Что на самом деле представляет собой Целевая группа EDPB по баннерам cookie

Целевая группа — это координирующий орган, а не самостоятельный регулятор. Она была создана в соответствии со статьёй 70 GDPR, которая уполномочивает EDPB содействовать сотрудничеству между национальными органами по защите данных по вопросам общего интереса. Триггером стала кампания жалоб, поданных noyb — правозащитной группой Макса Шремса по приватности — против сотен веб-сайтов по всему ЕС. Поскольку эти жалобы затрагивали органы почти в каждом государстве-члене, EDPB решил создать единый форум, где органы могли бы сравнивать заметки и прийти к общей аналитической схеме. Результаты работы целевой группы принимают форму отчётов, документирующих, какие дизайнерские решения считаются нарушениями требований к согласию, организованных по категориям.

Эта структура важна на практике. Отчёты не являются обязательными так, как обязательны регламент или национальный штраф, но они описывают консенсусную позицию каждого европейского органа. Когда национальный орган открывает расследование, он может — и всё чаще делает это — указать на выводы целевой группы как на доказательство того, что спорный паттерн баннера уже был признан несоответствующим более широким регуляторным сообществом. Для издателей практический эффект заключается в том, что любой баннер, прошедший проверку по критериям целевой группы, защитим по всему ЕС. Любой баннер, не прошедший этих критериев, уязвим везде одновременно.

Шесть категорий, на которых сосредоточена целевая группа

Целевая группа группирует свои выводы в шесть пересекающихся проблемных областей. Каждая из них соответствует паттерну дизайна, который неоднократно возникал в жалобах noyb и который органы коллективно отметили как нарушение.

1. Нет кнопки отказа на первом слое

Самый цитируемый вывод в отчётах. Если посетитель видит кнопку «Принять всё» на исходном баннере, но не видит эквивалентной кнопки «Отклонить всё», выбор не является свободно данным. Опции принятия и отклонения должны быть представлены с равной заметностью на одном слое. Закапывание пути отказа за ссылкой «Управлять предпочтениями» — самый распространённый паттерн в действиях по правоприменению сегодня.

2. Предварительно отмеченные флажки

Предварительный выбор согласия для любой неосновной категории — даже одной — аннулирует всю запись согласия в соответствии с Декларативным пунктом 32 GDPR. Целевая группа рассматривает это как нарушение само по себе. Современные CMP поставляются с этим отключённым по умолчанию, но устаревшие реализации и самодельные баннеры часто всё ещё предварительно отмечают категории аналитики или маркетинга.

3. Обманчивый дизайн ссылок

Называть путь отказа «Дополнительная информация» или оформлять его как текстовую ссылку с низким контрастом, пока кнопка принятия — высококонтрастный цветной блок, создаёт дисбаланс, который целевая группа считает обманчивым паттерном дизайна. Средство простое: совпадающая жирность шрифта, контраст цвета и оформление кнопок между принятием и отклонением.

4. Неверная классификация cookie как «основных»

Некоторые операторы пытались полностью избежать требования согласия, переименовывая аналитические, рекламные или социальные cookie в строго необходимые. Целевая группа была однозначна: cookie является основным, только если веб-сайт не может функционировать без него с точки зрения пользователя. Аналитика, A/B-тестирование, реклама и cookie персонализации не квалифицируются. Неправильная маркировка сама по себе является нарушением, независимым от лежащего в основе отслеживания.

5. Нет механизма отзыва

Согласие должно быть так же легко отозвать, как и дать. Баннер, принимающий согласие одним кликом, но заставляющий пользователей проходить многоэтапное меню настроек для его отзыва, не проходит этот тест. Целевая группа специально требует постоянного элемента управления — обычно плавающего значка или ссылки в подвале — который возвращает посетителя на исходную поверхность согласия.

6. Дизайн баннера, скрывающий выбор

Это самая широкая и самая субъективная категория. Она включает оверлеи, блокирующие содержимое страницы до предоставления согласия, баннеры, чья кнопка отказа находится ниже сгиба, цветовые схемы, делающие путь отказа почти невидимым, и анимации, отвлекающие внимание от выбора. Общая нить в том, что дизайн подталкивает пользователя к принятию, а не представляет нейтральный выбор.

Что это означает для правоприменения

Целевая группа не налагает штрафы. Это делают национальные органы. Но поскольку каждый европейский орган подписался под анализом целевой группы, риск правоприменения по этим конкретным паттернам теперь единообразен по всему ЕС. CNIL во Франции выпустила крупнейшую серию штрафов, связанных с cookie, на сегодняшний день, но итальянский Garante, испанский AEPD, немецкие органы уровня земель и ирландский DPC — все открыли расследования, ссылаясь на рассуждения, согласующиеся с целевой группой. Даже британский ICO, который находится вне европейского регуляторного периметра, опубликовал руководство, тесно отражающее категории целевой группы.

