Privacy, cookieless и consent mode v2: настройка и проверка согласия

Онлайн-школа аналитики из урока про сверку событий с CRM перевесила generate_lead с клика по кнопке на ответ сервера, а потом поставила на сайт баннер cookies и подключила режим согласия в базовом варианте. Рекламу курса за 25 000 ₸ теперь показывают ещё и русскоязычным в Германии и Польше (ситуация и цифры в уроке условные). За первую неделю с баннером в CRM 34 заявки с меткой paid_social, а в GA4 28 generate_lead из той же рекламы. Владелец спрашивает, куда делись шесть заявок и что значит «настроить consent mode v2», о котором ему написал знакомый маркетолог.

Баннер cookies спрашивает посетителя, на что он согласен, а сервис, который показывает баннер и хранит ответ, называют CMP (платформа управления согласием). Режим согласия Google (consent mode) передаёт этот ответ тегам Google, и они меняют поведение: ставят или не ставят cookies, отправляют или не отправляют данные для рекламы. Баннер consent mode не рисует и не решает, нужен ли он вообще. Это решает клиент со своим юристом, а вы настраиваете технику так, чтобы она делала ровно то, что решили.

«v2» в обиходе называют версию с четырьмя параметрами: к двум старым Google добавил ad_user_data и ad_personalization. Для посетителей из Европейской экономической зоны Google требует передавать их выбор, если сайт измеряет их поведение тегами Google, иначе для них перестанут работать измерение, персонализация рекламы и ремаркетинг (требования Google для трафика из ЕЭЗ). Сама политика Google о согласии пользователей из ЕС действует ещё для Великобритании и Швейцарии. Школа показывает рекламу в Германии и Польше, так что её это касается.

Что блокирует каждый параметр, если посетитель отказался (описание режима согласия):

Четыре параметра consent mode

Параметр	За что отвечает	Что происходит при denied
ad_storage	Рекламные cookies и идентификаторы	Новые рекламные cookies не записываются, старые не читаются
analytics_storage	Cookies аналитики, например для длительности визита	GA4 не читает и не пишет свои cookies, включая _ga
ad_user_data	Отправку данных пользователя в Google для рекламы	Не уходят user_id и хешированные контакты для улучшенных конверсий
ad_personalization	Персонализированную рекламу	Данные не попадают в ремаркетинг Google Ads, Display & Video 360 и Search Ads 360

Согласие на аналитику не включает улучшенные конверсии: за них отвечает ad_user_data.

Четыре параметра Google consent mode и поведение Google при denied: хранение, аналитика, пользовательские данные и персонализация.

Первые два параметра про хранение в браузере, два новых - про то, что можно передать Google и как это использовать. Поэтому согласие на аналитику не открывает дорогу улучшенным конверсиям: за хешированный email отвечает ad_user_data, а сам email перед отправкой готовят по правилам хеширования контактов.

Базовый или расширенный режим

Google описывает два варианта внедрения, и разница между ними в том, что уходит из браузера до ответа и после отказа.

В базовом режиме теги Google не загружаются, пока человек не ответил в баннере. До ответа в Google не уходит ничего, даже состояние по умолчанию, а после отказа данные не передаются совсем. В расширенном режиме теги загружаются сразу с умолчанием denied, и пока согласия нет, отправляют измерения без cookies. По этим сигналам Google моделирует часть потерянных конверсий и поведения, причём в расширенном режиме модель своя для каждого рекламодателя, а в базовом общая. Моделирование включается, только когда ресурс собирает достаточно данных (описание режимов).

Отсюда ответ про шесть заявок. В базовом режиме GA4 не узнает о человеке, который отказался от аналитики, даже если тот оставил заявку. Но сколько заявок GA4 потерял на отказах, по двум числам не сказать: может, шесть, а может, девять, если повторные отправки и тесты коллег по-прежнему добавляют события. Часть людей GA4 не видит и из-за блокировщиков рекламы. В CRM заявка есть при любом выборе в баннере, поэтому считать заявки по CRM школа продолжает в любом режиме.

Расширенный режим может вернуть GA4 часть картины, но за счёт того, что сигналы без cookies от отказавшихся всё равно уходят в Google. Допустимо ли это для аудитории школы, решает её юрист, а не таргетолог. Google и сам советует выбирать способ внедрения и умолчания по правилам своей компании (руководство по настройке).

Умолчание и обновление

Режим согласия держится на двух командах. Первая задаёт состояние по умолчанию и стоит в <head> до кода GTM, вторая обновляет его, когда человек нажал кнопку в баннере:

gtag('consent', 'default', {

'ad_storage': 'denied',

'ad_user_data': 'denied',

'ad_personalization': 'denied',

'analytics_storage': 'denied',

'wait_for_update': 500

});

gtag('consent', 'update', {

'ad_storage': 'granted',

'ad_user_data': 'granted',

'ad_personalization': 'granted',

'analytics_storage': 'granted'

});

Порядок важен: если умолчание выполнится после тегов, оно не сработает. wait_for_update даёт баннеру, который загружается асинхронно, 500 мс на ответ, прежде чем теги отправят данные. Передумал человек через неделю - та же команда update переводит значения обратно в denied. Умолчание можно задать отдельно для стран через параметр region с кодами ISO 3166-2: например, школа ставит denied для посетителей из Германии и Польши, а какое умолчание у остальных, в том числе из Казахстана, решает клиент.

