Краткий ответ: TDDDG (Закон о защите данных в цифровых услугах связи) — это национальный закон Германии, регулирующий, как веб-сайты и цифровые услуги должны обрабатывать согласие на куки и доступ к хранилищу устройств. Он идет дальше GDPR, требуя предварительного, явного согласия перед активацией любых несущественных куки или технологий отслеживания, и применяется ко всем организациям, работающим в цифровом формате в Германии, независимо от места их регистрации.
Основные выводы
- TDDDG был переименован из TTDSG 14 мая 2024 года, чтобы соответствовать Закону о цифровых услугах ЕС, хотя его основные положения остались неизменными [1]
- Раздел 25 TDDDG требует предварительного согласия перед хранением или доступом к любой информации на устройстве пользователя, с узкими исключениями для технически необходимых куки [4]
- Действительное согласие должно быть свободно дано, конкретным, информированным, недвусмысленным и отзывным; заранее отмеченные галочки и пассивный просмотр не подходят [3]
- Несоблюдение может привести к штрафам TDDDG до €300,000 за нарушение, плюс штрафы GDPR до €20 миллионов или 4% от глобального годового оборота [2]
- Закон применяется к бизнесу, государственным органам, образовательным учреждениям, ассоциациям и самозанятым лицам с онлайн-присутствием в Германии [1]
- Американские компании и неевропейские бизнесы, нацеленные на немецких пользователей, должны соблюдать TDDDG
- Постановление о управлении согласием (EinwV), вступающее в силу в апреле 2025 года, ввело централизованные услуги управления согласием, чтобы снизить усталость пользователей от согласия [3]
- Баннеры куки должны предлагать подлинную опцию "отказаться", которая должна быть столь же заметной, как и опция "принять" [5]
Что такое TDDDG? Объяснение национального закона Германии о цифровой конфиденциальности
TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, или Закон о защите данных в цифровых услугах связи) — это основной закон Германии, регулирующий хранение и доступ к информации на устройствах конечных пользователей. Он дополняет GDPR, устраняя конкретный пробел, который GDPR не охватывает напрямую: момент, когда куки или скрипт отслеживания впервые взаимодействует с браузером пользователя.
Первоначально принятый как TTDSG в декабре 2021 года, закон был переименован в TDDDG 14 мая 2024 года, чтобы отразить терминологию, введенную Законом о цифровых услугах ЕС. Переименование было в основном номинальным; существенные правила, особенно те, что содержатся в Разделе 25, регулирующем согласие на куки, остались без изменений [1].
Закон исполняется многоуровневой структурой властей: Федеральным комиссаром по защите данных (BfDI), Федеральной сетевой службой (BNetzA) и 16 государственными органами по защите данных, координируемыми через Конференцию по защите данных (DSK) [2]. Эта распределенная модель исполнения означает, что нет единой точки узкого места, нарушения могут преследоваться с нескольких направлений одновременно.
Как TDDDG отличается от GDPR?
TDDDG и GDPR являются взаимодополняющими, а не конкурирующими. GDPR регулирует, что происходит с личными данными после их сбора и обработки. TDDDG регулирует более ранний момент: разрешено ли веб-сайту вообще хранить или считывать данные на устройстве пользователя [6].
Ключевые отличия:
| Параметр | GDPR | TDDDG |
|---|---|---|
| Область применения | Обработка личных данных | Хранение/доступ на устройствах пользователей |
| Опции правового основания | Шесть законных оснований (согласие, законный интерес и т. д.) | Только согласие или техническая необходимость |
| Применяется к | Контроллерам и процессорам данных | Любая организация с цифровым присутствием в Германии |
| Исполнение | Органы защиты данных | BfDI, BNetzA, государственные органы по защите данных |
| Точка триггера | Деятельность по обработке данных | Активация куки/трекера |
Критическое практическое отличие: в соответствии с GDPR "законный интерес" иногда может оправдать отслеживание без согласия. В соответствии с TDDDG такой вариант не существует для хранения данных на устройстве. Согласие или строгая техническая необходимость — это единственные два действительных основания [4].
