Две трети гемблинг-сайтов в UK собирают данные без согласия: 12 шагов, чтобы аффилиат не получил штраф

Исследователи из Университета Суонси проанализировали все сайты онлайн-казино и букмекерских контор, лицензированные Комиссией по азартным играм (всего 624 сайта). На двух третях этих сайтов аналитические и рекламные пиксели фиксировали уникальный идентификатор посетителя ещё до того, как тот успевал нажать хотя бы одну кнопку на баннере с уведомлением о куки-файлах. Аудит был сосредоточен на операторах, однако те же проблемы сохраняются и на сайтах аффилиатов. Начиная с февраля 2026 года, такие нарушения могут повлечь за собой штрафы в размере до 17,5 млн фунтов стерлингов. Ниже приведены 12 пунктов, которые аффилиаты могут проверить на своих сайтах в течение одного рабочего дня.

Главное

• 67% веб-сайтов, имеющих лицензию UKGC (418 из 624), передавали персональные идентификаторы аналитическим и маркетинговым сервисам до получения согласия. Только 14% прошли аудит на соответствие требованиям GDPR (Университет Суонси, аудит проводился в апреле–июне 2025 года, результаты опубликованы в 2026 году);
• С 5 февраля 2026 года ICO может налагать штрафы за любое нарушение правил использования файлов куки, а не только за серьезные нарушения. Максимальный размер штрафа увеличен с 500 000 фунтов стерлингов до 17,5 млн фунтов стерлингов или 4% от глобальной выручки;
• Новое исключение для аналитики аффилитам почти не помогает: в ICO прямо указаны рекламные программы и оценка эффективности рекламы в числе целей, для которых требуется согласие.

Данный материал не является юридической консультацией. В нём изложены общедоступные требования ICO и Комиссии по азартным играм по состоянию на октябрь 2026 года. По вопросам, касающимся конкретного веб-сайта, рекомендуется проконсультироваться с юристом, специализирующимся на вопросах защиты данных.

Что они обнаружили в Суонси

Аспирант Джек Макгарригл и его научные руководители из Центра GREAT Университета Суонси взяли открытый реестр лицензиатов Комиссии по азартным играм (934 записи). Из реестра были исключены лотереи, сайты бинго, неактивные сайты и дубликаты, в результате чего осталось 624 сайта казино и букмекерских контор. С апреля по июнь 2025 года каждый сайт открывался в режиме инкогнито браузера Chrome с использованием IP-адреса из Великобритании. Прежде чем нажать на какой-либо баннер, исследователи проверяли вкладку «Network» в DevTools, чтобы увидеть, отправляется ли запрос, содержащий постоянный идентификатор пользователя, на сторонний сервис, такой как Google Analytics, Meta Pixel или рекламные сети.

Таблица 1. Результаты проверки 624 веб-сайтов, занимающихся азартными играми и имеющих лицензию Великобритании, апрель–июнь 2025 года. Источник: McGarrigle и др., Computers in Human Behavior Reports, 2026 [1].

До получения согласия на эндпоинты Google Analytics 4 было отправлено множество запросов. На баннерах «Принять / Настройки» для отказа требовалось в среднем 3,38 клика, а на некоторых сайтах — до 15. Во втором эксперименте 615 британским игрокам был показан макет веб-сайта с одним из шести баннеров: наиболее распространённый в отрасли дизайн увеличивал вероятность получения согласия в 3–4 раза по сравнению с нейтральным баннером с возможностью отказа одним кликом [1, 2].

«Мы проанализировали все лицензированные сайты азартных игр в Великобритании, и картина, которая сложилась, оказалась неутешительной», – сказал Джек Макгарригл, ведущий автор исследования и аспирант Университета Суонси [2].

Здесь есть два нюанса. Во-первых, сами авторы отмечают, что речь идет об оценке, основанной на результатах исследования, а не о юридическом заключении. Во-вторых, проверка была проведена до 5 февраля 2026 года, когда вступили в силу новые исключения для аналитики. Но такая ситуация не нова. В феврале 2025 года издание Observer проверило 150 сайтов азартных игр, лицензированных в Великобритании: 52 из них передавали данные в Meta через Meta Pixel до получения согласия [3].

