Digital Omnibus хочет освободить first-party-аналитику от согласия

19 ноября 2025 года Европейская комиссия опубликовала Digital Omnibus — предложение, которое заново определяет, где живут правила согласия для cookie и трекинга. Главное для разработчиков спрятано в одной статье проекта: first-party-измерение аудитории, агрегированное и для внутреннего использования, больше не потребует никакого согласия.

Это изъятие описывает не какой-то будущий инструмент. Оно описывает модель данных, по которой аналитика без cookie работает всё это время.

Что на самом деле перемещает предложение

Сегодня обязанность спрашивать перед чтением или записью на устройстве пользователя вытекает из статьи 5(3) Директивы ePrivacy — юридического корня cookie-баннера. Digital Omnibus извлекает это правило из ePrivacy и переносит его в GDPR через новую статью 88a.

Практический эффект — единый режим. Там, где обрабатываются персональные данные, согласие по ePrivacy перестаёт применяться, и действует только GDPR. Комиссия подаёт это как упрощение перекрывающегося свода правил, опираясь на более чем год обратной связи от заинтересованных сторон по поводу усталости от баннеров.

Это предложение Комиссии, а не закон. Оно вошло в обычную законодательную процедуру в день публикации и теперь направляется в Европейский парламент и Совет, где текст может существенно измениться, прежде чем кого-либо обяжет.

Изъятие для измерения аудитории

Статья 88a сохраняет согласие как правило по умолчанию для доступа к устройству, а затем перечисляет узкие исключения. Наряду со строго необходимой передачей и безопасностью она добавляет одно, важное для аналитики: хранение или доступ к информации для формирования агрегированных данных измерения аудитории, при условии, что поставщик делает это исключительно для собственного онлайн-сервиса и собственного внутреннего использования.

Юридические разборы сходятся в условиях, которые несёт это изъятие:

• Только first-party. Оператор сайта контролирует данные; поставщик аналитики выступает обработчиком и никогда не использует их в собственных целях.
• Без передачи третьим лицам. Ничего не уходит рекламодателям, рекламным платформам или сетям межсайтового измерения.
• Только статистика. Цель — веб-статистика и оптимизация сайта, а не маркетинговая активация или профилирование.
• Простой opt-out. Пользователь может отказаться от измерения, что понятно объяснено в политике конфиденциальности.
• Короткое хранение. Данные хранятся только столько, сколько нужно статистике.

Формулировка намеренно узкая. Комментаторы, прочитавшие проект, отмечают, что он, по-видимому, исключает любой инструмент, который измеряет через множество сервисов, клиентов или платформ, — то есть большую часть измерений ad-tech. Изъятие вознаграждает конкретную архитектуру, а не категорию поставщика.

Почему это совпадает с аналитикой без cookie

Сопоставьте этот список с тем, как устроен privacy-first-трекер, и совпадение почти полное. Нет идентификатора для передачи, потому что идентичность посетителя — это ежедневный односторонний хеш — SHA-256(IP | UA | SALT_SECRET | YYYY-MM-DD) — который необратим и исчезает каждую ночь.

visitor_hash = SHA-256( IP | UA | SALT_SECRET | "2026-06-08" )

Сырые IP и User-Agent используются только в памяти для вычисления этого хеша; база данных хранит хеш, а не сырые значения. Нет межсайтового графа, потому что завтра нечего соединять. Хранение ограничено — просмотры старше двух лет удаляются, — а данные агрегированы по построению: счётчики, длительности, грубый тип устройства, страна с edge.

Beacon /collect несёт тайминги и метаданные страницы, а не человека. Это и есть «агрегированное измерение аудитории для внутреннего использования», которое выделяет проект.

Статья 88b и конец баннеров на каждом сайте

Сопутствующее положение, статья 88b, атакует усталость от согласия с другой стороны. Она требует, чтобы отказ и возражение можно было выразить через автоматизированные, машиночитаемые сигналы, а поставщики браузеров и операционных систем (кроме малых предприятий) обязаны поддерживать эту инфраструктуру.

Это то же направление, которое Global Privacy Control уже задал в праве штатов США: перенести решение с тысячи баннеров на единственную настройку на уровне устройства, которую сайт обязан уважать. Инструменту, который не ставит cookie и не строит профиль, здесь почти нечего уважать — нет хранилища, которое надо ограничивать, и нет записи о согласии, которую надо вести.

Что делать до вступления в силу

В Digital Omnibus пока ничто не подлежит принуждению, и график растягивается на поэтапные периоды применения после любого финального текста. Но направление задано, и оно благоприятствует единственному дизайну: собирать агрегированную статистику first-party, ничем не делиться, никого не идентифицировать и хранить недолго.

Если ваша аналитика уже соответствует этой планке, реформа — попутный ветер: закон движется к архитектуре, а не архитектура догоняет закон. Если нет, самый дешёвый путь к соответствию — не более удачный баннер. Это собирать меньше.

Источники

• Предложение Регламента Digital Omnibus (Европейская комиссия)
• The Digital Omnibus: cookies, consent and digital advertising (Taylor Wessing)
• EU Digital Omnibus: The European Commission Proposes Important Changes to the EU's Digital Rulebook (Sidley Austin)
• First-party analytics without consent: Your Digital Omnibus compliance guide (Piwik PRO)
• Digital Omnibus reshapes EU cookie rules but leaves banner fatigue largely intact (Osborne Clarke)