Как родился ConsentOwl

Обычный рабочий день. Клиент — небольшая редакция — пересылает нам официальное письмо, которое пришло к ним из вышестоящей организации. Мы читаем: это не «рекомендация на будущее», это требование с дедлайном.

Через несколько дней — второй клиент. Та же проблема, но письмо уже от другого начальства. Потом звонит третий, сам: «Слушайте, нам тут прислали бумагу про cookie, вы можете помочь?»

Началось, — подумал я.

И приписка, от которой у любого редактора холодеет спина: «до момента нажатия кнопки "Принять" сбор данных должен быть заблокирован программными средствами».

«Заблокирован программными средствами». В редакции, где верстают новости, а не пишут код.

Стало ясно: это не разовая история одного облисполкома. Это волна. И она только начинается.

Раз к нам пошли с этим клиенты — надо было разобраться по-настоящему, а не на уровне «поставить плашку и забыть».

Начали с белорусского Закона № 99-З «О защите персональных данных» и разъяснений Национального центра защиты персональных данных — того самого, на который ссылаются письма. Разобрались, какие cookie требуют согласия (аналитика, маркетинг), а какие нет (безопасность, сессия, языковая версия, настройки для слабовидящих).

Потом посмотрели на российский 152-ФЗ — у многих наших клиентов аудитория и в России, а там свои требования: согласие, локализация данных, запрет предзаполненных галочек.

Затем — европейский GDPR и ePrivacy Directive, потому что это первоисточник всей мировой практики cookie-согласия, и именно там прописано ключевое: строго необходимые cookie согласия не требуют, всё остальное — только после явного «да».

И дальше по сопутствующим документам — про обращения граждан, про политику обработки, про то, как вообще должно выглядеть корректное согласие.

И тогда мы сформулировали задачу так: сделать не «плагин под 99-З», а инструмент, который закрывает эту суть для всех — и в Беларуси, и в России, и по GDPR. Максимально удобно. Так, чтобы справился любой, а не только программист.

Пока изучали, наткнулись на то, что заставило отнестись к теме серьёзнее.

На первый взгляд многие нарушения выглядят несерьёзно. Ну не успел баннер заблокировать Метрику на полсекунды раньше. Ну стоит галочка «согласен» по умолчанию. Ну нельзя отозвать согласие — да кто вообще будет отзывать? Мелочь же.

А потом смотришь на суммы штрафов — и «мелочь» перестаёт быть мелочью.

Вот тогда и стало окончательно понятно, зачем мы это делаем. Человек ставит баннер «для галочки», спит спокойно — а по факту у него тикает та же бомба, только он её не видит. Наша задача — сделать так, чтобы «для галочки» и «по-настоящему» стали одним и тем же действием: поставил плагин — и правда защищён, а не только на вид.

Мы занимаемся сайтами не первый год и сразу увидели то, чего не видит человек без технического бэкграунда.

Проблема не в том, чтобы поставить баннер. Баннеров в интернете полно — красивая плашка «Мы используем cookie», кнопка «Принять», готово. Проблема в том, что почти все они не работают так, как требует закон.

То есть баннер есть, а нарушение — тоже есть. Согласие спрашивается уже после того, как данные собраны. Это соответствие «для галочки», которое не выдержит первой же проверки.

А то самое требование из письма — «заблокировать до нажатия кнопки» — как раз про это. И вот его-то готовые баннеры почти никогда не выполняют.

Казалось бы — возьми готовый западный сервис и не изобретай велосипед. Мы посмотрели на Cookiebot, CookieYes и подобные. И отказались. По трём причинам.

Когда делаешь продукт из реальной боли, а не из абстрактной идеи, принципы получаются простыми и честными.

Так родился ConsentOwl — плагин cookie-согласия для WordPress, который делает именно то, что требуют от сайтов регуляторы, и при этом оставляет данные под вашим контролем.

Мы сделали две версии.

Когда продукт готов, начинается самое интересное: ты садишься и прогоняешь его через реальные ситуации. Мы разыгрывали десятки сценариев с воображаемым клиентом — от сайта-визитки до чего-то по-настоящему большого. И на одном из них всё встало на свои места.

Теперь скажите: как владелец такого сайта должен вручную вписать все счётчики? Вспомнить, что и когда встраивалось? Пройти сто сорок тысяч страниц глазами?

Никак. Это физически невозможно.

Вот когда мы это прогнали на воображаемом гиганте, стало окончательно ясно: сканер — это то, ради чего существует Pro. На маленьком сайте вы и руками справитесь. На большом — без сканера вы просто утонете.

Лихая, честно говоря, получилась штука.

Это возражение мы слышим чаще всего — особенно от СМИ и контентных проектов. Логика понятная: если читатель нажмёт «Отказать», рекламные и аналитические скрипты не загрузятся. Читатель есть — а рекламного показа нет. А если откажется половина аудитории?

Разберём честно, потому что боль настоящая.

Вопрос не в том, «терять или не терять». Вопрос в том, что дешевле: небольшой и управляемый минус к рекламе — или крупный штраф с непредсказуемым исходом и удар по репутации. Мы сделали так, чтобы минус был как можно меньше (спокойный баннер плюс Consent Mode v2), а правовой риск ушёл.

В Pro вы сами решаете, к какой категории отнести каждый найденный трекер. Это удобно, когда назначение скрипта спорное или он действительно относится к работе сайта.

Но важно понимать грань: строго технические cookie (сессия, безопасность, языковая версия) закон разрешает без согласия, а вот аналитику и рекламу — нет. Относить рекламный трекер к «необходимым», чтобы его нельзя было отключить, — это уже обход согласия, то самое нарушение со штрафами выше.

Гибкость — чтобы корректно классифицировать, а не чтобы прятать. Честный баннер в долгую надёжнее.

Разберём на примерах — «если это про вас, то Pro решает, иначе будет проблема».

Мы не будем говорить, что «Pro нужен всем». Если у вас простой сайт-визитка без встроек, а из трекеров только Яндекс.Метрика — бесплатной версии достаточно. Впишите номер счётчика, и плагин всё сделает.

Pro нужен там, где встроек много, работает команда, или вы отвечаете сразу за несколько сайтов — там, где обрабатывать всё вручную дольше и рискованнее, чем доверить это плагину.

ConsentOwl — это инструмент, который закрывает техническую сторону требований: баннер согласия, блокировку до нажатия, генерацию Политики cookie, журнал согласий. Он помогает привести сайт в соответствие, но не заменяет юридическую консультацию и сам по себе не обеспечивает полное соответствие 152-ФЗ, GDPR или 99-З — это требует и организационных мер: уведомления регулятора, политики обработки данных, размещения на серверах в надлежащей юрисдикции и других.

Мы даём технику. Спокойствие по части «баннер есть, блокировка работает, Политика на месте, журнал ведётся» — это к нам.