Требования TDDDG к куки
Раздел 25 TDDDG является операционным ядром закона. Он требует, чтобы хранение информации на терминальном устройстве пользователя или доступ к уже хранящейся там информации требовали предварительного согласия пользователя, если только действие не является строго необходимым для передачи сообщения или предоставления услуги, которую пользователь явно запросил [4].
Это положение охватывает гораздо больше, чем традиционные HTTP-куки. Оно применяется к:
- Локальному хранилищу и сеансовому хранилищу браузера
- Пикселям отслеживания и веб-маякам
- Скриптам отпечатков устройств
- Flash-куки и аналогичным постоянным идентификаторам
- Любому другому механизму, который считывает или записывает данные на устройстве пользователя
Исключения узкие. Куки сеансовой корзины покупок, токены аутентификации для входа и куки балансировки нагрузки квалифицируются как технически необходимые. Аналитические куки, рекламные трекеры, скрипты A/B-тестирования и плагины социальных сетей не являются таковыми, они требуют предварительного согласия независимо от того, как они оформлены [5].
Какие веб-сайты должны соблюдать TDDDG?
TDDDG применяется ко всем организациям, которые работают в Германии и хранят или получают доступ к информации на устройствах пользователей. Это не ограничивается только немецкими компаниями. Любой бизнес, учреждение или индивидуум с веб-сайтом, доступным для немецких пользователей, и использующий несущественные куки или отслеживание, подпадает под действие закона [1].
Это включает:
- Интернет-магазины и SaaS-платформы
- Издательства и новостные агентства
- Государственные органы и правительственные порталы
- Образовательные учреждения с онлайн-присутствием
- Некоммерческие ассоциации и НПО
- Фрилансеры и самозанятые лица, управляющие бизнес-сайтами
Должны ли американские компании следовать TDDDG? Да. Если веб-сайт американской компании доступен в Германии и использует куки или технологии отслеживания на устройствах немецких посетителей, TDDDG применяется. Область действия закона определяется местоположением пользователя, а не местом регистрации оператора [2]. Это соответствует территориальной логике GDPR в статье 3.
Требования TDDDG к согласию для отслеживания
Действительное согласие в соответствии с TDDDG должно соответствовать пяти кумулятивным критериям: оно должно быть свободно дано, конкретным, информированным, недвусмысленным и отзывным [3]. Каждый критерий имеет реальное операционное значение.
- Свободно дано означает, что пользователь не сталкивается с наказанием за отказ. Блокировка доступа к контенту, если куки не приняты (так называемая "стена куки"), оспаривается юридически и обычно считается несоответствующей.
- Конкретным означает, что согласие получено по каждой цели, аналитика не может быть объединена с рекламой.
- Информированным означает, что пользователь точно знает, на что он соглашается, прежде чем согласие будет зафиксировано.
- Недвусмысленным означает, что требуется активное действие. Предварительно отмеченные чекбоксы, прокрутка или продолжение просмотра не составляют согласия [3].
- Отзывным означает, что отозвать согласие должно быть так же легко, как и дать его.
Настройки на уровне браузера (такие как встроенный сигнал "не отслеживать") не принимаются в качестве действительного согласия в соответствии с TDDDG [2]. Правильно настроенная платформа управления согласием является стандартным механизмом для захвата и документирования соответствующего согласия.
Штрафы и санкции TDDDG за несоответствие
Нарушения TDDDG могут привести к административным штрафам до €300,000 за каждое отдельное нарушение [2]. Поскольку каждое размещение куки без согласия на каждой сессии пользователя может технически считаться отдельным нарушением, совокупная ответственность для сайтов с высоким трафиком значительна.
