Мой кабинет

Руководство · Европейское регулирование

GDPR для сайтов с рекламой простыми словами

Если ваш сайт получает посещения из Европы и показывает рекламу, GDPR и правила о cookie действуют для этих посещений, даже если компания бразильская. В этом руководстве показано, к кому применяется закон, что такое действительное согласие, сколько стоит ошибка и чего Google требует от тех, кто использует AdSense и Ad Manager.

Проверить мой сайт сейчасЧитать руководство
  • ✓Основано на официальном тексте регламента и рекомендациях EDPB
  • ✓Практические примеры того, что можно и что нельзя
  • ✓Чтение сайта без каких-либо изменений
6правовых оснований для обработки персональных данных
4%годовой мировой выручки: потолок самых высоких штрафов
2018год, когда GDPR начал применяться
3региона в политике согласия Google: ЕЭЗ, Великобритания и Швейцария

Что это

Европейский закон, который решает, как можно использовать данные людей

GDPR, по-португальски RGPD (Regulamento Geral sobre a Proteção de Dados), это Регламент (ЕС) 2016/679. Он принят в апреле 2016 года и начал применяться 25 мая 2018 года во всех странах Европейского союза, а также действует в остальной части Европейской экономической зоны (Исландия, Лихтенштейн и Норвегия).

Закон защищает персональные данные, то есть любую информацию, связанную с человеком, которого можно идентифицировать. Для сайта это включает вещи, которые кажутся техническими: IP-адрес, идентификаторы cookie, ID устройств и историю просмотров, используемую для выбора рекламы.

Тот, кто решает, зачем и как используются данные, это контролёр. Почти всегда это владелец сайта. Тот, кто обрабатывает данные от его имени, например инструмент e-mail или хостинг, это оператор (в европейском тексте обработчик). Рекламные сети часто выступают как независимые контролёры для части использования.

GDPR идёт вместе с Директивой ePrivacy (2002/58/EC), которая специально касается cookie. На практике правило такое: запись или чтение cookie, не являющихся строго необходимыми, таких как рекламные и аналитические, требует предварительного согласия. И это согласие должно соответствовать стандарту GDPR.

Чек-лист

Что нужно выполнить

Вот требования, которые закон, европейские регуляторы и Google предъявляют к сайту с рекламой, на который заходят посетители из ЕЭЗ.

  1. Используйте CMP, сертифицированную Google

    С 16 января 2024 года AdSense и Ad Manager требуют CMP, сертифицированную Google и интегрированную с IAB TCF, чтобы показывать персонализированную рекламу в ЕЭЗ. Без неё этот трафик может получать только неперсонализированную или ограниченную рекламу.

    Пример

    В AdSense нажмите «Конфиденциальность и сообщения» на боковой панели и создайте сообщение о европейских нормах либо выберите другую CMP из списка Google.

  2. Запрашивайте согласие до установки рекламных cookie

    Необязательные cookie можно сохранять только после явного действия посетителя. По мнению EDPB, заранее отмеченные флажки, прокрутка страницы и дальнейший просмотр сайта согласием не считаются.

    Пример

    Оставляйте все цели неотмеченными, пока человек не нажмёт на один из вариантов.

  3. Сделайте отказ и отзыв таким же простым, как согласие

    Большинство европейских регуляторов считают нарушением баннер, в котором нет варианта отказа на том же уровне, что и кнопка принятия. Отозвать согласие позже тоже должно быть так же легко, как его дать.

    Пример

    Используйте сообщение Google с тремя кнопками, которое на первом экране показывает «Согласиться», «Не соглашаться» и «Управление настройками», а также постоянную ссылку в подвале для повторного открытия выбора.

  4. Передавайте Consent Mode v2 тегам Google

    Если сайт использует Google Analytics или Google Ads, Google требует собирать согласие посетителей из ЕЭЗ и передавать сигналы ad_user_data и ad_personalization. Команда по умолчанию должна выполняться раньше любого тега, который отправляет данные.

    gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'analytics_storage': 'denied'
});

  5. Укажите, кто получает данные

    Политика Google в отношении согласия требует, чтобы сайт назвал каждую компанию, которая может собирать или использовать данные из-за продуктов Google. Также нужна легко находимая информация о том, как каждая из них использует эти данные.

    Пример

    В политике конфиденциальности сделайте раздел «Рекламные партнёры» с Google и каждой рекламной сетью, работающей на сайте.

  6. Храните доказательство согласия

    По GDPR сайт должен уметь доказать, что согласие было дано. Политика Google также требует хранить журнал собранных согласий.

