Cookie-банер: коли він обов'язковий і як має виглядати за законом
Багато сайтів показують cookie-банер, бо «так усі роблять», і чимало з цих банерів водночас зайві й незаконні: зайві, бо сайт не використовує нічого, що потребує згоди, а незаконні, бо кнопку відмови сховано або трекінг запускається ще до кліку. У статті розбираємо, коли банер справді потрібен для сайту, орієнтованого на Німеччину та ЄС, чого вимагають суди і як часто можна обійтися без нього взагалі.
Коли банер потрібен узагалі
У Німеччині діє § 25 TDDDG (до травня 2024 року — TTDSG), що впроваджує директиву ЄС ePrivacy. Він стосується не лише cookie, а будь-якого збереження чи зчитування інформації на пристрої: local storage, пікселів відстеження, фінгерпринтингу. Без згоди це дозволено лише тоді, коли безумовно необхідно для послуги, яку користувач сам явно запросив.
Практичне правило:
- Згода не потрібна: кошик, сесія входу, вибір мови, збереження рішення щодо самого банера, захист форми від зловживань.
- Згода потрібна: Google Analytics та подібна аналітика з cookie, рекламні й ремаркетингові пікселі, вбудовані відео YouTube чи Google Maps, що ставлять cookie під час завантаження, багато чат-віджетів.
- Якщо на сайті немає нічого з другої групи, банер не потрібен. Політика конфіденційності — потрібна все одно.
Що має робити законний банер
Заздалегідь поставлені галочки — не згода. Так вирішили Суд ЄС (Planet49, C-673/17, 2019) і Федеральний верховний суд Німеччини (Cookie-Einwilligung II, I ZR 7/16, 2020). Згода має бути активною, добровільною та поінформованою — і наданою до того, як сервіси завантажаться.
19 січня 2024 року Вищий земельний суд Кельна (6 U 80/23) визнав незаконним банер, що на першому рівні пропонував лише «Прийняти» та «Налаштування»: без рівноцінної кнопки відмови на першому рівні користувачів підштовхують до згоди. Хрестик із підписом «Прийняти й закрити» теж не є згодою. Рішення набрало законної сили.
Звідси вимоги:
- «Відхилити все» стоїть на першому рівні, такого ж розміру й так само помітно, як «Прийняти все».
- До кліку не завантажується жоден сервіс, що потребує згоди, — і тег-менеджер, який би його підвантажив, теж.
- Цілі й провайдери названі зрозуміло, деталі — на другому рівні.
- Відкликати згоду так само легко, як надати, наприклад через постійне посилання «Налаштування cookie» у футері (ст. 7(3) GDPR).
- Impressum і політика конфіденційності залишаються доступними, банер їх не перекриває.
- Рішення користувачів журналюються, щоб ви могли довести наявність згоди.
Найчастіші помилки на практиці
Під час аудитів сайтів ми постійно бачимо ті самі шаблони:
- Банер є, але Google Analytics чи Meta Pixel спрацьовують уже під час першого перегляду сторінки.
- «Відхилити» — сіре текстове посилання, а «Прийняти» — кольорова кнопка.
- Відео YouTube вбудовані напряму, а не через рішення у два кліки.
- Після оновлення сайту додали плагін, якого немає в налаштуваннях consent-інструмента.
- Банер перелічує сервіси, яких давно немає, і мовчить про нові.
Сервіси керування згодами (PIMS): кінець банерів?
З 1 квітня 2025 року в Німеччині діє Постанова про керування згодами (EinwV). Вона регулює визнані сервіси, де користувачі централізовано зберігають свої рішення щодо згоди; визнання надає Федеральний уповноважений із захисту даних. Для власників сайтів використання добровільне. Поки такі сервіси не поширені, власний банер залишається нормою.
Обійтися без банера: кращий шлях
Багато сайтів компаній можуть повністю обійтися без банера. Шрифти та іконки розміщуються на власному сервері, карти й відео завантажуються лише після кліку на превʼю, а замість Google Analytics відвідування рахує аналітика без cookie, яка нічого не зберігає на пристрої. Таку обробку все одно треба описати в політиці конфіденційності, але банер для неї не потрібен.
Побічні ефекти: жоден банер не псує перше враження, сайт швидше завантажується, а статистика показує всіх відвідувачів, а не лише тих, хто натиснув «Прийняти».
Часті питання
- Чи достатньо напису «Сайт використовує cookie — OK»?
- Ні. Повідомлення без можливості відмовитися не є згодою. Або ви використовуєте лише безумовно необхідні технології й банер не потрібен, або отримуєте справжню згоду з рівноцінною кнопкою відмови.
- Чи стосується це B2B-сайтів?
- Так. § 25 TDDDG не розрізняє споживачів і бізнес-клієнтів; він захищає пристрій кожного відвідувача.
- Як розпізнати добрий consent-інструмент?
- Він технічно блокує сервіси до надання згоди, пропонує «Відхилити все» на першому рівні, журналює рішення і бажано зберігає дані в ЄС. Перевірте у вкладці Network: до кліку не має бути жодного запиту трекінгу.
Джерела
Надішліть адресу сайту. Ми перевіримо, що завантажується до згоди, і скажемо, чи варто виправити банер, чи можна прибрати його зовсім.
Перевірити cookie-банер