Комплаенс для зарубежных сайтов: как внедрить GDPR, Cookie и трансграничную передачу данных

Сначала вывод: Комплаенс — это не «добавить всплывающее окно с Cookie», а внедрение трёх цепочек: сбор данных, хранение данных, передача данных. Большинство зарубежных сайтов делают только видимость первого уровня — окно есть, но после того как пользователь нажимает «Отклонить», скрипты отслеживания продолжают работать.Риск такого «формального комплаенса» выше, чем если бы окна вообще не было.

Эта статья — обобщение инженерной практики, а не юридическая консультация. По вопросам применения конкретных законов и оценки рисков обратитесь к профессиональному юристу.

I. Сначала разберитесь с тремя ролями

В обсуждении комплаенса самое неоднозначное — это «кто я». В системе GDPR есть три роли, и ваши обязанности зависят от того, на какой позиции вы находитесь:

Роль	Определение	Типичная ситуация	Основные обязанности
Контролёр данных(Controller)	Сторона, определяющая цели и способы обработки	Ваш зарубежный сайт собирает данные посетителей и клиентов	Получить законное основание, уведомить, реагировать на права субъекта данных
Обработчик данных(Processor)	Обрабатывает данные от имени контролёра	Сайт, который вы делаете для клиента, — контролёр клиент	Обрабатывать по указаниям контролёра, обеспечивать безопасность
Третьи стороны(Third Party)	Самостоятельно определяет цели обработки	Аналитические инструменты и рекламные платформы, которые вы встраиваете	Каждый несёт ответственность как контролёр

Это различие особенно важно для компаний, выходящих на зарубежные рынки, потому что оно определяет два совершенно разных сценария:

Ситуация	Кто вы	Субъект ответственности за комплаенс
Свой зарубежный сайт, сами собираете данные клиентов	Контролёр	Вы сами
Делаете сайт для клиента и обслуживаете его	Обработчик	Клиент (но вы должны обеспечить техническую возможность комплаенса)
На сайте встроены сторонние аналитика/реклама	Контролёр (и передаёте данные третьим лицам)	Вы сами + третьи лица

Вторая строка — ключевая: Если вы подрядчик, который делает сайт для клиента, ваша обязанность — не «обеспечить комплаенс за клиента», а «предоставить инструменты, позволяющие реализовать комплаенс» — например, переключатель отключения отслеживания, управление категориями Cookie, возможность экспорта данных. Именно поэтому в дизайне плагина мы по умолчанию разделяем технические и персональные данные по разным таблицам.

II. Четыре категории законодательных сценариев, которые необходимо учитывать

Зарубежные сайты обычно одновременно сталкиваются с четырьмя категориями требований, которые затрагивают разные уровни:

Закон / сценарий	Основное внимание	Влияние на сайт
GDPR(ЕС)	Законность обработки персональных данных, права субъекта данных	Законное основание для форм и отслеживания, уведомление и согласие, право на удаление
ePrivacy / правила Cookie(ЕС)	Необязательные Cookie требуют предварительного согласия	Окно Cookie должно реально работать (отказ — значит остановка)
Законы штатов США(например, CCPA/CPRA и др.)	Право знать, право на отказ (opt-out), недискриминация	Предоставить механизм отказа от «продажи/передачи моих персональных данных»
Трансграничная передача	Правовые основания для передачи данных за пределы ЕС	Расположение серверов и регионы развёртывания сторонних инструментов

У всех четырёх требований есть общее: они требуют «работающего» механизма, а не текста-декларации. Пользователь должен иметь возможность реально отказаться, реально отозвать согласие, реально удалить данные.

III. Классификация Cookie и порядок работы с ними

Это самый частый и самый часто ошибочный пункт.

Обработка трёх категорий Cookie

Категория	Примеры	Нужно ли предварительное согласие	Поведение после отказа
Необходимые (Strictly Necessary)	Сессия, статус входа, CSRF-токен, языковые предпочтения	❌ Не нужно	Должны продолжать работать
Статистика / аналитика (Analytics)	Статистика посещений, отслеживание конверсий	✅ Нужно	Не должны загружаться
Маркетинг / реклама (Marketing)	Пиксели рекламных платформ, теги ретаргетинга	✅ Нужно	Не должны загружаться

Самая частая ошибка

«Отказ — значит остановка» означает, что скрипт не загружается, а не то, что он загружается, но не отправляет данные.

