Согласие на cookie по 152-ФЗ: нужен ли баннер на сайте и как его оформить

Баннер «Мы используем cookie» стоит почти на каждом коммерческом сайте, но владельцы часто ставят его просто потому, что так делают все. Разберёмся, что на самом деле требует закон о персональных данных, когда нужно согласие посетителя, чем согласие отличается от уведомления и что должно быть в баннере, чтобы он не был пустой формальностью.

Важно: это обзор норм для владельцев сайтов, а не юридическая консультация. Требования к конкретному сайту зависят от того, какие данные он собирает и зачем. Если сайт обрабатывает много персональных данных или работает с чувствительными сведениями, покажите политику и баннер юристу.

Что говорит закон о cookie

Главный документ здесь — Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». Слова «cookie» в нём нет. Закон говорит о персональных данных вообще: по пункту 1 статьи 3 это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.

Сама по себе cookie — это строка, которую сайт сохраняет в браузере. В ней может лежать что угодно: язык интерфейса, содержимое корзины, случайный идентификатор посетителя. Вопрос в том, можно ли по этим данным вместе с другими сведениями определить конкретного человека. Идентификатор счётчика аналитики, IP-адрес, история посещений, а после заполнения формы ещё имя и телефон вместе вполне могут указывать на определённого человека. Поэтому большинство юристов исходят из того, что cookie сервисов аналитики и рекламы, связанные с другими сведениями о посетителе, лучше считать персональными данными и обращаться с ними по правилам 152-ФЗ.

Технические cookie, без которых сайт не работает (вход в личный кабинет, корзина, защита форм от подделки), — отдельный разговор. Их обработка обычно нужна для того, чтобы оказать посетителю услугу, о которой он сам просит. Но и о них стоит рассказать в политике обработки персональных данных.

Когда нужно согласие посетителя

Статья 6 закона перечисляет основания, при которых обработка персональных данных законна. Согласие субъекта — первое из них (пункт 1 части 1 статьи 6), но не единственное. Например, данные можно обрабатывать для исполнения договора, стороной которого является сам человек. Так интернет-магазину не нужно отдельное согласие на то, чтобы использовать адрес доставки для доставки заказа.

Аналитика посещаемости, ретаргетинг и показ рекламы под эти исключения обычно не подходят: посетитель не заключал с сайтом договор о том, что за ним будет наблюдать счётчик. Поэтому для таких cookie правовым основанием чаще всего становится именно согласие. Отсюда и практический вывод: если на сайте стоят Яндекс Метрика, пиксели рекламных систем или другие счётчики, владельцу сайта нужно продумать, как он получает и подтверждает согласие.

Каким должно быть согласие

Требования к согласию собраны в статье 9 закона. С 1 сентября 2022 года часть 1 этой статьи говорит, что согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Человек даёт его свободно, своей волей и в своём интересе.

• Форма. Согласие можно получить в любой форме, которая позволяет подтвердить факт его получения, если закон не требует особой формы (часть 1 статьи 9). Письменная форма с подписью обязательна только в случаях, перечисленных в части 4, и к обычным cookie аналитики они, как правило, не относятся.
• Доказательство. Обязанность доказать, что согласие было получено, лежит на операторе, то есть на владельце сайта (часть 3 статьи 9). Если согласие нечем подтвердить, на практике его как будто и не было.
• Отзыв. Человек вправе отозвать согласие (часть 2 статьи 9). В политике стоит написать, как это сделать, а технически — дать возможность отключить необязательные cookie.

Из требований однозначности и информированности следует, почему спорна популярная фраза «Продолжая пользоваться сайтом, вы соглашаетесь с использованием cookie». Посетитель не совершает никакого действия, которое однозначно выражает согласие, и часто даже не успевает прочитать баннер. Многие юристы считают, что такая формулировка не подтверждает согласие в смысле статьи 9. Безопаснее, когда посетитель сам нажимает кнопку согласия, а до этого необязательные счётчики не запускаются.

Уведомление о cookie и согласие: в чём разница

Под словом «cookie-баннер» скрываются два разных инструмента, и их важно не путать.

Уведомление закрывает требование прозрачности: посетитель знает о cookie и может прочитать политику. Полноценное согласие требует большего: счётчики должны подключаться только после нажатия кнопки, а факт согласия должен где-то фиксироваться. Какой вариант нужен вашему сайту, зависит от набора счётчиков и от того, насколько осторожную позицию вы выбираете.

Что ещё требует 152-ФЗ от владельца сайта

Баннер — лишь малая часть обязанностей оператора персональных данных. Если сайт собирает данные посетителей, проверьте остальное:

• Политика обработки персональных данных. Оператор, который собирает данные через интернет, обязан опубликовать документ о своей политике и обеспечить к нему доступ (часть 2 статьи 18.1). В политике перечисляют, какие данные и cookie собираются, зачем, какие сервисы их получают (например, Яндекс Метрика) и как отозвать согласие. Ссылка на политику должна быть в баннере и в подвале сайта.
• Уведомление Роскомнадзора. До начала обработки персональных данных оператор подаёт уведомление в Роскомнадзор (часть 1 статьи 22). Исключения перечислены в части 2 той же статьи. Проверить, есть ли вы в реестре операторов, можно на сайте Роскомнадзора.
• Трансграничная передача. Если данные посетителей уходят за рубеж, например в зарубежный сервис аналитики, действуют отдельные правила статьи 12, включая уведомление Роскомнадзора о такой передаче. Это ещё один повод знать, какие внешние скрипты стоят на сайте.
• Формы на сайте. Заявки, подписки и обратный звонок собирают имя и телефон. Для них нужно своё согласие или другое основание, и о них тоже должна говорить политика.