    Пример

    Проверьте в панели CMP, включён ли журнал согласий и как долго он хранится.

  7. Не блокируйте контент для тех, кто отказывается

    В руководстве EDPB сказано, что доступ к сервису не должен зависеть от принятия cookie. Сайт, который скрывает всё до нажатия «Принять», не получает свободного согласия.

    Пример

    Тот, кто отказался, продолжает читать статью и может видеть неперсонализированную или ограниченную рекламу.

  8. Отвечайте на запросы в течение месяца

    Когда посетитель просит доступ к своим данным, их исправление или удаление, ответ, как правило, нужно дать в течение месяца и бесплатно. Если сомневаетесь в конкретных случаях, проконсультируйтесь с юристом.

    Пример

    Укажите в политике конфиденциальности адрес электронной почты только для запросов о конфиденциальности.

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

Для персонализированной рекламы Google в ЕЭЗ CMP должна быть в списке Google, а вот официальные страницы для выбора и настройки.

К кому относится

Ваш сайт в Бразилии тоже может подпадать под GDPR

Закон смотрит не только на то, где находится компания. Он смотрит на то, где находятся люди, чьи данные используются.

Компании в Европейском союзе

Любая компания, учреждённая в ЕС, следует GDPR, независимо от того, где обрабатываются данные или где находятся серверы.

Компании вне Европы

Статья 3 охватывает тех, кто находится за пределами ЕС и предлагает товары или услуги людям в ЕС или отслеживает их поведение там. Персонализированная реклама и отслеживающие cookie это очевидный пример мониторинга.

Бразильский сайт с европейской аудиторией

Блог на португальском с посещениями из Португалии или сайт на английском с трафиком из Германии должен обрабатывать эти посещения по европейским правилам, даже с CNPJ и сервером в Бразилии.

Великобритания и Швейцария

Имеют собственные законы, похожие на GDPR (UK GDPR и швейцарский закон о защите данных). Для Google три территории следуют одной политике согласия.

Правовые основания

6 правовых оснований из статьи 6

Любое использование персональных данных нуждается в правовом основании, выбранном до начала. Для рекламных cookie на практике основанием является согласие.

Согласие

Человек соглашается свободно и ясно. Это основание, требуемое для несущественных cookie и персонализированной рекламы.

Договор

Данные необходимы для исполнения договора с человеком, например для доставки заказа или поддержания подписки.

Юридическая обязанность

Закон обязывает хранить или использовать данные, например счета-фактуры и бухгалтерские записи.

Жизненно важные интересы

Защита жизни человека или другого лица. Редко применяется к сайтам с контентом.

Общественный интерес

Задачи в общественных интересах или осуществление официальных полномочий. Используется государственными органами, почти никогда издателями.

Законный интерес

Реальный интерес компании, не попирающий права человека, например безопасность сайта. Не заменяет согласие, требуемое для рекламных cookie.

Действительное согласие

Свободное, конкретное, осознанное и однозначное

GDPR определяет согласие как свободное, конкретное, осознанное и однозначное выражение воли человека, данное заявлением или чётким утвердительным действием. Каждое из этих слов имеет практический эффект для баннера cookie.

Свободное означает, что есть реальный выбор. Кнопка отказа должна быть так же заметна, как кнопка согласия, а отказ не должен вести к ущербу. Рекомендации Европейского совета по защите данных (EDPB) говорят, что блокировка контента до принятия cookie, так называемый cookie wall, не создаёт свободного согласия.

Конкретное и осознанное означает, что человек знает, для чего служит каждое использование и кто партнёры, получающие данные. Однозначное означает, что было чёткое действие: уже отмеченные поля, молчание, продолжение просмотра или прокрутка страницы не считаются согласием.

Наконец, статья 7 требует, чтобы отозвать согласие было так же легко, как дать. На практике сайту нужна постоянная ссылка или кнопка, например «Настройки cookie» в футере, которая в любой момент снова открывает варианты. И контролёр должен суметь доказать, что человек согласился, поэтому CMP хранит запись каждого выбора.

