Коротко: хороший cookie banner не просто показывает текст. Он предлагает понятный выбор, не загружает необязательные технологии раньше времени, передаёт решение по всей цепочке и позволяет так же легко его изменить. Consent Mode или CMP не создают соответствие требованиям автоматически.
Этот материал — технический и продуктовый чек-лист, а не юридическая консультация. Для конкретного бизнеса нужно учитывать австрийский TKG 2021, GDPR, используемые сервисы, категории данных и рынки пользователей. Официальный текст GDPR доступен на EUR-Lex.
Если компания находится в Австрии, а посетители приходят из разных стран EEA или других рынков, проверку нужно строить вокруг фактической аудитории, используемых сервисов и потоков данных.
Сведения сверены 28 сентября 2026. Австрийская DSB объясняет §165(3) TKG 2021 и исключение для действительно необходимых технологий. Число жалоб, в том числе от noyb, не устанавливает долю ошибочных сайтов или фиксированный штраф для малого бизнеса.
Почему cookie banner остаётся проблемой
Баннер часто устанавливают как готовый виджет и больше не проверяют. За это время меняются GTM, рекламные пиксели, плагины, домены и серверная передача данных. В результате интерфейс продолжает показывать прежний выбор, а фактическое поведение сайта уже другое.
Проверять нужно не наличие CMP, а соответствие трёх слоёв: что обещает текст, что выбирает пользователь и что реально загружается в браузере и на сервере.
1. На первом слое есть реальный выбор
Посетитель должен понимать, что он может принять или отклонить необязательные технологии. Если «Принять всё» заметно, а отказ спрятан за несколькими экранами или оформлен как неактивный текст, интерфейс подталкивает к одному ответу.
Отчёт рабочей группы EDPB по cookie banner описывает общие позиции европейских надзорных органов по отсутствию кнопки отказа, предварительно выбранным вариантам и вводящему в заблуждение дизайну. Это важный ориентир, но конкретную оценку даёт компетентный орган или юридический специалист.
Проверка: может ли новый пользователь отклонить необязательные категории без поиска ссылки мелким шрифтом?
2. Необязательные категории не выбраны заранее
Аналитика, реклама и персонализация не должны выглядеть включёнными по умолчанию только потому, что CMP так настроен. Необходимые технологии описывайте отдельно и объясняйте, почему без них не работает запрошенная функция.
Проверка: откройте настройки в чистом браузере и убедитесь, что необязательные переключатели не активированы до действия пользователя.
3. Дизайн не маскирует отказ
Сравните размер, контраст, подписи и расположение кнопок. Избегайте формулировок, которые стыдят пользователя, обещают несуществующие преимущества или делают отказ похожим на ошибку.
Это не означает, что все элементы должны быть графически идентичными в каждом случае. Но выбор должен оставаться понятным и свободным, а дизайн — соответствовать содержанию.
Проверка: попросите человека, не знакомого с сайтом, показать, как отклонить маркетинговые cookies. Если он не находит путь, интерфейс нужно пересмотреть.
Отдельная проверка: cookie wall и детализация выбора
Если доступ к обычному содержанию сайта полностью закрыт до согласия на необязательные технологии, нужно отдельно проверить, действительно ли такой cookie wall допустим и свободен ли выбор пользователя. Нельзя считать согласие добровольным только потому, что кнопка формально присутствует.
Модель «оплата или согласие» не запрещена и не разрешена автоматически. DSB описывает условия оценки, включая реальность альтернативы и соразмерность цены. Проверьте доступную без рекламного tracking услугу и обработку данных в платном варианте.
Категории должны быть достаточно понятными, чтобы человек различал необходимые функции, аналитику, персонализацию и рекламу. Слишком общий переключатель «всё остальное» скрывает цели обработки; десятки технических поставщиков без объяснения, наоборот, не помогают принять решение. Нужен понятный уровень детализации, соответствующий фактическому стеку.
4. Баннер действительно управляет загрузкой
Самая опасная ошибка — корректный текст при некорректном исполнении. До выбора и после отказа проверьте сетевые запросы, cookies, local storage, теги GTM, пиксели и серверные события.
