Чому запис сесій є особливо ризикованим

Більшість технологій відстеження фіксують агреговані або грубозернисті сигнали. Запис сесій захоплює майже дослівне відтворення поведінки окремого користувача, включаючи значення введення, рух курсора, прогрес прокрутки та стан DOM на рівні сторінки. Це підвищує юридичні ставки кількома конкретними способами.

Закони штатів США про прослуховування

Кілька штатів США — зокрема Каліфорнія, Флорида, Пенсільванія, Массачусетс та Іллінойс — мають закони про прослуховування за згодою двох сторін, які адвокатські фірми позивачів агресивно застосовують до запису сесій. Теорія така: якщо ваш сайт записує сесію взаємодії відвідувача без підтверджувальної згоди, і постачальник третьої сторони обробляє цей запис, постачальник здійснив перехоплення спілкування між користувачем і видавцем. Закон Каліфорнії про захист конфіденційності (CIPA) виявився найпродуктивнішим законом для позивачів у 2024 і 2025 роках, з врегулюваннями від низьких шестизначних сум до десятків мільйонів серед найбільших цілей.

GDPR та ePrivacy

Відповідно до європейського права, запис сесій майже завжди є діяльністю з обробки, яка вимагає opt-in згоди. Записи регулярно містять персональні дані: IP-адреси, введений текст, шляхи курсора, що можуть виявляти медичні чи фінансові проблеми, та метадані, пов'язані з ідентифікатором облікового запису першої сторони. ICO Великобританії, Garante Італії та CNIL Франції — всі видали рекомендації про те, що запис сесій вимагає попередньої opt-in згоди, а норвезький Datatilsynet у 2023 році оштрафував великого видавця саме за використання Hotjar без механізму згоди.

Витік конфіденційних даних

Інструменти запису сесій за замовчуванням захоплюють усе, що користувач вводить або з чим взаємодіє, — включаючи паролі, номери кредитних карток, номери соціального страхування, медичні деталі та будь-який скопійований та вставлений конфіденційний вміст. Постачальники пропонують функції редагування, але ці функції за замовчуванням вимкнені або вимагають явної opt-in конфігурації. Неправильно налаштована інтеграція replay може безшумно надіслати дані PHI або PCI стороннього процесора, одночасно спровокувавши порушення HIPAA, PCI DSS та спеціальних категорій GDPR.

Архітектура згоди, яка вам насправді потрібна

Захисна конфігурація запису сесій 2026 має три рівні контролю: попередня згода, конфігурація запису для захисту конфіденційності та мінімізація даних нижче за потоком.

Рівень 1 — Попередня згода перед будь-яким записом

Для трафіку з ЄС, Великобританії та EEA постачальник replay не повинен ініціалізуватися до отримання підтверджувальної згоди. Це означає, що скрипт ініціалізації слід завантажувати в слот, захищений CMP, прив'язаний до мети, наприклад IAB TCF Purpose 8 (Вимірювання ефективності контенту) або Purpose 10 (Розробка та вдосконалення продуктів), залежно від вашого розподілу цілей. Для американського трафіку в штатах із двосторонньою згодою застосовується та сама логіка перевірки — скрипт слід ініціалізувати лише тоді, коли користувач надав підтверджувальну згоду, в ідеалі через той самий потік CMP, з явним розкриттям інформації про те, що сторінка записує вашу сесію для аналізу UX.

Рівень 2 — Придушення замість захоплення за замовчуванням

Кожен сучасний постачальник запису сесій підтримує придушення на рівні DOM. Потрібний підхід — відмова за замовчуванням, дозвіл через анотацію — маскування кожного текстового введення та кожного елемента, якщо ви явно не позначили його як безпечний. Конкретні назви атрибутів відрізняються за постачальниками (data-hj-suppress для Hotjar, data-clarity-mask для Clarity, data-fs-privacy="mask" для FullStory), але шаблон однаковий. Поля форм, зони облікових записів, UI для платежів та будь-яке місце, де можуть з'явитися конфіденційні дані, мають бути покриті.

Рівень 3 — Анонімізація IP та збереження

Кожен великий постачальник replay підтримує анонімізацію IP, конфігурований вікно збереження та варіанти географічного резидентства даних. Встановіть збереження на найкоротший період, що підтримує ваш робочий процес UX — зазвичай від 30 до 90 днів — та увімкніть анонімізацію IP, якщо постачальник підтримує. Для трафіку ЄС виберіть варіант резидентства даних ЄС, де він пропонується.

Специфічна конфігурація постачальника

Різні платформи replay мають різні стандартні позиції. Наведені нижче є найпоширенішими в конфігураціях 2026 року, з налаштуваннями, які суттєво змінюють картину відповідності.

Hotjar

Hotjar поставляється з вимкненим придушенням тексту за замовчуванням у більшості інтеграцій. Увімкніть загальносайтове налаштування Придушити текстовий вміст, а потім використовуйте атрибут data-hj-allow для внесення до білого списку конкретних елементів, які ви хочете захопити. Увімкніть анонімізацію IP у налаштуваннях сайту. Увімкніть Режим згоди та підключіть його до свого CMP, щоб запис починався лише після явної згоди на аналітику. Hotjar підтримує нативну інтеграцію Google Consent Mode v2.

Microsoft Clarity

Clarity безкоштовний, тому багато невеликих видавців звертаються до нього без належної перевірки відповідності. За замовчуванням Clarity маскує паролі та поля, схожі на кредитні картки, але не набагато більше. Налаштуйте data-clarity-mask на всіх полях персональних даних. Увімкніть Маскувати весь текст у налаштуваннях проекту, де можливо. Параметр резидентства даних ЄС у Clarity знаходиться в налаштуваннях проекту Clarity — увімкніть його, якщо обслуговуєте трафік ЄС. Використовуйте JavaScript API clarity('consent') для пропуску запису replay через ваш CMP.

