Захист даних в інтернет-рекламі в Австрії: GDPR, cookies і передавання подій

Покупець натиснув «Відхилити», оформив замовлення, а Meta все одно отримала його email. На сайті є гарний cookie-банер, але передавання даних працює окремо від вибору людини. Перше, що потрібно перевірити, — який запит пішов, навіщо та на якій підставі.

Коротко: для реклами в Австрії важливі і GDPR, і § 165(3) TKG 2021. Згода на рекламні cookies, передавання контактів і трансфер даних до іншої країни — різні питання. CAPI та серверний трекінг допомагають керувати надсиланням; самі собою вони не підтверджують дотримання закону й не гарантують зниження CPA.

Canem Errant перевіряє події, параметри та передавання вибору користувача між сайтом і рекламними системами. Нижче — практичний розбір станом на 28 вересня 2026. Юридичну кваліфікацію обробки узгоджують із фахівцем; довідкові матеріали для бізнесу публікує WKO.

Чому захист даних важливий для реклами в Австрії

У початковому обговоренні реклами питання зазвичай звучить як «чи не втратимо ми конверсії?». Почніть із трьох речей, які впливають на допустимість вимірювання.

noyb та історія трансферів

Організація noyb працює з Відня й веде справи щодо захисту даних, включно з використанням cookies і передаванням до США. У звіті за 2025 рік зазначена 21 нова скарга проти великих компаній у Європі. Це число за конкретний рік, а не оцінка кількості порушень в австрійських рекламодавців. Річні звіти noyb.

Schrems II скасував попередній Privacy Shield у 2020 році. Історична справа DSB щодо Google Analytics, опублікована у 2022 році, стосувалася конкретного передавання даних і вимог глави V GDPR. Вона не доводить, що будь-яке сьогоднішнє налаштування GA4 заборонене. Звіт DSB за 2022 рік. Із 10 липня 2023 року діє інший механізм — EU–US Data Privacy Framework для компаній-учасниць. Підставу трансферу все одно перевіряють для фактичного одержувача. Єврокомісія про передавання до США.

DSB і відповідальність за дані

Наявність підрядника не знімає з бізнесу обов’язку розуміти мету обробки, доступи й одержувачів. Порушення правил зберігання на пристрої належить до компетенції органів зв’язку — Fernmeldebehörden; подальша обробка персональних даних може також належати до DSB. Тому не можна автоматично приписувати будь-який штраф за cookies одному органу. DSB: cookies і повноваження.

TKG 2021 і пристрій користувача

§ 165(3) стосується зберігання інформації або доступу до неї на пристрої, а не лише файлів із назвою cookie. Перейменування технології або перенесення частини запитів на сервер не замінює перевірки її призначення. Потреба вимірювати рекламу для бізнесу ще не робить рекламної технології необхідною для послуги, яку запросив користувач.

Що перевірити за TKG 2021 у cookie-банері

Для необов’язкових cookies потрібна попередня згода. Виняток пов’язаний із технічною необхідністю надання явно запрошеної послуги або передавання повідомлення, а не зі зручністю рекламодавця. Кошик і рекламне зіставлення оцінюють окремо. Відсутність згоди на маркетинг не скасовує законної обробки замовлення в магазині.

Чотири дефекти потребують уваги:

• Попередньо вибрані категорії. Відвідувач не має виявляти вже ввімкнені необов’язкові цілі.
• Доступ лише після згоди. Просте блокування сайту до прийняття всієї реклами ставить під питання добровільність. Окремі моделі pay-or-okay потребують окремої оцінки.
• Прихована відмова. Прийняти можна однією кнопкою, а відмовитися — лише через кілька екранів. Рівнозначність вибору важливіша за формальну наявність посилання.
• Передавання до вибору. Навіть банер із правильним текстом не допомагає, якщо необов’язкові cookies або рекламні інтеграції вже працюють.

Колір сам собою не вирішує питання: зелена кнопка не є автоматично незаконною. Перевіряйте видимість відмови, кількість дій і відсутність тиску. Позиція DSB щодо дизайну та згоди.

Частку згод вимірюйте на власному сайті за пристроями та джерелами трафіку. Порівнюйте її між зіставними періодами й версіями банера. Відмова від рекламного вимірювання також не означає втрати продажу: замовлення залишається в системі магазину, хоча його рекламна атрибуція може бути обмеженою. Практичні сценарії — у перевірці cookie-банера.

