GDPR — не страшилка из legal, а чек-лист, без которого adtech быстро ловит хаос

GDPR — не страшилка из legal, а чек-лист, без которого adtech быстро ловит хаос

Если упростить до человеческого: GDPR требует, чтобы privacy была не «где-то в футере», а встроенной в сбор, хранение и передачу данных. Для cookieless и attribution это особенно болезненно: чем больше сторон и идентификаторов в цепочке, тем выше шанс собрать красивый отчёт и очень некрасивую претензию.

• Проверь, есть ли у каждого события понятная цель и минимальный набор полей — «на всякий случай» собирать не надо.
• Разделяй consent, contract и legitimate interest: одна кнопка «ОК» не лечит все сценарии.
• Смотри на data flow: кто получает raw data, кто — агрегаты, где живёт user ID и можно ли его убрать или псевдонимизировать.
• Делай retention коротким по умолчанию: если данные не нужны для атрибуции, они не должны лежать вечно.

Отдельная магия — vendor management: если подрядчик или платформа принимает данные, у тебя должен быть понятный контур ролей, доступов и удаления. И да, «мы просто передаём хеш» — это не универсальный пароль от вопросов комплаенса.

Хорошая GDPR-архитектура не мешает adtech зарабатывать, она просто заставляет меньше фантазировать. Собери карту данных, выкинь лишнее и проверь, что privacy у тебя не в презентации, а в процессах — может и не взлетит, но хотя бы не развалится на первом аудите.