Трекинг до согласия: проверка 50 000 сайтов немецких компаний

Cookie-баннеры давно стали привычными. В моей выборке они были на 59,5 % сайтов компаний. Идея простая: прежде чем сайт начнёт собирать данные о посетителях через Google Analytics, Meta Pixel или похожие сервисы, он спрашивает разрешение. С декабря 2021 года это прямо записано в немецком законе, сегодня в § 25 TDDDG (параграф немецкого закона о защите данных в телекоммуникациях и цифровых сервисах, который регулирует согласие на cookie и похожие технологии). Сохранять информацию на устройстве посетителя или считывать её оттуда сайт вправе только с согласия, кроме случаев, когда это строго необходимо для работы самого сервиса.

Я хотел узнать, делает ли баннер то, что обещает. Поэтому я взял те же 50 000 случайно выбранных сайтов немецких компаний, что и в моём исследовании Google Fonts. На этот раз я открыл каждую главную страницу в настоящем браузере и внимательно смотрел, что происходит до того, как кто-то что-то нажмёт.

Коротко: 8,8 % доступных сайтов компаний в моей выборке собирают данные о посетителях ещё до первого клика в cookie-баннере. Это почти каждый одиннадцатый. Если взять только сайты, которые вообще используют трекинг и на которых мой браузер нашёл кнопку согласия, это уже 30,9 %, почти треть.

1. Трекинг до согласия в цифрах: 8,8 % собирают данные до клика

Вот как шёл тест, без жаргона. Браузер (Chromium, техническая основа Chrome) открывает каждый сайт в новом пустом профиле, без сохранённых cookie, с немецким языком интерфейса. Страница загружается, потом браузер ждёт четыре секунды. Затем он двигает мышь, нажимает клавишу и немного прокручивает страницу вниз, как настоящий посетитель, который сначала осматривается. Ещё три секунды ожидания. Всё это время браузер никуда не кликает, в том числе в cookie-баннере.

И всё это время он записывает каждый запрос, который страница отправляет в сеть. Я считал запросы, которыми страница передаёт данные сервису аналитики или рекламы, например просмотр страницы в Google Analytics или событие в Meta Pixel. Простая загрузка скрипта в основной показатель не входит.

Из 50 000 адресов доступными оказались 41 161. Каждый сайт попадает ровно в одну группу, в самую серьёзную из подходящих:

• Данные уходят до клика: 3 619 сайтов (8,8 %). Сайт отправляет данные в Google, Meta или другой сервис аналитики или рекламы без сигнала, что посетитель отказался.
• Только пинги Google в режиме «отклонено»: 859 сайтов (2,1 %). Об этом чуть ниже.
• Только рекламные запросы через видео YouTube или скрипт AdSense: 409 сайтов (1,0 %).
• Скрипт трекинга загружен, но данные пока не отправляются: 1 733 сайта (4,2 %).
• Только сторонний контент, например Google Fonts, Google Maps или reCAPTCHA: 7 071 сайт (17,2 %).
• Ничего из перечисленного: 27 470 сайтов (66,7 %).

В первой группе бросается в глаза вот что: на 2 619 из этих 3 619 сайтов браузер обнаружил cookie-баннер. В нём никто ещё ничего не выбрал, а сбор данных уже шёл в фоне. На остальных 1 000 сайтах браузер вообще не обнаружил баннера. И 2 952 сайта из этой группы уже в этот момент ставят трекинговые cookie, чаще всего _ga от Google Analytics.

Я хотел убедиться, что это не ошибки измерения. Поэтому после окончания сбора данных я заново открыл 30 случайных сайтов из этой группы и сделал скриншоты. 29 из 30 снова отправили данные о посетителе до любого клика. На 19 скриншотах хорошо виден баннер, в котором ещё не выбрано согласие или отказ. Ещё на одном его закрывает другое окно.

Кто получает данные до клика

Чаще всего это Google: на 2 670 из 3 619 сайтов, то есть примерно на 74 из 100, данные получает Google Analytics или Google Ads. Google Analytics 4 получает данные до клика на 2 170 сайтах, Google Ads на 1 238. Meta Pixel встречается на 536 сайтах. Удивительно часто всплывает старый Universal Analytics: 534 сайта отправляют данные в сервис, который Google давно закрыл. Бизнесу это ничего не даёт. Данные при этом всё равно уходят.

В каких отраслях это встречается чаще всего

Самые высокие доли у мебельных магазинов (16,7 %) и IT-компаний (15,1 %). Но у мебельных магазинов в выборке всего 221 сайт, поэтому эта цифра не так надёжна. Самые низкие доли у электриков (2,1 %) и аптек (1,5 %). Почему так, по одним только данным уверенно сказать нельзя.

2. Почему cookie-баннер часто только для вида

Баннер на странице ещё не значит, что он что-то блокирует. Мой тест не показывает причину в каждом отдельном случае, он видит только запросы. Но типичные причины есть, и следы некоторых из них видны в данных.

