Защита данных в интернет-рекламе в Австрии: GDPR, cookies и передача событий

Покупатель нажал «Отклонить», оформил заказ, а Meta всё равно получила его email. На сайте есть красивый cookie-баннер, но передача данных работает отдельно от выбора человека. Первое, что нужно проверить, — какой запрос ушёл, зачем и на каком основании.

Коротко: для рекламы в Австрии важны и GDPR, и § 165(3) TKG 2021. Согласие на рекламные cookies, передача контактов и трансфер данных в другую страну — разные вопросы. CAPI и серверный трекинг помогают управлять отправкой; сами по себе они не подтверждают соблюдение закона и не гарантируют снижение CPA.

Canem Errant проверяет события, параметры и передачу выбора пользователя между сайтом и рекламными системами. Ниже — практический разбор по состоянию на 28 сентября 2026. Юридическую квалификацию обработки согласуют со специалистом; справочные материалы для бизнеса публикует WKO.

Почему защита данных важна для рекламы в Австрии

В исходной рекламе вопрос обычно звучит как «не потеряем ли мы конверсии?». Начните с трёх вещей, которые влияют на допустимость измерения.

noyb и история трансферов

Организация noyb работает из Вены и ведёт дела о защите данных, включая использование cookies и передачу в США. В отчёте за 2025 год указана 21 новая жалоба против крупных компаний в Европе. Это число за конкретный год, а не оценка числа нарушений у австрийских рекламодателей. Годовые отчёты noyb.

Schrems II отменил прежний Privacy Shield в 2020 году. Историческое дело DSB о Google Analytics, опубликованное в 2022 году, касалось конкретной передачи данных и требований главы V GDPR. Оно не доказывает, что любая сегодняшняя настройка GA4 запрещена. Отчёт DSB за 2022 год. С 10 июля 2023 года действует другой механизм — EU–US Data Privacy Framework для участвующих компаний. Основание трансфера всё равно проверяют для фактического получателя. Еврокомиссия о передаче в США.

DSB и ответственность за данные

Наличие подрядчика не снимает с бизнеса обязанности понимать цель обработки, доступы и получателей. Нарушение правил хранения на устройстве относится к компетенции органов связи — Fernmeldebehörden; последующая обработка персональных данных может также относиться к DSB. Поэтому нельзя автоматически приписывать любой штраф за cookies одному органу. DSB: cookies и полномочия.

TKG 2021 и устройство пользователя

§ 165(3) касается хранения информации или доступа к ней на устройстве, а не только файлов с названием cookie. Переименование технологии или перенос части запросов на сервер не заменяет проверку её назначения. Необходимость измерять рекламу для бизнеса ещё не делает рекламную технологию необходимой для запрошенной пользователем услуги.

Что проверить по TKG 2021 в cookie-баннере

Для необязательных cookies требуется предварительное согласие. Исключение связано с технической необходимостью предоставления явно запрошенной услуги или передачи сообщения, а не с удобством рекламодателя. Корзину и рекламное сопоставление оценивают отдельно. Отсутствие согласия на маркетинг не отменяет законную обработку заказа в магазине.

Четыре дефекта требуют внимания:

• Предвыбранные категории. Посетитель не должен обнаруживать уже включённые необязательные цели.
• Доступ только после согласия. Простая блокировка сайта до принятия всей рекламы ставит под вопрос добровольность. Отдельные модели pay-or-okay требуют отдельной оценки.
• Спрятанный отказ. Принять можно одной кнопкой, а отказать — только через несколько экранов. Равнозначность выбора важнее формального наличия ссылки.
• Передача до выбора. Даже баннер с правильным текстом не помогает, если необязательные cookies или рекламные интеграции уже работают.

Цвет сам по себе не решает вопрос: зелёная кнопка не автоматически незаконна. Проверяйте видимость отказа, число действий и отсутствие давления. Позиция DSB о дизайне и согласии.

Долю согласий измеряйте на собственном сайте по устройствам и источникам трафика. Сравнивайте её между сопоставимыми периодами и версиями баннера. Отказ от рекламного измерения также не означает потерянную продажу: заказ остаётся в системе магазина, хотя его рекламная атрибуция может быть ограничена. Практические сценарии — в проверке cookie-баннера.

