Коротко: хороший cookie banner не просто показує текст. Він пропонує зрозумілий вибір, не завантажує необов’язкові технології завчасно, передає рішення по всьому ланцюжку та дає змогу так само легко його змінити. Consent Mode або CMP не створюють відповідності вимогам автоматично.
Цей матеріал — технічний і продуктовий чекліст, а не юридична консультація. Для конкретного бізнесу потрібно враховувати австрійський TKG 2021, GDPR, використовувані сервіси, категорії даних і ринки користувачів. Офіційний текст GDPR доступний на EUR-Lex.
Якщо компанія розташована в Австрії, а відвідувачі приходять із різних країн EEA або інших ринків, перевірку потрібно будувати навколо фактичної аудиторії, використовуваних сервісів і потоків даних.
Відомості перевірено 28 вересня 2026. Австрійська DSB пояснює §165(3) TKG 2021 і виняток для справді необхідних технологій. Кількість скарг, зокрема від noyb, не встановлює частки сайтів із помилками або фіксованого штрафу для малого бізнесу.
Чому cookie banner залишається проблемою
Банер часто встановлюють як готовий віджет і більше не перевіряють. За цей час змінюються GTM, рекламні пікселі, плагіни, домени та серверне передавання даних. У результаті інтерфейс продовжує показувати попередній вибір, а фактична поведінка сайту вже інша.
Перевіряти потрібно не наявність CMP, а відповідність трьох шарів: що обіцяє текст, що вибирає користувач і що реально завантажується в браузері та на сервері.
1. На першому шарі є реальний вибір
Відвідувач має розуміти, що він може прийняти або відхилити необов’язкові технології. Якщо «Прийняти все» помітно, а відмова прихована за кількома екранами або оформлена як неактивний текст, інтерфейс підштовхує до однієї відповіді.
Звіт робочої групи EDPB щодо cookie banner описує спільні позиції європейських наглядових органів щодо відсутності кнопки відмови, попередньо вибраних варіантів і дизайну, що вводить в оману. Це важливий орієнтир, але конкретну оцінку дає компетентний орган або юридичний спеціаліст.
Перевірка: чи може новий користувач відхилити необов’язкові категорії без пошуку посилання дрібним шрифтом?
2. Необов’язкові категорії не вибрані заздалегідь
Аналітика, реклама та персоналізація не мають виглядати ввімкненими за замовчуванням лише тому, що CMP так налаштована. Необхідні технології описуйте окремо та пояснюйте, чому без них не працює запитана функція.
Перевірка: відкрийте налаштування в чистому браузері та переконайтеся, що необов’язкові перемикачі не активовані до дії користувача.
3. Дизайн не маскує відмову
Порівняйте розмір, контраст, підписи та розташування кнопок. Уникайте формулювань, які соромлять користувача, обіцяють неіснуючі переваги або роблять відмову схожою на помилку.
Це не означає, що всі елементи мають бути графічно ідентичними в кожному випадку. Але вибір має залишатися зрозумілим і вільним, а дизайн — відповідати змісту.
Перевірка: попросіть людину, не знайому із сайтом, показати, як відхилити маркетингові cookies. Якщо вона не знаходить шлях, інтерфейс потрібно переглянути.
Окрема перевірка: cookie wall і деталізація вибору
Якщо доступ до звичайного вмісту сайту повністю закритий до згоди на необов’язкові технології, потрібно окремо перевірити, чи справді такий cookie wall допустимий і чи вільний вибір користувача. Не можна вважати згоду добровільною лише тому, що кнопка формально присутня.
Модель «оплата або згода» не заборонена й не дозволена автоматично. DSB описує умови оцінки, включно з реальністю альтернативи та співмірністю ціни. Перевірте послугу, доступну без рекламного tracking, та обробку даних у платному варіанті.
Категорії мають бути достатньо зрозумілими, щоб людина розрізняла необхідні функції, аналітику, персоналізацію та рекламу. Надто загальний перемикач «усе інше» приховує цілі обробки; десятки технічних постачальників без пояснення, навпаки, не допомагають прийняти рішення. Потрібен зрозумілий рівень деталізації, що відповідає фактичному стеку.
4. Банер справді керує завантаженням
Найнебезпечніша помилка — коректний текст при некоректному виконанні. До вибору та після відмови перевірте мережеві запити, cookies, local storage, теги GTM, пікселі та серверні події.
