Работа с GDPR в рекламном проекте начинается не с внешнего вида cookie-баннера, а с карты данных. Нужно знать, какие теги, cookie, пиксели и запросы запускаются, зачем они нужны, кому передают сведения и на каком основании работает обработка. Только после инвентаризации можно определить, требуется ли согласие, как устроить выбор и что технически блокировать до решения пользователя.
Материал даёт редакционный и технический чек-лист, но не является юридической консультацией. Применимость GDPR, ePrivacy и национальных правил зависит от географии, роли организации, аудитории, технологий и целей. Правовой вывод подтверждает квалифицированный специалист для конкретного проекта.
- Когда тема GDPR относится к рекламному сайту
- Соберите карту технологий и данных
- Согласие — не единственное правовое основание, но отдельный механизм
- Интерфейс выбора
- Блокировка до выбора
- Технический тест
- Доказательство и журнал изменений
- Реклама с меньшим объёмом данных
- Видео по теме
- Документы и коммуникация
- Типичные ошибки
- Официальные источники
- Итог
- Часто задаваемые вопросы
- Всегда ли для cookie требуется согласие по GDPR?
- Достаточно ли установить CMP?
- Можно ли запускать аналитику до выбора пользователя?
- Что проверять после изменения сайта?
Когда тема GDPR относится к рекламному сайту
GDPR может иметь значение не только для компании, зарегистрированной в ЕС. В числе факторов — предложение товаров или услуг людям в Европейской экономической зоне и мониторинг их поведения там. IP-адрес, cookie ID и рекламный идентификатор могут относиться к персональным данным. Отдельно использование cookie и похожих технологий регулируется правилами электронной приватности и национальной реализацией.
Не делайте вывод по доменной зоне, языку или наличию евро в прайсе. Оцените реальные рынки, аудиторию, доставку, договоры и технологические потоки. Для проекта, который работает одновременно в нескольких странах, может потребоваться географически и юридически согласованная конфигурация, а не один универсальный баннер.
Соберите карту технологий и данных
Просканируйте сайт и вручную пройдите ключевые сценарии: главная, статьи, формы, корзина, видео, чаты и рекламные посадочные страницы. Зафиксируйте сетевые запросы до выбора, после отказа, после разрешения категории и после отзыва. Список из политики или интерфейса CMP недостаточен, если фактическая страница загружает дополнительные теги.
Для каждого элемента запишите владельца, поставщика, цель, категорию данных, получателя, страну обработки, срок хранения, настройку передачи и подтверждённое правовое основание. Отделяйте строго необходимую функцию от аналитики, персонализации и рекламы. Название cookie само по себе не доказывает назначение: смотрите, какой код ставит его и какие запросы выполняются.
| Поле | Пример вопроса | Доказательство |
|---|---|---|
| Технология | Что запускается и на каких страницах? | Код, сетевой журнал, конфигурация |
| Цель | Зачем нужен сигнал? | Техническое описание и решение владельца |
| Получатель | Кому передаются данные? | Договор, политика поставщика, запрос |
| Срок | Когда данные удаляются? | Настройка и фактический срок |
| Основание | Почему обработка допустима? | Документированный правовой анализ |
Согласие — не единственное правовое основание, но отдельный механизм
GDPR предусматривает несколько оснований обработки. Нельзя автоматически объявлять согласие обязательным для любой операции или, наоборот, прикрывать рекламное профилирование «законным интересом» без анализа. Для cookie и похожих технологий дополнительно учитывают ePrivacy. Юрист и специалист по приватности определяют основание для каждой цели, а разработчик реализует соответствующее поведение.
Когда обработка основана на согласии, оно должно быть свободным, конкретным, информированным и однозначным, выраженным положительным действием. Человек должен понимать организацию, цели и типы данных и иметь возможность отозвать согласие. Отказ или отзыв не должны быть искусственно усложнены по сравнению с принятием.
Интерфейс выбора
Первый уровень сообщает основное простым языком и даёт понятный выбор. Второй раскрывает категории, поставщиков, цели и сроки. Не используйте заранее включённые переключатели для необязательной обработки, двусмысленные кнопки и формулу «продолжая пользоваться, вы соглашаетесь» как замену положительному действию там, где нужно согласие.
Кнопки не обязаны быть визуально идентичными до пикселя, но дизайн не должен подталкивать к одному решению через скрытый отказ, слабый контраст или лишние шаги. Настройки приватности должны оставаться доступными после закрытия баннера. Изменение целей или поставщиков может потребовать повторной оценки и нового выбора.