FullStory

FullStory має найбільш детальну конфігурацію конфіденційності серед основних постачальників. Використовуйте Виключені елементи, Виключені сторінки, Блокування елементів та атрибут data-fs-privacy="mask" у поєднанні. Параметр Приватний за замовчуванням FullStory слід увімкнути для трафіку ЄС. Підключіть виклик API FS.consent() до стану згоди вашого CMP.

Mouseflow, LogRocket, Smartlook

Менші постачальники, як правило, пропонують подібні засоби контролю під різними назвами. Послідовний шаблон: вимкніть стандартне захоплення, внесіть до білого списку те, що вам потрібно, увімкніть анонімізацію IP, налаштуйте збереження та ніколи не ініціалізуйте SDK до отримання згоди. Не припускайте, що будь-який постачальник відповідає вимогам за замовчуванням — вони створені для команд продукту, а не для команд з конфіденційності.

Що щодо питання про Google Consent Mode?

Google Consent Mode v2 опосередковано відображається на запис сесій. Найближчі сигнали — analytics_storage і, якщо replay використовується для оптимізації реклами, ad_user_data. Коли analytics_storage заборонено, запис replay слід придушити або, щонайменше, скоротити до статистично вибіркового, агрегованого режиму, якщо постачальник пропонує такий. Більшість постачальників запису сесій ще не побудували повну інтеграцію Consent Mode v2, тому правильно підключений CMP все ще виконує більшу частину роботи.

Поширені помилки, що призводять до групових позовів

• Replay запускається до появи банера — скрипт спрацьовує при завантаженні сторінки, захоплює перші кілька секунд і зупиняється лише після вирішення CMP. Це найпоширеніше порушення, і позивачі CIPA побудували десятки справ навколо нього
• Стандартне захоплення тексту увімкнено — replay повертає значення полів форм, пошукові запити та повідомлення чату без редагування
• Немає згоди для автентифікованих користувачів — користувач входить у систему, і replay безшумно продовжується, навіть якщо користувач ніколи не підтверджував згоди на аналітику
• Немає розкриття інформації в політиці конфіденційності — постачальник replay не названий, мета обробки не пояснена, і жоден шлях виходу не задокументований
• GPC ігнорується — сигнал Global Privacy Control має придушувати replay для мешканців США в штатах з opt-out, але більшість стандартних інтеграцій його не дотримуються
• Збереження перевищує задокументовану мету — стандартне значення постачальника в 12 місяців залишається, коли команді UX потрібно лише 30 днів, що розширює вплив порушень без жодної користі

Міркування щодо чутливих галузей

Деякі галузі стикаються з категорійним ризиком при записі сесій, який не можна повністю пом'якшити через конфігурацію.

Охорона здоров'я

Відповідно до HIPAA, запуск запису сесій на будь-якій сторінці, яка може відображати захищену медичну інформацію, вимагає Угоди ділового партнера з постачальником, явного дозволу від користувача та суворої мінімізації даних. Більшість видавців повністю відносять цю категорію до зони «поза межами допустимого» для стандартного запису сесій.

Фінанси

Банки, страховики та фінтех-платформи стикаються як з впливом PCI DSS на сторінках платежів, так і з посиленою увагою FTC до відстеження споживчих фінансів. Запис сесій слід виключити з будь-якої автентифікованої сторінки переміщення грошей.

Дитячий контент

COPPA вимагає перевіреної батьківської згоди для будь-якого відстеження користувачів до 13 років. Запис сесій на дитячому сайті без такої згоди є категорійним порушенням COPPA.

Контрольний список аудиту на 2026 рік

• SDK replay заблоковано за сигналом CMP підтверджувальної згоди; ініціалізація відкладається до запису згоди
• Маскування тексту увімкнено глобально лише для елементів із білого списку
• Поля форм, платіжні поля, зони автентифікованих облікових записів та чат-віджети повністю виключені
• Анонімізація IP увімкнена на рівні постачальника
• Збереження встановлено на мінімальний період, що підтримує потребу UX
• Параметр резидентства даних ЄС увімкнено для трафіку ЄС, де постачальник підтримує
• Постачальник названий у політиці конфіденційності із зазначеними правовою підставою, метою та збереженням
• Угоду про обробку даних підписано та подано з оцінкою передачі Schrems II, де це застосовується
• GPC та відповідні opt-out штатів США придушують ініціалізацію replay
• Автентифіковані сесії успадковують той самий контроль згоди, що й анонімні сесії
• Сторінки чутливих галузей (охорона здоров'я, фінанси, дитячий контент) категорійно виключені з захоплення

Прагматична позиція 2026 року

Запис сесій дає командам UX незвично чітке уявлення про те, як користувачі насправді сприймають сайт, і це не інструмент, від якого хтось хоче відмовитись. Відповідь — не видаляти його. Відповідь — вбудувати згоду, маскування та збереження в розгортання з першого дня та задокументувати конфігурацію, щоб регулятор або адвокат позивача пізніше не міг охарактеризувати використання як таємне перехоплення. Видавці, які ставляться до запису сесій як до звичайного інструменту UX без належної відповідності, продовжуватимуть живити конвеєр групових позовів протягом 2026 року. Видавці, які інвестують у відповідність, збережуть переваги інструменту із захисною юридичною позицією.