Мінімум три сценарії:
- перший візит без рішення;
- прийняття вибраних категорій;
- відмова та подальша зміна рішення.
Перевіряйте не лише браузер. Серверна частина, серверний контейнер і плагіни CMS також мають отримувати актуальне рішення користувача.
5. Згоду можна довести та пов’язати з версією тексту
Організації потрібен контрольований журнал: яка версія банера була показана, які категорії вибрані, коли та для якого псевдонімного ідентифікатора. Не зберігайте більше даних, ніж потрібно для мети доказування та керування налаштуваннями.
IP hash не є обов’язковим способом доказування й не робить запис автоматично анонімним. Псевдонімний ідентифікатор також може залишатися персональними даними; обґрунтуйте строк зберігання та доступ до журналу.
Після зміни постачальників, цілей або тексту має з’являтися нова версія. Стару згоду не можна автоматично поширювати на невідому користувачу обробку.
Перевірка: команда може відтворити, який вибір зробив тестовий користувач і яку інформацію він бачив у той момент.
6. Відкликати вибір не складніше, ніж дати його
Посилання «Налаштування cookies» має бути доступним після закриття банера — наприклад, у футері або постійному елементі налаштувань. Зміна вибору має припиняти подальшу необов’язкову обробку там, де це застосовно.
Перевірка: знайдіть налаштування з будь-якої сторінки, вимкніть маркетинг і переконайтеся, що подальші перегляди більше не запускають відповідні запити.
7. Consent Mode налаштований як технічний шар, а не юридична ширма
Google Consent Mode передає стан згоди тегам Google та змінює їхню поведінку. Він не замінює інформування користувача, CMP або аналізу правової підстави. Google окремо описує отримання згоди користувача і налаштування для трафіку з EEA.
Basic не надсилає Google дані без згоди; Advanced може надсилати обмежені запити без cookies при denied. Cookieless не означає автоматично анонімності або допустимості обробки. Чотири Google-сигнали не керують автоматично Meta CAPI та TikTok Events API: правила кожного отримувача перевіряють окремо. Докладніше — Consent Mode v2.
Перевірка: значення consent і момент їхнього оновлення відповідають реальному вибору. Перевірте сценарії через інструменти браузера та офіційну діагностику Google.
Як вибрати CMP для конкретного сайту
Порівнюйте не дизайн банера, а підтримку вашого стеку: Google Consent Mode v2, Meta Pixel і CAPI, server-side GTM, мовні версії, журнал згоди та можливість повторно запитати вибір після зміни цілей.
Для невеликого сайту може бути достатньо коректно налаштованої SaaS-CMP. Для кількох доменів, застосунків або складної серверної архітектури важливіші API, синхронізація між середовищами та керована історія версій. Назва CMP сама по собі нічого не гарантує: типовий шаблон усе одно потрібно перевірити в реальних сценаріях.
| Приклад рішення | Що перевірити перед вибором |
|---|---|
| Cookiebot | Інтеграцію з CMS, домени та потрібне охоплення сканування. |
| Usercentrics | Підтримку web, застосунків і кількох доменів у конкретному пакеті. |
| Borlabs Cookie | Чи використовуєте ви WordPress: продукт не призначений для Astro або Shopify. |
| consentmanager | Категорії, мови, журнал і передавання стану на сервер. |
Це приклади, а не рейтинг. Поточну ціну порівнюйте з лімітами сторінок, доменів, мов і строком підписки. Для рекламних продуктів видавців, наприклад AdSense, Google встановлює окремі вимоги до сертифікованих CMP. Вони не означають юридичної сертифікації всього сайту або обов’язку кожного рекламодавця Google Ads використовувати такий продукт.
На дату перевірки опубліковано TCF 2.4. Нові вимоги до розкриття мають перехідні строки: 23 жовтня 2026 для web-CMP, 23 лютого 2027 для застосунків/CTV. Уточніть міграцію в постачальника; галузевий framework не замінює правової оцінки. Підтверджений графік IAB Europe.
Що показують два практичні сценарії
Сценарій 1: інтерфейс коректний, серверне надсилання — ні. Користувач відхиляє marketing cookies, браузерні теги не запускаються, але backend продовжує надсилати Purchase в рекламну платформу. Виправляти потрібно передавання стану consent на сервер, а не зовнішній вигляд банера.
