Уведомление о cookie: нужно ли оно в России

Сразу оговорка. Это разбор устройства сайта, а не юридическая консультация. Cookie — одна из самых неустоявшихся тем в российской практике: нормы, которая называла бы их персональными данными, нет, и нормы, которая выводила бы их из-под закона, тоже нет. В спорном случае нужен юрист, а не статья в блоге.

Откуда вообще взялся баннер о cookie

У всплывающего окна есть конкретное происхождение. Директива 2002/58/EC о приватности в электронных коммуникациях в редакции Директивы 2009/136/EC потребовала получать согласие пользователя до того, как в его оборудовании будет сохранена информация или прочитана уже сохранённая. Регламент (ЕС) 2016/679, тот самый GDPR, применяемый с 25 мая 2018 года, добавил к этому строгие требования к самому согласию: оно должно быть добровольным, конкретным, информированным и выраженным однозначным действием. Из сочетания двух этих актов и выросла привычная шторка с кнопками.

Распространяются европейские правила не на весь интернет. Статья 3 Регламента описывает случаи, когда он достаёт компанию за пределами Союза: если она предлагает товары или услуги людям, находящимся в Союзе, либо отслеживает их поведение. Сайт шиномонтажа в Саратове под это описание не подходит. Баннер на нём чаще всего стоит потому, что оказался в шаблоне, а не потому, что кто-то считал применимость нормы.

Когда cookie становятся персональными данными

Статья 3 закона № 152-ФЗ описывает персональные данные как любую информацию, относящуюся прямо или косвенно к определённому или определяемому физическому лицу. Формулировка широкая намеренно, и именно из её ширины растёт весь спор. Подробнее про определяемость и про то, какие обязанности отсюда вытекают, разобрано в статье 152-ФЗ простыми словами; здесь важна одна развилка.

Cookie бывают очень разные, и валить их в одну кучу бессмысленно. Запись, которая хранит номер корзины, выбранный город или факт того, что человек закрыл шторку, существует до конца сессии или до закрытия браузера и ни к какому человеку не ведёт. Записи счётчиков устроены иначе: они хранят уникальный идентификатор устройства, живут месяцами и склеивают разные визиты в одну историю поведения. Вместе с IP-адресом и данными об устройстве такой идентификатор уже позволяет узнавать посетителя — и это та зона, где единого ответа нет ни в законе, ни в практике.

Из этого следует не юридический вывод, а порядок действий. Сначала надо узнать, что именно сайт сохраняет в браузере и какие сторонние скрипты на нём стоят. Пока этого списка нет, рассуждать про баннер рано: нечего защищать и нечего описывать.

Чем баннер отличается от политики и от согласия

Три вещи постоянно путают и подменяют одну другой, хотя обязанности у них совершенно разные.

• Политика обработки персональных данных. Обязательный документ: часть 2 статьи 18.1 требует от оператора, который собирает данные через интернет, опубликовать его в открытом доступе. Именно здесь описываются способы обработки, а значит и счётчики с их идентификаторами. Устройство документа разобрано отдельно: зачем сайту политика обработки. Наша лежит по адресу /privacy.html, и такой документ входит в любой наш тариф.
• Согласие на обработку. Действие конкретного человека в конкретный момент, с признаками из части 1 статьи 9: конкретное, предметное, информированное, сознательное, однозначное. Галочка в форме заявки относится к тем данным, которые человек вписал сам, — как она устроена, разобрано в статье согласие на обработку данных.
• Баннер о cookie. Обязанности публиковать его в российском законе нет. По смыслу это инструмент информирования и, если он сделан честно, инструмент выбора.

Подмена работает в обе стороны, и обе ошибочны. Нажатие на кнопку в шторке не заменяет согласия на обработку данных из формы заявки: предмет другой, и доказывать по шторке нечего. Галочка в форме, наоборот, не покрывает счётчик: человек, который ничего не отправлял, галочку и не ставил, а идентификатор в его браузере уже лежит.

Нужен ли баннер обычному сайту услуг

Нашу позицию скажу прямо: сам по себе баннер ничего не закрывает, и ставить его ради вида смысла нет. Нормы, которая требовала бы шторку, в российском праве нет, а обязательная часть — политика — живёт по своему адресу и работает без неё.

