Cookies і політика конфіденційності на сайті фірми в ЄС: чого вимагає закон

Сайт фірми в ЄС може зберігати на пристрої відвідувача лише те, без чого не працює, доки відвідувач не погодиться на більше. Аналітика, піксель Meta і рекламні теги чекають на згоду. Відмовитися має бути так само просто, як погодитися, а в політиці конфіденційності треба написати, хто ви, які дані збираєте, які інструменти їх отримують і як довго ви їх зберігаєте. Нижче пояснюємо, звідки ці правила і де сайти порушують їх найчастіше.

Які правила діють у всьому ЄС

Правило щодо cookies походить зі ст. 5 ч. 3 директиви ePrivacy, яку кожна країна ЄС перенесла у власне законодавство. Стаття говорить про інформацію, збережену на пристрої користувача, а не лише про файли cookie, тож охоплює й записи в localStorage, й ідентифікатори пікселів. Зберігати їх можна, коли користувача чітко поінформували і він дав згоду. Без згоди дозволено лише те, без чого не працює послуга, яку користувач замовив сам, наприклад кошик або збережений вибір у банері. Сама згода має відповідати стандарту GDPR: бути добровільною, конкретною, поінформованою і висловленою чіткою дією.

Кожна країна стежить за дотриманням цих правил через власні органи, тож регулятор і розмір штрафів відрізняються від країни до країни. Якщо збережені дані дають змогу ідентифікувати людину, національний орган із захисту даних може діяти й на підставі GDPR, де штрафи сягають 20 млн євро або 4% світового обороту. Одна з найбільших нещодавніх справ — із Франції: 1 вересня 2025 року CNIL оштрафувала Shein на 150 млн євро за трекери, встановлені без згоди.

Банер: «Відхилити» на першому екрані, так само помітне, як «Прийняти»

Європейські органи захисту даних описали найчастіші проблеми банерів у звіті EDPB 2023 року. Більшість із них вважає порушенням банер, у якому на рівні з кнопкою згоди не можна відмовитися. На кожному сайті ми дотримуємося таких правил:

• три кнопки на першому екрані: «Прийняти все», «Відхилити» і «Налаштування», в однаковому стилі;
• нічого не позначено заздалегідь: після рішення Суду ЄС у справі Planet49 (2019) заздалегідь поставлена позначка не є згодою;
• жодного «законного інтересу» для аналітичних і рекламних cookies, бо, за EDPB, він не може бути підставою для їх збереження;
• назва фірми, відповідальної за дані, на першому екрані, а в налаштуваннях повний список cookies із постачальником, метою і строком дії кожного;
• маленька кнопка, яка будь-коли знову відкриває налаштування, бо відкликати згоду має бути так само легко, як її дати (ст. 7 ч. 3 GDPR).

Однаковий CSS не гарантує однакового розміру на екрані. В одному з наших проєктів однаково оформлені кнопки «Прийняти» і «Відхилити» на телефоні шириною 390 пікселів відрізнялися площею на 42%, бо ширина кожної кнопки залежала від довжини напису. Відтоді ми перевіряємо цю пару і на телефоні.

Google Consent Mode v2 не блокує інші теги

Consent Mode передає рішення відвідувача тегам Google. Версія 2, представлена наприкінці 2023 року, додала два сигнали: ad_user_data і ad_personalization. Google вимагає їх від рекламодавців у ЄЕЗ, які хочуть користуватися персоналізацією реклами та вимірюванням. У базовому (Basic) теги не завантажуються, доки відвідувач не зробить вибір. У розширеному (Advanced) вони завантажуються з відмовою для всіх категорій, не зберігають cookies і надсилають Google сигнали без файлів cookie, на основі яких Google моделює конверсії, яких не бачить. Ці сигнали все одно містять технічні дані, як-от IP-адресу та відомості про браузер, а настанови EDPB 2/2023 відносять такі запити відстеження до того самого правила згоди.