Які порушення та санкції потрібно враховувати

У GDPR є різні максимуми: €10 млн або 2% світового річного обороту для однієї групи порушень і €20 млн або 4% для іншої; застосовують більшу величину відповідної межі. Це верхні межі, а не тариф за конкретний банер. Розмір і саму необхідність штрафу оцінюють індивідуально. DSB про санкції.

Штраф оцінюють за конкретним порушенням, а не за фіксованим прайсом для кожного типу помилки. Крім санкцій, можливі вимоги змінити обробку; публікація скарги або рішення створює репутаційний ризик. Витрати на виправлення стосуються сайту, інтеграцій і роботи команди. Купівля CMP не замінює перевірки цих процесів.

Які дані передають Meta та Google

Склад запиту визначають за метою, правовою підставою, вибором користувача та документацією конкретного API. Для персоналізованої реклами й зіставлення контактів не можна довільно замінювати відмову відвідувача зручним для рекламодавця дозволом.

У дозволеній інтеграції можуть використовуватися:

• нормалізовані email і телефони із SHA-256 там, де цього вимагає платформа;
• події Purchase, AddToCart та Lead із коректним часом;
• сума замовлення й валюта;
• event_id для усунення дублікатів;
• ім’я, прізвище, місто й індекс, якщо вони потрібні вибраній функції та допустимі для передавання.

Не всі поля потрібно хешувати. Контактні поля, сума, валюта й технічний ідентифікатор мають різні формати. Google описує хешування контактів користувача для enhanced conversions; офіційний Meta SDK показує окремі поля email, IP та user agent. Google: enhanced conversions, офіційний Meta SDK.

Хеш email, призначений для зіставлення з людиною, не стає автоматично анонімною статистикою. Псевдонімізовані дані, які можна пов’язати з людиною, залишаються персональними. EDPB: псевдонімізація.

До рекламного передавання не слід включати:

1. Контакти у відкритому вигляді, коли інтерфейс вимагає хешу, або будь-які контакти поза узгодженою метою. Це не загальна заборона передавати email законному обробнику для виконання замовлення.
2. Дані для рекламного використання всупереч відмові або відкликанню згоди. Замовлення в CRM і надсилання того самого замовлення до рекламної системи — різні операції.
3. Відомості про здоров’я, політичні погляди чи релігію. Особливі категорії потребують додаткових умов Article 9 GDPR; звичайне налаштування рекламного зіставлення не підтверджує їхнього виконання. Перевіряйте також URL і назви подій, які можуть розкрити чутливий контекст.
4. IP та інші ідентифікатори без допустимої мети, підстави обробки й перевіреного міжнародного трансферу.

DSB про правомірність обробки й особливі категорії. Перед надсиланням перевіряйте конкретний дозвіл, а не лише факт наявності будь-якої згоди. Докладніше про два канали — CAPI та Pixel.

Як серверний трекінг допомагає керувати передаванням

Серверний GTM і Meta CAPI дають додаткові точки контролю. Для невеликого сайту з простим вимірюванням така архітектура може бути надмірною: відповідність вимогам не передбачає обов’язкової купівлі серверного контейнера.

Перевірка згоди на сервері. Сервіс, який отримує події, перевіряє дозвіл на конкретне рекламне передавання до надсилання платформі. Відсутній, застарілий або відкликаний вибір не перетворюється на granted за замовчуванням. Окремо перевіряють повторні запити та події з CRM.

Мінімізація параметрів. Дозволений список допомагає прибрати вільний текст, зайві URL-параметри та відомості, не потрібні для події. Браузерний канал теж має дотримуватися цих правил; серверна фільтрація не виправляє вже надісланого Pixel-запиту.

Власний домен. Адреса tracking.example.at дозволяє організувати контрольоване приймання. Якщо потім дані йдуть до Meta або Google, кінцевий одержувач залишається важливим. Власний субдомен і хостинг у ЄС не виключають подальшого трансферу або доступу з третьої країни.

Перевірювані журнали. Фіксуйте рішення про надсилання, тип події, одержувача та помилки в межах необхідного строку. Не складайте всі контакти й повні запити в безстроковий лог. Для розслідування потрібні достатні докази роботи, обмежені доступи та можливість видалення.

Що підтверджує кейс Erkado

У поточній роботі з чеським інтернет-магазином Erkado ми налаштовуємо серверний трекінг та аналізуємо рекламні дані. Завдання перевірки: зрозуміти, які дії враховуються та де події розходяться із замовленнями магазину. Докладніше про склад роботи у кейсі Erkado.