Почему это касается аффилиатов

Во-первых, орган регулирования отрасли. Согласно пункту 1.1.2 Кодекса лицензирования UKGC (LCCP), оператор несет ответственность за действия третьих лиц, с которыми он сотрудничает. Договор должен обязывать подрядчика соблюдать те же правила и предоставлять оператору право незамедлительно расторгнуть договор, если аффилиат нарушает эти правила или действует вразрез с целями лицензирования [4]. После публикации исследования Суонси операторы будут передавать эти требования по соблюдению норм вниз по цепочке.

Во-вторых, орган по регулированию данных. В окончательной версии руководства ICO рекламные цели прямо исключены из всех исключений. Согласие требуется для любой рекламной деятельности, включая ограничение частоты показа, рекламу, измерение эффективности рекламы и защиту от мошенничества с кликами [5]. Правила PECR применяются не только к файлам cookie, но и к пикселям, локальному хранилищу, скриптам, идентификации по отпечаткам и link decoration – передаче данных через параметры URL [6]. Последнее относится к вашим отслеживающим ссылкам с идентификаторами кликов.

В-третьих, существует прецедент. В сентябре 2024 года ICO вынесло выговор компании Bonne Terre Limited (Sky Betting and Gaming): с 10 января по 3 марта 2023 года веб-сайт передавал данные компаниям, занимающимся рекламными технологиями, до того, как посетители имели возможность принять или отклонить файлы куки [7]. В то время это был выговор, а не штраф. Сегодня в распоряжении ICO есть и другие инструменты.

Что изменилось в 2025–2026 годах

Таблица 2. Источники: ICO [5–8], legislation.gov.uk [9], Mishcon de Reya [10].

«Работа еще не завершена: наши расследования и меры будут продолжаться в интересах создания более справедливой и прозрачной экосистемы онлайн-отслеживания», – заявил 29 апреля 2026 года Уильям Малкольм, исполнительный директор ICO по вопросам регуляторных рисков и инноваций [8].

Контрольный список: 12 пунктов для проверки за один день

1. Повторите тест «Суонси» на своём сайте. Откройте главную и 2–3 ключевые страницы с обзорами в режиме инкогнито, используя IP-адрес из Великобритании, перейдите в DevTools → «Network» и ничего не нажимайте. Обратите внимание на запросы к доменам google-analytics.com, facebook.com/tr, DoubleClick, TikTok, Hotjar и доменам аффилиатных сетей. Если такой запрос отправляется до нажатия кнопки, это может быть нарушением.

2. Проведите аудит файлов cookie. DevTools → Приложение: файлы cookie, локальное хранилище, хранилище сеансов. Запишите владельца, назначение и срок действия каждой записи. Сравните свой список с политикой использования файлов cookie и удалите или задокументируйте всё, что не соответствует вашей политике.

3. «Отклонить всё» – на первом экране. Согласно требованиям ICO, отказаться должно быть так же легко, как согласиться [11]. В ходе аудита, проведённого в Суонси, только 29% баннеров соответствовали этому требованию. Используйте кнопки одного размера и контраста, без «Настроек» вместо отказа.

4. Никаких предвыбранных галочек и «Продолжая пользоваться сайтом…». Молчание и бездействие не означают согласия; рекламные категории по умолчанию отключены; согласие не скрывается в условиях предоставления услуг [11].

5. Перенастройте GTM. Установите настройки по умолчанию из CMP для триггера «Consent Initialization» – он срабатывает раньше всех остальных тегов. Для тегов, не относящихся к Google, включите параметр «Require additional consent» и проверьте Consent Overview в настройках контейнера [12].

6. Настройте режим согласия v2 явно. Это относится ко всем четырём параметрам: ad_storage, analytics_storage, ad_user_data, ad_personalization [13]. Не используйте параметры по умолчанию: Google Ads допускает режим «согласие до тех пор, пока не будет выбрано иное» [14]. Выберите режим: «Базовый» предотвращает загрузку тегов до тех пор, пока пользователь не примет решение, а «Расширенный» позволяет отправлять запросы без использования файлов cookie после отказа. Являются ли такие запросы допустимыми в соответствии с PECR – это вопрос, который следует обсудить с вашим юристом. Политика Google в отношении согласия пользователей действует в Великобритании [15].

