Аналитика и GDPR: что нужно сделать на практике

Привести аналитику в соответствие с GDPR — не только добавить баннер с cookie. Всё начинается раньше: с понимания того, какие данные собирает ваш инструмент аналитики и являются ли они персональными данными по GDPR.

Примечание: информация ниже носит ориентировочный характер. Соответствие GDPR зависит от вашей конкретной реализации, страны и правового анализа. За обязательной консультацией обращайтесь к квалифицированному юристу в области защиты данных.

Шаг 1: выясните, что собирает ваш инструмент аналитики

Прежде всего — знайте, что именно передаёт ваш инструмент. Большинство инструментов аналитики собирают часть из следующего:

• IP-адрес (или его хеш)
• User agent (браузер, ОС)
• Referrer (URL предыдущей страницы)
• URL страницы (текущая страница)
• Временна́я метка
• Идентификатор сессии или cookie (постоянный идентификатор)

По GDPR IP-адреса — персональные данные. Даже хешированный или усечённый IP может быть персональными данными, если обратная идентификация возможна в данном контексте. Постоянный идентификатор cookie, позволяющий отслеживать человека со временем, — это безусловно персональные данные.

Вопросы к вашему вендору:

• Передаётся ли полный IP-адрес на ваши серверы?
• Хранится ли IP в логах, пусть и временно?
• Используется ли постоянный идентификатор (cookie, localStorage, фингерпринт)?
• Где находятся серверы? (ЕС / США / другое)

Шаг 2: определите, нужно ли согласие

По Директиве ЕС об электронной конфиденциальности (ст. 5(3) ePrivacy), хранение или доступ к информации на устройстве пользователя требует согласия — если только это не «строго необходимо» для службы, которую пользователь запросил явно.

Именно это правило создаёт баннеры согласия на cookie. Аналитические cookie не являются строго необходимыми — значит, согласие нужно.

Для аналитики без cookie, не хранящей ничего на устройстве, ст. 5(3) ePrivacy напрямую не применяется. Но вам всё равно нужно правовое основание по ст. 6 GDPR для обработки персональных данных (например, IP-адреса).

Наиболее распространённые основания для аналитики без cookie:

• Законные интересы (ст. 6(1)(f)): у вас есть законный интерес в понимании трафика своего сайта, и он не перевешивает права посетителей — особенно если вы не храните IP, используете суточный хеш и не профилируете людей. Требуется Оценка законных интересов (LIA).
• Согласие (ст. 6(1)(a)): всегда действительно, юридически проще всего, но требует функционирующего механизма согласия.

Примечание о заявлениях «согласие не нужно»: будьте осторожны с категоричными утверждениями о том, что аналитика без cookie никогда не требует согласия. Это зависит от конкретной реализации, страны, из которой приходят посетители, и позиции национального регулятора. По данным EDPB (Руководство 2/2023), даже отслеживание без cookie, обрабатывающее персональные данные, требует действительного правового основания.

Шаг 3: отразите это в политике конфиденциальности

Каким бы ни было ваше правовое основание, оно должно быть задокументировано в политике конфиденциальности по ст. 13 GDPR. В ней следует указать:

• Категории данных, собираемых через аналитику
• Кто является контролёром данных
• На каком правовом основании осуществляется обработка
• Сроки хранения данных
• Передаются ли данные за пределы ЕС (и какие меры защиты применяются)
• Кто является провайдером аналитики (как обработчик или субобработчик)

Если ваш провайдер аналитики находится в США (например, GA4 с обработкой данных в американской инфраструктуре Google), необходимо урегулировать международные передачи данных — через Стандартные договорные условия (SCCs) или другой действующий механизм.

Шаг 4: заключите соглашение об обработке данных с вендором

По ст. 28 GDPR, если провайдер аналитики обрабатывает персональные данные от вашего имени — он является обработчиком. Необходимо подписанное DPA.

Большинство крупных инструментов аналитики предоставляют стандартное DPA. Google Analytics предлагает своё; его нужно принять. Инструменты, ориентированные на приватность, как правило, упрощают этот процесс.

Шаг 5: сроки хранения данных

Принцип ограничения хранения по ст. 5(1)(e) GDPR требует хранить данные не дольше, чем необходимо. Для аналитики рассмотрите:

• Сырые журналы событий: 30–90 дней обычно обоснованы; некоторые регуляторы ожидают более коротких сроков.
• Агрегированные данные (без данных на уровне отдельных лиц): могут храниться бессрочно, так как больше не являются персональными данными.
• Данные сессий и посетителей: зависит от наличия IP-адресов или идентификаторов.

Задокументируйте политику хранения и убедитесь, что вендор применяет её технически, а не только договорно.

Шаг 6: реагирование на запросы субъектов данных

GDPR предоставляет физическим лицам права: доступ, удаление, переносимость, ограничение. Для данных аналитики это сложно:

• Если вы не можете идентифицировать конкретного человека в ваших аналитических данных (нет имени, нет email), вы не сможете выполнить запрос на доступ или удаление.
• Если аналитика хранит постоянные идентификаторы, привязанные к людям, — возможно удаление по ID пользователя.

Аналитика без cookie с суточными хешированными IP, как правило, не позволяет идентифицировать конкретных людей без дополнительных данных. Это ограничивает возможность ответа на конкретные запросы — но и снижает риски конфиденциальности.

Что меняет аналитика без cookie

Аналитика без cookie снижает (но не устраняет) обязательства по GDPR:

• Ст. 5(3) ePrivacy не применяется, если ничего не хранится на устройстве.
• Обработка IP-адресов всё равно требует правового основания.
• DPA с вендором всё равно нужно, если он обрабатывает данные от вашего имени.
• Раскрытие информации в политике конфиденциальности всё равно обязательно.

Главное преимущество: баннер согласия не обязателен, если вы можете опереться на законные интересы и ваша реализация действительно минимальна (суточный хеш IP, без межсайтового отслеживания, серверы в ЕС, короткие сроки хранения).

Практический чеклист

• Знать точно, какие данные собирает и передаёт ваш инструмент аналитики
• Определить правовое основание (согласие или LIA для законных интересов)
• Подписать DPA с вашим провайдером аналитики
• Обновить политику конфиденциальности, указав сбор данных аналитикой
• Установить сроки хранения данных и убедиться, что вендор их технически соблюдает
• Урегулировать международные передачи, если серверы находятся за пределами ЕС
• При использовании cookie: внедрить соответствующий механизм согласия (без предварительно установленных флажков, без тёмных паттернов, реальное согласие до активации трекинга)
• При использовании законных интересов: задокументировать LIA

Соответствие требованиям — это процесс, а не единовременная задача. Пересматривайте его при смене инструментов, добавлении новых функций или выходе новых руководств национальных регуляторов.