Минимум три сценария:
- первый визит без решения;
- принятие выбранных категорий;
- отказ и последующее изменение решения.
Проверяйте не только браузер. Серверная часть, серверный контейнер и плагины CMS также должны получать актуальное решение пользователя.
5. Согласие можно доказать и связать с версией текста
Организации нужен контролируемый журнал: какая версия баннера была показана, какие категории выбраны, когда и для какого псевдонимного идентификатора. Не сохраняйте больше данных, чем требуется для цели доказательства и управления настройками.
IP hash не является обязательным способом доказательства и не делает запись автоматически анонимной. Псевдонимный идентификатор тоже может оставаться персональными данными; обоснуйте срок хранения и доступ к журналу.
После изменения поставщиков, целей или текста должна появляться новая версия. Старое согласие нельзя автоматически растягивать на неизвестную пользователю обработку.
Проверка: команда может воспроизвести, какой выбор сделал тестовый пользователь и какую информацию он видел в тот момент.
6. Отозвать выбор не сложнее, чем дать его
Ссылка «Настройки cookies» должна быть доступна после закрытия баннера — например, в футере или постоянном элементе настроек. Изменение выбора должно прекращать дальнейшую необязательную обработку там, где это применимо.
Проверка: найдите настройки с любой страницы, отключите маркетинг и убедитесь, что последующие просмотры больше не запускают соответствующие запросы.
7. Consent Mode настроен как технический слой, а не юридическая ширма
Google Consent Mode передаёт состояние согласия тегам Google и меняет их поведение. Он не заменяет информирование пользователя, CMP или анализ правового основания. Google отдельно описывает получение согласия пользователя и настройки для трафика из EEA.
Basic не отправляет Google данные без согласия; Advanced может отправлять ограниченные запросы без cookies при denied. Cookieless не означает автоматически анонимность или допустимость обработки. Четыре Google-сигнала не управляют автоматически Meta CAPI и TikTok Events API: правила каждого получателя проверяют отдельно. Подробнее — Consent Mode v2.
Проверка: значения consent и момент их обновления соответствуют реальному выбору. Проверьте сценарии через инструменты браузера и официальную диагностику Google.
Как выбрать CMP для конкретного сайта
Сравнивайте не дизайн баннера, а поддержку вашего стека: Google Consent Mode v2, Meta Pixel и CAPI, server-side GTM, языковые версии, журнал согласия и возможность повторно запросить выбор после изменения целей.
Для небольшого сайта может быть достаточно корректно настроенного SaaS-CMP. Для нескольких доменов, приложений или сложной серверной архитектуры важнее API, синхронизация между средами и управляемая история версий. Название CMP само по себе ничего не гарантирует: типовой шаблон всё равно нужно проверить в реальных сценариях.
| Пример решения | Что проверить перед выбором |
|---|---|
| Cookiebot | Интеграцию с CMS, домены и нужный охват сканирования. |
| Usercentrics | Поддержку web, приложений и нескольких доменов в конкретном пакете. |
| Borlabs Cookie | Используете ли вы WordPress: продукт не предназначен для Astro или Shopify. |
| consentmanager | Категории, языки, журнал и передачу состояния на сервер. |
Это примеры, не рейтинг. Текущую цену сравнивайте с лимитами страниц, доменов, языков и сроком подписки. Для рекламных продуктов издателей, например AdSense, Google устанавливает отдельные требования к сертифицированным CMP. Они не означают юридическую сертификацию всего сайта или обязанность каждого рекламодателя Google Ads использовать такой продукт.
На дату проверки опубликован TCF 2.4. Новые требования к раскрытию имеют переходные сроки: 23 октября 2026 для web-CMP, 23 февраля 2027 для приложений/CTV. Уточните миграцию у поставщика; отраслевой framework не заменяет правовую оценку. Подтверждённый график IAB Europe.
Что показывают два практических сценария
Сценарий 1: интерфейс корректный, серверная отправка нет. Пользователь отклоняет marketing cookies, браузерные теги не запускаются, но backend продолжает отправлять Purchase в рекламную платформу. Исправлять нужно передачу состояния consent на сервер, а не внешний вид баннера.
