Политика cookies для сайта

Прямого определения cookie в 152-ФЗ нет. Вопрос решается через общее определение персональных данных в ст. 3 закона: это любая информация, относящаяся к прямо или косвенно определённому физическому лицу. Технический идентификатор cookie сам по себе обезличен, но если сайт связывает его с email, номером телефона, аккаунтом пользователя или использует для формирования профиля поведения конкретного человека, такой идентификатор становится персональными данными.

Практическое следствие: аналитические, рекламные и функциональные cookie, которые формируют историю поведения пользователя на сайте и между сайтами, стоит рассматривать как канал обработки персональных данных, даже если формально они не содержат имени или телефона. Строго технические cookie, обеспечивающие саму работу сайта — например, сохранение содержимого корзины в рамках сессии, — к персональным данным ближе не относятся, но их использование всё равно принято описывать в политике для прозрачности.

На практике cookie на сайте делят на несколько групп по назначению и по тому, требуется ли для них согласие пользователя:

Для технических cookie согласие обычно не требуется — их использование необходимо для предоставления запрошенной пользователем услуги. Для остальных категорий, особенно рекламных, наиболее осторожный подход — получать согласие пользователя до начала сбора данных.

152-ФЗ не содержит отдельной нормы, обязывающей все сайты показывать баннер cookie в том виде, в котором это принято в европейской практике GDPR. Обязанность оператора получать согласие вытекает из общих требований ст. 9 закона — там, где обработка данных через cookie не опирается на другое законное основание из ст. 6.

На практике для сайтов, которые используют аналитику и рекламные cookie, размещение баннера с информированием о cookie и возможностью отказаться от необязательных категорий — разумная защитная мера. Она демонстрирует добросовестность оператора и снижает риск претензии о скрытом сборе данных. Технически баннер реализуют так, чтобы пользователь мог принять все cookie, отклонить необязательные или настроить категории по отдельности.

Предустановленное согласие — то есть cookie, которые начинают работать до того, как пользователь как-либо отреагировал на баннер, — по аналогии с общими требованиями к согласию по ст. 9 152-ФЗ стоит рассматривать как ненадёжную практику: согласие должно быть осознанным действием пользователя, а не молчаливым допущением.

Документ должен закрывать вопросы, которые реально возникают у посетителя сайта:

1. что такое cookie и зачем сайт их использует — простым языком, без технического жаргона;
2. перечень категорий cookie, которые применяет сайт, с кратким описанием назначения каждой;
3. сведения о сторонних сервисах, которые устанавливают свои cookie через сайт — аналитика, реклама, видеоплееры, виджеты соцсетей;
4. срок хранения cookie каждой категории;
5. способ отказаться от необязательных cookie — через настройки баннера на сайте и через настройки браузера;
6. дата последнего обновления документа.

Перечень сторонних сервисов стоит сверять с фактическим состоянием сайта не реже раза в квартал — маркетинговые команды часто подключают новые пиксели и виджеты без уведомления тех, кто отвечает за юридические документы.

Политику cookie публикуют отдельной страницей и ссылаются на неё из баннера согласия, а также из общей политики конфиденциальности сайта. Если отдельного документа по cookie нет, раздел про cookie включают прямо в политику конфиденциальности — это допустимо для сайтов с несложной схемой использования cookie.

На что обращают внимание при оценке баннера согласия на cookie:

• cookie аналитики и рекламы запускаются до реакции пользователя на баннер (предустановленное согласие)
• в баннере нет прямой ссылки на политику cookie или на раздел политики конфиденциальности
• кнопка отказа от необязательных cookie менее заметна, чем кнопка согласия

Асимметричный дизайн баннера, где отказаться сложнее, чем согласиться, противоречит смыслу осознанного согласия по ст. 9 152-ФЗ.