Помимо штрафов, специфичных для TDDDG, регуляторы могут одновременно преследовать штрафы GDPR за последующую обработку данных, собранных без действительного согласия. Штрафы GDPR могут достигать €20 миллионов или 4% от глобального годового оборота, в зависимости от того, что больше [2].
Что произойдет, если вы нарушите TDDDG? Меры принудительного исполнения могут включать официальные предупреждения, предписания прекратить несоответствующие практики и денежные штрафы. Учитывая, что исполнение распределено между 17 органами (BfDI плюс 16 государственных органов по защите данных), вероятность проверки значительно выше, чем в юрисдикциях с единым регулятором.
Кто освобожден от правил TDDDG?
Исключения в соответствии с TDDDG ограничиваются технически необходимыми куки и операциями хранения. Операция квалифицируется как технически необходимая только в том случае, если она необходима исключительно для передачи сообщения по сети или строго необходима для предоставления услуги, которую пользователь явно запросил [4].
Распространенные случаи использования, освобожденные от требований:
- Сессионные куки, которые поддерживают состояние входа
- Сохранение корзины покупок в течение одной сессии просмотра
- Куки балансировки нагрузки, которые распределяют трафик между серверами
- Безопасные куки, предотвращающие межсайтовую подделку запросов (CSRF)
Аналитика, персонализация, ретаргетинг и функции совместного использования в социальных сетях не освобождаются, даже если оператор считает их операционно важными. Тест заключается в том, может ли служба функционировать для запрашивающего пользователя без этой конкретной операции хранения, а не в том, предпочел бы бизнес иметь данные.
Как сделать ваш сайт соответствующим TDDDG
Соблюдение TDDDG достижимо с помощью структурированного подхода. Следующие шаги отражают текущий нормативный стандарт на 2026 год:
- Аудит всех куки и трекеров на вашем сайте. Классифицируйте каждую как строго необходимую или несущественную.
- Блокируйте все несущественные скрипты от загрузки до тех пор, пока пользователь не даст явное согласие.
- Реализуйте соответствующий баннер согласия, который предлагает опции принятия и отказа с равной визуальной заметностью. Опция отказа не должна быть скрыта за вторичными меню [5].
- Настройте детализированные цели согласия, чтобы пользователи могли отдельно принимать аналитику и отклонять рекламу, например.
- Записывайте записи согласия с отметками времени, идентификаторами пользователей (где это применимо) и конкретной версией согласия, показанной пользователю.
- Обеспечьте легкость отзыва согласия, постоянная ссылка на настройки согласия должна быть доступна с каждой страницы.
- Пересмотрите рамки EinwV (вступает в силу в апреле 2025 года), если вы хотите интегрироваться с признанными централизованными службами управления согласием, которые позволяют пользователям хранить предпочтения на нескольких сайтах [3].
Платформа управления согласием, такая как Biscotti CMP, предназначена для обработки технической реализации этих требований, включая регистрацию согласия, настройку баннера и блокировку скриптов.
Лучшие практики баннера куки TDDDG
Соответствующий баннер куки TDDDG — это не просто уведомление, это функциональный механизм согласия. Регуляторы ясно дали понять, что баннеры, предназначенные для того, чтобы подтолкнуть пользователей к принятию через темные схемы, не соответствуют требованиям.
Лучшие практики включают:
- Равная заметность кнопок: Кнопки "Принять все" и "Отказаться от всего" должны быть визуально эквивалентны по размеру, цвету и расположению.
- Без предварительно выбранных опций: Каждый переключатель согласия должен по умолчанию быть выключен.
- Без блокировки контента: Баннер не должен мешать пользователям читать страницу, хотя он может появляться как наложение.
- Ясные описания целей: Каждая категория куки должна быть описана простым языком, а не юридическим жаргоном.
- Доступный механизм отзыва: Ссылка "Настройки куки" в нижнем колонтитуле, доступная в любое время, удовлетворяет этому требованию.