Сценарій 2: блокування працює, але вибір вводить в оману. До згоди необов’язкові теги не завантажуються, однак відмова прихована в налаштуваннях, а перший шар виділяє лише прийняття. Тут технічна частина не компенсує проблеми інтерфейсу.
Обидва сценарії показують, чому автоматичного scanner недостатньо: він бачить запити, але не завжди розуміє весь шлях вибору та його представлення користувачу.
Це навчальні ситуації, а не підтверджені клієнтські кейси. Із зміни банера не можна без порівнянного вимірювання вивести поліпшення якості заявок, точності звіту або CPA. Інша частка згоди може змінювати склад вимірюваної аудиторії.
Що включити в технічний аудит
- інвентаризацію cookies, SDK, пікселів і зовнішніх запитів;
- карту категорій, цілей, постачальників і строків зберігання;
- тест до вибору, після прийняття, після відмови та після відкликання;
- перевірку desktop, mobile і мовних версій;
- передавання стану в браузерні та серверні теги;
- відповідність тексту фактичній поведінці;
- власника процесу та повторну перевірку після оновлень.
Автоматичний scanner допомагає знайти сліди технологій, але не розуміє всіх цілей обробки й не замінює ручного сценарію. Аналогічно, високий відсоток згоди не доводить коректності інтерфейсу.
Пріоритет виправлень
Спочатку зупиніть необов’язкове завантаження до рішення та після відмови. Потім виправте перший шар, категорії та можливість відкликання. Після цього синхронізуйте документацію, журнал версій і моніторинг.
Не змінюйте лише колір кнопки, якщо серверна інтеграція продовжує ігнорувати вибір. І не вимикайте всю аналітику без розуміння, які вимірювання можливі при коректній архітектурі.
Canem Errant може перевірити, що відбувається до вибору, після згоди, після відмови та після зміни налаштувань. Юридичну оцінку тексту й підстави обробки має дати профільний спеціаліст. Переглянути Tracking & CAPI або описати проблему.
Три дії на цей тиждень
- Зупиніть необов’язкове передавання до вибору та після відмови, включно з backend.
- Перевірте відмову на першому шарі, категорії та постійно доступне відкликання.
- Оновіть відомості про постачальників і версії; призначте власника повторної перевірки.
Поширені запитання
Чи робить CMP сайт автоматично відповідним GDPR?
Ні. CMP — інструмент. Результат залежить від категорій, тексту, фактичного блокування, постачальників, журналів і можливості змінити вибір.
Чи можна вважати продовження перегляду згодою?
Не слід проєктувати банер навколо мовчання або продовження навігації як єдиного підтвердження. Конкретну підставу та інтерфейс потрібно оцінювати за застосовними вимогами й рекомендаціями наглядових органів.
Consent Mode замінює cookie banner?
Ні. Це механізм передавання стану тегам Google. Він має працювати разом із коректним отриманням і виконанням вибору користувача.
Чи потрібно показувати банер при кожному візиті?
Зазвичай вибір зберігають на обмежений строк і запитують повторно після істотної зміни цілей, постачальників або тексту. Конкретний строк залежить від юрисдикції, конфігурації та рекомендацій компетентного органу; універсального значення для всіх сайтів немає.
Чи достатньо простого повідомлення про cookies?
Інформаційний текст не отримує згоди на необов’язкові технології. Якщо сайт використовує лише справді необхідні функції, ситуація може відрізнятися. Спочатку перевірте повний список технологій і вимоги до інформування.
Яка частка згоди вважається хорошою?
Універсального значення немає: результат залежить від відвідувачів, ринків, пристроїв, цілей та інтерфейсу. Висока частка не доводить вільного вибору або поліпшення продажів.
Чи може малий бізнес отримати скаргу?
Так, застосовні правила діють і для невеликих компаній. Можлива санкція залежить від порушення та обставин; фіксованого «тарифу штрафу для малого бізнесу» немає.
Чим TCF відрізняється від Consent Mode v2?
IAB TCF — галузевий механізм передавання сигналів згоди між учасниками рекламного ланцюжка. Consent Mode керує поведінкою тегів Google. Вони виконують різні завдання й не замінюють юридичного аналізу або коректного інтерфейсу вибору.
