Недоступные баннеры согласия теперь создают два юридических риска, а не один

С 28 июня 2025 года баннер согласия, по которому пользователь клавиатуры не может полноценно перемещаться, — это не просто провал доступности, а нарушение GDPR. Европейский закон о доступности (EAA) вступил в силу во всех 27 странах-членах ЕС в этот день, сделав WCAG 2.2 Level AA юридически обязательным стандартом для цифровых услуг, включая интерфейсы согласия, от которых зависят инструменты аналитики.

Два режима регулирования теперь напрямую связаны. Исправьте одно без другого, и вы всё равно останетесь под риском.

Что на самом деле требует EAA

EAA соответствует европейскому стандарту EN 301 549, который, в свою очередь, ссылается на WCAG 2.2. Для интерфейсов согласия наиболее важные на практике требования следующие:

• Фокус не закрыт (WCAG 2.4.11): Когда пользователь переходит к кнопке с помощью Tab, она не должна быть полностью скрыта за самим баннером или закреплённым заголовком.
• Доступность с клавиатуры (WCAG 2.1.1): Каждый интерактивный элемент — «Принять», «Отклонить», «Управлять настройками» — должен быть доступен и работать без мыши.
• Видимые индикаторы фокуса (WCAG 2.4.7): Кольца фокуса должны быть видны. Многие платформы управления согласием по косметическим причинам подавляют стили фокуса браузера по умолчанию, что не соответствует этому критерию.
• Достаточный контраст цвета (WCAG 1.4.3): Текст на фоне должен соответствовать соотношению 4.5:1 для основного текста. Бледно-серые ссылки «Отклонить всё» рядом с жирными синими кнопками «Принять» — частый шаблон провала.
• Никакого автозакрытия: Баннер не может закрываться без явного взаимодействия с пользователем. Автоматическое принятие по таймеру, даже через несколько секунд, недопустимо.

Штрафы различаются в зависимости от государства-члена. Германия применяет до 100 000 € за нарушение. Испания доходит до 1 000 000 € в тяжёлых случаях. Франция сочетает денежные штрафы с возможной приостановкой неcоответствующей услуги.

Почему провалы доступности делают согласие GDPR недействительным

Преамбула 32 GDPR требует, чтобы согласие было «свободно данным, конкретным, информированным и недвусмысленным». Статья 7 добавляет, что отзыв согласия должен быть «таким же простым, как и его предоставление». Эти требования действуют только в том случае, если пользователь действительно может получить доступ к интерфейсу согласия.

Пользователь программы чтения с экрана, который не может перейти к кнопке «Отклонить», не может удержать согласие. Согласие, которое ваш конвейер аналитики записывает для этого пользователя, юридически бессмысленно — не потому, что он отклонил его, а потому, что механизм был недоступен. Согласно GDPR, это вообще считается отсутствием согласия.

CNIL сделала эту логику явной в своих принудительных действиях против Google в сентябре 2025 года, когда штраф в 325 миллионов евро частично последовал из-за асимметричного дизайна — принятие требовало одного клика, отказ требовал перехода к экрану настроек. Любой дизайн, который структурно делает отказ более сложным, чем принятие, включая баннер, которым пользователь клавиатуры не может полноценно управлять, подрывает юридическую действительность каждой записи согласия, которую он производит.

Результаты аудита неутешительны

Независимое тестирование широко используемых платформ управления согласием в 2025 году обнаружило, что ни одно из изученных решений не отвечало полному соответствию WCAG 2.2 Level AA. Распространённые провалы включали подавленные индикаторы фокуса, недостаточный контраст на вторичных кнопках действий и разметку баннера, расположенную поздно в DOM — заставляя программы чтения с экрана сталкиваться с содержимым страницы до интерфейса согласия.

Это не редкие случаи. Это поведение по умолчанию инструментов, которые десятки тысяч сайтов развёртывают, чтобы использовать аналитику без проведения юридического анализа самостоятельно.

Во что вам операционно обойдётся соответствующий баннер

Предположим, вы исправили проблемы доступности. Теперь у вас есть баннер, по которому программа чтения с экрана может полноценно перемещаться, с управлением, доступным с клавиатуры, достаточным контрастом и без автозакрытия. Вы по-прежнему сталкиваетесь с:

• Потеря данных из-за отказа: Исследования последовательно показывают, что 15–30% посетителей либо отказываются от аналитических cookie, либо закрывают баннер без взаимодействия. Это население невидимо для вашей аналитики.
• Изменчивость уровня согласия по устройствам: Мобильные пользователи закрывают баннеры чаще, чем пользователи настольных компьютеров. Данные вашей аналитики систематически смещены в сторону пользователей, которые приняли на настольном компьютере.
• Постоянное обслуживание: WCAG 2.2 уже разрабатывается в направлении WCAG 3.0. Каждое обновление вашей платформы согласия — это потенциальный регресс в соответствии доступности, который вам нужно повторно тестировать.

Исправление баннера устраняет уязвимость по EAA. Оно не решает проблему качества данных.

Структурная альтернатива

Аналитика без cookie, которая никогда не касается устройства — никаких cookie, никакого localStorage, никакого fingerprinting — не запускает требования согласия PECR. Никакого механизма согласия не требуется, поэтому никакого интерфейса согласия, который мог бы быть недоступным, не существует.

Подход ежедневного хэша посетителя — SHA-256(IP + UA + SALT_SECRET + YYYY-MM-DD) — выполняется полностью на стороне сервера на краю, не производит постоянного идентификатора и ничего не хранит на устройстве посетителя. Нет взаимодействия, которым должен управлять WCAG, и нет записи согласия, которую должен проверять GDPR.

Это не обходной путь. Это техническое следствие построения системы аналитики, которая действительно не обрабатывает персональные данные. Когда нечего согласовывать, механизм согласия и все его обязательства по соответствию исчезают.

Два вопроса, которые стоит задать сейчас

Если ваш сайт в настоящее время запускает аналитику за баннером согласия, два вопроса определяют вашу уязвимость:

1. Can a keyboard-only user reach the "Reject All" option in your banner
   without a mouse, with a visible focus indicator, on every browser
   you support?

2. If yes — what percentage of visitors reject or dismiss the banner,
   and how does your analytics account for that gap?

Первый вопрос — это вопрос EAA. Второй — вопрос качества данных. Соответствующий баннер согласия, который закрывают 20% посетителей, по-прежнему оставляет вас с 20-процентным слепым пятном, которое со временем накапливается, поскольку ваши решения принимаются на основе неполных данных о трафике.

Ни один из вопросов не возникает, если нет баннера, по которому нужно перемещаться.