Нужен ли cookie-баннер на сайте по 152-ФЗ о персональных данных
Cookie и счётчики вроде Яндекс.Метрики собирают данные, по которым можно узнать посетителя сайта. Разбираемся, когда это подпадает под 152-ФЗ, нужен ли баннер и что написать в политике обработки персональных данных.
На большинстве российских сайтов стоит счётчик Яндекс.Метрики, рекламный пиксель или виджет CRM. Все они пишут cookie в браузер посетителя и передают данные о его поведении на сервер. Отдельного закона про cookie-баннеры в России нет, и владельцы сайтов часто решают, что раз такого закона нет, то и разбираться не с чем. Это не так. Cookie и трекеры подпадают под общие требования 152-ФЗ о персональных данных.
Когда cookie считаются персональными данными
152-ФЗ называет персональными данными любую информацию, которая относится к определённому или определяемому физическому лицу. Сам по себе идентификатор cookie, набор случайных символов, вроде бы никого не называет по имени. Но если по этому идентификатору сайт связывает историю посещений, IP-адрес и данные из формы обратной связи или заказа, человек становится определяемым. Обработка подпадает под закон, даже если имя и фамилия нигде не указаны явно.
То же с IP-адресом, геолокацией и отпечатком браузера. Роскомнадзор и суды в последние годы чаще относят такие данные к персональным, особенно когда сайт использует их для профилирования аудитории или ретаргетинга рекламы.
Что это значит для владельца сайта
Если на сайте стоят счётчики, рекламные пиксели или формы захвата контактов, он почти наверняка обрабатывает персональные данные и должен выполнить требования закона.
- Определить, зачем собираются данные: для аналитики, для рекламы или для работы формы обратной связи.
- Разместить на сайте политику обработки персональных данных со списком целей, категорий данных и сроков хранения.
- Получить согласие на обработку, если законного основания без согласия нет. Для рекламных cookie и трекинга такого основания обычно не находится, значит нужен явный шаг пользователя.
- Показать, что сайт использует cookie, и дать способ отказаться от необязательных трекеров.
Как оформить баннер и согласие
Готового шаблона баннера закон не даёт. На практике сайты используют один из двух вариантов. В первом баннер с кнопкой согласия блокирует необязательные cookie до нажатия. Во втором сайт просто уведомляет, что дальнейшая работа с ним означает согласие. Второй вариант проще внедрить, но доказать согласие сложнее. Молчаливое поведение пользователя не всегда засчитывают как явное действие.
Надёжнее разделить cookie на группы. Технические cookie, без которых сайт не работает, вроде сессии или корзины, отдельного согласия не требуют. Аналитические и рекламные cookie уже относятся к обработке персональных данных, для них нужен отдельный переключатель или кнопка.
Что проверить прямо сейчас
- Есть ли на сайте политика обработки персональных данных и упоминает ли она cookie и счётчики.
- Совпадает ли список трекеров, которые реально стоят на сайте, с тем, что написано в политике.
- Стоит ли баннер согласия и ведёт ли он на актуальный текст политики.
- Хранит ли сайт факт согласия пользователя или запрашивает его заново при каждом визите.
Проще всего свериться со списком через технический аудит сайта.
Авто-аудит сайта — проверка на нарушения 152-ФЗ
Частые вопросы
Нужен ли cookie-баннер, если на сайте стоит только счётчик посещаемости?
Да, если счётчик передаёт данные третьей стороне, например Яндексу или Google, и позволяет связать поведение с конкретным устройством. Формально это тоже обработка персональных данных, и сайт должен раскрыть её в политике.
Можно ли обойтись без баннера, если данные обезличены?
Можно, но только если данные обезличены необратимо и их нельзя связать с конкретным человеком ни при каких условиях. Для большинства коммерческих трекеров это не так. Рекламные сети как раз строят профиль пользователя по идентификаторам cookie.
Что будет, если баннера нет, а трекеры стоят?
Роскомнадзор может расценить это как обработку персональных данных без надлежащего основания. При проверке или жалобе пользователя оператору выдадут предписание привести сайт в порядок.
Нужно ли отдельное согласие на каждый рекламный пиксель?
Обычно достаточно одного согласия с перечнем целей и получателей данных в политике обработки, если баннер и политика перечисляют все используемые трекеры. При добавлении нового инструмента с новой целью политику и баннер нужно обновить.