Обіцянка «банер не потрібен»

Інструменти аналітики, орієнтовані на приватність, часто позиціонують себе як такі, що не використовують cookie, а деякі йдуть далі й натякають, що банер згоди вам більше не потрібен. Для видавця з легким стеком це приваблива ідея. Реальність тонша. Чи потрібна згода, залежить від того, що інструмент насправді робить на пристрої, які дані обробляє, де перебувають ваші користувачі та що ще працює на ваших сторінках.

У цій статті пояснюються запитання, які варто поставити, перш ніж виключати аналітику з налаштування згоди. Це загальний посібник, а не юридична консультація.

Cookie — не єдиний тригер

У ЄС правило про згоду для пристроїв випливає зі статті 5(3) Директиви ePrivacy. Вона охоплює зберігання інформації на пристрої користувача чи доступ до інформації з нього — не лише cookie. Локальне сховище, сховище сесії, пікселі, що спричиняють читання інформації, та методи, що отримують ідентифікатори з характеристик пристрою, — усе це може підпадати під неї. Європейська рада із захисту даних виклала це широке тлумачення у своїх Настановах 2/2023 щодо технічного охоплення статті 5(3).

Тому «ми не встановлюємо cookie» — це початок аналізу, а не його кінець. Потрібно знати, чи зберігає інструмент або читає щось на пристрої взагалі.

Чотири запитання до будь-якого інструмента аналітики

1. Чи зберігає він або читає щось на пристрої?

Перевірте панелі сховищ браузера після завантаження сторінки: cookie, локальне сховище, сховище сесії, IndexedDB. Перевірте в скрипті код, що збирає характеристики пристрою для побудови ідентифікатора. Якщо щось зберігається або читається для цілей аналітики, правило ePrivacy вступає в дію, якщо не застосовується виняток.

2. Чи обробляє він персональні дані?

Навіть без зберігання на пристрої аналітика зазвичай обробляє IP-адреси, user agent і URL сторінок. За GDPR вони можуть бути персональними даними. Для цього потрібна правова підстава — нею може бути законний інтерес, а не згода, — а також прозорість у повідомленні про конфіденційність, мінімізація даних і відповідні строки зберігання. «Без банера» ніколи не означає «без зобов’язань».

3. Чи застосовується виняток у країнах ваших користувачів?

Деякі регулятори визнають, що обмежене вимірювання аудиторії може бути звільнене від згоди за дотримання суворих умов. Французька CNIL опублікувала умови звільнення трекерів вимірювання аудиторії та веде програму, що визначає інструменти, які можна налаштувати відповідно до них. Умови, як правило, включають суто first-party використання, лише агреговану статистику, відсутність відстеження між сайтами та обмежене зберігання. Закон Великої Британії Data (Use and Access) Act 2025 запровадив нові винятки з вимоги про згоду за PECR, зокрема для певних статистичних цілей, за умов на кшталт чіткої інформації та можливості заперечити. Не всі країни дотримуються однакового погляду, тож перевірте позицію в кожному обслуговуваному вами ринку та те, які положення діють.

4. Чи передаються дані комусь іще?

Якщо інструмент надсилає дані вендору, який використовує їх у власних цілях або об’єднує дані різних клієнтів, винятки, як правило, перестають діяти. Читайте умови обробки, а не лише маркетингову сторінку.

Що зазвичай і далі потребує згоди

• Рекламні теги. Видавцям із рекламною моделлю потрібна згода на персоналізовану рекламу та на зберігання на пристрої рекламними вендорами, що б не робив їхній інструмент аналітики.
• Інструменти з ідентифікаторами між сесіями. Постійні ідентифікатори відвідувачів, навіть first-party, як правило, виводять інструмент за межі більшості винятків.
• Запис сесій і теплові карти. Вони фіксують детальну поведінку й рідко вважаються звільненим вимірюванням.
• Вбудований контент і соціальні віджети. Вони встановлюють власні cookie та ідентифікатори.
• Пікселі конверсій та ремаркетингу. Вони існують, щоб пов’язувати поведінку з рекламою.

Для більшості сайтів із рекламною моделлю банер потрібен для рекламного стеку в будь-якому разі. Справжнє питання в тому, чи має аналітика входити до блокованих категорій, чи може працювати незалежно в межах вузького винятку.

Практичний спосіб ухвалити рішення

1. Перелічіть усі скрипти аналітики та що кожен зберігає, читає й надсилає.
2. Визначте країни, де перебуває більшість ваших користувачів.
3. Для кожного інструмента перевірте, чи відповідає його конфігурація винятку, що визнається в цих країнах.
4. Налаштуйте інструмент за найсуворішим потрібним вам варіантом: усічення IP, без постійних ідентифікаторів, коротке зберігання, без передавання даних.
5. Задокументуйте обґрунтування й за будь-якого розвитку подій залишайте інструмент аналітики у списку політики cookie та повідомлення про конфіденційність.
6. Перевіряйте повторно, коли вендор змінює продукт або змінюються ваші ринки.

Аналітика з винятком разом із CMP

Якщо ви вирішили, що інструмент підходить, вкажіть його в CMP як суворо необхідний або звільнений, щоб він розкривався, але не блокувався, і стежте, щоб його конфігурація залишалася в межах винятку. Багато видавців також зберігають залежне від згоди налаштування аналітики для повнішого вимірювання та використовують Google Consent Mode v2 чи подібні сигнали, щоб коригувати його залежно від вибору користувача. FlexyConsent підтримує Google Consent Mode v2 поряд з IAB TCF 2.4 та IAB GPP v1.1.

Головні висновки

• «Без cookie» не означає автоматично «згода не потрібна»; стаття 5(3) охоплює будь-яке зберігання на пристрої чи доступ до нього.
• Аналітика без зберігання на пристрої все одно може обробляти персональні дані й потребує правової підстави та прозорості.
• Винятки для вимірювання аудиторії існують у деяких країнах, але супроводжуються суворими умовами.
• Рекламні теги, запис сесій і ремаркетинг і далі потребують згоди.
• Документуйте, чому інструмент вважається звільненим, і регулярно перевіряйте повторно.