Швидка відповідь: TDDDG (Закон про захист даних у цифрових послугах телекомунікацій) — це національний закон Німеччини, що регулює, як вебсайти та цифрові послуги повинні обробляти згоду на файли cookie та доступ до зберігання пристроїв. Він перевищує вимоги GDPR, вимагаючи попередньої, явної згоди перед активацією будь-якого неістотного файлу cookie або технології відстеження, і застосовується до кожної організації, що працює в цифровому середовищі в Німеччині, незалежно від місця її реєстрації.
Основні висновки
- TDDDG було перейменовано з TTDSG 14 травня 2024 року, щоб узгодити з Актом про цифрові послуги ЄС, хоча його основні положення залишилися незмінними [1]
- Розділ 25 TDDDG вимагає попередньої згоди перед зберіганням або доступом до будь-якої інформації на пристрої користувача, з вузькими винятками для технічно необхідних файлів cookie [4]
- Дійсна згода повинна бути надана вільно, бути специфічною, інформованою, однозначною та відкличною, попередньо відмічені поля та пасивне переглядання не підходять [3]
- Недотримання може призвести до штрафів TDDDG до €300,000 за порушення, плюс штрафи GDPR до €20 мільйонів або 4% від світового річного обороту [2]
- Закон застосовується до бізнесу, державних органів, навчальних закладів, асоціацій та самозайнятих осіб з онлайн-присутністю в Німеччині [1]
- Американські компанії та підприємства, що не входять до ЄС, які націлені на німецьких користувачів, повинні дотримуватись TDDDG
- Постанова про управління згодою (EinwV), що набирає чинності в квітні 2025 року, запровадила централізовані служби управління згодою для зменшення втоми користувачів від згоди [3]
- Банери файлів cookie повинні пропонувати справжню опцію "відхилити", яка є такою ж помітною, як і опція "прийняти" [5]
Що таке TDDDG? Національний закон Німеччини про цифрову конфіденційність
TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, або Закон про захист даних у цифрових послугах телекомунікацій) є основним законом Німеччини, що регулює зберігання та доступ до інформації на пристроях кінцевих користувачів. Він доповнює GDPR, вирішуючи специфічну прогалину, яку GDPR не охоплює безпосередньо: момент, коли файл cookie або скрипт відстеження вперше взаємодіє з браузером користувача.
Спочатку ухвалений як TTDSG у грудні 2021 року, закон було перейменовано на TDDDG 14 травня 2024 року, щоб відобразити термінологію, введену Актом про цифрові послуги ЄС. Перейменування було в основному номінальним; суттєві правила, особливо ті, що містяться в Розділі 25, що регулюють згоду на файли cookie, залишилися незмінними [1].
Закон виконується багаторівневою структурою органів: Федеральним комісаром з питань захисту даних (BfDI), Федеральною мережевою агенцією (BNetzA) та 16 державними органами захисту даних, координованими через Конференцію з питань захисту даних (DSK) [2]. Ця розподілена модель виконання означає, що немає єдиного вузького місця, порушення можуть переслідуватися з кількох напрямків одночасно.
Як TDDDG відрізняється від GDPR?
TDDDG та GDPR є доповнюючими, а не конкурентними. GDPR регулює, що відбувається з персональними даними після їх збору та обробки. TDDDG регулює більш ранній момент: чи дозволяється вебсайту взагалі зберігати або читати дані на пристрої користувача спочатку [6].
Ключові відмінності:
| Вимірювання | GDPR | TDDDG |
|---|---|---|
| Обсяг | Обробка персональних даних | Зберігання/доступ на пристроях користувачів |
| Варіанти правової основи | Шість законних підстав (згода, законний інтерес тощо) | Лише згода або технічна необхідність |
| Застосовується до | Контролерів даних та обробників | Будь-якої організації з цифровою присутністю в Німеччині |
| Виконання | Органи захисту даних | BfDI, BNetzA, державні органи захисту даних |
| Точка спрацьовування | Дії з обробки даних | Активація файлів cookie/трекерів |
Критична практична різниця: відповідно до GDPR, "законний інтерес" іноді може виправдати відстеження без згоди. Відповідно до TDDDG, ця опція не існує для зберігання на пристрої. Лише згода або сувора технічна необхідність є двома дійсними підставами [4].