Как сделать	Соответствие требованиям	Пояснение
После отказа пользователя скрипты аналитики полностью не загружаются	✅ Соответствует	Правильный подход
После отказа пользователя скрипт всё равно загружается, но по флагу не отправляет данные	⚠️ Высокий риск	Скрипт уже выполняется, мог записать Cookie или установить соединение
После отказа пользователя всё равно загружается «анонимная статистика»	⚠️ Требует оценки	Зависит от наличия персональных данных; по умолчанию считается, что нужно согласие
В баннере только кнопка «Принять», а «Отклонить» спрятана на второй странице	❌ Не соответствует	Согласие должно быть так же удобно, как и отказ

«Заметность кнопки отказа» — ключевой пункт внимания регуляторов. Если «Принять всё» — заметная кнопка, а «Отклонить» — серый мелкий текст или нужно заходить в настройки и отключать по пунктам, на практике это будет признано «недействительным согласием».

Чек-лист внедрения

#	Статья	Критерии приёмки
1	Перечень категорий Cookie	Перечислите все Cookie, загружаемые сайтом, с указанием категории и назначения
2	Три кнопки в баннере	«Принять всё» / «Только необходимые» / «Настройки» (одинаково заметные)
3	После отказа — не загружать	Проверьте на практике: после отказа в сетевых запросах нет скриптов аналитики и рекламы
4	Согласие можно отозвать	В подвале сайта есть ссылка «Настройки Cookie», можно изменить в любой момент
5	Журнал согласий	Фиксируйте время согласия, версию, что именно выбрано (для доказательств)
6	Страница политики Cookie	Опишите назначение каждой категории Cookie, срок хранения, третьи стороны

IV. Сбор данных

Формы — самое прямое место сбора персональных данных и место, где требований по соответствию больше всего.

Статья	Требование	Частая ошибка
Чёткая цель	Для каждого поля формы должно быть объяснение, зачем оно нужно	Собирают «размер компании», не зная, зачем это нужно
Минимальная необходимость	Не собирайте поля, не связанные с целью	Требуют адрес, индекс, факс
Информирование	Перед отправкой есть ссылка на политику конфиденциальности и краткое пояснение	Ссылка только в подвале, рядом с формой никаких подсказок
Правовое основание	Чёткое основание (согласие / исполнение договора / законный интерес)	Об этом вообще не задумывались
Флажок	Если используется согласие, флажок по умолчанию должен быть снят	Флажок установлен по умолчанию (считается недействительным согласием)
Передача третьим лицам	Если данные передаются третьим лицам (например, в CRM), нужно уведомить	Не раскрывают, куда уходят данные
Срок хранения	Сколько хранятся данные	Бессрочное хранение

Конкретный проверочный вопрос:«Зачем вам это поле?» — если ответ только «может пригодиться потом», это поле собирать не нужно.Практический критерий принципа минимальной необходимости: собирайте только то, для чего можете назвать текущую цель.

V. Хранение и передача данных

Этот уровень чаще всего упускают из виду, потому что он не виден на странице.

5.1 Серверы и расположение данных

Статья	Что нужно проверить
Расположение сервера	В какой стране или регионе физически находятся база данных и файловое хранилище
Расположение резервных копий	Хранятся ли резервные копии там же (частая ошибка: копии синхронизируются в облако в третьей стране)
CDN	Записывает ли CDN исходный IP, сколько хранятся логи
Логи	Содержат ли логи доступа к серверу IP-адреса (это персональные данные), каков срок хранения и контроль доступа

«Где хранятся резервные копии» — частый источник ошибок. Основная база — в Германии, но автоматические резервные копии синхронизируются в облако с регионом по умолчанию в США. Это передача данных через границу, о которой большинство компаний даже не подозревает.

5.2 Сторонние инструменты

Тип инструмента	Что важно для соответствия
Аналитика	Передаётся ли исходный IP? Есть ли соглашение об обработке данных? Где расположены серверы?
Рекламная площадка	Загружается ли до получения согласия? Передаются ли данные форм?
Почтовая платформа	Загружаются ли данные клиентов? Есть ли соглашение об обработке данных?
Чат и поддержка	Записываются ли диалоги? Где они хранятся?
Шрифты, карты, встроенные видео	Отправляются ли запросы третьим лицам (передаётся IP посетителя)

Последняя строка заслуживает особого внимания: Многие сайты ради «быстрой загрузки» используют веб-шрифты или карты от сторонних CDN.Такие запросы передают IP-адрес посетителя третьим лицам— в ЕС уже есть судебные решения, признающие это передачей персональных данных, для которой нужно правовое основание.Решение — размещать шрифты и ключевые ресурсы на своём сервере.

