Согласие на cookie на сайте · что требует 152-ФЗ

В нижней части почти каждого российского сайта висит баннер про cookie. Где-то он сообщает, что сайт использует файлы и продолжение работы означает согласие. Где-то стоят две кнопки с реальным выбором. Разница между этими вариантами не косметическая, она определяет, законна ли обработка вообще. Чтобы понять, какой баннер защищает компанию, а какой создаёт нарушение, нужно ответить на один вопрос. Являются ли конкретные cookie персональными данными в смысле Федерального закона от 27.07.2006 N 152-ФЗ. От ответа зависит, нужно ли согласие и каким оно должно быть.

Когда cookie это персональные данные

Слово «cookie» в законе не упоминается. Работает определение из пункта 1 статьи 3 закона N 152-ФЗ. Персональные данные это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Ключевое слово здесь «косвенно». Технический файл сам по себе нейтрален, но если он содержит идентификатор, который в связке с другими сведениями позволяет выделить конкретного человека либо привязать к нему историю поведения, то речь идёт об информации, относящейся к определяемому лицу.

Отсюда практический водораздел. Строго функциональные cookie, без которых сайт не работает, хранение языка, содержимого корзины, сессии авторизации, обычно не идентифицируют человека как личность и не образуют персональные данные. Аналитические и рекламные cookie, которые собирают идентификаторы, связывают визиты в профиль и передаются третьим сторонам, чаще всего подпадают под определение пункта 1 статьи 3, потому что позволяют косвенно определить лицо. Когда обработка через cookie это обработка персональных данных, включается статья 9 о согласии.

Стоит держать в голове и понятие оператора из пункта 2 статьи 3. Оператор это лицо, которое организует и осуществляет обработку и определяет её цели и состав данных. Владелец сайта, который ставит аналитические скрипты и решает, что и зачем собирать, выступает оператором и несёт обязанности по закону.

Каким должно быть согласие

Если cookie образуют персональные данные, действует статья 9 закона N 152-ФЗ. Часть 1 этой статьи задаёт стандарт. Субъект даёт согласие свободно, своей волей и в своём интересе, а само согласие должно быть конкретным, предметным, информированным, сознательным и однозначным.

Пройдём по каждому признаку применительно к баннеру.

Свободно. У человека есть реальный выбор. Баннер по схеме «продолжая пользоваться сайтом, вы соглашаетесь» свободу выбора не даёт, потому что отказ невозможен без ухода с сайта. Это слабое место типового баннера.

Конкретно и предметно. Согласие привязано к понятным целям. Аналитика и реклама это разные цели, и одно общее согласие на всё подряд плохо отвечает признаку предметности.

Информированно. До нажатия кнопки человек видит, какие категории cookie ставятся, для чего и кто получает данные. Без этой информации сознательного согласия не возникает.

Однозначно. Нужно активное действие. Заранее проставленная галочка либо молчаливое продолжение просмотра не образуют однозначного волеизъявления.

Часть 1 статьи 9 также допускает любую форму, позволяющую подтвердить факт получения согласия, если иное не установлено федеральным законом. Для cookie письменная форма по части 4 статьи 9 не требуется, подойдёт фиксируемое действие на сайте. При этом часть 3 статьи 9 возлагает на оператора обязанность доказать получение согласия. Поэтому факт нажатия, дату и параметры выбора нужно сохранять в логах, иначе доказать согласие будет нечем.

Ещё одна норма, о которой забывают. Часть 2 статьи 9 даёт субъекту право отозвать согласие. Баннер, который ставит cookie навсегда без возможности позже изменить выбор, не обеспечивает реализацию этого права.

На что смотрит проверяющий

Первое. Ставятся ли аналитические и рекламные скрипты до получения согласия. Если счётчик отрабатывает в момент загрузки страницы, согласие по статье 9 фактически не получено, человек его ещё не давал.

Второе. Есть ли реальная возможность отказаться. Баннер без кнопки отказа, где единственный вариант это принять, не отвечает признаку свободы из части 1 статьи 9.

Третье. Сохраняется ли доказательство. Часть 3 статьи 9 прямо возлагает бремя доказывания на оператора, поэтому отсутствие записи о согласии трактуется против владельца сайта.

Частые ошибки

Баннер «продолжая просмотр, вы согласны». Это пассивное поведение, оно не образует однозначного и свободного согласия по части 1 статьи 9.

Единая кнопка «Принять» без альтернативы. Нет свободы выбора, признак из части 1 статьи 9 не выполнен.

Скрипты грузятся раньше клика. Обработка началась без согласия. Сначала согласие, потом установка cookie, относящихся к персональным данным.

Нет механизма отзыва. Часть 2 статьи 9 даёт право отозвать согласие, его нужно технически обеспечить, например ссылкой на настройки cookie.

Всё свалено в одно согласие. Признак предметности из части 1 статьи 9 требует разделять цели, аналитику и рекламу разумно вынести в отдельные категории.

Тактика для владельца сайта

Начать с инвентаризации. Выписать все cookie и скрипты, разделить их на функциональные и на те, что собирают идентификаторы и передаются третьим лицам. Для второй группы выстроить баннер с реальным выбором, с информированием о целях и категориях до клика, с активным действием пользователя и с сохранением факта согласия в соответствии с частью 3 статьи 9. Заблокировать запуск аналитических и рекламных скриптов до получения согласия. Добавить ссылку на изменение и отзыв выбора под часть 2 статьи 9. Такой подход закрывает требования статьи 9 и снимает основной риск претензий.

Настройка баннера и проверка, какие именно cookie на сайте образуют персональные данные, это юридическая, а не только техническая задача. Аудит cookie и подготовку корректного механизма согласия покрывает услуга. Обсудить вашу конфигурацию можно через контакты.

Частые вопросы

Нужно ли согласие на технические cookie. Если файл не позволяет прямо или косвенно определить человека по пункту 1 статьи 3, он не образует персональные данные и согласие по статье 9 для него не требуется. Это касается строго функциональных cookie сессии и настроек.

Достаточно ли баннера «продолжая, вы соглашаетесь». Для cookie, образующих персональные данные, нет. Часть 1 статьи 9 требует свободного, однозначного и сознательного согласия, а пассивное продолжение просмотра этим признакам не отвечает.

Кто должен доказывать, что согласие получено. Оператор. Часть 3 статьи 9 прямо возлагает обязанность представить доказательство получения согласия на оператора, поэтому факт согласия нужно фиксировать и хранить.