Все безопасно / Блог / Cookie и 152-ФЗ
Cookie и персональные данные: когда по 152-ФЗ нужно согласие на cookie
Плашка "На сайте используются cookies" есть почти на каждом сайте, но чаще всего она ничего не решает: счётчики загружаются ещё до того, как посетитель её увидел. Разберём, являются ли cookie персональными данными, какое согласие на обработку персональных данных через cookie нужно и как настроить сайт, чтобы согласие было настоящим.
Являются ли cookie персональными данными
Слова "cookie" в 152-ФЗ нет. Персональные данные - это любая информация, относящаяся к прямо или косвенно определённому или определяемому человеку (ст. 3 п. 1 152-ФЗ). Сами по себе файлы cookie - это идентификатор браузера. Но вместе с IP-адресом, историей посещений и данными из формы заявки он позволяет понять, кто именно был на сайте.
Поэтому обработку cookie безопаснее считать обработкой персональных данных: аналитические и рекламные cookie ставить только на законном основании, то есть с согласия посетителя.
Какие cookie бывают на сайте
| Вид | Пример | Что нужно |
|---|---|---|
| Технические | Корзина, вход в личный кабинет, защита формы от подделки | Описать в политике. Нужны, чтобы сделать то, о чём попросил сам посетитель |
| Аналитика | Яндекс Метрика, Вебвизор | Согласие до загрузки счётчика |
| Реклама | Пиксели VK Рекламы, ретаргетинг Яндекс Директа | Согласие до загрузки |
| Зарубежные сервисы | Google Analytics, виджеты зарубежных сервисов | Согласие и уведомление о трансграничной передаче, проще заменить |
Почему плашки "На сайте используются cookies" недостаточно
- Согласие должно быть конкретным, информированным и однозначным (ст. 9 ч. 1 152-ФЗ). Фразу "продолжая пользоваться сайтом, вы соглашаетесь" трудно назвать однозначным согласием: посетитель ничего не выбирал.
- Обычно Метрика и пиксели загружаются сразу при открытии страницы. Данные уходят раньше, чем посетитель нажал "Понятно".
- Согласие должно быть оформлено отдельно от иных информации и документов (ст. 9 ч. 1). Пункт про cookie внутри политики или пользовательского соглашения согласием не является.
- На плашке нет выбора: отказаться можно только уйдя с сайта.
Как настроить согласие на cookie
Составить перечень cookie и сервисов
По сетевым запросам сайта видно всё, что ставит cookie или получает данные посетителей, в том числе то, что подключил шаблон или прошлый подрядчик.
Сделать баннер с выбором
Две равноценные кнопки: "Принять" и "Только необходимые". Ссылка на подробности о каждом сервисе.
Загружать счётчики только после согласия
Метрика и рекламные пиксели загружаются после нажатия "Принять". Если посетитель отказался, сайт работает как обычно, просто без аналитики.
Описать cookie в политике
Использование файлов cookie: какие cookie, для чего, какие сервисы их получают и сколько хранятся.
Разобраться с зарубежными сервисами
Заменить на российские аналоги или подать уведомление о трансграничной передаче.
Наше мнение
Плашка "Мы используем cookies" без кнопки отказа создаёт видимость порядка, а данные посетителей всё равно уходят в счётчики до согласия. Мы считаем, что начинать стоит не с баннера, а с вопроса, нужны ли вам эти счётчики. Если отчёты Метрики никто не открывает, проще её убрать: нет счётчика - не нужно и согласие на cookie. Остальное по 152-ФЗ - на странице 152-ФЗ для сайта.
Частые вопросы
Cookies относятся к персональным данным?
На практике почти всегда связаны с человеком. Например, Яндекс Метрика ставит cookie _ym_uid, который позволяет различать посетителей и хранится год. Все визиты с одного браузера за это время связываются в одну историю, а если посетитель оставил заявку, эта история указывает на конкретного человека.
Нужно ли согласие на обработку персональных данных для Яндекс Метрики?
Да. Отключение Вебвизора этого не меняет: счётчик всё равно ставит cookie и получает IP-адрес посетителя. Код Метрики вставляется на страницу только после нажатия "Принять", а не прячется после отказа.
Достаточно ли плашки "На сайте используются cookies"?
Нет. Доказать, что согласие получено, обязан оператор (ст. 9 ч. 3 152-ФЗ), а по плашке без выбора не видно, соглашался ли посетитель вообще. Нажатие кнопки "Принять" с датой и временем такое доказательство даёт.
Достаточно ли разместить на сайте политику cookie?
Нет. Политика cookie может быть разделом общей политики обработки персональных данных, которую сайт обязан опубликовать (ст. 18.1 ч. 2 152-ФЗ): в ней перечислено, что и зачем ставится. Но она только описывает обработку, а согласие посетитель даёт отдельно, кнопкой на баннере.
Что если посетитель отказался от cookie?
Его выбор нужно запомнить, чтобы баннер не появлялся на каждой странице, для этого достаточно технического cookie. А согласие можно отозвать в любой момент (ст. 9 ч. 2 152-ФЗ), поэтому вернуться к выбору тоже должно быть просто, например по ссылке "Настройки cookie" внизу сайта.