Сценарий 2: блокировка работает, но выбор вводит в заблуждение. До согласия необязательные теги не загружаются, однако отказ спрятан в настройках, а первый слой выделяет только принятие. Здесь техническая часть не компенсирует проблему интерфейса.
Оба сценария показывают, почему автоматического scanner недостаточно: он видит запросы, но не всегда понимает весь путь выбора и его представление пользователю.
Это учебные ситуации, не подтверждённые клиентские кейсы. Из изменения баннера нельзя без сопоставимого измерения вывести улучшение качества заявок, точности отчёта или CPA. Другая доля согласия может менять состав измеряемой аудитории.
Что включить в технический аудит
- инвентаризацию cookies, SDK, пикселей и внешних запросов;
- карту категорий, целей, поставщиков и сроков хранения;
- тест до выбора, после принятия, после отказа и после отзыва;
- проверку desktop, mobile и языковых версий;
- передачу состояния в браузерные и серверные теги;
- соответствие текста фактическому поведению;
- владельца процесса и повторную проверку после обновлений.
Автоматический scanner помогает найти следы технологий, но не понимает все цели обработки и не заменяет ручной сценарий. Аналогично, высокий процент согласия не доказывает корректность интерфейса.
Приоритет исправлений
Сначала остановите необязательную загрузку до решения и после отказа. Затем исправьте первый слой, категории и возможность отзыва. После этого синхронизируйте документацию, журнал версий и мониторинг.
Не меняйте только цвет кнопки, если серверная интеграция продолжает игнорировать выбор. И не отключайте всю аналитику без понимания, какие измерения возможны при корректной архитектуре.
Canem Errant может проверить, что происходит до выбора, после согласия, после отказа и после изменения настроек. Юридическую оценку текста и основания обработки должен дать профильный специалист. Посмотреть Tracking & CAPI или описать проблему.
Три действия на эту неделю
- Остановите необязательную передачу до выбора и после отказа, включая backend.
- Проверьте отказ на первом слое, категории и постоянно доступный отзыв.
- Обновите сведения о поставщиках и версии; назначьте владельца повторной проверки.
Часто задаваемые вопросы
Делает ли CMP сайт автоматически соответствующим GDPR?
Нет. CMP — инструмент. Результат зависит от категорий, текста, фактической блокировки, поставщиков, журналов и возможности изменить выбор.
Можно ли считать продолжение просмотра согласием?
Не следует проектировать баннер вокруг молчания или продолжения навигации как единственного подтверждения. Конкретное основание и интерфейс нужно оценивать по применимым требованиям и рекомендациям надзорных органов.
Consent Mode заменяет cookie banner?
Нет. Это механизм передачи состояния тегам Google. Он должен работать вместе с корректным сбором и исполнением выбора пользователя.
Нужно ли показывать баннер при каждом визите?
Обычно выбор сохраняют на ограниченный срок и запрашивают повторно после существенного изменения целей, поставщиков или текста. Конкретный срок зависит от юрисдикции, конфигурации и рекомендаций компетентного органа; универсального значения для всех сайтов нет.
Достаточно ли простого уведомления о cookies?
Информационный текст не получает согласие на необязательные технологии. Если сайт использует только действительно необходимые функции, ситуация может отличаться. Сначала проверьте полный список технологий и требования к информированию.
Какая доля согласия считается хорошей?
Универсального значения нет: результат зависит от посетителей, рынков, устройств, целей и интерфейса. Высокая доля не доказывает свободный выбор или улучшение продаж.
Может ли малый бизнес получить жалобу?
Да, применимые правила действуют и для небольших компаний. Возможная санкция зависит от нарушения и обстоятельств; фиксированного «тарифа штрафа для малого бизнеса» нет.
Чем TCF отличается от Consent Mode v2?
IAB TCF — отраслевой механизм передачи сигналов согласия между участниками рекламной цепочки. Consent Mode управляет поведением тегов Google. Они решают разные задачи и не заменяют юридический анализ или корректный интерфейс выбора.