7. Проверьте, подпадает ли аналитический сервис под исключение. Обработка без согласия допускается только в том случае, если единственной целью является сбор статистических данных для улучшения вашего веб-сайта, данные агрегируются, поставщик аналитики выступает в качестве обработчика, а не совместного контролера, и не связывает эти данные со своими собственными. Пользователям должна быть предоставлена четкая информация и простой, бесплатный способ отказаться от участия [5]. GA4, связанный с Google Ads или используемый для ремаркетинга, не соответствует этим условиям.

8. Пиксели и аффилиатские ссылки следует добавлять только после получения согласия. Рекламные пиксели и скрипты, например, от Meta, TikTok и Google Ads, записывают click ID в cookie или local storage – это рекламные цели, нужно согласие. Ссылки с дополнительными параметрами, позволяющими отслеживать переходы пользователей и атрибутировать конверсии, – это тоже инструмент отслеживания (link decoration) [6]. Оговорите в соглашении с оператором, кто несет ответственность за получение согласия в процессе перенаправления. 

9. Server-side и постбеки не снимают вопрос. ICO прямо пишет: правило 6 применяется как к клиентской, так и к серверной стороне; при использовании серверных тегов вы обязаны раскрывать, каким третьим сторонам передаете данные [6]. Отправка данных S2S удобна, но трекер, считывающий данные с устройства без согласия пользователя, по-прежнему остается трекером. 

10. Журнал регистрации и отзывов согласий. Вы обязаны вести учет согласий и отзывов согласий. Отзыв согласия должен быть таким же простым, как и его предоставление, например, с помощью плавающей ссылки в нижнем колонтитуле. После отказа ICO советует не спрашивать снова около 6 месяцев [11].

11. Документы и соглашения. Политика использования файлов cookie и уведомление о конфиденциальности, включая перечень третьих лиц; соглашение об обработке данных (DPA) с поставщиком аналитических услуг; запрос к операторам и сетям: какие требования в отношении согласия они предъявляют в соответствии с пунктом 1.1.2 LCCP [4].

12. Проведите повторное тестирование в соответствии с графиком. Повторяйте шаг 1 после каждой публикации контейнера GTM и обновления плагина, а также не реже одного раза в месяц. Сохраняйте скриншоты вкладки «Network», так же как исследователи Суонси выложили свои данные в открытый доступ [1].

Требуется ли согласие? Шесть типичных ситуаций

Таблица 3. Подготовлено компанией 15M на основе рекомендаций ICO на 2026 год [5, 6, 11]. Упрощённая схема; не заменяет юридическую оценку.

Что это значит для вас?

Операторам. Аудит Суонси – это открытое исследование со скриншотами по каждому сайту. Регулирующие органы и журналисты могут найти ваш бренд в этих данных. Проверьте свои веб-сайты с использованием методологии, изложенной в отчетах, и убедитесь, что требования о получении согласия включены в ваши соглашения с аффилиатами: согласно LCCP 1.1.2 вы несете ответственность за их деятельность. Попросите своих партнеров подтвердить, что их пиксели и скрипты не будут срабатывать до тех пор, пока не будет получено согласие.

Аффилиатам. Ваш основной риск заключается не в отдельном штрафе, а в самом договоре. Если оператору будет предъявлен иск из-за вашего отслеживания, согласно LCCP он имеет право незамедлительно расторгнуть договор. Просмотрите 12 пунктов и сохраните свои результаты. Будьте готовы предъявить результаты оператору до того, как он попросит их увидеть. Потеря части атрибуции из-за отказов от cookie лучше, чем потеря партнерства.