- Без обманчивого дизайна: Использование эффектов затемнения на кнопке отказа или требование нескольких кликов для отказа, в то время как принятие — один клик, является темной схемой и не соответствует требованиям.
Распространенные ошибки соблюдения TDDDG, которых следует избегать
Даже добросовестные операторы часто совершают ошибки, которые подвергают их риску принудительного исполнения.
Ошибка 1: Рассматривать соблюдение GDPR как достаточное. GDPR и TDDDG решают разные юридические вопросы. Сайт может соответствовать GDPR в своих практиках обработки данных, но при этом нарушать TDDDG, загружая трекеры до того, как согласие будет зафиксировано.
Ошибка 2: Полагаться на сигналы браузера как на согласие. Настройки конфиденциальности на уровне браузера не удовлетворяют стандарту согласия TDDDG [2].
Ошибка 3: Объединение целей согласия. Просьба к пользователям принять "все куки" как единый выбор, без возможности принять аналитику, но отклонить рекламу, нарушает требование конкретности.
Ошибка 4: Не блокировать сторонние скрипты. Многие сторонние инструменты (платформы аналитики, менеджеры тегов, рекламные пиксели) загружаются автоматически при рендеринге страницы. Без технической блокировки они активируются до получения согласия, что является прямым нарушением TDDDG.
Ошибка 5: Не обновлять записи согласия. Если цели, для которых было получено согласие, изменяются, ранее собранное согласие больше не действительно для новых целей. Пользователи должны быть повторно запрошены.
TDDDG против Директивы о конфиденциальности в электронной сфере: ключевые различия
TDDDG является национальной реализацией Германии Директивы о конфиденциальности в электронной сфере (2002/58/EC, с поправками 2009 года), но в нескольких аспектах идет дальше. Директива о конфиденциальности в электронной сфере установила рамки для ЕС, требующие от государств-членов обязательного согласия на куки; TDDDG является внутренним законом, который выполняет и в некоторых областях превышает это обязательство [6].
Ожидаемая Регламентация о конфиденциальности в электронной сфере, которая заменит Директиву во всех государствах-членах ЕС прямым применимым регламентом, находится в законодательном лимбо в течение многих лет. Пока она не будет принята, национальные законы, такие как TDDDG, остаются действующим стандартом в Германии. Операторы не могут предполагать, что соблюдение реализации Директивы о конфиденциальности в электронной сфере другого государства-члена ЕС удовлетворяет немецким требованиям.
Заключение: Практические следующие шаги для соблюдения TDDDG в 2026 году
TDDDG представляет собой сознательный выбор Германии ужесточить стандарты цифровой конфиденциальности по сравнению с минимальными требованиями ЕС. Для владельцев веб-сайтов, разработчиков и маркетинговых команд, работающих на немецком рынке, требования закона конкретны, подлежат исполнению и активно контролируются 17 отдельными органами.
Практические следующие шаги:
- Проведите полный аудит куки с помощью инструмента сканирования, чтобы выявить каждый трекер на вашем сайте.
- Убедитесь, что все несущественные скрипты технически заблокированы до получения согласия, а не просто раскрыты.
- Проверьте ваш баннер согласия на соответствие требованиям равной заметности и отсутствия предварительного выбора.
- Убедитесь, что ваши записи согласия фиксируются с достаточной детализацией, чтобы продемонстрировать соблюдение в случае аудита.
- Оцените, актуальна ли централизованная рамка согласия EinwV для вашей пользовательской базы и технического стека.
- Рассмотрите возможность использования специализированной платформы управления согласием, такой как Biscotti CMP, для автоматизации технических и документальных требований.
Стоимость несоответствия, до €300,000 за нарушение в соответствии с TDDDG, с дополнительной ответственностью по GDPR, значительно превышает инвестиции, необходимые для реализации соответствующего рабочего процесса согласия. Для любой организации с значительным немецким веб-трафиком соблюдение не является опциональным; это базовое операционное требование.