Вимоги TDDDG до файлів cookie
Розділ 25 TDDDG є операційним ядром закону. Він вимагає, щоб зберігання інформації на термінальному пристрої користувача або доступ до вже збереженої інформації вимагали попередньої згоди користувача, якщо дія не є строго необхідною для передачі комунікації або для надання послуги, яку користувач явно запитував [4].
Це положення охоплює набагато більше, ніж традиційні файли cookie HTTP. Воно застосовується до:
- Локального зберігання браузера та сесійного зберігання
- Пікселів відстеження та веб-маяків
- Скриптів відбитків пристроїв
- Flash-файлів cookie та подібних постійних ідентифікаторів
- Будь-якого іншого механізму, що читає з або записує на пристрій користувача
Винятки є вузькими. Файли cookie сесії кошика для покупок, токени аутентифікації входу та файли cookie для балансування навантаження вважаються технічно необхідними. Аналітичні файли cookie, рекламні трекери, скрипти A/B тестування та плагіни соціальних медіа не є такими, вони вимагають попередньої згоди незалежно від того, як вони оформлені [5].
Які вебсайти повинні дотримуватись TDDDG?
TDDDG застосовується до всіх організацій, які працюють у Німеччині та зберігають або отримують доступ до інформації на пристроях користувачів. Це не обмежується німецькими компаніями. Будь-який бізнес, установа або особа з вебсайтом, доступним для німецьких користувачів, і яка використовує неістотні файли cookie або трекінг, підпадає під дію [1].
Це включає:
- Інтернет-магазини та SaaS платформи
- Видавці медіа та новинні агенції
- Державні органи та урядові портали
- Навчальні заклади з онлайн-присутністю
- Некомерційні асоціації та НУО
- Фрілансери та самозайняті особи, які ведуть бізнес-вебсайти
Чи повинні американські компанії дотримуватись TDDDG? Так. Якщо вебсайт компанії, що базується в США, доступний у Німеччині та використовує файли cookie або технології відстеження на пристроях німецьких відвідувачів, TDDDG застосовується. Дія закону визначається місцем розташування користувача, а не місцем реєстрації оператора [2]. Це відображає територіальну логіку GDPR відповідно до статті 3.
Вимоги TDDDG до згоди на відстеження
Дійсна згода відповідно до TDDDG повинна відповідати п'яти кумулятивним критеріям: вона повинна бути надана вільно, бути специфічною, інформованою, однозначною та відкличною [3]. Кожен критерій має реальну операційну вагу.
- Вільно надана означає, що користувач не стикається з покаранням за відмову. Блокування доступу до контенту, якщо файли cookie не прийняті (так званий "cookie wall"), є юридично оспорюваним і загалом вважається таким, що не відповідає вимогам.
- Специфічна означає, що згода отримується за кожною метою, аналітика не може бути об'єднана з рекламою.
- Інформована означає, що користувач точно знає, на що він погоджується, перш ніж згода буде зафіксована.
- Однозначна означає, що потрібна позитивна дія. Попередньо відмічені поля, прокручування або продовження перегляду не є згодою [3].
- Відклична означає, що відкликання згоди має бути таким же простим, як і її надання.
Налаштування на рівні браузера (такі як вбудований сигнал "не відстежувати") не приймаються як дійсна згода відповідно до TDDDG [2]. Правильно налаштована платформа управління згодою є стандартним механізмом для фіксації та документування відповідної згоди.
Штрафи та покарання TDDDG за недотримання
Порушення TDDDG можуть призвести до адміністративних штрафів до €300,000 за окреме порушення [2]. Оскільки кожне розміщення файлів cookie без згоди на кожній сесії користувача може технічно вважатися окремим порушенням, загальна відповідальність для вебсайтів з високим трафіком є значною.
