Короткий ответ
Допустимый баннер согласия на cookie спрашивает до установки необязательных cookie, даёт отказаться так же легко, как согласиться, объясняет цели и позволяет передумать. Google Consent Mode v2 передаёт выбор тегам Google, чтобы аналитика и реклама его учитывали. Это общая информация, не юридическая консультация: свой случай уточните у юриста.
Для чего нужен баннер согласия на cookie и какие правила за ним стоят
Баннер согласия на cookie — окно, которое спрашивает посетителя, можно ли сайту сохранять или читать информацию на его устройстве. Он существует потому, что европейские правила о приватности считают технологии отслеживания тем, на что посетитель должен согласиться. Во Франции регулятор CNIL ссылается на статью 82 французского закона о защите данных. Баннер, который лишь информирует или украшает сайт, отслеживающий всё равно, этой задачи не решает.
В этом тексте пересказано то, что регуляторы и Google говорят в собственных документах. Это не юридическая консультация, а правила различаются по странам и меняются со временем. Баннер — только видимая половина дела. Вторая половина — то, что сайт делает за ним, и именно там чаще всего находят нарушения.
Сначала согласие: ничего необязательного до нажатия
CNIL пишет, что пользователи, как правило, должны согласиться до того, как на их устройство запишут или с него прочитают любой cookie или трекер, за некоторыми исключениями. До решения им нужно сообщить цели трекеров, последствия согласия и отказа и назвать каждого участника, который использует трекеры, требующие согласия. Организация также должна уметь в любой момент доказать, что получено действительное согласие.
Исключения узки. CNIL называет трекеры для аутентификации, для хранения содержимого корзины и, при условиях, для некоторой статистики аудитории. Всё остальное, а это обычно рекламные пиксели, ретаргетинг, виджеты соцсетей и большинство настроек аналитики, ждёт «да». Практическая проверка проста: откройте сайт в чистом браузере, не нажимайте на баннер и посмотрите, какие cookie и запросы уже есть.
Отказ должен быть так же прост, как согласие
В ответах CNIL сказано, что вариант отказа обязателен: либо кнопка «отклонить всё» на первом слое, на том же уровне и в том же виде, что «принять всё», либо другой способ, делающий отказ таким же лёгким. Отказ не должен требовать лишних шагов вроде второго экрана настроек, а кнопки не должны вводить в заблуждение или выделять один выбор сильнее другого.
Испанский регулятор AEPD, объявляя об обновлении руководства по cookie, говорит то же: принятие и отказ нужно показывать на заметном месте и в заметном виде, на одном уровне, и отказаться не может быть сложнее, чем согласиться. В обновлённом руководстве добавлены примеры о цвете, размере и расположении кнопок. Для дизайнера это конкретно: две кнопки одного размера, веса и контраста на одном экране.
Почему прокрутка, закрытие или продолжение просмотра не равны «да»
CNIL прямо говорит, что простое продолжение просмотра больше не считается согласием. Для согласия нужно явное действие, например нажатие кнопки принятия, а без него никакие необязательные трекеры ставить нельзя. В ответах там же сказано, что продолжение просмотра воспринимается как отказ. Поэтому баннер, который исчезает через десять секунд или после прокрутки, ничего не доказывает.
CNIL также указывает, что согласие должно быть свободным, информированным, конкретным и однозначным, а выбор, будь то отказ или согласие, нужно сохранять, чтобы не спрашивать на каждой странице. Хорошей практикой он называет хранение выбора около шести месяцев. Воспринимайте это как ориентир, а не как срок, и запишите выбранный период, чтобы баннер и политика cookie говорили одно и то же.
Цели, выбор и возможность передумать
Баннер с единственным «да» на всё трудно защитить, ведь согласие должно быть конкретным. Сгруппируйте cookie по целям, например измерение, реклама и функциональные, объясните каждую группу одной фразой и дайте посетителю выбирать по группам. Пишите простыми словами. Посетитель должен понять, что делает согласие, до нажатия кнопки.
Отзыв согласия важен не меньше первого выбора. CNIL пишет, что согласие можно отозвать в любой момент и что отзыв должен быть так же прост, как согласие. Рекомендуется постоянная ссылка с понятным названием вроде «управлять cookie» или значок cookie на каждой странице. Отзыв должен действовать: для сторонних cookie издатель обязан прекратить любые чтения и записи со своего сайта, а это может означать отключение запросов к этим доменам.
Google Consent Mode v2: как выбор доходит до ваших тегов
Consent Mode позволяет тегам Google менять поведение в зависимости от выбора посетителя. Руководство Google по настройке описывает два шага: сначала задать состояние согласия по умолчанию, затем отправить обновление, когда посетитель ответил. Параметры — ad_storage и analytics_storage, а также ad_user_data и ad_personalization, добавленные обновлением ноября 2023 года, известным как v2. Сам Consent Mode выбор не хранит, поэтому сайт должен сохранить его и отправлять заново на следующих страницах.
