Cookie-баннер: нужен ли он и как его сделать
Баннер про cookie видел каждый, и почти все ставят его одинаково плохо. Разбираем, чего требует российский закон, чем он отличается от европейского и как сделать баннер, который действительно работает.
Требует ли российский закон баннер
Прямой нормы «обязан быть cookie-баннер» в российском законодательстве нет — в отличие от европейского регламента, откуда эта практика и пришла. Требование выводится косвенно, и вот из чего.
Многие cookie позволяют выделить конкретного посетителя среди других и связать с ним историю действий. Роскомнадзор в своих разъяснениях относит такие идентификаторы к персональным данным. А если это персональные данные, то работают общие правила: посетителя надо проинформировать и получить согласие.
Что должно быть в баннере
- Что собирается и зачем — одной понятной фразой, а не отсылкой к регламенту.
- Ссылка на политику, где написано подробно.
- Возможность отказаться — равноценная кнопке согласия, а не спрятанная в настройках.
- Аналитика не запускается до ответа, если речь об аналитических cookie. Иначе согласие спрашивается после того, как данные уже собраны.
Чем плоха формулировка «продолжая пользоваться сайтом»
Это самый распространённый вариант в рунете и самый слабый. Он объявляет согласием сам факт того, что человек не ушёл со страницы. Никакого действия он не совершал, выбора ему не предложили, отказаться было нечем.
Требование к согласию одно и то же везде: оно должно быть конкретным, сознательным и однозначным (ч.1 ст. 9 152-ФЗ). Молчание под этот критерий не подходит. А доказывать получение согласия по закону обязан оператор — и молчанием тут не докажешь ничего.
Разница между баннером с кнопкой «Отклонить» и баннером без неё небольшая по трудозатратам и принципиальная по сути.
Технические тонкости
- Разделите cookie по назначениюТехнические — те, без которых сайт не работает: корзина, вход в личный кабинет. Они не требуют согласия. Аналитические и рекламные — требуют.
- Запомните выборБаннер, который появляется при каждом переходе между страницами, раздражает и не работает. Ответ сохраняется и больше не спрашивается.
- Дайте возможность передуматьСсылка «настройки cookie» в подвале — чтобы отозвать согласие можно было не только очисткой браузера.
- Не прячьте кнопку отказаСерая надпись мелким шрифтом рядом с яркой кнопкой «Принять всё» формально выбор даёт, фактически нет.
Баннер не заменяет политику
Частая ошибка: поставили баннер и решили, что с персональными данными закрыто. Баннер — это уведомление об одном виде сбора. Он не отменяет ни публикации политики обработки данных, ни согласия в формах заявок, ни уведомления в Роскомнадзор.
Порядок разумнее обратный: сначала политика, потом согласие в формах, потом баннер. Первые два закрывают нормы с готовыми штрафами, третий — область, где практика ещё складывается.
Частые вопросы
Обязателен ли cookie-баннер в России?
Прямой нормы, требующей именно баннер, нет. Но обязанность информировать посетителя о сборе данных и получать согласие есть, а Роскомнадзор относит идентификаторы в cookie к персональным данным. Баннер — практичный способ это исполнить.
Достаточно ли написать «продолжая пользоваться сайтом, вы соглашаетесь»?
Это самый слабый вариант. Согласием объявляется бездействие человека, выбора ему не дали, и доказать получение согласия таким способом нельзя. Кнопка отказа рядом с кнопкой согласия решает проблему.
Нужно ли согласие на технические cookie?
Нет. Cookie, без которых сайт не может работать — корзина, сессия входа, — согласия не требуют. Требуют аналитические и рекламные.
Проверяете ли вы наличие cookie-баннера?
Мы ищем на странице признаки согласия и упоминания cookie и показываем, что нашли. Оценить достаточность формулировки для вашего случая может только юрист — мы этого не делаем.
Проверьте свой сайт
Двадцать одна проверка по 152-ФЗ, безопасности и техническому состоянию. Первая страница — бесплатно, без регистрации.