5.3 Техническая реализация прав субъектов данных

GDPR требует исполнять запросы субъектов данных: доступ, исправление, удаление, переносимость, возражение. На техническом уровне для этого нужны соответствующие возможности:

Право	Требования к техническим возможностям
заходу	Выгрузить все записи субъекта данных по email или идентификатору
Исправление	Изменить соответствующие записи
Удаление	Удалить или обезличить соответствующие записи (включая стратегию работы с резервными копиями)
Переносимость	Выгрузить в универсальном формате (CSV или JSON)
Возражение	Пометить и прекратить дальнейшую обработку (например, маркетинговую)

«Удаление» — технически самая сложная позиция, потому что данные обычно разбросаны по нескольким системам (база сайта, CRM, почтовая платформа, аналитика). Рекомендуемый подход:Составьте «карту данных», где перечислены все системы с персональными данными и способы удаления из них — эта карта сэкономит много времени при получении запроса на удаление.

VI. Частые ошибки и чек-лист для самопроверки

Шесть частых ошибок

#	Ошибка	Риск
1	В баннере только «Принять», отказаться неудобно	Согласие недействительно, это частая причина проверок
2	Скрипты трекинга загружаются после отказа	Существенное нарушение, и доказательство проверяемо (сетевой запрос)
3	Шрифты, карты и видео передают IP третьим лицам	Передача данных без согласия
4	Резервные копии синхронизируются в зарубежное облако без оценки	Незаявленная трансграничная передача
5	Согласие в форме отмечено по умолчанию	Считается недействительным согласием
6	Политика конфиденциальности — шаблон, не соответствующий реальной практике	Заявления расходятся с практикой, что усиливает ответственность

Статья 6 встречается чаще всего. Многие зарубежные сайты используют сгенерированную по шаблону политику конфиденциальности, в которой упомянутые инструменты не совпадают с реально развёрнутыми (или реально используемые инструменты вообще не упомянуты).С точки зрения регулятора, «говорить одно, а делать другое» — проблема серьёзнее, чем «что-то не указать».

Чек-лист самопроверки перед запуском

#	Что проверить	Критерий прохождения
1	Список Cookie соответствует фактическому	Проверить через инструменты разработчика в браузере, без пропусков
2	Три кнопки в попапе одинаково заметны	Сохранить скриншот как доказательство
3	После отказа нет запросов аналитики и рекламы	Проверить на практике через панель «Сеть» в инструментах разработчика
4	Есть возможность отозвать согласие	Кликабельно в футере, выбор можно изменить
5	Шрифты и статические ресурсы размещены локально	Нет запросов к сторонним доменам (или проведена оценка соответствия)
6	В формах нет галочек по умолчанию, есть ссылка на политику	Проверить каждую форму
7	В политике конфиденциальности указаны реально используемые третьи стороны	Сверить пункт за пунктом со списком инструментов
8	Составлен перечень мест хранения данных	Включая системы, категории данных, способы удаления, ответственных
9	Подтверждено расположение резервных копий и логов	Включая сроки хранения и контроль доступа
10	Отработан процесс реагирования на запросы об удалении	Провести хотя бы одну полную тренировку процесса

FAQ: частые вопросы

Наш сайт в основном для клиентов вне ЕС — нужно ли нам всё равно соблюдать GDPR?

Нужна оценка, просто игнорировать нельзя. Применимость GDPR зависит не только от места регистрации компании, но и от того,предлагаете ли вы товары или услуги субъектам данных на территории ЕС(критерий «направленности»). Признаки: цены в евро и доставка по ЕС, использование языков ЕС, реклама в ЕС, страницы, ориентированные на рынок ЕС.Если хотя бы один посетитель из ЕС может отправить форму, базовое соответствие нужно обеспечить, даже если вы не компания из ЕС.

Как сделать	Можно ли обойтись без согласия
Полное отсутствие Cookie, никакого кросс-сайтового трекинга, не сохраняется исходный IP	Скорее всего будет считаться необходимым и низкорисковым
Использование Cookie для генерации ID посетителя (даже без имени)	Обычно всё равно требует согласия
Сохранение исходного IP для геостатистики	Требуется согласие (IP — это персональные данные)

Можно ли обойтись без попапа, если использовать «анонимную статистику»?