Баннер есть, данные всё равно уходят. На 2 619 из 3 619 сайтов браузер обнаружил баннер, но данные уже отправлялись. Как так получилось в каждом конкретном случае, снаружи не видно. Типичный пример: Google Analytics когда-то встроили прямо в шаблон сайта, позже добавили плагин баннера, и никто не связал старый трекинг с баннером. Оба работают параллельно. Посетителю кажется, что всё в порядке.

Баннер ничего не спрашивает. На некоторых сфотографированных сайтах написано примерно «Используя этот сайт, вы соглашаетесь», а под текстом часто одна кнопка вроде «Принять» или «Понятно». Это уведомление, а не вопрос. Согласие предполагает, что можно ответить «нет».

Google Consent Mode позволяет отправлять данные до решения посетителя. У Google есть настройка, при которой его сервисы шлют пинги ещё до решения посетителя, с явной пометкой «отклонено». Такие сайты я посчитал отдельно (2,1 % сайтов), потому что юридически неясно, допустимо ли это. Но чаще встречается другое. Из 3 066 сайтов, которые до клика отправляют запросы в Google Analytics 4, 2 027 вообще не передают статус согласия. 115 даже передают «разрешено», хотя никто ничего не разрешал. 896 передают «отклонено», а у 28 сигнал смешанный или неоднозначный.

Решает и конструктор сайтов. 199 из 200 сайтов, которые работают на одном конструкторе, отправляют данные в Adobe до клика. Почти все это рестораны, закусочные и кафе. Такое совпадение скорее говорит об общей технологии, чем о 199 отдельных решениях. Если ваш сайт работает на конструкторе, проверять его нужно так же внимательно, как сайт на собственном WordPress.

Кроме того, 4,2 % сайтов загружают скрипт трекинга вроде Google Tag Manager до клика, хотя данные через него пока не отправляются. Административный суд Ганновера в 2025 году решил, что даже такая загрузка требует согласия. Это одно решение первой инстанции, а не устоявшаяся судебная практика. Поэтому эта группа не входит в основной показатель. Но если хотите подстраховаться, загружайте скрипт тоже только после согласия.

В данных есть и хорошая новость. На заранее выбранной четверти сайтов мой браузер в конце нажимал кнопку согласия, которую узнавал по тексту вроде «Принять все», «Согласен» или «OK». Из 1 854 сайтов, на которых при этом вообще нашёлся трекинг, 1 079 (58,2 %) не отправляли данные сервисам аналитики и рекламы до клика. Правда, 238 из них уже загрузили скрипт трекинга. Значит, отложить отправку данных до согласия возможно, и больше чем у половины сайтов это уже работает.

3. Как проверить свой сайт за пять минут

Для этого не нужны ни инструмент, ни агентство, только обычный браузер. Если сайтом занимаетесь не вы, перешлите эти шаги тому, кто его ведёт.

1. Откройте приватное окно. В Chrome оно называется «Инкогнито». Так в браузере нет сохранённых cookie и вашего прежнего согласия.
2. Откройте инструменты разработчика до загрузки страницы. Нажмите правой кнопкой в любом месте, выберите Inspect, затем вкладку Network («Сеть»). Теперь введите адрес сайта и загрузите его. Не нажимайте кнопки в баннере.
3. Найдите подозрительные запросы. По очереди вводите в строку фильтра: collect (Google Analytics), facebook.com/tr (Meta Pixel), doubleclick и googleadservices (Google Ads). Любое совпадение, пока баннер открыт, — тревожный сигнал, но не каждое означает сбор данных. Некоторые запросы только подгружают скрипты или рекламные материалы. С Google Analytics всё однозначно: запрос collect с tid=G- в адресе — это отправка данных. Если в нём стоит, например, gcs=G100, Google сообщает «отклонено». Если gcs нет совсем, данные уходят без какого-либо сигнала об отказе.
4. Посмотрите cookie. Во вкладке Application («Приложение») слева нажмите «Cookies». Если там уже есть _ga, _gid, _gcl_au или _fbp, а вы ещё ничего не нажимали, значит, что-то сохранилось до согласия.
5. Для сравнения откажитесь. Откройте новое приватное окно, на этот раз нажмите в баннере «Отклонить» и повторите шаг 3. Кроме пингов Google с сигналом «отклонено», больше ничего появляться не должно.

Если вы что-то нашли, решение обычно такое: код трекинга нужно убрать из шаблона сайта и запускать через систему управления согласием. На WordPress это значит убрать встроенный код аналитики из шаблона сайта или плагина и добавить его в систему управления согласием как сервис, который загружается только после согласия. Если вы используете Google Tag Manager, лучше всего, чтобы сам Tag Manager загружался только после согласия. Какой режим Consent Mode выбрать, базовый или расширенный, решайте вместе с тем, кто консультирует вас по защите данных.

Для начала есть мой бесплатный Tracking-Check (на немецком). Он показывает, какие трекеры подключает ваша главная страница и виден ли на ней Consent Mode. А что именно происходит до клика, надёжнее всего покажет проверка выше, в вашем собственном браузере.