Результат стосується проєкту загалом. Він не доводить, що одне налаштування згоди спричинило зростання ROAS, і не є юридичним висновком про повну відповідність усіх процесів клієнта GDPR. EMQ показує якість зіставлення, а не частку законно виміряних відвідувачів. Покрокова технічна частина — у посібнику із серверного трекінгу.

Що робить Google Consent Mode v2

Для відповідних можливостей вимірювання, персоналізації та ремаркетингу під час роботи з користувачами ЄЕЗ Google вимагає збирати згоди й передавати їхні стани. Це умова продукту; вона не робить рекламу незаконною лише через відсутність кнопки з назвою Consent Mode. Вимоги Google для ЄЕЗ.

Є два варіанти реалізації. Basic блокує Google tags до згоди та не надсилає даних у разі відмови. Advanced може завантажувати теги й передавати обмежені cookieless pings за denied. Відсутність cookie не означає відсутності запиту або автоматично дозволеної обробки. Моделювання конверсій залежить від режиму й умов продукту. Google: Basic і Advanced.

ad_storage стосується рекламного зберігання, analytics_storage — аналітичного; ad_user_data — використання даних користувача для реклами, ad_personalization — персоналізації. Для персоналізованої реклами Google вимагає дозволу останніх двох. За ad_personalization: denied персоналізація вимкнена; за ad_user_data: denied використання даних користувача з рекламною метою обмежене. Довідник consent-сигналів.

Ми рекомендуємо почати з перевірки узгодженості банера й надсилання. Для процесу, де потрібно блокувати передавання до згоди, Basic простіше перевірити. Advanced потребує окремої оцінки допустимості pings. Повний розбір — Consent Mode v2 у ЄС.

Практичний чекліст для команди

Наведені етапи допомагають розподілити роботу. «Цього тижня» та «2–4 тижні» — приклад організації, а не універсальний строк впровадження чи виконання закону.

1. Перевірити банер і вибір користувача

• Прийняття та відмова рівнозначні за видимістю й доступністю.
• Необов’язкові категорії не вибрані заздалегідь.
• Сайт доступний без рекламної згоди; спірну модель доступу оцінюють окремо.
• Необхідні функції відділені від аналітичних і рекламних цілей.
• Є обмежений за строком доказ вибору, а відкликання так само доступне, як згода.

Перевіряйте новий візит, відмову, частковий вибір і відкликання. Після кожної дії дивіться надіслані запити. Текст у вікні не показує, що зробила інтеграція.

2. Описати дані та договори

• Актуалізувати застосовний до процесу опис обробки й реєстр за Article 30 GDPR.
• Для Meta, Google, CMP і хостингу встановити фактичні ролі та потрібні угоди.
• Перевірити механізм кожного трансферу до США та його охоплення.

Договір Article 28 потрібний для обробника; спільна відповідальність і самостійний одержувач потребують іншої кваліфікації. Не можна оголошувати всі сервіси обробниками лише тому, що вони надають інструмент. Єврокомісія про ролі.

Для DPF перевіряють юридичну особу, чинну участь та охоплення даних в офіційному реєстрі. Для одержувача поза охопленням перевіряють інші механізми, наприклад SCC і необхідні додаткові заходи. DPF вирішує питання трансферу, а не замінює підстави початкового збирання або згоди на рекламу. DSB про межі DPF.

3. Налаштувати вибрану схему вимірювання

• Оцінити необхідність серверного GTM і розміщення інфраструктури.
• Якщо застосовується CAPI, перевірити серверний дозвіл на надсилання.
• Налаштувати узгоджені сигнали Google Consent Mode v2 для використовуваних функцій.
• Перевірити дедуплікацію браузерної та серверної події.
• Вмикати Advanced Matching лише з допустимими контактами та форматом конкретного API.

Після зміни надішліть дозволені тестові події в тестовому середовищі, перевірте повтор і відмову. Окремо звіряйте замовлення з магазином: помилка в сумі чи дубль купівлі не стає корисним сигналом через високий EMQ. Дедуплікація подій.

4. Призначити регулярну перевірку

• Перевіряти EMQ і помилки передавання, наприклад щомісяця та після змін.
• Стежити за власною часткою згод за пристроями; не підганяти її під непідтверджений ринковий відсоток.
• Перевіряти нові рішення DSB і матеріали noyb, якщо вони стосуються використовуваних процесів.

