый, чтобы он раскрывался, но не блокировался, и следите, чтобы его конфигурация оставалась в рамках исключения. Многие издатели также сохраняют зависящую от согласия настройку аналитики для более полного измерения и используют Google Consent Mode v2 или аналогичные сигналы, чтобы корректировать её в зависимости от выбора пользователя. FlexyConsent поддерживает Google Consent Mode v2 наряду с IAB TCF 2.4 и IAB GPP v1.1.

Главные выводы

• «Без cookie» не означает автоматически «согласие не нужно»; статья 5(3) охватывает любое хранение на устройстве или доступ к нему.
• Аналитика без хранения на устройстве всё равно может обрабатывать персональные данные и требует правового основания и прозрачности.
• Исключения для измерения аудитории существуют в некоторых странах, но сопровождаются строгими условиями.
• Рекламные теги, запись сессий и ремаркетинг по-прежнему требуют согласия.
• Документируйте, почему инструмент считается освобождённым, и регулярно перепроверяйте.