Приватность и аналитика: GDPR, согласие и Consent Mode

Приватность и аналитика связаны так: чем строже правила согласия, тем неполнее данные счётчиков, и SEO-специалисту нужно понимать, какие данные по-прежнему надёжны. Ниже — что известно о согласии по GDPR и CCPA, как работает Consent Mode в Google Analytics, при каких условиях Google достраивает недостающие данные моделью и что в популярных утверждениях («CCPA требует согласия», «штраф до 4%», «Search Console не зависит от согласия») нужно уточнить. Материал — не юридическая консультация: за выводами для вашего сайта обращайтесь к юристу.

GDPR и CCPA: не одно и то же

GDPR. В статье 83 регламента штрафы за нарушение основных принципов обработки, включая условия согласия (статьи 5, 6, 7 и 9), могут достигать 20 000 000 евро либо 4% общемирового годового оборота предприятия за предыдущий финансовый год — смотря что больше (текст статьи 83). Поэтому «до 4% оборота» — неполная формулировка: верхняя граница — большее из двух значений. Нижний порог (до 10 млн или 2%) относится к другим нарушениям.

CCPA. Калифорнийский закон устроен иначе. По описанию Генерального прокурора Калифорнии, он даёт потребителям право знать, какие данные собираются и как используются, удалять данные, исправлять неточные, отказаться от продажи или передачи персональных данных (в том числе через сигнал GPC) и не подвергаться дискриминации за использование прав (страница о CCPA). Это модель отказа (opt-out), а не обязательного предварительного согласия, как в утверждении «CCPA требует явного согласия». Какие именно обязательства распространяются на ваш сайт, зависит от места, где находятся ваши пользователи, и от вашей деятельности — вопрос к юристу.

Как работает Consent Mode

Режим согласия (справка Analytics) позволяет передавать в Google статус согласия пользователя на файлы cookie или идентификаторы приложения; теги Google подстраивают поведение под выбор пользователя. Важные детали:

• Consent Mode не создаёт баннер: он взаимодействует с вашей платформой управления согласием (CMP) или собственной реализацией.
• Если согласия нет, теги не сохраняют cookie, а отправляют в Google «пинги» без cookie с минимумом сведений: служебная информация (время, user agent, реферер), общие признаки (например, был ли в адресе параметр рекламного клика), булево значение статуса согласия и случайное число на каждую загрузку страницы.
• Для Google Analytics Google восполняет пробелы моделированием конверсий и моделированием поведения.
• В ноябре 2023 года режим обновили: появились два дополнительных параметра (данные пользователя для рекламы и персонализация). Для сайта с собственным решением справка советует задать состояние по умолчанию и обновлять его по действиям пользователя, а значения по умолчанию ограничивать регионами, где показывается баннер (настройка для разработчиков).
• Есть базовая и расширенная реализации; от выбора зависит, будет ли возможно моделирование (см. ниже).

Моделирование поведения: условия

Моделирование поведения использует машинное обучение: поведение отказавшихся от cookie оценивается по поведению похожих пользователей, которые согласились. По справке о моделировании поведения, оно включается автоматически, когда ресурс подходит, и только при высокой уверенности в качестве модели. Если согласившегося трафика мало, события отказавшихся не показываются в отчётах. Условия:

1. Consent Mode включён на всех страницах сайта и экранах приложения.
2. Расширенная реализация: теги загружаются до диалога согласия и в любом случае, а не только после согласия.
3. Не менее 1000 событий в день с analytics_storage='denied' в течение не менее 7 дней.
4. Не менее 1000 пользователей в день, отправляющих события с analytics_storage='granted', в течение не менее 7 из предыдущих 28 дней.

Выполнение условий не гарантирует допуск: модель учитывает и другие критерии, например долю новых и вернувшихся пользователей. Чтобы видеть смоделированные данные, в разделе Reporting identity выберите Blended («Смешанная»). Числа пользователей в таких отчётах, скорее всего, будут выше, чем в отчётах только с наблюдаемыми данными. Значит, для небольших сайтов, не достигающих порогов, моделирования не будет, и часть данных просто останется неучтённой (обзор GA4).

Что остаётся надёжным

Отчёт Search Console об эффективности показывает, как сайт работает в результатах Google Поиска: показы, клики, запросы, страницы (справка). Эти данные не собираются тегами на вашем сайте. Из этого можно сделать вывод, что их полнота не зависит от баннера согласия на сайте, — но это наш вывод: прямо в документации так не сказано, и данные Search Console имеют свои ограничения (Search Console для аналитика). Поэтому для ответа на вопрос «сколько органического трафика» удобно сравнивать клики из Search Console с сеансами из GA4 и понимать разницу, а не ждать их совпадения (KPI в SEO).

Приёмы из практики

• Server-side tagging и сбор собственных данных (первичные данные) помогают меньше зависеть от блокировщиков, но не отменяют требований к согласию.
• Блокировщики и защита браузеров (Safari, Firefox, расширения) режут часть измерений независимо от баннера: это практика, а не часть описанной выше документации.
• Тексты политики конфиденциальности и баннера нужно согласовывать с юристом, а не копировать.

Чего нет в источниках

• «CCPA требует явного согласия до сбора данных» — это модель GDPR; CCPA описывается как право отказа.
• «GA4 теряет 30% данных», «25% данных от отказников» — частные истории; доля зависит от вашего баннера и аудитории.
• «“(not provided)” из-за того, что HTTPS шифрует реферер» — пояснение без источника; для поисковых запросов используйте отчёт Search Console.
• «Search Console не зависит от согласия» — в документации не сказано прямо.

Чек-лист

1. Баннер согласия настроен вместе с юристом и работает.
2. Consent Mode подключён к CMP; состояние по умолчанию задано и ограничено нужными регионами.
3. Выбрана реализация, допускающая моделирование (расширенная), и проверено выполнение порогов 1000/1000.
4. В отчётах понятно, где наблюдаемые, а где смоделированные данные.
5. Для оценки органического поиска сопоставляются Search Console и GA4.
6. Решения не опираются на цифры «потерь» из чужих историй.

Ошибки

• Считать CCPA и GDPR одним и тем же требованием.
• Обещать клиенту «штраф до 4%» без оговорки «или 20 млн евро, смотря что больше».
• Включить Consent Mode и ожидать моделирования без выполнения условий.
• Ждать, что GA4 и Search Console покажут одинаковые числа.
• Копировать формулировки согласия с чужого сайта.

Что дальше

Дальше — первичные данные: как собирать собственные данные о пользователях с их согласия и использовать их вместо чужих идентификаторов. Международное измерение — в уроке про международное SEO.