Cookie и баннер согласия на сайте: что требует российский закон

Владельцы сайтов часто копируют европейский «баннер согласия на cookie» и думают, что закрыли вопрос. В России требования иные. Разберём, являются ли cookie персональными данными, нужен ли баннер по 152-ФЗ и что на самом деле проверяют.

Являются ли cookie персональными данными

Сами по себе технические cookie не всегда персональные данные. Но если cookie и идентификаторы позволяют — в том числе в связке с другими сведениями — выделить и узнать конкретного пользователя, они приобретают характер персональных данных. Аналитические и рекламные трекеры, профилирующие посетителя, чаще всего попадают в зону риска.

Нужен ли баннер согласия на cookie

Прямого требования «cookie consent», как в европейском GDPR, в российском законе нет — слепо копировать евробаннер не нужно. Но действует общий принцип прозрачности (152-ФЗ): пользователя нужно информировать о том, что сайт использует cookie и счётчики, и с какими целями. Это делается через уведомление (баннер) со ссылкой на политику обработки ПДнПерсональные данные — Любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн). и через сам текст политики.

Что важнее баннера: иностранные счётчики и локализация

Главный риск на практике — не отсутствие баннера, а зарубежная аналитика. Если иностранный счётчик или виджет передаёт данные посетителей-россиян за границу, возникают вопросы локализации (часть 5 статьи 18) и трансграничной передачи (статья 12). При сборе ПДн граждан РФ их запись, систематизацию, накопление и хранение нельзя вести в зарубежных базах (часть 5 статьи 18), поэтому иностранная аналитика, через которую данные россиян уходят за рубеж до обработки в РФ, создаёт прямой риск нарушения. Подробнее — в статьях «Роскомнадзор проверяет сайты» и «Трансграничная передача ПДн».

Что сделать на сайте

• Добавьте уведомление об использовании cookie со ссылкой на политику обработки ПДн.
• Опишите в политике, какие cookie и счётчики используются и зачем; как её составить — здесь.
• Проверьте подключённые счётчики: не уходят ли данные россиян за рубеж до записи в РФ.
• Не выдавайте евробаннер GDPR за выполнение российских требований.

Типичные ошибки

• Евробаннер вместо локализации. Поставили cookie-баннер, но данные уходят на зарубежные серверы.
• Нет информирования. Счётчики стоят, в политике о них ни слова.
• Считают, что cookie никогда не ПДн. Игнорируют профилирующие трекеры.

Главное

Российский закон не требует именно «баннера согласия на cookie» по образцу GDPR, но обязывает информировать о cookie и счётчиках и соблюдать локализацию и правила трансграничной передачи. Важнее красивого баннера — проверить, не уходят ли данные посетителей-россиян за рубеж через иностранную аналитику.