Блокировка до выбора
Интерфейс бесполезен, если необязательный рекламный тег успел отправить запрос до решения. Управление согласиями должно влиять на фактический запуск скриптов, пикселей, iframe и SDK. Встроенное видео и внешние виджеты тоже могут обращаться к третьей стороне, поэтому для них иногда используют заглушку до выбора категории.
Не полагайтесь только на режим предпросмотра CMP. Проверьте страницу в чистом профиле браузера, с очищенным хранилищем, на мобильном устройстве и в разных маршрутах. Учитывайте загрузку через менеджер тегов, код темы, плагины, серверные интеграции и рекламные редиректы.
Технический тест
- Откройте сайт в новом чистом профиле и запишите запросы до выбора.
- Откажитесь от необязательных категорий и повторите сценарий.
- Разрешите одну категорию и проверьте, что запустились только относящиеся к ней технологии.
- Отзовите выбор и убедитесь, что новые необязательные запросы прекратились.
- Проверьте срок, домен, атрибуты и назначение записей в хранилище.
- Повторите на ключевых страницах и мобильном устройстве.
- Сохраните версию конфигурации, дату, сценарий и результат.
Отзыв не всегда удаляет ранее законно обработанные данные автоматически, но должен влиять на будущую обработку, основанную на согласии. Конкретное поведение, сроки и уведомление определяют по правовому анализу и устройству системы.
Доказательство и журнал изменений
Организация должна уметь показать, какая информация была представлена, какую версию интерфейса видел человек, что он выбрал и когда. Лог не должен собирать лишние данные. Свяжите версию текста, список поставщиков, конфигурацию тегов и релиз сайта. После добавления нового рекламного партнёра повторите инвентаризацию и тест.
Назначьте владельцев: маркетинг описывает цель, разработка — технический поток, приватность — правовую оценку и прозрачность, редакция — понятность текста, безопасность — доступ и хранение. CMP помогает управлять выбором, но не исправляет неправильную карту данных и не принимает правовое решение за организацию.
Реклама с меньшим объёмом данных
Минимизация начинается с вопроса, нужен ли конкретный идентификатор для задачи. Контекстное размещение может опираться на содержание страницы, а измерение — на агрегированные показатели, если это соответствует цели и требованиям. Это не делает любую реализацию автоматически свободной от правил: нужно анализировать фактические технологии и данные.
Уменьшайте срок хранения, число получателей и набор полей. Не передавайте чувствительные сведения в URL, параметры рекламной кампании и название аудитории. Сегменты не должны раскрывать состояние здоровья, религию, политические взгляды или другие чувствительные характеристики без законного и этического основания.
Видео по теме
Документы и коммуникация
Политика приватности должна соответствовать реальному сайту: кто контролёр, какие данные и цели, основания, получатели, передачи, сроки и права. Cookie-информация перечисляет категории и технологии на понятном уровне. Контакты для запросов работают. Технические названия не заменяют объяснение, а длинный юридический текст не исправляет скрытый запуск тегов.
Если рекламная кампания ведёт на стороннюю посадочную страницу, распределите роли и ответственность. Проверьте договоры с процессорами и другими получателями, международные передачи и инструкции удаления. Не копируйте чужую политику: список технологий и организационные роли отличаются.
Типичные ошибки
- баннер согласия внедряют без инвентаризации сетевых запросов;
- необязательные теги запускаются до выбора пользователя;
- отказ спрятан в нескольких уровнях или оформлен слабым контрастом;
- переключатели заранее включены;
- одной целью объединены аналитика, персонализация и реклама;
- согласие считают универсальным основанием для любой обработки;
- политика не совпадает с реальными поставщиками;
- после отзыва продолжаются новые необязательные запросы;
- в журнале нельзя установить версию интерфейса и конфигурации;
- в URL и сегменты попадают чувствительные или идентифицирующие сведения;
- изменение плагина или менеджера тегов не приводит к повторному тесту;
- материал обещает избежать штрафов вместо осторожного описания процесса.
Официальные источники
- Европейская комиссия: применимость GDPR и примеры персональных данных.
- Европейская комиссия: условия действительного согласия.
- EDPB: Guidelines 05/2020 on consent.
- CNIL: альтернативы сторонним cookie и последствия для согласия.
Итог
Надёжная работа с GDPR и cookie-рекламой состоит из четырёх частей: карта технологий и данных, подтверждённый правовой режим, понятный интерфейс выбора и техническая проверка фактических запросов. CMP — только один компонент. После каждого изменения поставщика, тега или цели процесс повторяют, а юридические выводы подтверждают для конкретной юрисдикции и проекта.