Рабочих вариантов два.

1. На сайте один счётчик, российский, и в политике есть раздел про cookie: что сохраняется, зачем, на какой срок, как почистить браузер. Баннера нет. Это нормальное решение для сайта услуг на несколько страниц.
2. На сайте есть сторонние инструменты, которые собирают идентификаторы, — рекламные пиксели, карты, виджеты чатов, встроенные видео. Тогда баннер уместен, но только такой, который действительно откладывает загрузку этих скриптов до нажатия и даёт выбрать между «принять всё» и «только необходимые».

Третий вариант, самый распространённый, — пустой. Окно с текстом «мы используем cookie» и единственной кнопкой «хорошо», после нажатия которой ничего не меняется, а до нажатия все скрипты уже загрузились, не информирует и ничего не ограничивает. Хуже того, оно создаёт видимость полученного согласия там, где согласия нет. Если выбирать между такой шторкой и честным разделом в политике, второе лучше.

Что делать со счётчиками и зарубежной аналитикой

Здесь обязанности вполне определённые, и cookie тут ни при чём — дело в том, куда уходят данные.

Часть 5 статьи 18 требует, чтобы запись, хранение и извлечение персональных данных граждан России велись с использованием баз, находящихся на территории России. Часть 1 статьи 12 добавляет правила трансграничной передачи: с 1 марта 2023 года оператор подаёт в Роскомнадзор отдельное уведомление о такой передаче, и это другое уведомление, не то, что по статье 22. То есть вопрос «какая у вас аналитика» — не про шторку, а про место обработки и про отдельную обязанность.

Яндекс Метрика входит в любой наш тариф и данные обрабатывает в России, поэтому вопрос о трансграничной передаче по умолчанию на нашей сборке не возникает. Зарубежные системы статистики и рекламные пиксели — отдельный разговор: если они нужны бизнесу, обязанности по статье 12 придётся исполнять, и баннером они не отменяются.

Что написать про cookie в политике

Раздел короткий, и в нём четыре вещи. Какие cookie сайт ставит сам и для чего — сессия, корзина, запоминание выбора. Какие ставят сторонние сервисы, с названиями этих сервисов. Сколько такие записи живут. Как от них избавиться средствами браузера, потому что это единственный способ, который человеку доступен всегда.

Чего в разделе быть не должно, так это расхождений с тем, что происходит на самом деле. Если в политике названы два счётчика, а в разметке стоят четыре скрипта, документ работает против владельца сайта. Проверяется это один раз при сдаче и потом при каждом добавлении нового виджета — обычно именно виджеты и ломают картину: кто-то вставил чат или карту, а в политике про них ничего.

Что из этого делаем мы, а что остаётся на владельце сайта

В любой наш тариф входит политика обработки персональных данных и Яндекс Метрика; раздел про cookie в политике описывает то, что стоит на сайте по факту. Баннер с реальным управлением сторонними скриптами в тариф не входит: он нужен не каждому, и ставить его всем значило бы брать деньги за декорацию. Если на сайте появляются внешние инструменты, под которые он осмыслен, объём работы считается отдельно и называется до начала работы.

Юридического сопровождения обработки данных мы не оказываем, и уведомления в Роскомнадзор за заказчика не подаём: оператором становится он. Отдельно отмечу про ответственность. Санкции за нарушения в обработке персональных данных собраны в статье 13.11 КоАП, но размеры в ней менялись, и смотреть их нужно в действующей редакции, а не в статьях годичной давности. Приписывать штраф именно «за отсутствие баннера» нельзя: нормы с таким составом нет, а претензия, если она придёт, будет про политику, основание обработки или место хранения данных.

Самое полезное в этой теме — последовательность. Сначала выясняется, что сайт сохраняет в браузере и какие сторонние скрипты на нём работают. Потом это описывается в политике. И только после этого имеет смысл решать, нужен ли человеку выбор и чем этот выбор обеспечить технически. Баннер — последний шаг в этом списке, а не первый, и сайт, где он стоит первым и единственным, защищён ровно настолько, насколько защищён сайт без него.