Управление согласием на файлы cookie на множестве клиентских сайтов

Чтобы управлять согласием на файлы cookie на множестве клиентских сайтов, стандартизируйте все техническое, а все юридическое настраивайте под конкретного клиента. Используйте одну схему настройки, одну модель категорий и один подход к блокировке скриптов для всех сайтов. Предоставьте каждому клиенту собственную конфигурацию, текст политики, региональные правила и записи о согласии. А затем регулярно проводите повторное сканирование, потому что клиентские сайты продолжают меняться и после запуска.

Кто отвечает за согласие на сайте клиента?

Как правило, клиент. Как компания, которая определяет, зачем и как обрабатываются данные посетителей, клиент обычно является контролером согласно Общему регламенту по защите данных (GDPR), и именно с ним свяжется регулятор.

Агентства, как правило, выступают обработчиками, когда управляют тегами, аналитикой или журналами согласий по поручению клиента. Статья 28 GDPR требует договора, определяющего, что обработчик может делать с этими данными. На практике это означает:

• Соглашение об обработке данных с каждым клиентом, чьи персональные данные вы обрабатываете.
• Письменное утверждение клиентом формулировок баннера, категорий, регионов и политики использования файлов cookie.
• Четкое разграничение между внедрением и юридическими консультациями. Рекомендуйте, чтобы спорные вопросы, например использование расширенного режима согласия, решал юрист клиента.

Четкое распределение ролей защищает агентство не меньше, чем клиента. Когда поступает жалоба, все уже должны знать, кто что утверждал.

Что стандартизировать для всех клиентов?

Стандартизируйте разработку и процессы, а не юридическое содержание. Общая базовая конфигурация сокращает время настройки, а когда вы что-то исправляете или улучшаете один раз, выигрывает каждый сайт.

Стандартизировать для всех клиентов	Настраивать для каждого клиента
Компонент баннера, доступность и бюджет производительности	Название компании, фирменный стиль и языки
Модель категорий: необходимые, предпочтения, аналитика, маркетинг	Какие поставщики и файлы cookie относятся к каждой категории
Схема блокировки скриптов	Обслуживаемые регионы и баннер, который видит каждый регион
Логика значений по умолчанию и обновлений Google Consent Mode	Базовый или расширенный режим в соответствии с юридическим решением клиента
Формат журнала согласий и механизм хранения	Срок хранения и условия обработки данных
График сканирования и маршрутизация оповещений	Ответственные со стороны клиента, получающие оповещения

Везде используйте один и тот же подход к блокировке скриптов до получения согласия. Когда каждый сайт следует одной схеме, любой разработчик вашей команды может за несколько минут разобраться с проблемой на любом клиентском сайте, не изучая заново нестандартную настройку.

Храните базовую конфигурацию в системе контроля версий с журналом изменений. Когда вы ее меняете, развертывайте обновление осознанно, клиент за клиентом, и фиксируйте, какая версия работает на каком сайте.

Как подключить новый клиентский сайт?

Рассматривайте подключение как фиксированную последовательность шагов, чтобы ничего не упустить в условиях жестких сроков.

1. Аудит: проведите аудит файлов cookie действующего сайта, чтобы составить перечень файлов cookie, скриптов и поставщиков.
2. Классификация: отнесите каждого поставщика к категории и отметьте все, что не удается идентифицировать, чтобы клиент дал пояснения.
3. Определение регионов: уточните, откуда приходят посетители и какие правила применяются, например предварительное согласие по GDPR в ЕС, UK GDPR и PECR в Великобритании или право на отказ по CCPA в Калифорнии.
4. Настройка: создайте на основе базовой конфигурации баннер клиента, ссылку на политику и языковые версии.
5. Блокировка тегов: заблокируйте необязательные скрипты до получения согласия и задайте значения Consent Mode по умолчанию в Google Tag Manager (GTM).
6. Тестирование: убедитесь, что ничего необязательного не запускается до получения согласия и что и отказ, и отзыв согласия работают.
7. Утверждение: получите письменное одобрение клиента до запуска.
8. Передача: задокументируйте, что вы настроили, кто может это изменять и как клиент может запросить записи о согласии.

Больше всего сюрпризов возникает на шаге 2. На старых сайтах часто есть скрипты, которые никто на стороне клиента не помнит, как добавлял, и для каждого из них нужно найти ответственного и цель, прежде чем его можно будет отнести к категории.

Как поддерживать соответствие клиентских сайтов требованиям после запуска?

Запланируйте регулярные сканирования и настройте оповещения об изменениях. Клиентские сайты постепенно «уплывают»: маркетинговая команда добавляет пиксель в GTM, обновление плагина приносит новый файл cookie, а конструктор лендингов добавляет собственные трекеры.

Меры, которые помогают держать такие изменения под контролем:

• Ограничьте круг тех, кто может публиковать изменения в контейнерах GTM клиента, и требуйте настроек согласия для каждого нового тега.
• Проводите повторное сканирование после каждого релиза и по фиксированному графику, а новые неклассифицированные файлы cookie направляйте конкретному ответственному со стороны клиента.
• Повышайте версию баннера и снова запрашивайте согласие, если цели или поставщики существенно изменились.
• Не реже раза в год проверяйте дизайн баннера на соответствие актуальным рекомендациям регуляторов в отношении манипулятивных приемов.

Сообщайте клиентам о результатах в виде короткой регулярной сводки: обнаруженные новые поставщики, измененные версии баннеров и открытые вопросы. Это показывает ценность вашей работы и помогает документировать решения.

Как управлять записями о согласии для множества клиентов?

Храните записи каждого клиента логически разделенными, а доступ к ним предоставляйте только тем, кто работает с этим клиентом. Смешение данных разных клиентов в одном общем журнале создает проблемы с конфиденциальностью и усложняет выгрузку.

Каждый клиент должен иметь возможность по запросу получить выгрузку собственных записей о согласии, например чтобы ответить регулятору или на запрос субъекта данных о доступе. Заранее согласуйте в договоре, что происходит с записями по окончании сотрудничества: их возвращают, удаляют или и то и другое — и в какие сроки.

Применяйте ту же дисциплину к сотрудникам. Используйте ролевой доступ и многофакторную аутентификацию и оперативно отзывайте доступ, когда сотрудники уходят или отношения с клиентом прекращаются.

Итоги

Агентства, которые хорошо справляются с управлением согласием, относятся к нему как к воспроизводимому продукту, а не как к отдельному проекту для каждого сайта. Стандартизируйте техническую базу, оставляйте юридические решения за клиентом, постоянно отслеживайте сайты и храните записи каждого клиента отдельно и с возможностью выгрузки. Такие инструменты, как Cookiesh, предлагают агентствам работу под собственным брендом (white label) и мультиарендность, что помогает выполнять все эти шаги из одного места.

Эта статья носит общий информационный характер и не является юридической консультацией. Для решений, касающихся вашей конкретной ситуации, обратитесь к квалифицированному специалисту по защите данных.