Крім штрафів, специфічних для TDDDG, регулятори можуть одночасно переслідувати штрафи GDPR за подальшу обробку даних, зібраних без дійсної згоди. Штрафи GDPR можуть досягати €20 мільйонів або 4% від світового річного обороту, залежно від того, що більше [2].
Що станеться, якщо ви порушите TDDDG? Заходи примусу можуть включати офіційні попередження, накази про припинення недотримання вимог та грошові штрафи. Оскільки виконання розподілене між 17 органами (BfDI плюс 16 державних органів захисту даних), ймовірність перевірки є значно вищою, ніж у юрисдикціях з єдиним регулятором.
Хто звільнений від правил TDDDG?
Винятки відповідно до TDDDG обмежуються технічно необхідними файлами cookie та операціями зберігання. Операція кваліфікується як технічно необхідна лише в тому випадку, якщо вона є необхідною виключно для передачі комунікації через мережу або є строго необхідною для надання послуги, яку користувач явно запитував [4].
Звичайні випадки використання, що підпадають під винятки:
- Сесійні файли cookie, які підтримують стан входу
- Збереження кошика під час однієї сесії перегляду
- Файли cookie для балансування навантаження, які маршрутизують трафік між серверами
- Файли cookie безпеки, які запобігають підробці запитів між сайтами (CSRF)
Аналітика, персоналізація, повторне націлювання та функціональність соціального обміну не підпадають під винятки, навіть якщо оператор вважає їх операційно важливими. Тест полягає в тому, чи може служба функціонувати для запитуючого користувача без цієї конкретної операції зберігання, а не в тому, чи хотіла б компанія мати ці дані.
Як зробити свій сайт відповідним TDDDG
Відповідність TDDDG досяжна за допомогою структурованого підходу. Наступні кроки відображають поточний регуляторний стандарт станом на 2026 рік:
- Аудит усіх файлів cookie та трекерів на вашому сайті. Класифікуйте кожен як строго необхідний або неістотний.
- Блокування всіх неістотних скриптів до того, як користувач надасть явну згоду.
- Впровадження відповідного банера згоди, який пропонує опції прийняття та відхилення з рівною візуальною помітністю. Опція відхилення не повинна бути прихована за допоміжними меню [5].
- Налаштування детальних цілей згоди, щоб користувачі могли приймати аналітику окремо від реклами, наприклад.
- Фіксація записів згоди з часовими мітками, ідентифікаторами користувачів (де це доречно) та конкретною версією згоди, що була показана.
- Забезпечення легкого відкликання згоди, постійне посилання на налаштування згоди повинно бути доступним з кожної сторінки.
- Перегляд рамок EinwV (яка набирає чинності в квітні 2025 року), якщо ви хочете інтегруватися з визнаними централізованими службами управління згодою, які дозволяють користувачам зберігати переваги на кількох сайтах [3].
Платформа управління згодою, така як Biscotti CMP, розроблена для обробки технічного впровадження цих вимог, включаючи фіксацію згоди, налаштування банера та блокування скриптів.
Найкращі практики банера файлів cookie TDDDG
Відповідний банер файлів cookie TDDDG не є просто повідомленням, це функціональний механізм згоди. Регулятори чітко заявили, що банери, розроблені для підштовхування користувачів до прийняття через темні патерни, є такими, що не відповідають вимогам.
Найкращі практики включають:
- Рівна помітність кнопок: Кнопки "Прийняти всі" та "Відхилити всі" повинні бути візуально еквівалентними за розміром, кольором та розташуванням.
- Без попередньо вибраних опцій: Кожен перемикач згоди повинен за замовчуванням бути вимкненим.
- Без перешкод для контенту: Банер не повинен заважати користувачам читати сторінку, хоча він може з'являтися як накладення.
- Чіткі описи цілей: Кожна категорія файлів cookie повинна бути описана зрозумілою мовою, а не юридичним жаргоном.
