Cookie-баннер и GDPR для маленькой фирмы: что будет, если забить

На сайт поставили форму заявки, запустили рекламу, привели первых клиентов, а cookie-баннер так и остался в списке «сделаю потом». У большинства маленьких фирм в Польше и ЕС именно так и есть: баннера либо нет вообще, либо стоит шаблонный, скопированный с чужого сайта без разбора, что он на самом деле разрешает собирать. Штраф на миллионы евро из заголовков к вашей ситуации почти не относится, а вот что реально может случиться и во что это обходится, стоит разобрать по порядку.

Что такое RODO и при чём тут cookie

В Польше GDPR называют RODO - это то же самое общеевропейское постановление о защите персональных данных, действующее с 2018 года, просто в польской аббревиатуре. Оно регулирует, как компания собирает, хранит и использует данные о людях: имена, email, телефоны, а также идентификаторы вроде cookie-файлов, которые технически привязывают браузер к конкретному человеку.

Обязанность именно про баннер идёт из другого документа, польского закона о телекоммуникациях, который реализует европейскую директиву ePrivacy. Она требует согласия пользователя до того, как сайт поставит ему любой cookie, кроме строго необходимого для работы самой страницы: например, cookie корзины покупок или сессии входа ставить можно без спроса, а вот cookie Google Analytics, пикселя Meta или рекламных сетей уже требует согласия. Поэтому у большинства бизнес-сайтов в Польше и ЕС баннер обязателен не из-за RODO напрямую, а из-за того, что почти любой сайт с рекламой ставит именно такие cookie.

Что реально грозит, если баннера нет

Жалоба, а не выборочная проверка

UODO, польский орган по защите персональных данных, не обходит сайты малого бизнеса с проверками по графику. У ведомства просто нет на это ресурсов при десятках тысяч действующих фирм в стране. Разбирательство почти всегда начинается с жалобы: клиент, который заметил отсутствие баннера или не смог отозвать согласие, конкурент, которому выгодно создать вам проблему, или бывший сотрудник. Это меняет расчёт риска: он не одинаков для всех сайтов, а выше там, где выше шанс, что кто-то напишет жалобу, например, в чувствительных нишах вроде медицины, финансов или юридических услуг.

Предписание - обычно первый шаг, а не штраф

По практике UODO для небольшого бизнеса типичный сценарий выглядит мягче газетных заголовков. Сначала приходит запрос объяснений и предписание устранить нарушение в конкретный срок. Штраф на этом этапе назначается не всегда, чаще при повторном нарушении или если компания проигнорировала предписание. Это не повод расслабляться, скорее наоборот: цена вопроса на этой стадии - несколько часов работы, чтобы поставить нормальный баннер, а не тратиться на юриста и объяснительные позже.

Сколько стоит штраф для маленькой фирмы

Верхняя планка по RODO действительно доходит до 20 миллионов евро или 4% годового мирового оборота, смотря что больше. Эта цифра рассчитана на системные нарушения крупных корпораций с миллионами записей о пользователях и годами игнорирования требований, а не на сайт локальной фирмы с формой заявки. Цифры ниже - ориентир по логике, как строится риск, а не прогноз конкретной суммы для вашего случая.

Ключевой момент для маленькой фирмы не в верхней планке, а в том, что почти всегда есть возможность исправить ситуацию до денежных последствий. Игнорировать предписание, если оно уже пришло, обходится дороже, чем сам факт отсутствия баннера до этого.

Баннер и реклама: почему без него Google теряет ваши данные

Здесь есть сторона вопроса, которая касается вас как рекламодателя напрямую и обычно остаётся за кадром у юристов. С марта 2024 года Google требует от рекламодателей в Евросоюзе так называемый Consent Mode v2, механизм, который передаёт в Google Ads и Analytics сигнал о том, согласился человек на cookie или нет. Без корректно настроенного баннера, который отправляет этот сигнал, площадка недополучает данные и достраивает картину моделированием, менее точным, чем реальные события.

На практике это означает более узкие аудитории для ретаргетинга, менее точную атрибуцию конверсий и, как следствие, кампании, которые оптимизируются на неполных данных. Тот же эффект есть у Meta: без корректного согласия часть событий пикселя не засчитывается. Получается, что баннер без Consent Mode или с неправильно настроенным Consent Mode не спасает от риска по RODO и одновременно портит рекламную аналитику, то есть вы платите дважды - юридическим риском и худшей эффективностью кампаний.

Проверить, работает ли сигнал согласия на самом деле, можно за пять минут через Google Tag Assistant или встроенный отладчик тегов в GTM: он показывает, срабатывают ли рекламные теги до клика по баннеру или строго после него. Если аналитика или пиксель загружаются сразу при заходе на страницу, а не после согласия, Consent Mode считается настроенным только формально, и данные всё равно собираются с нарушением. Это тот самый пункт, который проще проверить самому, чем поверить подрядчику на слово.

Как поставить баннер за один день

Для сайта на своём коде или на популярной CMS ставить баннер с нуля через юриста не обязательно, для базового случая хватает готового сервиса.

1. Выберите сервис-баннер. CookieYes, Cookiebot и Complianz для WordPress - три рабочих варианта с бесплатным тарифом для одного сайта с небольшим трафиком и платным от нескольких евро в месяц, когда сайтов или посещений становится больше.
2. Настройте категории cookie. Технически необходимые - всегда включены и без согласия. Аналитика, реклама, персонализация - отдельные переключатели, каждый по умолчанию выключен до согласия пользователя.
3. Включите Consent Mode v2. У большинства сервисов это готовая интеграция с Google Tag Manager, а не ручная работа с кодом, если у вас уже стоит GTM для рекламных тегов.
4. Проверьте кнопку отказа. «Отклонить» должна быть так же заметна, как «Принять все», на первом экране баннера, без второго клика в настройки, чтобы её найти. Это самая частая причина предписаний.
5. Дайте возможность отозвать согласие. Ссылка «настройки cookie» в подвале сайта, которая снова открывает баннер, обычно закрывает это требование.

Частые ошибки при внедрении баннера

Кнопка отказа спрятана. Баннер с одной заметной кнопкой «Принять все» и мелкой ссылкой «настройки» технически есть, но по сути не даёт свободного выбора, а именно это чаще всего ловят по жалобам.

Cookie ставятся до согласия. Частая техническая ошибка: скрипт аналитики или пикселя подключён в коде сайта напрямую, а баннер только визуально накладывается сверху. Cookie в этом случае ставится в момент захода на сайт, до любого клика по баннеру, и согласие превращается в формальность.

Баннер один на все рынки. Формулировки и список целей должны быть на языке аудитории и соответствовать реальному набору инструментов на сайте, а не общему шаблону, скачанному один раз и не обновлявшемуся при добавлении новых рекламных тегов.

Забыли про политику конфиденциальности. Баннер ссылается на страницу с политикой обработки данных, и эта страница должна существовать и описывать реальный набор инструментов на сайте, а не быть скопированной с чужого домена вместе с названием чужой компании.

Частые вопросы

Что с этим делать дальше

Откройте свой сайт в приватном окне браузера и проверьте три вещи: баннер вообще появляется, кнопка отказа заметна так же, как кнопка согласия, а вкладка сети браузера не показывает загрузку Google Analytics или пикселя Meta до клика по баннеру. Если хотя бы один пункт не выполняется, поставить готовый сервис и настроить Consent Mode v2 - работа на один день, которая снимает и юридический риск, и потери в рекламной аналитике одновременно.