Нужно различать техническую реализацию:Критерий — «можно ли идентифицировать человека» или «можно ли отследить одного и того же человека между сайтами». Если речь о втором, обычно требуется предварительное согласие. Поэтому в дизайне атрибуции посетителей мы по умолчанию используем лёгкий режим «чтение заголовка страны CDN + определение по часовому поясу» —без внешних запросов, без дополнительного сбора данных, и это проще объяснить с точки зрения соответствия.

Как долго хранить записи о согласии из попапа Cookie?

Рекомендация Хранить столько, сколько соответствует циклу обработки данных, как правило, от 6 до 24 месяцев. Хранить нужно как минимум: время согласия, версию согласия (какая редакция политики), сделанный выбор (какие категории приняты), источник (какой домен или страница) и идентификатор, по которому можно отследить отзыв согласия.Ценность такой записи в том, что она служит доказательством: если кто-то заявит, что «пользователь не давал согласия», вы сможете предъявить запись.

事项	Кто отвечает
Что по сути содержит политика конфиденциальности	Клиент (вы даёте шаблон и техническую поддержку)
Техническая сторона соответствия (баннер, отказ, экспорт)	Вы (это часть качества поставки)
Соглашение об обработке данных (DPA)	Подписывают обе стороны

Сайт клиента — это наша услуга, мы контролёр или обработчик?

Как правило, вы Обработчик(клиент решает, какие данные собирать и зачем), а клиент — контролёр. Это значит:Поэтому при создании сайтов для клиентов «соответствие требованиям» нужно включать в перечень поставки, а не дописывать после того, как на клиента пожаловались.

措施	Пояснение
Ограничение срока хранения	Задаётся по необходимости (например, 30–90 дней), по истечении удаляется автоматически
Контроль доступа	Логи открыты только тем, кому они действительно нужны
Ограничение цели	Только для безопасности и эксплуатации, без профилирования посетителей
Оценка трансграничной передачи	Расположение серверов с логами нужно включить в оценку трансграничной передачи

Если хранить IP посетителя в серверных логах, это персональные данные?

Да. В системе GDPR IP-адрес повсеместно признаётся персональными данными (по нему вместе с другой информацией можно идентифицировать человека). Значит, серверные логи тоже нужно обрабатывать по правилам:На практике не стоит паниковать, но правила должны быть чёткими: задать срок хранения, ограничить доступ, ограничить цель. После этих трёх шагов риски по логам в основном под контролем.

层次	Статус	Оценка
Формальное соответствие	Баннер есть, политика есть, но после отказа всё продолжает работать	❌ Самый высокий риск (есть доказательства, что о требовании знали, но не выполнили)
Базовое соответствие	Баннер работает, политика совпадает с реальностью, есть возможность отозвать согласие	✅ Разумная цель для большинства сайтов на экспорт
Полное соответствие	Плюс перечень мест хранения данных, процедура удаления, записи согласий, оценка трансграничной передачи	✅ Рекомендуется, если вы работаете с компаниями из ЕС

До какого уровня нужно доводить соответствие, чтобы считать, что «достаточно»?

Абсолютного стандарта нет, но есть практичный принцип:«Если вас спросят, как вы обрабатываете данные, сможете ли вы предъявить проверяемое описание и воспроизводимые действия?» Главное — не остаться на первом уровне— он выглядит как сайт, который «уже привёл себя в соответствие», но на деле оставляет самые прямые доказательства обратного.

В заключение

В экспортном бизнесе соответствие часто воспринимают как «юридический вопрос» или «баннер перед запуском». Но с инженерной точки зрения это качество реализации трёх цепочек:

收集: собирать только необходимое, объяснять цели, давать возможность отозвать согласие
存储: знать, где лежат данные, сколько хранятся, кто имеет к ним доступ
流转: понимать, кому переданы данные, в какую страну и на каком основании

Когда все три цепочки данных описаны, политику конфиденциальности можно составить так, чтобы она соответствовала реальности, и при необходимости подтвердить свои слова доказательствами.

Ценность соответствия требованиям не только в том, чтобы «избежать штрафов», — это ещё и часть доверия. Зарубежные B2B-клиенты, оценивая поставщика, всё чаще включают вопросы работы с данными в тендерные и закупочные чек-листы —Поставщику, который подделывает даже согласие на использование Cookie, трудно доверять в соблюдении других обещаний.