Директ + MAX работают: политика конфиденциальности не знает

Как вы оказались в ситуации с двумя кабинетами

Директ работал, UTM-метки стояли на каждой кампании, ERID Яндекс генерировал сам. Потом добавили MAX - для охвата, для теста, потому что конкуренты тоже запустили. Один бюджет, два кабинета, и теперь выясняется, что в MAX с ERID что-то не так. А политика конфиденциальности на сайте написана в тот день, когда запускали Директ, - и MAX в ней не упомянут.

Это типовая ситуация. Рекламные системы добавляются быстро, юридика обновляется медленно.

До следующего платежа нужно разобраться с двумя вещами: ERID в MAX (нарушение ФЗ-38) и политика конфиденциальности (другой закон - 152-ФЗ, но тоже с оборотными штрафами). Ниже - по каждому конкретно.

Почему ERID нужен в каждом кабинете отдельно

Маркировка рекламы через ERID стала обязательной с 1 сентября 2023 года по ст. 18.1 ФЗ-38 «О рекламе» [источник: consultant.ru/document/cons_doc_LAW_58968/]. Каждое рекламное объявление в интернете должно содержать токен, который ОРД (оператор рекламных данных) присвоил этому размещению.

Яндекс Директ автоматически генерирует ERID через Яндекс ОРД - это встроено в рабочий процесс с 2023 года. Если кампании созданы или изменялись после сентября 2023-го, там, скорее всего, всё в порядке.

MAX - другой кабинет, другая система. Интеграция Директа с ОРД на неё не распространяется. Это значит одно из двух: MAX интегрирован с одним из пяти ОРД (Яндекс, ВК, МТС, Ozon, Первый) и генерирует ERID автоматически - тогда нужно только убедиться, что отчётность подаётся. Либо нет - и каждое размещение нужно регистрировать вручную.

Штраф за нарушение ст. 14.3 КоАП: для ИП до 200 000 руб., для юрлиц до 500 000 руб. за каждое нарушение [источник: consultant.ru/document/cons_doc_LAW_34661/]. Считается по каждому объявлению без ERID отдельно.

Что видит ваш сайт в трафике из двух источников

По клику из Директа в браузер попадают UTM-параметры из ссылки и cookies Директа. Из MAX - то же самое, но от другого кабинета. Обе рекламные системы передают на ваш сайт данные о пользователях, вы - конечный получатель. По 152-ФЗ вы оператор персональных данных, а Директ и MAX - ваши партнёры по обработке.

По данным платформы LEADLIFE: 98% посетителей сайта уходят без заявки [из . Из тех, кто пришёл по рекламе из обоих кабинетов, заявку оставят единицы. Остальных можно идентифицировать через пиксель WantLead, который в реальном времени определяет их телефоны - уже в день установки, через 1-2 часа после запуска

Кто отвечает перед РКН за данные посетителей

Рекламная система передаёт данные на ваш сайт - но ответственность перед Роскомнадзором лежит на вас как на операторе персональных данных. Директ и MAX не снимают с вас этой ответственности.

Схема простая: посетитель кликнул по объявлению - попал на ваш сайт - браузер отправил cookies и идентификаторы как в рекламные системы, так и в ваши инструменты аналитики и трекинга. Вы собираете данные посетителей своего сайта, значит - вас может проверить РКН.

При плановой проверке РКН смотрит: какие инструменты стоят на сайте, перечислены ли они в политике конфиденциальности, соответствуют ли задекларированные цели обработки реальным. Если на сайте стоит пиксель MAX, которого нет в политике, - это нарушение, даже если MAX правильно настроен с точки зрения рекламного закона.

Подробнее о том, как строится ответственность при рекламных пикселях: UTM метки без ERID: кто заплатит штраф - вы или агентство.

Что не покрывает стандартная политика конфиденциальности

Шаблонный документ или тот, что составлялся «под первый запуск», обычно упоминает Яндекс.Метрику и один рекламный кабинет. Если с тех пор добавились новые инструменты - политика устарела.

Четыре типичные дыры при работе с двумя кабинетами:

Первая: MAX не упоминается как получатель данных. Посетитель кликает по объявлению - сайт передаёт данные в MAX, а в политике написано только про Директ.

Вторая: пиксель идентификации посетителей не упомянут как самостоятельный инструмент сбора данных. WantLead или аналог - это третья сторона, которая получает данные о визитах. Она должна быть в политике.

Третья: цели обработки написаны только под «статистику», без «таргетинга» и «ретаргетинга» из двух кабинетов.

Четвёртая: нет раздела о передаче данных третьим лицам - хотя и Директ, и MAX, и пиксель идентификации - всё это третьи лица, которым уходят данные о посетителях.

Об обновлении политики под cookies и пиксели: UTM метки и куки: что законно собирать о посетителях.

Четыре блока для обновления политики конфиденциальности

Конкретно, что нужно добавить или изменить - без юриста, за один рабочий сеанс.

Блок 1. Перечень рекламных систем как получателей данных.

Добавить каждую рекламную систему, которая стоит на сайте: «данные посетителей могут передаваться следующим рекламным системам: Яндекс Директ (Яндекс ОРД), [название MAX]». Это не означает, что вы раскрываете лишнее - по ст. 18.1 152-ФЗ это обязательное требование [источник: consultant.ru/document/cons_doc_LAW_61801/].

