GDPR для сайту: cookie, форми й аналітика

GDPR для сайту з маркетинговими цілями зводиться до трьох речей: що ви зберігаєте в браузері відвідувача, що збираєте через форми і яким стороннім сервісам передаєте дані. Отримайте згоду до того, як завантажаться необов’язкові cookie і теги. Збирайте у формі лише потрібне і поясніть навіщо. Знайте кожного постачальника, до якого звертаються ваші сторінки. Решта: акуратна розробка.

Цей текст для засновників і маркетологів, і він практичний. Це не юридична консультація. Політику конфіденційності й угоди про обробку даних варто доручити юристу. А рішення в коді нижче варто доручити розробнику, який їх розуміє: саме тут більшість сайтів і помиляється.

GDPR для сайту: що це означає на практиці

Загальний регламент про захист даних діє з травня 2018 року. Він стосується персональних даних людей у ЄС і поширюється на компанії поза ЄС, якщо ті пропонують цим людям послуги або відстежують їхню поведінку. Американська SaaS-компанія з європейськими клієнтами теж підпадає під нього. Українська компанія, яка продає в Європу, так само.

На звичайному маркетинговому сайті персональні дані з’являються в більшій кількості місць, ніж здається:

• Ідентифікатори. ID у cookie, ID пристрою і в багатьох випадках IP-адреса.
• Поля форм. Ім’я, робоча пошта, телефон, довільне повідомлення.
• Поведінка. Перегляди й кліки, прив’язані до ідентифікатора.
• Запити до сторонніх серверів. Кожен скрипт, шрифт чи відео з чужого сервера бачить IP відвідувача.

Штрафи за статтею 83 сягають 20 млн євро або 4% світового річного обороту. Більшість невеликих сайтів таких сум не побачить. Частіше трапляється інше: скарга, угода, що застрягла на перевірці безпеки, або переробка сайту, бо згоду прикрутили наприкінці.

Чи потрібен вам банер cookie?

Не завжди. Правило щодо cookie походить із Директиви ePrivacy, стаття 5(3), у тому вигляді, як її впровадила кожна країна ЄС. Зберігати або зчитувати будь-що на пристрої відвідувача можна лише за згодою, якщо це не суворо необхідно для послуги, яку людина сама запросила. А GDPR визначає, якою має бути дійсна згода.

До суворо необхідного належать кошик, сесія входу чи cookie балансувальника навантаження. Аналітика, рекламні пікселі, теплові карти й чати, що відстежують повторні візити, сюди не належать.

Якщо сайт використовує лише суворо необхідне сховище, банер згоди не потрібен. Пояснення про cookie в політиці все одно має бути. Якщо ж ви використовуєте щось інше, банер мусить відповідати стандарту згоди:

1. Активна згода, а не відмова за замовчуванням. Суд ЄС у справі Planet49 (2019) постановив, що заздалегідь поставлена галочка не є згодою.
2. До запуску тегу. Скрипти, що ставлять cookie, не завантажуються, доки людина не погодиться.
3. Відмовитися так само просто, як погодитися. Кнопка «Відхилити все» на тому ж рівні, що й «Прийняти все».
4. Окремі категорії. Окремий вибір для аналітики й для маркетингу.
5. Легко відкликати. Стаття 7(3) вимагає, щоб відкликати згоду було так само легко, як її дати. Для цього достатньо посилання «Налаштування cookie» у футері.
6. Записано. Зберігайте, що саме обрала людина і коли.

Банер, який ставить трекінгові cookie одразу при завантаженні сторінки, а потім ввічливо питає дозволу, трапляється часто. І помітити це легко.

Аналітика без здогадок

Є два робочі підходи.

Аналітика після згоди. Google Analytics або подібний інструмент завантажується лише після того, як людина погодилася. Ви втрачаєте дані тих, хто відмовився, зате маєте повний інструмент. Це правильний вибір, якщо команда живе у звітах GA4 або атрибуції реклами.