Классическая ловушка — порядок. Google пишет, что значение по умолчанию должно выполняться раньше тега Google, а если позже, оно не применится. Для регионов значение можно ограничить кодом региона, и побеждает более точное правило. Google описывает и базовый режим, где теги заблокированы, пока посетитель не ответит на баннер, и расширенный, где теги загружаются с отказом по умолчанию и шлют измерения без cookie. Для трафика из ЕЭЗ политика Google просит рекламодателей собирать согласие и передавать сигналы и предупреждает, что блокировка тегов до ответа может привести к потере данных.
Аналитика с учётом выбора и ошибки, которые повторяются
Именно в аналитике владельцы ждут исключения. CNIL допускает его только при строгих условиях: собственное измерение аудитории издателя, только анонимная статистика, без отслеживания между сайтами и приложениями, без сопоставления и передачи третьим сторонам, и издатель должен уметь подтвердить соблюдение. CNIL добавляет, что псевдонимизация не соответствует его определению анонимизации. Многие типовые настройки не проходят хотя бы одно условие, так что исходите из необходимости согласия, пока эксперт не подтвердит обратное.
Ошибки повторяются. Тег Google загружается раньше, чем задано согласие по умолчанию. Кнопка отказа спрятана на втором слое или выглядит как сноска. Выбор не сохраняется, и баннер возвращается на каждой странице. Cookie продолжают записываться после отказа, потому что скрипт жёстко вшит в шаблон. Нет ссылки для отзыва согласия. Каждую из них находят за минуты в браузере с чистым профилем и инструментами разработчика.
Сделать самому или заказать настройку: что подготовить
Аккуратный владелец может поставить платформу согласий, поправить порядок тегов и проверить результат в чистом браузере. Трудна инвентаризация. Нужно найти каждый скрипт, пиксель и встроенный элемент на сайте, разложить по целям, привязать к правильному выбору и держать этот список актуальным, когда кто-то добавляет новый виджет. Если инструментов много или вы не уверены, что загружается, заказ экономит время.
VITON13 Studio предлагает это как пакет «Согласие на cookie и приватность». В него входят баннер согласия в стиле GDPR с настоящим согласием, настроенный с Consent Mode v2; список cookie вашего сайта; черновик политики конфиденциальности; и аналитика, уважающая выбор посетителя. Баннер, работающий на тестовой копии вашего сайта, вы видите как бесплатный черновик до оплаты. Цена — 33 доллара фиксированно, работа занимает два-четыре рабочих дня. Черновик политики — исходный текст, поэтому пусть юрист подтвердит его для вашего случая. Принесите список используемых инструментов и доступ к сайту.
Практический чеклист
- Откройте сайт в чистом браузере без нажатия на баннер и запишите все уже установленные cookie.
- Сделайте «принять» и «отклонить» одинаковыми по размеру, весу, контрасту и экрану.
- Сгруппируйте cookie по целям и дайте посетителю выбирать по группам простыми словами.
- Задайте значение Consent Mode по умолчанию раньше тега Google, а после клика отправьте обновление.
- Добавьте постоянную ссылку или значок для смены выбора и проверьте, что отзыв останавливает трекеры.
Вопросы и ответы
Считается ли продолжение просмотра согласием на cookie?
По мнению CNIL, нет. Оно пишет, что продолжение просмотра теперь воспринимается как отказ, а для согласия нужно явное действие, например нажатие кнопки принятия. Баннер, закрывающийся сам, ничего не доказывает.
Должна ли кнопка отказа выглядеть так же, как кнопка согласия?
CNIL требует вариант отказа на том же уровне и в той же форме, что согласие, либо другой столь же лёгкий способ. AEPD говорит, что оба выбора должны быть на одном уровне. Безопаснее всего одинаковый размер, вес и контраст.
Что изменилось с Google Consent Mode v2?
Google добавил два параметра, ad_user_data и ad_personalization, к прежним ad_storage и analytics_storage. Рекламодатели, использующие персонализацию или измерение для пользователей из ЕЭЗ, должны собирать согласие и передавать сигналы Google.
Освобождены ли аналитические cookie от согласия?
Только при строгих условиях CNIL: собственное измерение аудитории издателя, анонимная статистика, без отслеживания между сайтами и передачи третьим сторонам. Псевдонимизированные данные не подходят, так что большинству настроек согласие нужно.
Как долго хранить выбор посетителя по cookie?
CNIL считает хорошей практикой около шести месяцев для согласия или отказа, чтобы не спрашивать на каждой странице. Это рекомендация, а точный срок стоит указать в политике cookie.