Cookie и баннер согласия на сайте: что требует российский закон
Нужен ли на сайте баннер согласия на cookie по российскому закону, являются ли cookie персональными данными, чем требования 152-ФЗ отличаются от европейского GDPR, что писать в баннере и политике и почему важны иностранные счётчики и локализация. Практический разбор для владельцев сайтов.
Владельцы сайтов часто копируют европейский «баннер согласия на cookie» и думают, что закрыли вопрос. В России требования иные. Разберём, являются ли cookie персональными данными, нужен ли баннер по 152-ФЗ и что на самом деле проверяют.
Являются ли cookie персональными данными
Сами по себе технические cookie не всегда персональные данные. Но если cookie и идентификаторы позволяют — в том числе в связке с другими сведениями — выделить и узнать конкретного пользователя, они приобретают характер персональных данных. Аналитические и рекламные трекеры, профилирующие посетителя, чаще всего попадают в зону риска.
Нужен ли баннер согласия на cookie
Прямого требования «cookie consent», как в европейском GDPR, в российском законе нет — слепо копировать евробаннер не нужно. Но действует общий принцип прозрачности (152-ФЗ): пользователя нужно информировать о том, что сайт использует cookie и счётчики, и с какими целями. Это делается через уведомление (баннер) со ссылкой на политику обработки ПДнПерсональные данные — Любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн). и через сам текст политики.
Что важнее баннера: иностранные счётчики и локализация
Главный риск на практике — не отсутствие баннера, а зарубежная аналитика. Если иностранный счётчик или виджет передаёт данные посетителей-россиян за границу, возникают вопросы локализации (часть 5 статьи 18) и трансграничной передачи (статья 12). При сборе ПДн граждан РФ их запись, систематизацию, накопление и хранение нельзя вести в зарубежных базах (часть 5 статьи 18), поэтому иностранная аналитика, через которую данные россиян уходят за рубеж до обработки в РФ, создаёт прямой риск нарушения. Подробнее — в статьях «Роскомнадзор проверяет сайты» и «Трансграничная передача ПДн».
Что сделать на сайте
- Добавьте уведомление об использовании cookie со ссылкой на политику обработки ПДн.
- Опишите в политике, какие cookie и счётчики используются и зачем; как её составить — здесь.
- Проверьте подключённые счётчики: не уходят ли данные россиян за рубеж до записи в РФ.
- Не выдавайте евробаннер GDPR за выполнение российских требований.
Типичные ошибки
- Евробаннер вместо локализации. Поставили cookie-баннер, но данные уходят на зарубежные серверы.
- Нет информирования. Счётчики стоят, в политике о них ни слова.
- Считают, что cookie никогда не ПДн. Игнорируют профилирующие трекеры.
Главное
Российский закон не требует именно «баннера согласия на cookie» по образцу GDPR, но обязывает информировать о cookie и счётчиках и соблюдать локализацию и правила трансграничной передачи. Важнее красивого баннера — проверить, не уходят ли данные посетителей-россиян за рубеж через иностранную аналитику. ГрамотаИБ помогает привести политику и сайт в порядок под российские требования — попробовать можно в сервисе.