Какие нарушения и санкции нужно учитывать

В GDPR есть разные максимумы: €10 млн или 2% мирового годового оборота для одной группы нарушений и €20 млн или 4% для другой; применяется более высокая величина соответствующего предела. Это потолки, а не тариф за конкретный баннер. Размер и сама необходимость штрафа оцениваются индивидуально. DSB о санкциях.

Штраф оценивают по конкретному нарушению, а не по фиксированному прайсу для каждого типа ошибки. Помимо санкций возможны требования изменить обработку; публикация жалобы или решения создаёт репутационный риск. Расходы на исправление затрагивают сайт, интеграции и работу команды. Покупка CMP не заменяет проверку этих процессов.

Какие данные передают Meta и Google

Состав запроса определяют по цели, правовому основанию, выбору пользователя и документации конкретного API. Для персонализированной рекламы и сопоставления контактов нельзя произвольно заменить отказ посетителя удобным рекламодателю разрешением.

В разрешённой интеграции могут использоваться:

• нормализованные email и телефоны с SHA-256 там, где этого требует платформа;
• события Purchase, AddToCart и Lead с корректным временем;
• сумма заказа и валюта;
• event_id для устранения дублей;
• имя, фамилия, город и индекс, если они нужны выбранной функции и допустимы для передачи.

Не все поля нужно хешировать. Контактные поля, сумма, валюта и технический идентификатор имеют разные форматы. Google описывает хеширование пользовательских контактов для enhanced conversions; официальный Meta SDK показывает отдельные поля email, IP и user agent. Google: enhanced conversions, официальный Meta SDK.

Хеш email, предназначенный для сопоставления с человеком, не становится автоматически анонимной статистикой. Псевдонимизированные данные, которые можно связать с человеком, остаются персональными. EDPB: псевдонимизация.

В рекламную передачу не следует включать:

1. Контакты в открытом виде, когда интерфейс требует хеш, или любые контакты вне согласованной цели. Это не общий запрет передавать email законному обработчику для исполнения заказа.
2. Данные для рекламного использования вопреки отказу или отзыву согласия. Заказ в CRM и отправка того же заказа в рекламную систему — разные операции.
3. Сведения о здоровье, политических взглядах или религии. Особые категории требуют дополнительных условий Article 9 GDPR; обычная настройка рекламного сопоставления не подтверждает их выполнение. Проверяйте также URL и названия событий, которые могут раскрыть чувствительный контекст.
4. IP и другие идентификаторы без допустимой цели, основания обработки и проверенного международного трансфера.

DSB о правомерности обработки и особых категориях. Перед отправкой проверяйте конкретное разрешение, а не только факт наличия любого согласия. Подробнее о двух каналах — CAPI и Pixel.

Как серверный трекинг помогает управлять передачей

Серверный GTM и Meta CAPI дают дополнительные точки контроля. Для небольшого сайта с простым измерением такая архитектура может быть избыточной: соответствие требованиям не предполагает обязательной покупки серверного контейнера.

Проверка согласия на сервере. Получающий события сервис проверяет разрешение на конкретную рекламную передачу до отправки платформе. Отсутствующий, устаревший или отозванный выбор не превращается в granted по умолчанию. Отдельно проверяют повторные запросы и события из CRM.

Минимизация параметров. Разрешённый список помогает убрать свободный текст, лишние URL-параметры и сведения, не нужные для события. Браузерный канал тоже должен соблюдать эти правила; серверная фильтрация не исправляет уже отправленный Pixel-запрос.

Свой домен. Адрес tracking.example.at позволяет организовать контролируемый приём. Если затем данные уходят Meta или Google, конечный получатель остаётся важен. Собственная поддоменная запись и хостинг в ЕС не исключают последующий трансфер или доступ из третьей страны.

Проверяемые журналы. Фиксируйте решение об отправке, тип события, получателя и ошибки в пределах необходимого срока. Не складывайте все контакты и полные запросы в бессрочный лог. Для расследования нужны достаточные доказательства работы, ограниченные доступы и возможность удаления.

Что подтверждает кейс Erkado

В текущей работе с чешским интернет-магазином Erkado мы настраиваем серверный трекинг и анализируем рекламные данные. Задача проверки: понять, какие действия учитываются и где события расходятся с заказами магазина. Подробнее о составе работы в кейсе Erkado.

