Cookie-баннер: когда он действительно нужен — а когда нет

Что говорит закон: § 25 TDDDG простыми словами

Правовая основа cookie-баннеров в Германии — § 25 закона TDDDG (до мая 2024 назывался TTDSG). Правило проще, чем название: тот, кто сохраняет или считывает информацию на устройстве посетителя — cookies, local storage, трекинг-пиксели, — по умолчанию обязан получить предварительное активное согласие.

Есть важное исключение: по § 25 абз. 2 TDDDG согласие не требуется для технически необходимых cookies — тех, без которых сайт не сможет предоставить услугу, которую запросил сам посетитель. Для всего остального — аналитика, маркетинг, персонализированная реклама — opt-in обязателен. Дополнительно действует DSGVO (европейский регламент о защите данных): как только через cookies обрабатываются персональные данные, а у трекинговых сервисов это практически всегда так.

Когда cookie-баннер не нужен?

Ответ, который многих удивляет: cookie-баннер обязателен не для каждого сайта. Если используются только технически необходимые cookies и нет сторонних сервисов, требующих согласия, — баннер не нужен, достаточно раздела в Datenschutzerklärung (политике конфиденциальности).

Типичный сайт-визитка ремесленной фирмы или практики — услуги, референсы, контактная форма, схема проезда ссылкой вместо встроенной Google-карты — полностью обходится без баннера, если не подключены трекинговые инструменты. Это не только юридически чисто, но и плюс для конверсии: посетитель попадает к контенту без лишнего клика.

• Нет аналитики на cookies (Google Analytics, Meta Pixel, Hotjar)
• Нет встроенных сторонних сервисов, грузящих данные сразу (видео YouTube, Google Maps, соцсети-плагины)
• Шрифты размещены локально, а не грузятся с серверов Google
• Только технически необходимые cookies: сессия, корзина

Технически необходимые cookies: что к ним относится

«Технически необходимо» значит: без этого cookie не работает функция, которой посетитель сам хочет воспользоваться. Классика: cookie корзины в интернет-магазине, cookie логина в личном кабинете, сессионные cookies для форм, защитные cookies от злоупотреблений — и, что иронично, cookie, в котором сохраняется само решение посетителя о согласии.

А вот статистика и измерение аудитории сюда не относятся — как бы некоторые сервисы ни утверждали обратное. То, что вам хочется знать число посетителей, не делает аналитический cookie «необходимым». Надзорные органы толкуют исключение узко: мерило — польза для посетителя, а не для владельца сайта.

Эти сервисы делают баннер обязательным

Согласие требуется для всего, что измеряет посетителей сверх чистой функциональности или передаёт данные третьим лицам. На типичных сайтах малого бизнеса это прежде всего:

• Google Analytics, Meta Pixel, TikTok Pixel и другие трекеры
• Конверсионный трекинг и ремаркетинг Google Ads
• Напрямую встроенные видео YouTube или Vimeo (грузят трекеры уже при открытии страницы)
• Встроенные Google Maps (передают данные посетителей в Google)
• Плагины соцсетей — кнопки like/share с прямым соединением
• Чат-виджеты и виджеты отзывов внешних провайдеров, ставящие cookies

Каким должен быть корректный cookie-баннер

Если баннер нужен, он должен выполнять реальные требования — именно здесь больше всего ошибок. Согласие должно быть добровольным, информированным и активным, причём до установки первого cookie, требующего согласия. Конкретно: никакого трекинга при открытии страницы, никаких заранее отмеченных галочек, а «Отклонить» должно быть так же просто, как «Принять» — в идеале равноценной кнопкой на первом экране баннера.

Запрещены так называемые dark patterns: огромная яркая кнопка «Принять всё» рядом со спрятанной серой ссылкой «Настройки», баннеры, которые нельзя закрыть без согласия, формулировки, представляющие отказ как недостаток. Суды и надзорные органы Германии неоднократно признавали такие решения недопустимыми — согласие в этом случае недействительно, и трекинг работает без правовой основы.

Кроме того, согласие должно быть отзываемым в любой момент — обычно через постоянную ссылку или иконку в футере. И баннер не документирует сам себя: какие cookies работают и зачем, дополнительно описывается в Datenschutzerklärung.

Сколько стоит неправильный или отсутствующий баннер

Если трекинг работает без действительного согласия, рисков два. Первый — Abmahnung (платная юридическая претензия) от конкурентов или специализированных канцелярий: обычно 500–2 000 евро плюс обязательство о прекращении с договорным штрафом. Второй — штрафы надзорных органов; для малых фирм они, как правило, умеренные, но нервы, время и риск штрафа при повторе того не стоят.

Самая частая ошибка — не отсутствующий баннер, а неработающий: consent-инструмент установлен, но трекинг-скрипты всё равно грузятся до клика. Это доказывается через инструменты разработчика в браузере за две минуты — именно так и работают абман-канцелярии. Баннер-декорация не защищает.

Самое элегантное решение: сайт, которому баннер не нужен

Для большинства малых фирм лучшая cookie-стратегия проста: строить сайт так, чтобы баннер не понадобился. Аналитика без cookies — Plausible или Matomo в cookie-free конфигурации — даёт нужные цифры посещаемости без обязательного согласия. Шрифты хостятся локально, карты и видео грузятся по схеме «два клика» — только после активного клика посетителя.

Так мы делаем и сайты в наших абонементах: по умолчанию без cookies, со статистикой, дружественной к приватности — баннер добавляется, только если клиент осознанно подключает маркетинговые инструменты вроде конверсионного трекинга Google Ads. Итог: меньше юридических рисков, быстрее страницы и посетители, которым не нужно сначала закрывать диалог. Если ваш текущий сайт показывает баннер — стоит спросить подрядчика: а зачем он вообще?