В Законе № 152-ФЗ нет слов «cookie», «IP-адрес» или «client ID». Отдельного закона о cookie в России тоже нет. Из этого многие делают вывод, что технические данные сайта персональными не бывают и согласие на них не нужно. Вывод неверный.
Закон определяет персональные данные широко: любая информация, которая прямо или косвенно относится к определенному или определяемому человеку. Поэтому cookie и другие технические идентификаторы в одних ситуациях персональными данными не являются, а в других являются. Разберем, где проходит граница и что делать владельцу сайта.
Когда cookie и технические данные становятся персональными
Сам по себе cookie обычно случайная строка символов. Если она нужна только для того, чтобы сайт помнил язык интерфейса или содержимое корзины, и ни с чем больше не связывается, риск признать ее персональными данными невысок.
Все меняется, когда идентификатор связывается с другими сведениями о человеке:
- с личным кабинетом;
- с номером заказа;
- с заявкой, где есть телефон или email;
- с карточкой в CRM;
- с историей посещений и поведения на сайте;
- с рекламной аудиторией или профилем во внешнем кабинете.
С этого момента cookie, IP-адрес или client ID работают как персональный идентификатор. По ним можно определить, что это конкретный человек, который вчера смотрел страницу с ценами, а сегодня оставил заявку.
Типичный пример. Сайт передает в Яндекс Метрику идентификатор посетителя, а в CRM вместе с заявкой сохраняет тот же client ID, чтобы отслеживать источник лида. Две системы по одному ключу соединяют анонимное поведение и контакты. Такие данные уже трудно назвать обезличенными.
Какие бывают cookie
| Категория | Для чего нужны | Нужно ли согласие |
|---|---|---|
| Строго необходимые | Корзина, авторизация, защита от атак, сохранение выбора в cookie-баннере | Обычно нет, но о них нужно рассказать в политике |
| Функциональные | Язык, регион, настройки интерфейса | Чаще всего нет, если они не связываются с профилем человека |
| Аналитические | Метрика, статистика посещений, вебвизор, тепловые карты | Безопаснее получать согласие |
| Рекламные и маркетинговые | Ретаргетинг, пиксели рекламных систем, построение аудиторий | Нужно согласие |
| Сторонние виджеты | Чаты, видео с внешних площадок, карты, кнопки соцсетей | Зависит от того, что они собирают, часто нужно согласие |
Строго необходимые cookie обычно можно не выносить в отдельное согласие: без них сайт не выполнит то, о чем просил сам пользователь. Но рассказать о них в политике или отдельном разделе про cookie все равно нужно.
Если же cookie используются для аналитики, рекламы, ретаргетинга или профилирования, подход должен быть строже.
Когда лучше получать отдельное согласие
Аналитические и рекламные cookie, вебвизор, запись сессий, ретаргетинговые пиксели, сторонние виджеты, иностранные сервисы. Все это безопаснее запускать только после того, как пользователь дал отдельное, конкретное и информированное согласие. До этого такие скрипты лучше вообще не загружать.
Особенно это важно, если сервис собирает данные о поведении, строит профиль, передает данные во внешний кабинет или используется для рекламы.
Отдельно про вебвизор и похожие инструменты записи сессий. Они могут записывать то, что человек вводит в формы, включая телефон и имя. В Метрике можно скрыть содержимое полей от записи, и этой настройкой стоит пользоваться.
Иностранные счетчики и сервисы
С Google Analytics, иностранными пикселями и виджетами появляется вопрос трансграничной передачи. Данные посетителей уходят на серверы за рубежом, часто в страны, которые не входят в перечень обеспечивающих адекватную защиту. По статье 12 Закона № 152-ФЗ перед началом трансграничной передачи нужно уведомить Роскомнадзор, а для некоторых стран дождаться результатов рассмотрения уведомления.
На практике многие российские сайты просто отказываются от иностранных счетчиков, если без них можно обойтись. Это проще, чем выстраивать для них отдельный юридический контур.
Как оформить согласие на cookie
Отдельный PDF-документ для этого не нужен. Обычно это cookie-баннер или центр настроек, где пользователь может выбрать:
- только необходимые cookie;
- аналитические;
- рекламные и маркетинговые;
- сторонние виджеты и сервисы.
Из баннера пользователь должен понять, какие данные собираются, зачем, какие сервисы подключены, можно ли отказаться от необязательных cookie и где прочитать подробности.
Удобный вариант баннера: три кнопки одинаковой заметности, «Принять все», «Только необходимые» и «Настроить». Если кнопка отказа спрятана мелким серым шрифтом, а согласие огромное и яркое, добровольность такого выбора вызывает вопросы.
Согласие стоит фиксировать: когда оно дано, на какую версию текста и какие категории выбраны. А после выбора «Только необходимые» аналитика и пиксели действительно не должны загружаться. Проверить это несложно: откройте сайт в режиме инкогнито, откажитесь от cookie и посмотрите в инструментах разработчика, какие запросы уходят.
Чего не стоит делать
Баннер «Мы используем cookie» с единственной кнопкой «ОК» информирует, но выбора не дает. Если за ним сразу грузятся Метрика и рекламные пиксели, согласия на них по сути нет.
Не стоит и считать, что продолжение просмотра сайта означает согласие. Согласие по закону должно быть однозначным, а молчание и бездействие однозначностью не отличаются.
И наконец, баннер не заменяет политику. В политике должно быть описано, какие cookie и сервисы использует сайт, для каких целей и сколько хранятся данные.
Частые вопросы
Если на сайте только Яндекс Метрика, нужен ли cookie-баннер?
Метрика собирает данные о поведении посетителей и передает их Яндексу. Безопаснее информировать о ней пользователей и получать согласие на аналитику. Минимум, без которого не обойтись: описать Метрику в политике.
IP-адрес это персональные данные?
Сам по себе не всегда. Но в сочетании с другими сведениями, например временем визита и заявкой, IP-адрес помогает определить человека. Логи сервера с IP-адресами лучше учитывать в карте обработки и не хранить дольше необходимого.
Есть ли штраф за отсутствие cookie-баннера?
Отдельного штрафа именно за баннер нет. Но если cookie и аналитика собирают персональные данные без основания, это обработка без законного основания. Штраф по части 1 статьи 13.11 КоАП для организации составляет от 150 000 до 300 000 рублей.
Нужно ли согласие на cookie, если сайт не собирает контакты?
Если аналитика не связывается с конкретными людьми, риск ниже. Но рекламные пиксели и сторонние сервисы могут сопоставлять посетителей со своими профилями. Тогда персональные данные появляются уже у них, а передает их ваш сайт.
Cookie-баннер «для галочки» проблему не решает. Сначала стоит понять, какие данные собирает сайт и какие сервисы подключены, а уже потом решать, какие согласия действительно нужны и как их получать.