Что эта конвергенция означает на практике, так это то, что издатели больше не могут рассматривать соответствие как упражнение по странам. Аудит баннера следует оценивать по категориям целевой группы как единому контрольному списку. Если баннер не проходит по любой из шести, риск — это не один орган, а вся европейская надзорная сеть.

Практический контрольный список аудита

Самый быстрый способ привести существующий баннер в соответствие — прогнать его по категориям выше и ответить на каждый пункт документированным да или нет. Вопросы намеренно конкретны.

• Баланс первого слоя. Предлагает ли исходный баннер явную кнопку «Отклонить всё» или «Продолжить без принятия» на той же поверхности, что и «Принять всё», со сравнимым оформлением?
• Состояние по умолчанию. Все ли переключатели неосновных категорий установлены в выключенное состояние по умолчанию в представлении предпочтений?
• Ясность ссылки. Помечен ли путь отказа глаголом, описывающим действие (например, «Отклонить всё», «Отказаться от неосновных»), а не двусмысленной фразой вроде «Дополнительные опции» или «Настройки»?
• Классификация cookie. Проверили ли вы, что каждый cookie, указанный как «строго необходимый», действительно требуется для функционирования сайта, а не для аналитики, рекламы или удобства?
• Доступ к отзыву. Есть ли постоянный элемент UI на каждой странице, который снова открывает баннер согласия, с числом кликов не большим, чем требовалось исходное принятие?
• Нет тёмных паттернов. Избегает ли баннер цветовых, размерных или анимационных решений, создающих значимый визуальный дисбаланс между принятием и отклонением?

Баннер, дающий шесть чётких «да» по этому контрольному списку, защитим против текущего правоприменения, согласующегося с целевой группой. Баннер, дающий хотя бы одно «нет», следует рассматривать как проект исправления, а не задачу обслуживания.

Куда движется целевая группа дальше

Опубликованные отчёты охватывают паттерны, вызвавшие исходную волну жалоб. Текущая работа целевой группы — видимая через периодические обновления, выпускаемые EDPB — теперь продвигается в более сложную, менее устоявшуюся территорию. Три области, вероятно, определят следующий раунд руководства.

Модели «плати или соглашайся»

Решение нескольких крупных европейских издателей предложить посетителям бинарный выбор между оплатой подписки и согласием на отслеживание привлекло явное внимание. EDPB издал заключение в 2024 году, ставя под вопрос, может ли такой выбор считаться свободно данным, когда альтернатива — платный доступ. Ожидается, что целевая группа опубликует скоординированные критерии того, когда «плати или соглашайся» допустимо, а когда переходит в принуждение.

Усталость от согласия и гранулярность

Высокогранулярные поверхности согласия по вендорам, подобные тем, что генерирует IAB TCF, критиковались как порождающие усталость от согласия и в конечном счёте не «информированные» в смысле GDPR. Будущее руководство целевой группы, вероятно, будет подталкивать к элементам управления на уровне категорий, а не на уровне вендоров на первом слое, с раскрытием на уровне вендоров, доступным, но не требуемым для исходного действительного согласия.

Мобильные и Connected-TV поверхности

Большая часть ранней работы целевой группы фокусировалась на веб-баннерах. Мобильные внутриприложенческие потоки согласия и интерфейсы Connected-TV имеют другие дизайнерские ограничения и пока не были предметом подробных выводов. Издателям, работающим на этих поверхностях, следует ожидать скоординированного руководства в течение следующих 12-18 месяцев и не предполагать, что соответствующий веб-баннер автоматически переносится.

Сведение воедино

Целевая группа сделала то, чего сам GDPR не мог: она произвела единое, операционное толкование того, как выглядит согласие на практике по всему Европейскому союзу. Для издателей урок в том, что эра шопинга по юрисдикциям или опоры на слабое национальное правоприменение окончена. Правильный ответ — относиться к категориям целевой группы как к обязательному внутреннему стандарту, проверять существующие баннеры по ним и настраивать инфраструктуру управления согласием так, чтобы категории применялись на уровне платформы, а не оставлялись на постраничную реализацию. Современная CMP, чисто отображающаяся на шесть категорий — сбалансированные кнопки первого слоя, переключатели, по умолчанию выключенные, простые языковые метки отказа, точная классификация cookie, постоянный доступ к отзыву и нейтральный дизайн — превращает уязвимую позицию соответствия в защитимую одновременно на каждом европейском рынке.