Обязанности сайта

Что нужно сайту с рекламой для европейских посетителей

  1. Составьте карту того, что собирает сайтПеречислите cookie, теги и рекламных партнёров, загружающихся на каждой странице. Без этой карты баннер и политика конфиденциальности будут неполными.
  2. Показывайте баннер согласия до cookieИспользуйте CMP, блокирующую рекламные и аналитические cookie до выбора человека, с кнопками «принять» и «отказаться» на одном уровне.
  3. Опубликуйте ясную политику конфиденциальностиОбъясните, кто контролёр, какие данные используются, зачем, на каком правовом основании, как долго, с какими партнёрами и как человек реализует свои права.
  4. Выполняйте права людейИмейте канал для запросов на доступ, исправление, удаление, переносимость, возражение и отзыв согласия. Ответ должен прийти без промедления, как правило, в течение месяца.
  5. Документируйте и оценивайте рискиВедите реестр деятельности по обработке. Когда использование данных несёт высокий риск, например мониторинг в большом масштабе, проводите оценку воздействия (DPIA).
  6. Подготовьте реагирование на инцидентыОб утечке данных с риском для людей нужно уведомить орган в течение 72 часов после того, как компания узнала о ней.
  7. Проверьте, нужен ли представитель в ЕСКомпаниям вне ЕС, подпадающим под GDPR по статье 3, возможно, придётся назначить представителя в Союзе. Уточните у юриста, подходит ли ваш случай под исключения.

Контроль и штрафы

Кто контролирует и сколько стоит ошибка

В каждой стране есть свой орган по защите данных, например CNIL во Франции и CNPD в Португалии. Они принимают жалобы, расследуют и применяют санкции.

Штрафы до 20 миллионов евро или 4%

За самые серьёзные нарушения, такие как использование данных без правового основания или неуважение согласия, потолок составляет 20 миллионов евро или 4% годовой мировой выручки, в зависимости от того, что больше.

Штрафы до 10 миллионов евро или 2%

За организационные недостатки, такие как отсутствие реестров или непроведение оценки воздействия, когда она требуется, потолок составляет 10 миллионов евро или 2% мировой выручки.

Другие меры

Орган может вынести предупреждение, потребовать исправить баннер, ограничить или запретить обработку данных. За вероятное нарушение может выдать только уведомление.

Критерии размера

Штраф учитывает серьёзность, длительность, был ли умысел или небрежность, что было сделано для уменьшения вреда и уровень сотрудничества с органом.

Хронология

Даты, которые больше всего влияют на сайт с рекламой

От правила о cookie до требования сертифицированной Google CMP.

  1. 2002

    Директива ePrivacy

    Создаёт европейские правила для cookie и электронных коммуникаций, позже усиленные, чтобы требовать согласия перед записью несущественных cookie.

  2. 27 апреля 2016 года

    GDPR принят

    Регламент (ЕС) 2016/679 одобрен с двухлетним сроком адаптации для компаний.

  3. 25 мая 2018 года

    GDPR начинает действовать

    Правила о согласии, правах и штрафах начинают применяться. В том же месяце Google выпускает обновления для издателей и рекламодателей.

  4. 2020

    Рекомендации 05/2020 EDPB

    Европейский совет уточняет действительное согласие: cookie wall, прокрутка страницы и заранее отмеченные поля не подходят.

  5. 16 января 2024 года

    Сертифицированная CMP в Google

    Для персонализированной рекламы в ЕЭЗ и Великобритании AdSense, Ad Manager и AdMob начинают требовать CMP, сертифицированную Google и интегрированную с TCF.

  6. 31 июля 2024 года

    Швейцария попадает под правило

    Требование сертифицированной CMP с TCF начинает действовать и для посетителей из Швейцарии.

AdSense и Ad Manager

Чего Google требует от тех, у кого есть европейские посетители

Политика Google о согласии пользователей ЕС действует для ЕЭЗ, Великобритании и Швейцарии. Она требует юридически действительного согласия на cookie там, где этого требует закон, согласия на использование данных в персонализированной рекламе, указания всех партнёров, получающих данные, записи выбора и чётких инструкций по отзыву согласия.

С 16 января 2024 года, чтобы получать персонализированную рекламу в этих регионах, сайту нужна CMP, сертифицированная Google и интегрированная с TCF от IAB Europe. Собственное Сообщение о конфиденциальности AdSense и Ad Manager это один из сертифицированных вариантов.

Без сертифицированной CMP европейский трафик может получать только неперсонализированную или ограниченную рекламу, которая оплачивается ниже. В панели AdSense это отображается как ограниченная персонализация рекламы в ЕЭЗ, Великобритании и Швейцарии. Если сайт также использует Google Analytics или Google Ads, Consent Mode доносит выбор из баннера до этих тегов.

Google может ограничить или приостановить использование своих продуктов теми, кто не соблюдает политику. Поэтому правильный баннер это одновременно юридический вопрос и вопрос дохода.

На практике

Что можно и что нельзя в баннере и cookie

Реальные примеры настроек, встречающихся на сайтах с рекламой.