В GTM код писать не обязательно. Для рекомендованных CMP в галерее общедоступных шаблонов Менеджера тегов есть шаблоны, интегрированные с Consent API: такой тег сам передаёт тегам Google умолчание и ответ из баннера. Его ставят на триггер «Инициализация согласия - все страницы», который срабатывает раньше всех остальных (режим согласия в Менеджере тегов). Если пишете свой шаблон, в нём нужны API setDefaultConsentState и updateConsentState, а не gtag (API согласия для шаблонов GTM).

Дальше включите обзор: «Администратор» → «Настройки контейнера», в разделе «Дополнительные настройки» нажмите «Включить обзор настроек согласия». Теперь на странице «Теги» значок «Обзор настроек согласия» показывает, у какого тега какие настройки. У тегов Google Рекламы, Google Аналитики и Floodlight проверки встроенные, они сами подстроятся под выбор. У пикселя Meta, тега TikTok и любого своего HTML-тега встроенных проверок нет: если ничего не настроить, они сработают у всех подряд. Им в «Расширенных настройках» → «Настройки, связанные с согласием» выбирают «Для активации тега требуется дополнительное согласие» и кнопкой «+ Обязательное согласие» добавляют тип, например ad_storage. Тогда тег сработает, только если все указанные типы получены. Вариант «Дополнительное согласие не требуется» означает, что тегу хватает встроенных проверок: тег Google по-прежнему учтёт выбор сам, а тег без встроенных проверок сработает у всех.

Как проверить настройку

Проверять согласие Google предлагает в Tag Assistant (как убедиться, что режим согласия работает):

Откройте Tag Assistant, введите адрес сайта и в открывшейся вкладке примите все cookies в баннере.
В Summary выберите самое раннее событие Consent. В блоке API Call должны быть все четыре параметра со значениями по умолчанию. То же видно в Output тега, на вкладке Consent, в колонке On-page Default.
Выберите последнее событие Consent: там должны быть обновлённые значения, а в колонке On-page Update - granted.
Для контейнера GTM откройте вкладку Tags и пройдите по тегам: каждый должен был сработать или промолчать так, как требует согласие.
Повторите всё в чистом профиле браузера, теперь отказавшись от всего. Теги с дополнительной проверкой согласия срабатывать не должны, а в cookies сайта не должно появиться _ga. Параметр gcs в запросах к Google передаёт только ad_storage и analytics_storage. Выбор по ad_user_data и ad_personalization смотрите в Tag Assistant: Google кодирует его в параметре gcd и предупреждает, что формат этих полей может меняться.

Если умолчания разные по странам, повторите проверку с подменой местоположения в браузере. И не забудьте о сервере: в серверном контейнере теги Google подстраиваются под выбор сами, а теги Meta и TikTok нет, поэтому их отдельно проверяют отказом, как в разборе Consent Mode v2 и server-side GTM. Скрипт, который отправляет оплаты из CRM, о баннере тоже ничего не знает: выбор сохраняют вместе с заявкой, об этом урок про server-side трекинг.

Закон Казахстана и cookies

В Казахстане действует Закон «О персональных данных и их защите» от 21 мая 2013 года № 94-V (текст на adilet.zan.kz). Слова cookie в нём нет. Ниже нормы, которые касаются маркетолога напрямую. Это не полный обзор и не юридическая консультация: текст сверен с редакцией с изменениями на 14 сентября 2026 года, а закон меняют часто, поэтому перед работой откройте действующую редакцию на adilet.zan.kz.

Сбор и обработка идут с согласия человека, кроме случаев из пункта 5 статьи 7 и статьи 9 (статья 7, пункт 1).
Согласие дают письменно, через государственный или негосударственный сервис либо другим способом, который позволяет подтвердить, что оно получено (статья 8, пункт 1). Его можно отозвать, и тогда в течение 15 рабочих дней обработку прекращают, если закон не требует хранить данные, или дают мотивированный отказ (там же, пункт 7, с оговорками пункта 2).
В согласии, среди прочего, указывают, передаются ли данные третьим лицам и за границу, перечень данных и срок (статья 8, пункт 4), а доказательство, что согласие получено, представляет собственник или оператор данных (статья 25, пункт 2, подпункт 5).
Данные собирают для заранее определённых целей и не берут лишнего (статья 7, пункты 8 и 9), а используют только для заявленных целей (статья 14).
Передача третьим лицам требует согласия, передача за границу тоже, кроме случаев из статьи 16 (статья 7, пункт 6).
Хранить персональные данные нужно в базе или цифровом объекте на территории Казахстана (статья 12, пункт 2), поэтому где стоят CRM и серверный контейнер, тоже вопрос к юристу.