Для тех, кто интересуется техникой: как я измерял

Эту часть можно пропустить. Она для тех, кто хочет пересчитать цифры. Все числа есть и в виде открытого набора данных, который можно скачать в CSV и JSON (на немецком), чтобы цитировать и пересчитывать.

• Адреса: та же случайная выборка, что и в исследовании Google Fonts. 50 000 компаний из 350 146 немецких фирм с собственным сайтом в OpenStreetMap: рестораны, клиники и кабинеты, строительные, ремонтные и монтажные компании, отели, магазины и многие другие. Это случайная выборка, а не ручной отбор или список из результатов поиска.
• Браузер: Chromium без видимого окна, управление через Playwright, для каждой страницы новый пустой контекст браузера, язык немецкий, часовой пояс Берлина, обычный размер окна. Загрузка шрифтов, видео и большинства изображений прерывалась после записи запроса, чтобы сэкономить вычислительное время. Данные собраны с 23 сентября 2026 года по 26 сентября 2026 года с сервера в Германии.
• Порядок действий: полная загрузка страницы, затем четыре секунды паузы, движение мыши, нажатие клавиши Shift и прокрутка на 300 пикселей, ещё три секунды ожидания. Это взаимодействие важно: некоторые баннеры и некоторые скрипты трекинга запускаются, только когда на странице что-то движется. 94 сайта действительно начали отправлять данные только после прокрутки, всё ещё без клика.
• Что считается сбором данных: запросы, которые отправляют данные сервису аналитики или рекламы. Правила заданы заранее, некоторые охватывают целые группы серверов одного сервиса. Для Google Ads считается любой запрос к рекламным серверам Google (doubleclick.net, googleadservices.com, googlesyndication.com), для Adobe любой запрос к его серверам аналитики. Для Google Analytics 4 считается вызов /g/collect, неважно, напрямую в Google или через собственный сервер (серверный Tag Manager), для Meta вызов facebook.com/tr. Плюс Microsoft Clarity, Hotjar, LinkedIn, TikTok, Pinterest, Microsoft Ads, Criteo, Adobe, Mouseflow, HubSpot, etracker и Matomo Cloud. Matomo на собственном сервере не учитывается.
• Consent Mode: в запросах Google есть параметр (gcs), который сообщает статус согласия. Если для аналитики или рекламы он имеет значение «отклонено», сайт не входит в основной показатель, а попадает в отдельную группу. Если параметра нет или он имеет значение «разрешено», сайт входит в основной показатель.
• YouTube и AdSense: встроенное видео YouTube и скрипт AdSense сами вызывают запросы к рекламным сервисам Google. Сайты, где происходит только это, тоже выделены в отдельную группу.
• Доступные: страница загрузилась и вызвала больше одного запроса. 66 сайтов загружались так медленно, что за лимит времени ответ сервера не пришёл, и они оценивались по тому, что успело произойти.
• Недоступные: 8 488 адресов, в основном из-за доменов без доступного сервера и проблем с сертификатами. Они не входят в расчёт.
• Исключённые: 351 адрес: 238 припаркованных доменов и 113, которые перенаправляют на автоматически созданные страницы профиля на стороннем сервисе. Собственного сайта компании там уже не видно.
• Точность: 95-процентный доверительный интервал для основной доли составляет от 8,5 % до 9,1 %. Для доли среди сайтов с трекингом он составляет от 28,8 % до 33,0 %.
• Проверка кликом: на заранее выбранной четверти сайтов (10 173) браузер после этого нажимал кнопку или ссылку с текстом, похожим на предложение дать согласие («Принять все», «Согласен», «OK», «Понятно»). Такую кнопку он нашёл на 5 212 сайтах, причём на 202 из них баннер не обнаружил. Сохранилось ли после этого действительное согласие, я отдельно не проверял. Доля в 30,9 % относится только к сайтам, где кнопка найдена. Была бы она выше или ниже по всем сайтам, эти данные не показывают.
• Перекрёстная проверка: Google Fonts браузер нашёл на 20,0 % сайтов. Проверка кода в исследовании Google Fonts дала 18,7 %. Два разных способа измерения дают близкие результаты.
• Чего тест не видит: внутренние страницы, более долгие визиты и баннеры, которые появляются только для определённых стран. Он не видит и сайты, которые распознают автоматизированные браузеры и обращаются с ними иначе. Это может сдвинуть долю в обе стороны.

Итог

• 8,8 % доступных сайтов немецких компаний собирают данные о посетителях до первого клика в cookie-баннере. Почти каждый одиннадцатый.
• Среди сайтов, которые вообще используют трекинг и у которых есть кнопка согласия, это почти треть (30,9 %).
• У большинства затронутых сайтов баннер есть. Данные всё равно уходят.
• Примерно на 74 из 100 затронутых сайтов данные получает Google Analytics или Google Ads, чаще всего вообще без статуса согласия.
• Больше половины сайтов с трекингом откладывают отправку данных до согласия. Значит, это возможно. Проверка вашего сайта занимает пять минут в браузере.

Дата сбора данных: 26 сентября 2026 года. Я не юрист, и этот текст не юридическая консультация. Он только показывает, что технически происходит на вашем сайте.