Можно

  • Кнопки «Принять все» и «Отклонить все» рядом, одинакового размера и заметности
  • Загружать существенные cookie, такие как корзина или вход, без запроса согласия
  • Показывать сообщение TCF только посетителям из ЕЭЗ, Великобритании и Швейцарии
  • Ссылка «Настройки cookie» в футере, которая в любой момент снова открывает варианты
  • Перечислять рекламных партнёров на втором уровне баннера с целью каждого
  • Предлагать неперсонализированную рекламу тем, кто отказывается

Нельзя

  • Записывать рекламные cookie до того, как человек ответил на баннер
  • Прятать «Отклонить» на другом экране, пока «Принять» выделено
  • Оставлять поля целей уже отмеченными
  • Считать прокрутку страницы или продолжение просмотра согласием
  • Блокировать весь контент, пока человек не примет cookie
  • Использовать обычный плагин cookie без сертификации Google для персонализированной рекламы

Частые ошибки

Ошибки, чаще всего встречающиеся на бразильских сайтах с европейским трафиком

Почти все остаются незамеченными, потому что сайт продолжает работать, а реклама продолжает показываться.

Думать, что закон не действует для Бразилии

Компания бразильская, но посетитель в Португалии. Для этого посетителя действуют европейские правила и политика Google.

Баннер, который только информирует

Полоса с текстом «Этот сайт использует cookie» и кнопка «ОК» не запрашивает согласия. Cookie уже записаны до нажатия.

Теги загружаются до выбора

Рекламный код или Analytics находится в верхней части страницы, выше CMP. Cookie записываются в первые секунды, без согласия.

Типовая политика конфиденциальности

Текст скопирован с другого сайта, без упоминания Google, рекламных партнёров, правовых оснований и способа отзыва согласия.

Нет пути передумать

После первого клика посетитель больше не находит баннер. Отозвать согласие становится труднее, чем дать.

Европейское сообщение для всего мира

Показ TCF посетителям из Бразилии или Соединённых Штатов не требуется и без необходимости роняет доход от этих посетителей.

В ConsentMode

Что аудит проверяет по GDPR на вашем сайте

  • Открывает сайт как посетитель из Европы и как посетитель извне и показывает на скриншоте, где баннер появляется, а где нет.
  • Проверяет, записаны ли рекламные или аналитические cookie до какого-либо нажатия на баннер.
  • Определяет CMP, читает строку TCF и проверяет, есть ли она в списке сертифицированных CMP Google.
  • Проверяет, находится ли кнопка отказа на первом уровне и есть ли ссылка для повторного открытия настроек.
  • Читает политику конфиденциальности и указывает, чего не хватает: Google, рекламных партнёров, cookie и способа отзыва согласия.
Запустить аудитПосмотреть всё, что проверяется

Частые вопросы о GDPR

Мой сайт бразильский и написан на португальском. Применяется ли ко мне GDPR?

Применяется к посещениям из Европы, когда вы используете рекламные или отслеживающие cookie у этих посетителей. Для аудитории Бразилии действует LGPD. Поэтому правильная настройка использует регионы: европейские правила для европейцев, местные правила для остальных.

Нужно ли согласие для Google Analytics?

В Европе аналитические cookie не считаются строго необходимыми, поэтому, как правило, требуют предварительного согласия. Consent Mode помогает уважать этот выбор, не теряя всё измерение.

Можно ли использовать законный интерес для персонализированной рекламы?

Для записи и чтения рекламных cookie европейское правило о cookie требует согласия. Кроме того, Google требует согласия для персонализированной рекламы в ЕЭЗ, Великобритании и Швейцарии. На практике безопасный путь это согласие.

Запрещён ли cookie wall?

Рекомендации EDPB говорят, что постановка доступа к контенту в зависимость от принятия cookie не создаёт свободного согласия. В некоторых странах обсуждаются альтернативные модели, такие как оплата за просмотр без рекламы, но это требует юридического анализа в каждом случае.

Как долго действует согласие?

GDPR не устанавливает единого срока. Многие органы рекомендуют спрашивать снова через несколько месяцев, и у TCF от IAB Europe тоже есть собственные правила. Проверьте рекомендации страны вашей аудитории и вашей CMP.

Заменяет ли ConsentMode юриста или CMP?

Нет. ConsentMode это аудит только на чтение. Он показывает, что сайт делает для каждого типа посетителя, со скриншотами и планом исправлений. Юридическое решение и баннер остаются за вашей командой и вашей CMP.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Узнайте, что видят европейские посетители на вашем сайте

Аудит открывает сайт как посетитель из Европы, проверяет баннер, cookie и TCF и показывает, что именно исправить.

Начать аудит