За нарушения в области персональных данных предусмотрена административная ответственность по статье 13.11 КоАП РФ. Отдельные составы есть, в частности, за обработку без согласия там, где оно нужно, и за неопубликованную политику. Размеры штрафов за последние годы менялись, поэтому сверяйте их по действующей редакции кодекса.

Что написать в cookie-баннере

Хороший баннер короткий, но отвечает на три вопроса: что собирается, зачем и где подробности. Например:

Мы используем файлы cookie и Яндекс Метрику, чтобы понимать,
как посетители пользуются сайтом. Подробнее — в политике
обработки персональных данных.        [Принять]  [Отклонить]

• Назовите сервисы, которые ставят cookie, хотя бы основные: так посетитель понимает, о чём речь.
• Дайте ссылку на политику обработки персональных данных, а не на общие «условия использования».
• Если выбрали модель согласия, кнопка отказа должна быть так же заметна, как кнопка согласия.
• Не пишите, что сайт «не собирает персональные данные», если на нём стоит счётчик аналитики.

Больше вариантов текста для разных сайтов, от интернет-магазина до лендинга, собрано в статье «Текст уведомления о cookie: примеры для сайта». Что такое cookie и какими они бывают, рассказано в статье «Куки на сайте: что это и для чего они нужны».

Как поставить баннер о cookie с AllWidgets

Виджет «Cookies» показывает внизу экрана карточку с заголовком, вашим текстом, ссылкой «Подробнее» и кнопкой. Ссылка ведёт на страницу вашей политики или открывает её текст во всплывающем окне. Нажатие на кнопку запоминается в браузере посетителя на 90 дней, и всё это время баннер ему больше не показывается. Виджет ставится одной строкой кода и бесплатен на тарифе Free.

Скажем честно, чего этот виджет не делает. Он не блокирует счётчики до нажатия кнопки и не хранит на сервере записи о согласиях. То есть это уведомление о cookie со ссылкой на политику, а не система учёта согласий. Для большинства небольших сайтов, которые выбрали модель уведомления, этого достаточно. Если ваш юрист требует, чтобы аналитика запускалась только после согласия, понадобится доработка сайта: код счётчика должен ждать решения посетителя, а согласие — где-то фиксироваться.

1. Опубликуйте на сайте политику обработки персональных данных и проверьте, что в ней перечислены cookie и сервисы аналитики.
2. Войдите в личный кабинет AllWidgets и создайте виджет «Cookies».
3. Напишите текст уведомления, подпись кнопки и укажите адрес политики или вставьте её текст для всплывающего окна.
4. Скопируйте код виджета и вставьте его в шаблон сайта, как описано в статье про установку виджетов.
5. Откройте сайт в режиме инкогнито и проверьте, что баннер появляется, ссылка на политику открывается, а после нажатия кнопки баннер исчезает.

Короткий чек-лист

• Вы знаете, какие cookie и счётчики стоят на сайте и зачем каждый из них.
• Политика обработки персональных данных опубликована, в ней есть раздел о cookie и аналитике.
• Баннер называет сервисы, ведёт на политику и не обещает того, чего сайт не делает.
• Вы осознанно выбрали модель: уведомление или согласие. Для согласия счётчики ждут нажатия кнопки, а факт согласия сохраняется.
• Формы заявок собирают согласие на обработку имени и телефона отдельно от cookie.
• Уведомление в Роскомнадзор подано, если вы не подпадаете под исключения статьи 22.

Вопросы и ответы

Обязателен ли баннер cookie по закону?

Закон 152-ФЗ прямо не требует именно баннера. Он требует законного основания для обработки персональных данных, опубликованной политики и, если основание — согласие, подтверждения этого согласия. Баннер — самый распространённый способ сообщить о cookie и получить согласие, поэтому его ставят почти все сайты со счётчиками.

Нужен ли баннер, если на сайте нет форм и аналитики?

Если сайт ставит только технические cookie, без которых он не работает, и не подключает счётчики и рекламные пиксели, оснований для баннера заметно меньше. Но проверьте внешние скрипты: карты, видео и виджеты сторонних сервисов тоже могут ставить свои cookie.

Достаточно ли фразы «продолжая пользоваться сайтом, вы соглашаетесь»?

Это спорно. Статья 9 152-ФЗ требует, чтобы согласие было конкретным, информированным и однозначным, а продолжение просмотра страницы трудно назвать однозначным действием. Надёжнее, когда посетитель сам нажимает кнопку согласия.

Блокирует ли виджет «Cookies» счётчики до согласия?

Нет. Виджет показывает уведомление со ссылкой на политику и запоминает нажатие на 90 дней, но не управляет другими скриптами и не хранит согласия на сервере. Если нужна блокировка счётчиков до согласия, это делается доработкой сайта.

Можно ли показать текст политики прямо в баннере?

Да. В виджете «Cookies» вместо адреса страницы можно вставить текст политики: ссылка «Подробнее» откроет его во всплывающем окне поверх сайта.