Как защищают пользовательские данные
Ситуация с конфиденциальностью становится лучше – и вот самые значимые события, которые повлияли на рынок защиты персональных данных, включая небезобидные куки.
Во-первых, появились блокировщики рекламы в настольных и мобильных браузерах. Они блокируют не только показ рекламы, но и часть сторонних кук (third party cookies), которые используются при передаче данных третьим лицам. Deloitte провели исследование [105] c говорящим названием «Уже почти половина россиян стали блокировать интернет-рекламу», согласно которому рекламу блокируют 44 % процента российских интернет-пользователей. В мобильных браузерах блокировать ее сложнее, поэтому распространенность блокировщиков там меньше. Я хочу только напомнить, что большинство контентных ресурсов живут за счет рекламы, и использование блокировщиков бьет по их доходам. На самом деле не так много сайтов использовали агрессивную рекламу в виде всплывающих окон, но эти агрессивные сайты повлияли на всю индустрию, потому что такая практика привела к массовой установке блокировщиков. Поисковые системы стали из-за этого терять доходы – и начали пессимизировать выдачу (опускать вниз списка) сайты с агрессивной рекламой, чтобы она меньше раздражала пользователей и те не ставили бы блокировщики.
Следующим шагом было введение в браузеры блокировки сторонних кук по умолчанию. В браузере от Apple уже сразу включен пункт «Prevent cross-site tracking». Бюро интерактивной рекламы – международная организация, которая разрабатывает стандарты в рекламной сфере и обеспечивает легальную поддержку индустрии онлайн-рекламы, – провело исследование «IAB Europe Guide to the Post Third-Party Cookie Era» [106], согласно которому 30 % показов рекламы происходят через браузеры Safari и Firefox, в которых сторонние куки уже блокируются по умолчанию. Еще в 65 % показов будут заблокированы с Google Chrome, когда Google решится это сделать. В январе 2020 года Google объявил, что в течение двух лет прекратит поддержку сторонних кук. Но компания тянет с решением, потому что, в отличие от Apple (Safari) и Mozilla (Firefox), она зарабатывает деньги на рекламе, в том числе RTB, которой просто необходимы сторонние куки для обогащения информацией.
Это не касается рекламы в приложениях – Mobile Advertising ID по-прежнему будет работать. Но в любом случае есть возможность сбросить эти мобильные куки в начальное состояние через настройки системы. Еще я заметил, что с каждым обновлением мобильной операционной системы IOS приложениям дается все меньше и меньше прав на доступ по умолчанию к данным клиента. Например, сейчас можно изменить доступ к геоинформации (Никогда, Спросить в следующий раз, При использовании приложения) или отдельным фотографиям.
Хочу также обратить внимание на один технический нюанс – в современных системах полностью удалить данные очень сложно. Дело в том, что кроме основных рабочих баз данных, где ваши данные можно удалить по вашему ID, есть еще более низкоуровневые системы, например хранилище Hadoop и системы резервного копирования. Они оптимизированы для сохранения данных, но никак не для редактирования. Это делает удаление данных конкретного пользователя настолько сложным, что никто этим заниматься не будет. А если ваши данные все-таки удалили по вашему требованию, у компании остается возможность их восстановить, если она вдруг этого захочет.
Но самые интересные вещи произошли в сфере законодательства. Российские сайты должны публиковать информацию согласно Федеральному закону от 27.07.2006. № 152-ФЗ «О персональных данных». Сайты ЕС подчиняются GDPR (General Data Protection Regulation), который вступил в силу 25 мая 2018 года. Задачей закона является регулирование процесса обработки персональных данных и ее прозрачность для клиента. В самом законе есть пункт о том, что документ о защите данных на сайте компании должен быть написан в лаконичной, прозрачной и понятной форме, использующей ясный и понятный язык. На основе европейского закона были приняты аналогичные правила в других странах – например, закон CCPA (The California Consumer Privacy Act), который защищал резидентов Калифорнии. В статье «GDPR vs ФЗ-152» [107] сделано сравнение законов. Для меня было открытием, что куки и ip-адреса, согласно GDPR, являются персональными данными – российский закон так не считает. Я убежден, что это огромное ключевое различие в трактовке персональных данных, и мне после всех этих историй с торговлей данными подход GDPR кажется более правильным.
Сравним эффективность законов о защите персональных данных с точки зрения пользователя. Я открыл сайты «Декатлона» в британской юрисдикции (decathlon.co.uk) и российской (decathlon.ru). Российский сайт имеет ссылку «Защита данных» в подвале. По ссылке открывается скучный текст о том, как они используют данные, – без лишних подробностей. Внизу текста указан обычный офлайновый почтовый адрес, куда клиент может отправить письмо, если хочет, чтобы его персональные данные были удалены. Британская версия, которая пока подчиняется GDPR (Британия выходит из ЕС), выглядит намного круче. Во-первых, сразу при первом открытии сайта появляется перекрывающее страницу окно, где есть возможность согласиться с правилами обработки данных или пойти по ссылке и выставить галочками точно, какому сервису вы даете разрешение, а какому нет. Выглядит все, как в настройках безопасности приложений в смартфонах, а сами тексты намного понятнее, чем для ФЗ-152. Кстати, версия сайта в Нидерландах содержит кнопку отключения сервиса Retail Rocket – они являются нашими клиентами, и у них все сделано по закону GDPR. А вот на сайтах Amazon и Target тексты соглашений ничем не лучше тех, которые я видел на российских сайтах, – об этом тоже писали исследователи Privacy Project [101]. Также я нажал ссылку на сайте Target.com, чтобы запретить продажу своих данных согласно Калифорнийскому закону CCPA. Сайт предложил заполнить большую форму с указанием, что запрет сработает, только если клиент является резидентом Калифорнии. Авторы статьи «This Article Is Spying on You» [108] провели эксперимент с публикацией на сайте The Times, посвященной теме влияния абортов на фертильность. Если зайти на сайт из США, то данные отправятся 50 сервисам, если с IP-адресов ЕС – то всего шестнадцати. Число сторонних кук на версии сайта для США равно 100, а для ЕС – 28. Эффект GDPR налицо – данные стали намного меньше уходить налево. Также исследователи эффекта закона GDPR [93] произвели сравнение числа сторонних кук до введения закона и после и обнаружили, что их число упало в среднем на 22 %.
Я считаю, что преимущество GDPR относительно остальных законов очевидно, и надеюсь, что российские законы также подтянутся до его уровня.
Глава 12
Задачи и стартапы
В этой главе я расскажу о проблемах, которые стоят перед современными компаниями в e-commerce, а также о способах их решения. Думаю, вам также пригодится мой опыт создания Retail Rocket в качестве одного из учредителей.
Веб-аналитика в рекламе
Веб-аналитика – это предметная область, которая изучает поведение людей в интернете. Веб-аналитику я делю на две части: оценка эффективности рекламы и анализ взаимодействия пользователей с сайтом.