Результат относится к проекту целиком. Он не доказывает, что одна настройка согласия вызвала рост ROAS, и не является юридическим заключением о полном соответствии всех процессов клиента GDPR. EMQ показывает качество сопоставления, а не долю законно измеренных посетителей. Пошаговая техническая часть — в руководстве по серверному трекингу.

Что делает Google Consent Mode v2

Для соответствующих возможностей измерения, персонализации и ремаркетинга при работе с пользователями ЕЭЗ Google требует собирать согласия и передавать их состояния. Это условие продукта; оно не делает рекламу незаконной только из-за отсутствия кнопки с названием Consent Mode. Требования Google для ЕЭЗ.

Есть два варианта реализации. Basic блокирует Google tags до согласия и не отправляет данные при отказе. Advanced может загружать теги и передавать ограниченные cookieless pings при denied. Отсутствие cookie не означает отсутствие запроса или автоматически разрешённую обработку. Моделирование конверсий зависит от режима и условий продукта. Google: Basic и Advanced.

ad_storage относится к рекламному хранению, analytics_storage — к аналитическому; ad_user_data — к использованию пользовательских данных для рекламы, ad_personalization — к персонализации. Для персонализированной рекламы Google требует разрешения последних двух. При ad_personalization: denied персонализация отключена; при ad_user_data: denied использование пользовательских данных для рекламных целей ограничено. Справочник consent-сигналов.

Наш рекомендуемый старт — проверить согласованность баннера и отправки. Для процесса, где нужно блокировать передачу до согласия, Basic проще проверить. Advanced требует отдельной оценки допустимости pings. Полный разбор — Consent Mode v2 в ЕС.

Практический чек-лист для команды

Этапы ниже помогают распределить работу. «На этой неделе» и «2–4 недели» — пример организации, а не универсальный срок внедрения или выполнения закона.

1. Проверить баннер и выбор пользователя

• Принятие и отказ равнозначны по видимости и доступности.
• Необязательные категории не выбраны заранее.
• Сайт доступен без рекламного согласия; спорную модель доступа оценивают отдельно.
• Необходимые функции отделены от аналитических и рекламных целей.
• Есть ограниченное по сроку доказательство выбора, а отзыв так же доступен, как согласие.

Проверяйте новый визит, отказ, частичный выбор и отзыв. После каждого действия смотрите отправленные запросы. Текст в окне не показывает, что сделала интеграция.

2. Описать данные и договоры

• Актуализировать применимое к процессу описание обработки и реестр по Article 30 GDPR.
• Для Meta, Google, CMP и хостинга установить фактические роли и нужные соглашения.
• Проверить механизм каждого трансфера в США и его охват.

Договор Article 28 нужен для обработчика; совместная ответственность и самостоятельный получатель требуют иной квалификации. Нельзя объявить все сервисы обработчиками только потому, что они предоставляют инструмент. Еврокомиссия о ролях.

Для DPF проверяют юридическое лицо, действующее участие и охват данных в официальном реестре. Для получателя вне охвата проверяют другие механизмы, например SCC и необходимые дополнительные меры. DPF решает вопрос трансфера, а не заменяет основание первоначального сбора или согласие на рекламу. DSB о границах DPF.

3. Настроить выбранную схему измерения

• Оценить необходимость серверного GTM и размещение инфраструктуры.
• Если применяется CAPI, проверить серверное разрешение на отправку.
• Настроить согласованные сигналы Google Consent Mode v2 для используемых функций.
• Проверить дедупликацию браузерного и серверного события.
• Включать Advanced Matching только с допустимыми контактами и форматом конкретного API.

После изменения отправьте разрешённые тестовые события в тестовой среде, проверьте повтор и отказ. Отдельно сверяйте заказ с магазином: ошибка в сумме или дубль покупки не становится полезным сигналом из-за высокого EMQ. Дедупликация событий.

4. Назначить регулярную проверку

• Проверять EMQ и ошибки передачи, например ежемесячно и после изменений.
• Следить за собственной долей согласий по устройствам; не подгонять её под неподтверждённый рыночный процент.
• Проверять новые решения DSB и материалы noyb, если они затрагивают используемые процессы.