Consent Mode керує лише тегами Google. Піксель Meta чи Microsoft Clarity, додані в Google Tag Manager як користувацький HTML-тег (Custom HTML), спрацьовують незалежно від вибору відвідувача, якщо не мають окремої умови згоди. Ми перевірили це на власному сайті 13 серпня 2026 року: піксель Meta записав cookie _fbp ще до того, як відвідувач щось натиснув. Ми перенесли піксель із Tag Manager у код, який завантажує його лише після згоди на маркетинг.

Базовий режим має вимірювану ціну. На нашому сайті за 30 днів до 21 вересня 2026 року Google Ads зафіксував 122 кліки, а GA4 показав 36 сесій із платного пошуку, тож більшість платних візитів не вдавалося пов'язати з рекламою, яка їх привела. Тому багато рекламодавців обирає розширений режим. Через настанови EDPB це рішення настільки ж юридичне, наскільки бізнесове: опишіть режим у політиці конфіденційності й ухвалюйте рішення разом із людиною, яка відповідає у фірмі за захист даних.

Що має бути в політиці конфіденційності

Ст. 13 GDPR перелічує, що людина має дізнатися, коли ви збираєте її дані. Навіть простий сайт-візитка з контактною формою збирає дані, хоча б у логах сервера. На практиці політика має містити:

• адміністратора даних як юридичну особу: повну назву фірми, реєстраційний номер і адресу, бо самого бренду недостатньо;
• які дані ви збираєте, з якою метою і на якій правовій підставі;
• хто їх отримує, зокрема хостинг, Google, Meta і Microsoft, і на якій підставі дані передаються до США (EU-US Data Privacy Framework або стандартні договірні положення);
• як довго ви зберігаєте кожен вид даних;
• права відвідувача, спосіб відкликати згоду і право поскаржитися до органу із захисту даних;
• список cookies та інших збережених даних із реальним строком дії.

Строк дії виміряйте на власному сайті, не переписуйте його з документації постачальника. Google вказує для cookie _ga два роки, але Chrome обмежує будь-яке cookie 400 днями, а Safari зберігає cookies, записані скриптами, 7 днів. Посилання на політику розмістіть у футері кожної сторінки, у банері й біля кожної форми з полем згоди. Коли хтось додає новий інструмент, наприклад теплову карту чи чат, політика і список cookies теж мають змінитися. Політика, скопійована в іншої фірми, описує, як дані рухаються в тієї фірми.

Після відкликання згоди cookies мають зникнути

Коли відвідувач відкликає згоду, сайт має видалити аналітичні й рекламні cookies і перезавантажитися. На одному з протестованих сайтів _ga і _fbp пережили «відкликання» з ідентичними значеннями, бо видалення не охоплювало домен, на якому їх записали. Піксель Meta ще й записує в localStorage lastExternalReferrer і lastExternalReferrerTime. На одному робочому сайті обидва записи лишилися після відкликання згоди. Cookies на доменах Meta чи Microsoft ваш сайт видалити не може взагалі, і політика має чесно про це сказати.

Перевірте свій сайт за п'ять хвилин

1. Відкрийте сайт у приватному вікні й не натискайте на банер.
2. Відкрийте інструменти розробника (F12), вкладку Application, і подивіться Cookies та Local Storage. До згоди там має бути лише те, що потрібно сайту, наприклад запис про вибір.
3. Натисніть «Відхилити» й оновіть сторінку. _ga, _fbp, _clck та подібні записи не мають з'явитися.
4. Натисніть «Прийняти», потім відкличте згоду кнопкою налаштувань і перевірте, чи cookies зникли.
5. Порівняйте побачене зі списком у політиці конфіденційності.

Якщо щось з'являється до згоди, шукайте тег, який ігнорує банер: користувацький тег у Tag Manager без окремої умови згоди, плагін WordPress, віджет чату або код, який залишив попередній підрядник. Банер, Consent Mode і політику конфіденційності ми налаштовуємо на кожному сайті, який робимо, а наявний сайт теж можемо перевірити. Надішліть адресу через сторінку контактів.