Часто задаваемые вопросы
Что означает TDDDG? TDDDG означает Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, что переводится как Закон о защите данных в цифровых услугах связи. Это национальный закон Германии, регулирующий согласие на куки и доступ к хранилищу устройств.
Когда TTDSG был переименован в TDDDG? Переименование вступило в силу 14 мая 2024 года. Изменение согласовало терминологию закона с Законом о цифровых услугах ЕС. Существенные правила согласия на куки в Разделе 25 не были изменены [1].
Применяется ли TDDDG к малым предприятиям? Да. TDDDG применяется ко всем организациям с онлайн-присутствием в Германии, которые хранят или получают доступ к информации на устройствах пользователей, включая малые предприятия, фрилансеров и ассоциации [1].
Можно ли использовать законный интерес вместо согласия в соответствии с TDDDG? Нет. В отличие от GDPR, TDDDG не допускает законный интерес в качестве правового основания для хранения или доступа к устройству. Только согласие или техническая необходимость являются действительными основаниями [4].
Что такое EinwV и как она связана с TDDDG? Einwilligungsverwaltungsverordnung (EinwV), вступающая в силу в апреле 2025 года, установила рамки для признанных централизованных служб управления согласием. Она позволяет пользователям хранить предпочтения куки на нескольких веб-сайтах, уменьшая количество повторяющихся запросов на согласие [3].
Освобождены ли аналитические куки от требований согласия TDDDG? Нет. Аналитические куки не являются технически необходимыми и требуют предварительного согласия пользователя в соответствии с Разделом 25 TDDDG, независимо от того, обрабатывают ли они личные данные [5].
Что делает баннер куки несоответствующим в соответствии с TDDDG? Распространенные индикаторы несоответствия включают: опцию отказа, которая труднее найти, чем опция принятия, предварительно выбранные переключатели согласия, баннеры, которые загружают скрипты отслеживания до того, как согласие будет зафиксировано, и отсутствие контроля на уровне целей [2].
Является ли TDDDG только для немецких веб-сайтов? Нет. TDDDG применяется на основе местоположения пользователя, а не на основе места, где зарегистрирован оператор веб-сайта. Любой веб-сайт, доступный для пользователей в Германии и использующий несущественные куки, должен соблюдать [2].
Какой максимальный штраф за нарушение TDDDG? Сам TDDDG предусматривает штрафы до €300,000 за нарушение. Отдельно, нарушения GDPR, вызванные сбором данных без согласия, могут привести к штрафам до €20 миллионов или 4% от глобального годового оборота [2].
Как TDDDG соотносится с Директивой о конфиденциальности в электронной сфере? TDDDG является национальной реализацией Германии Директивы о конфиденциальности в электронной сфере ЕС. Он выполняет и в некоторых аспектах превышает требования Директивы, и остается действующим стандартом в Германии до тех пор, пока предложенная Регламентация о конфиденциальности не будет принята на уровне ЕС [6].
Ссылки
[1] Tdddg - https://skill-sprinters.de/foerderungen/glossar/tdddg/?utm_source=openai
[2] De Tdddg - https://www.consentstack.io/regulations/de-tdddg?utm_source=openai
[3] Germany Gdpr Compliance Bdsg Dpo Rules And Penalties - https://legalclarity.org/germany-gdpr-compliance-bdsg-dpo-rules-and-penalties/?utm_source=openai
[4] Cookies Einwilligung Tdddg - https://konfora.de/ratgeber/cookies-einwilligung-tdddg?utm_source=openai
[5] Cookie Banner Pflicht - https://cookie-consent-tools.com/cookie-banner-pflicht.html?utm_source=openai
[6] Ttdsg - https://www.preeco.de/en/glossary/data-protection/ttdsg?utm_source=openai