Призначте відповідального за відкликання згоди, доступи та строки зберігання. Зміна CMP, форми або магазину може порушити передавання навіть без оновлення рекламного кабінету. Технічні роботи описані в послузі трекінгу.

Як оцінити користь і повні витрати

Кероване передавання зменшує технічну невизначеність: можна пояснити, яка подія пішла й чому. Економічний ефект вимірюють окремо за продажами, маржею та зіставними періодами. Немає підтвердженої підстави обіцяти кожному бізнесу CPA на 15–25% нижчий після встановлення CAPI.

Навчальний розрахунок, не прогноз клієнта. За бюджету €5 000 на місяць і CPA €40 виходить 125 замовлень. Якщо CPA справді знизився на 20% до €32, ті самі витрати відповідають 156,25 замовлення — приблизно 156 після округлення. За середнього замовлення €80 розрахунковий виторг змінюється з €10 000 до €12 500, тобто на €2 500. Якщо використовувати округлені 156 замовлень, приріст становить €2 480.

Усі суми в прикладі без ПДВ. Виторг не дорівнює прибутку. За навчального маржинального доходу 40% після змінних витрат і повернень додаткові €2 500 дають €1 000. Припущення €100 на місяць на хостинг залишає €900 до впровадження, підтримки, CMP та інших витрат. Воно не є ціною Canem Errant. Фактична маржа, вартість інтеграції та інші податки тут не розраховані. Окупність із першого дня з прикладу не випливає: спочатку потрібно підтвердити зміну CPA та пояснити, що ще змінювалося в рекламі. Зростання кількості виміряних конверсій також може відображати повніший облік попередніх продажів, а не додатковий виторг.

Рекомендований варіант: перевірити вибір, передавання та розбіжності із замовленнями; потім оцінити потрібні зміни. Плюс — зрозуміла причина робіт, витрати обмежені обсягом діагностики. Швидкий: перевірити один основний шлях купівлі та очевидні надсилання після відмови; дешевше за часом, але інші сценарії залишаться неперевіреними. Обережніший: обмежити необов’язкове передавання до технічної та правової оцінки; зменшує невизначеність обробки, але залишає менше рекламних сигналів і більше ручної звірки.

Поширені запитання

Які штрафи можливі за порушення в рекламі?

Максимуми GDPR залежать від групи порушення: €10 млн/2% або €20 млн/4% світового річного обороту, з більшою величиною відповідної межі. Рішення індивідуальне; опублікованої таблиці тарифів для кожного дефекту банера немає. Порушення TKG і подальша обробка даних потребують окремого визначення компетенції та норми.

Що означає TKG 2021 для сайту?

§ 165(3) регулює зберігання інформації та доступ на пристрої. Для необов’язкових технологій потрібна попередня згода; необхідні для запрошеної послуги функції оцінюють окремо. Банер має відповідати фактичному надсиланню, а відмова й відкликання — бути доступними. Це не вимога однакового кольору всіх кнопок.

Чи можна використовувати Meta Ads і Google Ads із дотриманням GDPR?

Так, допустимість залежить від конкретного процесу, цілей, даних, вибору користувача, договорів і трансферів. Серверний хостинг у ЄС не є універсальною обов’язковою умовою кожної кампанії та не гарантує відповідності. Для технічної перевірки потрібні фактичні запити, для спірної кваліфікації — профільний фахівець.

Які контакти можна надсилати для зіставлення?

Лише допустимі для вибраної мети й функції контакти, у потрібному форматі. Email і телефон можуть потребувати нормалізації та SHA-256; це не інструкція хешувати суму, валюту чи кожен технічний параметр. Згода на одну мету не дозволяє іншої, а хеш для зіставлення не робить даних автоматично анонімними.

Чи покращує серверний трекінг одночасно захист даних і CPA?

Він дозволяє перевіряти дозвіл, фільтрувати параметри та діагностувати надсилання. Це корисні засоби контролю, але юридичну допустимість і результат реклами оцінюють окремо. Відмову не можна обходити сервером або називати ідентифікаційні події агрегатами. Вимірюваний ефект на CPA встановлюють за даними конкретного бізнесу.

Потрібно розібратися, що надсилають ваші рекламні інтеграції? Обговоріть технічну перевірку з Canem Errant. Почнемо з короткої розмови про конкретну розбіжність; діагностику та впровадження узгоджують окремо.