Блок 2. Инструменты идентификации посетителей.

Если на сайте стоит WantLead - его нужно упомянуть отдельно: «для идентификации телефонов посетителей сайта используется сервис WantLead, данные передаются в LEADLIFE». Без этого пункта использование пикселя - нарушение 152-ФЗ.

Блок 3. Цели обработки данных под рекламу.

Добавить явную цель: «показ рекламных объявлений посетителям, ранее посещавшим сайт (ретаргетинг)» и «аналитика эффективности рекламных кампаний». Без этих целей сбор данных для рекламы юридически не обоснован.

Блок 4. Согласие на cookies при первом визите.

При двух рекламных системах плюс пиксель идентификации - три источника cookies. Баннер согласия должен это отражать: «продолжая использование сайта, вы соглашаетесь с использованием файлов cookie для статистики, рекламы и идентификации в соответствии с политикой конфиденциальности».

Как проверить ERID в Директе за 10 минут

Если кампании в Директе созданы или изменялись после сентября 2023 года - скорее всего ERID там есть. Для проверки:

1. 1Зайти в Яндекс Директ - «Все кампании».
2. 2Открыть любую активную кампанию - перейти в объявления.
3. 3В превью объявления или в его URL должно быть поле с ERID. Выглядит как строка вида erid=....
4. 4Если ERID в объявлениях отсутствует - найти в настройках кабинета «Настройки маркировки» или обратиться в поддержку Директа.

Также проверить в Яндекс ОРД (ord.yandex.ru) раздел «Отчётность» - все размещения должны быть закрыты актами за последний период.

Подробнее о процессе настройки ERID в Директе: Яндекс Директ без ERID: за что штрафуют и что сделать.

Как проверить ERID в MAX до следующего платежа

Для MAX алгоритм зависит от того, интегрирован ли кабинет с одним из ОРД:

1. 1Найти в интерфейсе MAX раздел про маркировку рекламы, ERID или ФЗ-38. Если он есть - интеграция с ОРД подключена, нужно убедиться, что она активна для всех кампаний.
2. 2Если нет - написать в поддержку MAX: «Как в вашей системе реализована маркировка по ФЗ-38 «О рекламе»? Нужно ли мне вручную регистрировать размещения в ОРД?»
3. 3Если MAX не интегрирован с ОРД - каждое объявление нужно самостоятельно зарегистрировать в одном из пяти ОРД и добавить erid в ссылку объявления.

Даже если оба кабинета генерируют ERID автоматически, отчётность в ОРД ведётся раздельно по каждому размещению. Незакрытая отчётность - тоже нарушение, хотя все объявления помечены.

Что означает «пиксель» в политике конфиденциальности

Пиксель - это небольшой код, который загружается вместе со страницей сайта и отправляет данные о посещении на сервер третьей стороны. WantLead видит каждый визит, сопоставляет cookie браузера с телефонным номером и передаёт контакт. Первые данные приходят через 1-2 часа после установки - в реальном времени.

По 152-ФЗ это передача данных посетителей третьему лицу. Для такой передачи нужно:

• Указать WantLead в политике конфиденциальности как получателя данных.
• Описать цель передачи: «обратная связь с посетителями, не оставившими заявку».
• Получить согласие посетителя через баннер cookies.

Пиксель WantLead работает с первой секунды после установки. Если политика конфиденциальности к этому моменту не обновлена - пиксель работает с нарушением 152-ФЗ с первой же идентификации.

Чек-лист: что проверить до следующего платежа

Займёт 15 минут, если есть доступ к кабинетам и редактированию сайта.

ERID в Директе:

• [ ] Активные объявления содержат ERID в URL или мета-данных
• [ ] Отчётность в Яндекс ОРД закрыта актами за последний период

ERID в MAX:

• [ ] MAX подтвердил наличие интеграции с ОРД (или дал инструкцию по ручной регистрации)
• [ ] Все активные объявления в MAX помечены ERID
• [ ] Отчётность по размещениям в ОРД подана

Политика конфиденциальности:

• [ ] MAX упомянут как получатель данных
• [ ] WantLead (если используется) упомянут отдельно как сервис идентификации посетителей
• [ ] Цели обработки включают ретаргетинг и аналитику рекламы
• [ ] Баннер согласия покрывает cookies обеих рекламных систем и пикселя

Два нарушения, два разных закона. ERID - ФЗ-38, политика - 152-ФЗ. Решаются независимо, но лучше до платежа - пока кабинеты активны и расходы идут.

Источники

• Федеральный закон от 13.03.2006 N 38-ФЗ «О рекламе», ст. 18.1 - consultant.ru
• Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных», ст. 18.1 - consultant.ru
• Ст. 14.3 КоАП РФ (штрафы за нарушение законодательства о рекламе) - consultant.ru
• Методические рекомендации РКН по политике обработки персональных данных, 2024 - rkn.gov.ru
• ФЗ-266 от 14.07.2022 (оборотные штрафы за нарушения 152-ФЗ) - consultant.ru
• Практические материалы eLama по маркировке рекламы, 2024 - elama.ru