Cookies и аналитика: что нужно небольшому сайту и как спрашивать честно

Почти каждому сайту нужно знать, какие страницы читают и куда кликают. Почти каждый посетитель устал от баннеров про cookies. И то, и другое справедливо. Разберёмся, как получать полезные цифры и при этом говорить с посетителями как со взрослыми людьми. Пример здесь будет этот сайт.

Это практический обзор, а не юридическая консультация. Если у бизнеса есть реальные риски, детали стоит проверить с юристом на своём рынке.

Cookie это небольшой фрагмент текста, который сайт сохраняет в браузере и читает при следующем визите. На cookies держатся вход в аккаунт, корзина и выбранный язык, и к ним претензий нет.

Правила касаются другого: хранения или чтения на устройстве посетителя всего, без чего сайт может работать. Типичный случай это идентификаторы аналитики и рекламы. Неважно, cookie это, localStorage или отпечаток устройства: закон смотрит на цель, а не на технологию.

Что говорит закон

ЕС и Великобритания. Директива ePrivacy (статья 5(3)) требует согласия, прежде чем сохранять на устройстве необязательные данные. GDPR определяет, каким должно быть согласие: свободным, конкретным, информированным и однозначным. На практике это значит:

ничего необязательного не запускается до ответа посетителя;
отказаться так же легко, как согласиться: на том же экране и тем же числом кликов;
никаких заранее отмеченных галочек: Суд ЕС решил это в деле Planet49 в 2019 году;
передумать потом так же легко, как ответить в первый раз.

Ошибка стоит денег. В 2022 году французский регулятор CNIL оштрафовал Google на €150 млн и Facebook на €60 млн за то, что отказ от cookies требовал больше кликов, чем согласие. Великобритания следует той же логике в правилах PECR.

США. Общего закона о согласии на cookies нет. Калифорнийские CCPA и CPRA дают право отказаться от «продажи или передачи» данных, и при рекламных трекерах на сайте нужна ссылка «Не продавать и не передавать мои данные».

Россия и Беларусь. В обеих странах есть законы о персональных данных (152-ФЗ в России, Закон № 99-З в Беларуси). Данные, по которым можно узнать посетителя, они считают персональными и ожидают политику обработки и согласие. Детали различаются и меняются, поэтому здесь местный юрист отрабатывает свой гонорар.

Google Analytics в ЕС

В 2022 году несколько регуляторов, начиная с австрийского, признали, что передача данных посетителей из ЕС в Google Analytics в США нарушает GDPR. Рамочное соглашение ЕС и США о защите данных (Data Privacy Framework) в июле 2023 года закрыло вопрос передачи для сертифицированных компаний, включая Google. Согласие на аналитические cookies по-прежнему нужно.

С марта 2024 года Google также ждёт Consent Mode v2 для трафика из ЕЭЗ: сайт сообщает Google, согласился ли посетитель на аналитику и рекламу, и Google меняет то, что хранит. Без этого измерение рекламы для европейских посетителей перестаёт работать.

Три честных способа считать визиты

Аналитика без cookies. Plausible, Fathom, Cloudflare Web Analytics или PostHog в режиме без cookies считают страницы и источники без идентификатора на устройстве. Некоторые регуляторы ЕС, включая французский CNIL, допускают такое измерение аудитории без согласия при строгих условиях. Теряются данные о повторных визитах и длинные воронки.
Баннер с настоящим выбором. Полная картина по тем, кто согласился, и меньше данных по остальным. Это единственный законный способ использовать Google Analytics с cookies для посетителей из ЕС.
Баннер без настоящего выбора. Огромная кнопка «Принять», крошечные «Настройки» и трекинг до любого клика. Это раздражает посетителей, и именно за это штрафуют. Не надо так.

Честный баннер: чеклист

Две равноценные кнопки: разрешить и отказаться.
До ответа не загружаются скрипты аналитики и рекламы.
Простыми словами: что собирается и зачем, со ссылкой на подробности.
Постоянная ссылка, обычно в футере, чтобы изменить выбор.
При отказе уже поставленные cookies удаляются.
Выбор запоминается, и вопрос задаётся один раз.

Как это сделано на этом сайте

Здесь работают два инструмента: Google Analytics 4 и PostHog.

Пока вы не ответили, Google Analytics не загружается вообще.
Пока вы не ответили, PostHog работает без cookies. Он держит случайный ID только в памяти и забывает вас на следующей странице.
Если вы разрешите, оба инструмента могут поставить cookies, и я увижу повторные визиты и то, какие страницы приводят к разговору.
Если откажетесь, поставленные ими cookies удаляются, а Google Analytics остаётся выключенным.
Ответ хранится в localStorage вашего браузера под именем consent. Мне он никуда не отправляется.

Что я смотрю: какие страницы и проекты открывают, как далеко прокручивают и дочитывают, до какого раздела главной доходят и нажимают ли Telegram или LinkedIn, и откуда. Ссылки на мои продукты помечены UTM-метками, чтобы эти продукты отличали переходы отсюда.

Чего я не делаю: никакой рекламы, Google signals и персонализации рекламы, никакой продажи или передачи данных, никакой записи того, что вы вводите.

Если вы делаете продукт и хотите так же: честную аналитику, которая отвечает на вопросы бизнеса без тёмных паттернов, с этим я могу помочь.