Назначьте ответственного за отзыв согласия, доступы и сроки хранения. Изменение CMP, формы или магазина может нарушить передачу даже без обновления рекламного кабинета. Технические работы описаны в услуге трекинга.

Как оценить пользу и полные затраты

Управляемая передача уменьшает техническую неопределённость: можно объяснить, какое событие ушло и почему. Экономический эффект измеряют отдельно по продажам, марже и сопоставимым периодам. Нет подтверждённого основания обещать каждому бизнесу CPA на 15–25% ниже после установки CAPI.

Учебный расчёт, не прогноз клиента. При бюджете €5 000 в месяц и CPA €40 получается 125 заказов. Если CPA действительно снизился на 20% до €32, тот же расход соответствует 156,25 заказа — примерно 156 при округлении. При среднем заказе €80 расчётная выручка меняется с €10 000 до €12 500, то есть на €2 500. Если использовать округлённые 156 заказов, прибавка составляет €2 480.

Все суммы в примере без НДС. Выручка не равна прибыли. При учебном маржинальном доходе 40% после переменных расходов и возвратов дополнительные €2 500 дают €1 000. Допущение €100 в месяц на хостинг оставляет €900 до внедрения, поддержки, CMP и остальных расходов. Оно не является ценой Canem Errant. Фактическая маржа, стоимость интеграции и остальные налоги здесь не рассчитаны. Окупаемость с первого дня из примера не следует: сначала нужно подтвердить изменение CPA и объяснить, что ещё менялось в рекламе. Рост числа измеренных конверсий также может отражать более полный учёт прежних продаж, а не дополнительную выручку.

Рекомендуемый вариант: проверить выбор, передачу и расхождения с заказами; затем оценить нужные изменения. Плюс — понятная причина работ, затраты ограничены объёмом диагностики. Быстрый: проверить один основной путь покупки и очевидные отправки после отказа; дешевле по времени, но остальные сценарии останутся непроверенными. Более осторожный: ограничить необязательную передачу до технической и правовой оценки; снижает неопределённость обработки, но оставляет меньше рекламных сигналов и больше ручной сверки.

Частые вопросы

Какие штрафы возможны за нарушения в рекламе?

Максимумы GDPR зависят от группы нарушения: €10 млн/2% или €20 млн/4% мирового годового оборота, с более высокой величиной соответствующего предела. Решение индивидуальное; опубликованной таблицы тарифов для каждого дефекта баннера нет. Нарушение TKG и последующая обработка данных требуют отдельного определения компетенции и нормы.

Что означает TKG 2021 для сайта?

§ 165(3) регулирует хранение информации и доступ на устройстве. Для необязательных технологий нужно предварительное согласие; необходимые для запрошенной услуги функции оцениваются отдельно. Баннер должен соответствовать фактической отправке, а отказ и отзыв — быть доступны. Это не требование одинакового цвета всех кнопок.

Можно ли использовать Meta Ads и Google Ads с соблюдением GDPR?

Да, допустимость зависит от конкретного процесса, целей, данных, выбора пользователя, договоров и трансферов. Серверный хостинг в ЕС не является универсальным обязательным условием каждой кампании и не гарантирует соответствие. Для технической проверки нужны фактические запросы, для спорной квалификации — профильный специалист.

Какие контакты можно отправлять для сопоставления?

Только допустимые для выбранной цели и функции контакты, в нужном формате. Email и телефон могут требовать нормализации и SHA-256; это не инструкция хешировать сумму, валюту или каждый технический параметр. Согласие на одну цель не разрешает другую, а хеш для сопоставления не делает данные автоматически анонимными.

Улучшает ли серверный трекинг одновременно защиту данных и CPA?

Он позволяет проверять разрешение, фильтровать параметры и диагностировать отправку. Это полезные средства контроля, но юридическая допустимость и результат рекламы оцениваются отдельно. Отказ нельзя обходить сервером или называть идентифицирующие события агрегатами. Измеримый эффект на CPA устанавливают по данным конкретного бизнеса.

Нужно разобраться, что отправляют ваши рекламные интеграции? Обсудите техническую проверку с Canem Errant. Начнём с короткого разговора о конкретном расхождении; диагностика и внедрение согласуются отдельно.