Власна аналітика без cookie. Рахуйте перегляди й ключові події на своєму сервері, без cookie і постійних ідентифікаторів. Багатьом командам цього вистачає для реальних питань: які сторінки мають трафік, які форми конвертують, які кампанії приводять людей. На сайтах, які ми робимо, ми часто вмикаємо таку внутрішню аналітику за замовчуванням, а сторонні теги лишаються вимкненими до згоди.

Хоч би що ви обрали, перевірте, куди йдуть дані. Передача американським сервісам спирається на рамкову угоду EU-US Data Privacy Framework, ухвалену в липні 2023 року, або на стандартні договірні положення. У переліку обробників має бути кожен сервіс і підстава для кожної передачі.

Форми заявок: збирати менше, пояснювати більше

Через форми маркетинговий сайт збирає найбільше персональних даних. І саме тут виправлення найпростіші.

• Питайте лише те, чим користуєтеся. Для запиту на співпрацю телефон потрібен рідко. Зробіть зайві поля необов’язковими або приберіть.
• Пояснюйте в момент збору. Стаття 13 вимагає сказати, хто ви, навіщо збираєте дані і скільки їх зберігаєте. Один рядок під кнопкою з посиланням на сторінку про cookie та обробку даних закриває це питання для самої форми.
• Розділяйте згоди. Відповідь на запит і розсилка: дві різні мети. Ніколи не поєднуйте їх в одній галочці.
• Фіксуйте згоду. Зберігайте час згоди разом із заявкою.
• Захищайте дані під час передачі й зберігання. HTTPS, база з контролем доступу і, за можливості, жодних даних форм відкритим текстом у спільну поштову скриньку.
• Встановіть строк зберігання. Видаляйте заявки, з яких нічого не вийшло, через визначений час.

Захист від спаму теж торкається персональних даних. Обмежувати кількість запитів за IP можна, якщо ви хешуєте адресу із секретом і ніколи не зберігаєте її у відкритому вигляді. Приховане поле-пастка відсікає більшість ботів без сторонньої капчі.

Сторонні сервіси: вбудовування, шрифти й обробники

Кожен зовнішній запит означає передачу даних. Складіть перелік того, що завантажує кожна сторінка, і вирішуйте щодо кожного пункту окремо.

• Шрифти. У 2022 році суд у Мюнхені визнав, що завантаження Google Fonts із серверів Google без згоди порушує GDPR. Розміщуйте шрифти у себе. Так ще й швидше.
• Відео. Для YouTube чи Vimeo ставте прев’ю, яке завантажує плеєр лише після натискання.
• Карти, чати, віджети запису на дзвінок. Так само, як відео: завантаження після взаємодії або після згоди.
• Обробники даних. Хостинг, поштовий сервіс, CRM і аналітика обробляють дані від вашого імені. Стаття 28 вимагає угоди про обробку даних з кожним. Більшість сервісів публікує свою.

Перевірка перед запуском

Це короткий список, який ми проходимо перед тим, як сайт стає публічним. Він доповнює технічні пункти з нашого чекліста безпеки сайту, бо приватність і безпека мають здебільшого ті самі слабкі місця.

1. Відкрийте сайт у чистому профілі браузера. Переконайтеся, що до згоди немає необов’язкових cookie і сторонніх запитів.
2. Натисніть «Відхилити все». Переконайтеся, що у сховищі й мережевих запитах нічого не змінилося.
3. Натисніть «Прийняти все». Переконайтеся, що завантажуються лише сервіси з вашої політики.
4. Відкрийте «Налаштування cookie» у футері й відкличте згоду. Переконайтеся, що теги зупинилися.
5. Надішліть кожну форму. Перевірте збережений запис, час згоди і лист-сповіщення.
6. Складіть перелік обробників з угодами й підставами передачі.
7. Звірте політику конфіденційності з тим, що сайт робить насправді.

Наступний крок: закладіть це з першого спринту

Згода й робота з даними коштують значно дешевше, коли вони визначають архітектуру, а не латаються зверху. У проєктах з розробки корпоративного сайту ми плануємо шар згоди, обробку форм і перевірку вище з першого спринту.

Що входить у кожен продукт і за що ми ніколи не беремо додатково, видно на сторінці цін. Якщо ваш поточний сайт не проходить перший пункт чекліста, з цього й варто почати розмову.