- Доступний механізм відкликання: Посилання "Налаштування файлів cookie" в нижньому колонтитулі, доступне в будь-який час, задовольняє цю вимогу.
- Без оманливого дизайну: Використання ефектів затемнення на кнопці відхилення або вимагання кількох кліків для відмови, тоді як прийняття вимагає одного кліка, є темним патерном і є таким, що не відповідає вимогам.
Загальні помилки відповідності TDDDG, яких слід уникати
Навіть добре намірені оператори часто роблять помилки, які піддають їх ризику виконання.
Помилка 1: Вважати, що відповідність GDPR є достатньою. GDPR та TDDDG вирішують різні юридичні питання. Сайт може бути відповідним GDPR у своїх практиках обробки даних, але все ще порушувати TDDDG, завантажуючи трекери до того, як згода буде зафіксована.
Помилка 2: Покладатися на сигнали браузера як на згоду. Налаштування конфіденційності на рівні браузера не відповідають стандарту згоди TDDDG [2].
Помилка 3: Об'єднувати цілі згоди. Запитувати користувачів прийняти "всі файли cookie" як єдиний вибір, без можливості прийняти аналітику, але відхилити рекламу, порушує вимогу специфічності.
Помилка 4: Не блокувати скрипти третіх сторін. Багато інструментів третіх сторін (аналітичні платформи, менеджери тегів, рекламні пікселі) завантажуються автоматично під час рендерингу сторінки. Без технічного блокування вони активуються до отримання згоди, що є прямим порушенням TDDDG.
Помилка 5: Не оновлювати записи згоди. Якщо цілі, для яких була отримана згода, змінюються, попередньо зібрана згода більше не є дійсною для нових цілей. Користувачі повинні бути повторно запитані.
TDDDG проти Директиви ePrivacy: Ключові відмінності
TDDDG є національною реалізацією Німеччини Директиви ePrivacy (2002/58/EC, з поправками 2009 року), але вона йде далі в кількох аспектах. Директива ePrivacy встановила рамки на рівні ЄС, які вимагають від держав-членів зобов'язати згоду на файли cookie; TDDDG Німеччини є внутрішнім законом, який виконує, а в деяких аспектах перевищує це зобов'язання [6].
Очікувана Регуляція ePrivacy, яка замінить Директиву в усіх країнах-членах ЄС безпосередньо застосовуваним регулюванням, вже кілька років перебуває в законодавчому заторі. Поки вона не буде прийнята, національні закони, такі як TDDDG, залишаються діючим стандартом у Німеччині. Оператори не можуть припускати, що відповідність реалізації ePrivacy в іншій країні-члені ЄС задовольняє німецькі вимоги.
Висновок: Практичні наступні кроки для відповідності TDDDG у 2026 році
TDDDG представляє собою свідомий вибір Німеччини посилити стандарти цифрової конфіденційності більш суворо, ніж мінімальні вимоги ЄС. Для власників вебсайтів, розробників та маркетингових команд, які працюють на німецькому ринку, вимоги закону є специфічними, підлягають виконанню та активно контролюються 17 окремими органами.
Дії, які потрібно вжити:
- Проведіть повний аудит файлів cookie за допомогою інструменту сканування, щоб виявити кожен трекер на вашому сайті.
- Переконайтеся, що всі неістотні скрипти технічно заблоковані до отримання згоди, а не просто розкриті.
- Перегляньте свій банер згоди відповідно до вимог рівної помітності та відсутності попереднього вибору.
- Переконайтеся, що ваші записи згоди зафіксовані з достатньою деталізацією, щоб продемонструвати відповідність у разі аудиту.
- Оцініть, чи є рамка централізованого управління згодою EinwV актуальною для вашої бази користувачів та технічного стеку.
- Розгляньте можливість використання спеціалізованої платформи управління згодою, такої як Biscotti CMP, для автоматизації технічних та документальних вимог.
