Приватність й аналітика: GDPR, згода та Consent Mode

Приватність й аналітика повʼязані так: що суворіші правила згоди, то неповніші дані лічильників, і SEO-фахівцю треба розуміти, які дані досі надійні. Нижче — що відомо про згоду за GDPR і CCPA, як працює Consent Mode у Google Analytics, за яких умов Google добудовує бракуючі дані моделлю і що в популярних твердженнях («CCPA вимагає згоди», «штраф до 4%», «Search Console не залежить від згоди») треба уточнити. Матеріал — не юридична консультація: за висновками для вашого сайту звертайтеся до юриста.

GDPR і CCPA: не те саме

GDPR. У статті 83 регламенту штрафи за порушення основних принципів обробки, зокрема умов згоди (статті 5, 6, 7 і 9), можуть сягати 20 000 000 євро або 4% загальносвітового річного обороту підприємства за попередній фінансовий рік — залежно від того, що більше (текст статті 83). Тому «до 4% обороту» — неповне формулювання: верхня межа — більше з двох значень. Нижчий поріг (до 10 млн або 2%) стосується інших порушень.

CCPA. Каліфорнійський закон влаштований інакше. За описом Генерального прокурора Каліфорнії, він дає споживачам право знати, які дані збираються й як використовуються, видаляти дані, виправляти неточні, відмовитися від продажу чи передачі персональних даних (зокрема через сигнал GPC) і не зазнавати дискримінації за користування правами (сторінка про CCPA). Це модель відмови (opt-out), а не обовʼязкової попередньої згоди, як у твердженні «CCPA вимагає явної згоди». Які саме зобовʼязання поширюються на ваш сайт, залежить від того, де перебувають ваші користувачі, і від вашої діяльності — питання до юриста.

Як працює Consent Mode

Режим згоди (довідка Analytics) дає змогу передавати до Google статус згоди користувача на файли cookie чи ідентифікатори застосунку; теги Google підлаштовують поведінку під вибір користувача. Важливі деталі:

• Consent Mode не створює банер: він взаємодіє з вашою платформою керування згодою (CMP) або власною реалізацією.
• Якщо згоди немає, теги не зберігають cookie, а надсилають до Google «пінги» без cookie з мінімумом відомостей: службова інформація (час, user agent, реферер), загальні ознаки (наприклад, чи був в адресі параметр рекламного кліку), булеве значення статусу згоди та випадкове число на кожне завантаження сторінки.
• Для Google Analytics Google заповнює прогалини моделюванням конверсій і моделюванням поведінки.
• У листопаді 2023 року режим оновили: зʼявилися два додаткові параметри (дані користувача для реклами та персоналізація). Для сайту з власним рішенням довідка радить задати стан за замовчуванням і оновлювати його за діями користувача, а значення за замовчуванням обмежувати регіонами, де показується банер (налаштування для розробників).
• Є базова й розширена реалізації; від вибору залежить, чи буде можливе моделювання (див. нижче).

Моделювання поведінки: умови

Моделювання поведінки використовує машинне навчання: поведінку тих, хто відмовився від cookie, оцінюють за поведінкою схожих користувачів, які погодилися. За довідкою про моделювання поведінки, воно вмикається автоматично, коли ресурс підходить, і лише за високої впевненості в якості моделі. Якщо трафіку зі згодою мало, події тих, хто відмовився, у звітах не показуються. Умови:

1. Consent Mode ввімкнено на всіх сторінках сайту й екранах застосунку.
2. Розширена реалізація: теги завантажуються до діалогу згоди й у будь-якому разі, а не лише після згоди.
3. Щонайменше 1000 подій на день з analytics_storage='denied' упродовж щонайменше 7 днів.
4. Щонайменше 1000 користувачів на день, що надсилають події з analytics_storage='granted', упродовж щонайменше 7 із попередніх 28 днів.

Виконання умов не гарантує допуску: модель враховує й інші критерії, наприклад частку нових і повернених користувачів. Щоб бачити змодельовані дані, у розділі Reporting identity оберіть Blended («Змішана»). Кількість користувачів у таких звітах, найімовірніше, буде вищою, ніж у звітах лише зі спостережуваними даними. Отже, для невеликих сайтів, що не досягають порогів, моделювання не буде, і частина даних просто лишиться неврахованою (огляд GA4).

Що лишається надійним

Звіт Search Console про ефективність показує, як сайт працює в результатах Google Пошуку: покази, кліки, запити, сторінки (довідка). Ці дані не збираються тегами на вашому сайті. Звідси можна зробити висновок, що їхня повнота не залежить від банера згоди на сайті, — але це наш висновок: прямо в документації так не сказано, а дані Search Console мають свої обмеження (Search Console для аналітика). Тому для відповіді на питання «скільки органічного трафіку» зручно порівнювати кліки з Search Console із сеансами з GA4 і розуміти різницю, а не чекати їхнього збігу (KPI в SEO).

Прийоми з практики

• Server-side tagging і збір власних даних (первинні дані) допомагають менше залежати від блокувальників, але не скасовують вимог до згоди.
• Блокувальники та захист браузерів (Safari, Firefox, розширення) ріжуть частину вимірювань незалежно від банера: це практика, а не частина описаної вище документації.
• Тексти політики конфіденційності та банера треба погоджувати з юристом, а не копіювати.

Чого немає в джерелах

• «CCPA вимагає явної згоди до збору даних» — це модель GDPR; CCPA описується як право відмови.
• «GA4 втрачає 30% даних», «25% даних від тих, хто відмовився» — окремі історії; частка залежить від вашого банера й аудиторії.
• «“(not provided)” через те, що HTTPS шифрує реферер» — пояснення без джерела; для пошукових запитів використовуйте звіт Search Console.
• «Search Console не залежить від згоди» — у документації прямо не сказано.

Чек-лист

1. Банер згоди налаштовано разом із юристом і він працює.
2. Consent Mode підключено до CMP; стан за замовчуванням задано й обмежено потрібними регіонами.
3. Обрано реалізацію, що допускає моделювання (розширену), і перевірено виконання порогів 1000/1000.
4. У звітах зрозуміло, де спостережувані, а де змодельовані дані.
5. Для оцінки органічного пошуку зіставляються Search Console і GA4.
6. Рішення не спираються на цифри «втрат» із чужих історій.

Помилки

• Вважати CCPA і GDPR однією вимогою.
• Обіцяти клієнтові «штраф до 4%» без застереження «або 20 млн євро, залежно від того, що більше».
• Увімкнути Consent Mode й очікувати моделювання без виконання умов.
• Чекати, що GA4 і Search Console покажуть однакові числа.
• Копіювати формулювання згоди з чужого сайту.

Що далі

Далі — первинні дані: як збирати власні дані про користувачів за їхньої згоди й використовувати їх замість чужих ідентифікаторів. Міжнародний вимір — в уроці про міжнародне SEO.