Методология

Данные аудита взяты из полного текста статьи Макгарригла и др. (2026) и пресс-релиза Университета Суонси. Стандарты взяты из законодательства (SI 2026/82) и руководства, опубликованного ICO на момент подготовки оценки. Контрольный список был составлен компанией 15M на основе вышеуказанных источников и документации Google. Вопрос о применимости конкретных исключений и приемлемости отдельных технических решений, например расширенного режима Consent Mode, следует оценивать в каждом конкретном случае в зависимости от конфигурации веб-страницы.

Источники

1. McGarrigle J., Torrance J., Quigley M., Dymond S. «Consent banners, dark patterns, and GDPR infringements in online gambling: Evidence from a systematic audit and online experiment». Computers in Human Behavior Reports 23 (2026) 101270; онлайн 20.08.2026. Выборка 624 из 934, аудит апрель–июнь 2025, 67% (418), 86% (536 и 538), 24%, 29%, 47%, 14%, 3,38 клика, до 15 кликов. https://doi.org/10.1016/j.chbr.2026.101270
2. Swansea University, «Nine in 10 UK gambling websites breaching data privacy law, study finds», 14.09.2026 – цитата Джека Макгарригла, эксперимент на 615 игроках, эффект в 3–4 раза. https://www.swansea.ac.uk/press-office/news-events/news/2026/09/nine-in-10-uk-gambling-websites-breaching-data-privacy-law-study-finds.php
3. Malwarebytes, «Gambling firms are secretly sharing your data with Facebook», 12.02.2025 – пересказ расследования Observer: 52 из 150 сайтов. https://www.malwarebytes.com/blog/uncategorized/2025/02/gambling-firms-are-secretly-sharing-your-data-with-facebook
4. Gambling Commission, LCCP Condition 1.1.2 – Responsibility for third parties. https://www.gamblingcommission.gov.uk/licensees-and-businesses/lccp/condition/1-1-2-responsibility-for-third-parties-all-licences
5. ICO, «What are the exceptions?» (Guidance on the use of storage and access technologies) – условия исключения для статистики; ad affiliation и ad measurement требуют согласия. https://ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/what-are-the-exceptions/
6. ICO, «What are storage and access technologies?» – пиксели, link decoration, fingerprinting, server-side. https://ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/what-are-storage-and-access-technologies/
7. ICO, «Action taken against Sky Betting and Gaming for using cookies without consent», 17.09.2024 – период 10.01–03.03.2023; 52 из 53 сайтов. https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2024/09/action-taken-against-sky-betting-and-gaming-for-using-cookies-without-consent/
8. ICO, «Final storage and access technologies guidance published», 29.04.2026 – 99% топ-1000, цитата Уильяма Малкольма. https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2026/04/final-storage-and-access-technologies-guidance-published/
9. ICO, «ICO action secures increased cookie compliance», 04.12.2025 – 979 из 1 000, 17 PEN. https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2025/12/ico-action-secures-increased-cookie-compliance
10. The Data (Use and Access) Act 2025 (Commencement No. 6 and Transitional and Saving Provisions) Regulations 2026, SI 2026/82 – s.112, s.115, Schedules 12–13 с 05.02.2026. https://www.legislation.gov.uk/uksi/2026/82/made
11. Mishcon de Reya, «Unlawful cookies: a new avenue for the ICO to issue fines», 12.02.2026 – снятие порога «серьёзности», £500 тыс. → £17,5 млн или 4%. https://www.mishcon.com/news/unlawful-cookies-a-new-avenue-for-the-ico-to-issue-fines
12. ICO, «How do we manage consent in practice?» – отказ так же прост, как согласие; отзыв; записи; ~6 месяцев. https://ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/how-do-we-manage-consent-in-practice/
13. Google Tag Manager Help, «Consent configuration» – триггер Consent Initialization, additional consent checks. https://support.google.com/tagmanager/answer/10718549
14. Google for Developers, «Consent mode overview» (обновлено 30.07.2026) – четыре параметра, basic vs advanced. https://developers.google.com/tag-platform/security/concepts/consent-mode
15. Google Ads Help, «About consent mode». https://support.google.com/google-ads/answer/10000067
16. Google, «EU user consent policy» – распространяется на EEA, UK и Швейцарию. https://www.google.com/about/company/user-consent-policy/