Телефон, оставленный для звонка менеджера или доставки, не становится согласием на рекламную аудиторию. Загрузить его в Meta - это уже другая цель, а данные уходят другой компании и, скорее всего, за границу. Для каждого из этих шагов закон ставит свои условия (статьи 14, 7 и 16), и проверяет их юрист.

С 25 августа 2026 года в законе есть и хеширование: это преобразование данных в строку фиксированной длины с целью их защиты (статья 1, подпункт 18), а статья 23 называет маскирование и хеширование методами защиты персональных данных, порядок их применения определяет уполномоченный орган. Анонимизация определена отдельно: необратимое преобразование идентификаторов, после которого нельзя установить, чьи это данные (статья 1, подпункт 2-5). Хеш телефона, по которому рекламная платформа находит человека, этому определению не отвечает: платформа как раз устанавливает, чей это номер. Поэтому безопаснее считать его персональными данными. Хеширование защищает данные, но не заменяет согласия на их передачу.

Прямого ответа, считаются ли идентификатор из cookie или IP-адрес персональными данными и нужен ли казахстанскому сайту баннер, в законе нет. С 2026 года в нём есть понятие идентификатора персональных данных: информация, по которой можно установить человека или связать разрозненные данные о нём (статья 1, подпункт 14-1), а статья 6 перечисляет идентификаторы: ФИО, ИИН, изображение лица и биометрический вектор лица. Cookie и IP в этом перечне нет, а относится ли к ним общее определение, решает юрист клиента. Если школа предлагает курс людям в ЕС или отслеживает их поведение там, к ней может применяться GDPR (статья 3, территориальная сфера), и это тоже вопрос к юристу. Ваша часть - чтобы теги вели себя так, как он решил, и чтобы это можно было показать.

Cookieless: что на самом деле происходит с cookies

Сторонние (third-party) cookies в Chrome никуда не делись. В апреле 2025 года Google решил оставить пользователям Chrome нынешний выбор в настройках конфиденциальности и не показывать отдельный запрос. В октябре 2025 года он объявил, что сворачивает часть Privacy Sandbox: Topics, Protected Audience, Attribution Reporting API и ещё несколько технологий. Презентации, где эти API обещали как замену cookies, устарели. Safari при этом блокирует сторонние cookies по умолчанию с марта 2020 года.

Так что «cookieless» на практике - это не дата отключения, а посетители, которых не узнать по сторонним cookies (пользователи Safari, режим инкогнито в Chrome, где они заблокированы по умолчанию, и те, кто отключил их в настройках) или вообще по cookies (те, кто отказался в баннере). Для GA4 важнее другое ограничение Safari: cookies, которые скрипт записывает через document.cookie, живут не больше семи дней (ITP 2.1). Cookie _ga GA4 ставит скриптом на странице, поэтому человек, который вернулся в Safari через две недели, для GA4 будет новым пользователем.

Потерянное браузером восполняют собственные данные бизнеса: UTM-метки, сохранённые в заявке по схеме разметки, заявки и оплаты в CRM, серверные события с хешированными контактами. Согласие должно действовать и на них: серверная отправка должна учесть отказ, сама она о нём не узнает.

Задание: согласие на своём сайте

Возьмите свой тестовый сайт или сайт клиента с баннером.

Выполнено 0 из 5

Запишите, какой режим стоит, базовый или расширенный, и какие умолчания: для всех или по странам.
Пройдите проверку в Tag Assistant дважды: с согласием на всё и с отказом. Сделайте скриншоты колонок On-page Default и On-page Update.
Откройте обзор настроек согласия в GTM и выпишите все теги не от Google. У каждого должна быть отмечена дополнительная проверка согласия.
После отказа посмотрите cookies сайта: _ga появиться не должно, а если пиксели закрыты согласием, то и _fbp с _ttp.
Если есть серверный контейнер или скрипт из CRM, найдите, где он узнаёт о выборе посетителя.

Теперь вопрос владельца школы: куда делись шесть заявок? Ему можно написать так. Заявки не пропали, все 34 лежат в CRM. GA4 видит меньше, потому что в базовом режиме не знает о тех, кто отказался от аналитики, а часть посетителей прячут блокировщики рекламы. Сколько заявок ушло на отказы, по двум числам не сказать: если повторные отправки и тесты всё ещё добавляют события, потерь может быть больше шести. Считать заявки и CPL школа будет по CRM, а GA4 нужен, чтобы видеть, откуда люди пришли. Переходить ли на расширенный режим, решает юрист, а вы покажете, что после этого изменится в данных.

What IS Google’s Consent Mode v2?

Видео на английском, для знакомства с терминами. Названия настроек и поведение режимов в уроке сверены с документацией Google на октябрь 2026 года.