Согласие на обработку cookie на сайте: нужно ли и как оформить
Почти каждый сайт ставит cookie — и вокруг них много путаницы: нужен ли баннер, требуется ли согласие и когда cookie превращаются в персональные данные. Разбираем без страшилок: какие cookie требуют согласия, чем уведомление отличается от cookie-политики, что писать и чем грозит формальная «заглушка» — пошагово.
Коротко. Технические cookie — без согласия, но с информированием. Аналитику и рекламу корректнее ставить после согласия с возможностью отказа. Нужны заметный баннер и раздел о cookie в политикеобработки ПДн. Если через cookie обрабатываются онлайн-идентификаторы — это ПДн, и включаются требования 152-ФЗ.
Нужно ли согласие на cookie
Универсального «да» или «нет» нет — всё зависит от того, какие cookie и зачем. Для строго технических cookie, без которых сайт не работает, отдельное согласие обычно не требуется, но пользователя всё равно нужно проинформировать. Для аналитических и рекламныхcookie, через которые обрабатываются онлайн-идентификаторы, корректнее получать согласиеосознанным действием и давать возможность отказаться.
«Согласие по умолчанию» (просто продолжил просмотр — значит согласился) считается слабым основанием: его всё чаще оспаривают. Надёжнее, когда согласие — это явный клик, а отказаться так же просто, как согласиться.
Как оформить: 6 шагов
Короткий порядок — от перечня cookie до учёта зарубежной аналитики:
- Составьте перечень cookie, которые ставит сайт. Пройдите по сайту и зафиксируйте, какие cookie и подобные технологии он использует: строго технические (нужны для входа, корзины, безопасности), аналитические (Яндекс.Метрика, Google Analytics) и рекламные/маркетинговые (пиксели, ретаргетинг). Именно от категории зависит, нужно ли согласие: для технических — как правило нет, для аналитических и рекламных — обычно да.
- Определите, обрабатываете ли вы через cookie персональные данные. Сам по себе cookie — это не всегда ПДн. Но если через cookie вы собираете онлайн-идентификаторы (в связке с IP, ID пользователя, данными аналитики) и это позволяет выделить конкретного человека, Роскомнадзор на практике относит такие сведения к персональным данным. Тогда включаются требования 152-ФЗ: информирование, политика и во многих случаях согласие.
- Разместите уведомление о cookie (баннер). Покажите при первом визите заметное уведомление: что сайт использует cookie, для каких целей (работа сайта, аналитика, реклама) и где посмотреть подробности. Баннер не должен быть формальной «заглушкой»: пользователь должен понимать, на что он соглашается, и иметь ссылку на политику. Информирование обязательно даже там, где отдельное согласие не требуется.
- Добавьте раздел о cookie в политику обработки ПДн. В политике (её наличие и публикация на сайте — требование ст. 18.1 152-ФЗ) опишите, какие cookie используются, с какими целями, какие сервисы аналитики подключены и как пользователь может отказаться. Отдельная «cookie-политика» не обязательна — достаточно раздела в основной политике, но он должен быть конкретным, а не шаблонным.
- Для необязательных cookie предусмотрите согласие и отказ. Технические cookie можно ставить без согласия. А вот аналитику и рекламу корректнее подключать после согласия — и дать возможность отказаться так же просто, как согласиться. Согласие должно быть осознанным действием пользователя (клик по кнопке), а не «согласием по умолчанию»: молчание и продолжение просмотра — слабое основание, и его всё чаще оспаривают.
- Учтите зарубежную аналитику: трансграничная передача и локализация. Если вы используете Google Analytics и другие зарубежные сервисы, данные уходят за рубеж — это трансграничная передача со своими требованиями (уведомление РКН, оценка условий в стране получателя). Плюс действует правило локализации: первичный сбор и хранение ПДн россиян — в базах на территории РФ. Это стоит учесть при выборе сервисов аналитики.
Cookie — это лишь часть требований к сайту. Полный набор разобран в материале как привести сайт в соответствие 152-ФЗ, а сама публикуемая политика — в гайде политика обработки персональных данных.
Зарубежная аналитика и трансграничная передача
Google Analytics и другие зарубежные сервисы передают данные на серверы за пределами России — это трансграничная передача со своими требованиями: предварительное уведомление Роскомнадзора и оценка условий защиты в стране получателя.
Дополнительно действует правило локализации: первичный сбор и хранение персональных данных граждан РФ должны идти в базах на территории России. Поэтому при выборе аналитики многие отдают предпочтение сервисам с хранением в РФ — так проще закрыть и локализацию, и трансграницу.
Частые ошибки
- Считают, что баннер — это «всё про cookie», и не публикуют политику.
- Пишут в политике общую фразу «мы используем cookie» без деталей и сервисов.
- Ставят аналитику и рекламу до согласия, не давая возможности отказаться.
- Оформляют «согласие по умолчанию» вместо явного действия пользователя.
- Забывают про трансграничную передачу при использовании Google Analytics.
- Не учитывают локализацию и не проверяют свой статус оператора.
Общий знаменатель — отношение к cookie как к косметике. На деле это часть обработки ПДн: баннер, политика и согласие должны работать вместе и по существу.
Читайте также
- Как привести сайт в соответствие 152-ФЗ — общий комплаенс, куда входят cookie.
- Политика обработки персональных данных — где живёт раздел о cookie.
- Согласие на обработку персональных данных — как устроено согласие в целом.
- Что относится к персональным данным — являются ли cookie ПДн.
- Трансграничная передача ПДн — при зарубежной аналитике.
Частые вопросы
01Являются ли cookie персональными данными?
02Нужно ли согласие на обработку cookie на сайте?
03Достаточно ли просто повесить баннер про cookie?
04Нужна ли отдельная cookie-политика?
05Какой штраф за отсутствие уведомления о cookie и политики?
06Можно ли использовать Google Analytics и зарубежную аналитику?
Материал носит информационный характер и не является юридической консультацией. Отнесение конкретных cookie к персональным данным и необходимость согласия зависят от состава данных и целей обработки — применимость к вашему сайту сверяйте с действующей редакцией 152-ФЗ, КоАП и позицией Роскомнадзора, а в спорном случае — с профильным юристом.