Вартість недотримання, до €300,000 за порушення відповідно до TDDDG, з додатковими ризиками GDPR, значно перевищує інвестиції, необхідні для впровадження відповідного робочого процесу згоди. Для будь-якої організації з суттєвим німецьким веб-трафіком відповідність не є необов'язковою; це базова операційна вимога.
Питання та відповіді
Що означає TDDDG? TDDDG означає Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, що перекладається як Закон про захист даних у цифрових послугах телекомунікацій. Це національний закон Німеччини, що регулює згоду на файли cookie та доступ до зберігання пристроїв.
Коли TTDSG було перейменовано на TDDDG? Перейменування набрало чинності 14 травня 2024 року. Зміна узгодила термінологію закону з Актом про цифрові послуги ЄС. Суттєві правила згоди на файли cookie в Розділі 25 не були змінені [1].
Чи застосовується TDDDG до малих підприємств? Так. TDDDG застосовується до всіх організацій з онлайн-присутністю в Німеччині, які зберігають або отримують доступ до інформації на пристроях користувачів, включаючи малі підприємства, фрілансерів та асоціації [1].
Чи можна використовувати законний інтерес замість згоди відповідно до TDDDG? Ні. На відміну від GDPR, TDDDG не дозволяє законний інтерес як правову основу для зберігання або доступу до пристроїв. Лише згода або технічна необхідність є дійсними підставами [4].
Що таке EinwV і як вона пов'язана з TDDDG? Einwilligungsverwaltungsverordnung (EinwV), що набирає чинності в квітні 2025 року, встановила рамки для визнаних централізованих служб управління згодою. Вона дозволяє користувачам зберігати переваги файлів cookie на кількох вебсайтах, зменшуючи повторні запити на згоду [3].
Чи є аналітичні файли cookie звільненими від вимог згоди TDDDG? Ні. Аналітичні файли cookie не є технічно необхідними і вимагають попередньої згоди користувача відповідно до Розділу 25 TDDDG, незалежно від того, чи обробляють вони персональні дані [5].
Що робить банер файлів cookie несумісним відповідно до TDDDG? Загальні ознаки несумісності включають: опцію відхилення, яка важче знаходиться, ніж опція прийняття, попередньо вибрані перемикачі згоди, банери, які завантажують трекінгові скрипти до того, як згода буде зафіксована, та відсутність контролю на рівні цілей [2].
Чи є TDDDG лише для німецьких вебсайтів? Ні. TDDDG застосовується на основі місця розташування користувача, а не місця, де базується оператор вебсайту. Будь-який вебсайт, доступний для користувачів у Німеччині, який використовує неістотні файли cookie, повинен дотримуватись [2].
Який максимальний штраф за порушення TDDDG? TDDDG передбачає штрафи до €300,000 за порушення. Окремо, порушення GDPR, викликані збором даних без згоди, можуть призвести до штрафів до €20 мільйонів або 4% від світового річного обороту, залежно від того, що більше [2].
Як TDDDG пов'язаний з Директивою ePrivacy? TDDDG є національною реалізацією Німеччини Директиви ePrivacy. Він виконує та в деяких аспектах перевищує вимоги Директиви, і залишається діючим стандартом у Німеччині, поки не буде прийнята запропонована Регуляція ePrivacy на рівні ЄС [6].
Посилання
[1] Tdddg - https://skill-sprinters.de/foerderungen/glossar/tdddg/?utm_source=openai
[2] De Tdddg - https://www.consentstack.io/regulations/de-tdddg?utm_source=openai
[3] Germany Gdpr Compliance Bdsg Dpo Rules And Penalties - https://legalclarity.org/germany-gdpr-compliance-bdsg-dpo-rules-and-penalties/?utm_source=openai
[4] Cookies Einwilligung Tdddg - https://konfora.de/ratgeber/cookies-einwilligung-tdddg?utm_source=openai
[5] Cookie Banner Pflicht - https://cookie-consent-tools.com/cookie-banner-pflicht.html?utm_source=openai
[6] Ttdsg - https://www.preeco.de/en/glossary/data-protection/ttdsg?utm_source=openai