Куки и персональные данные: что требует 152-ФЗ
Куки для аналитики и рекламы делают пользователя сайта субъектом персональных данных и требуют явного согласия по правилам 152-ФЗ, а Роскомнадзор проверяет сайты автоматически.
Согласно ч. 1 ст. 3 Закона № 152-ФЗ, персональные данные — это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.
Куки присваивают пользователю уникальный идентификатор, отслеживают его поведение на сайте, связывают посещения и действия между сессиями и могут передаваться третьим лицам — Яндекс.Метрике, рекламным сетям и т. п. Даже если сайт не собирает имя или телефон, достаточно IP-адреса и идентификатора устройства, чтобы пользователь стал субъектом персональных данных. Технические данные приравнены к персональным.
Какие куки требуют согласия
Есть 2 типа куки:
- Технические: авторизация, корзина, сессия — можно без отдельного согласия.
- Аналитические и рекламные: Метрика, GA, пиксели, ретаргетинг — нужно явное согласие пользователя.
На что смотрит Роскомнадзор
Роскомнадзор перешёл на автоматизированные системы анализа сайтов, которые сканируют HTML-код, JavaScript-запросы, cookie-файлы и ответы сервера. Основные точки контроля:
- наличие cookie-баннера при первом посещении — автоматическая проверка фиксирует, показывается ли уведомление до начала сбора данных;
- возможность отказа — баннер должен давать выбор, а не только кнопку «Принять», отсутствие альтернативы расценивается как нарушение;
- сохранение выбора — согласие или отказ должны фиксироваться и не запрашиваться повторно в течение разумного срока (обычно 12 месяцев);
- ссылка на политику — баннер без ссылки на полную политику использования куки юридически бесполезен;
- уведомление Роскомнадзора — оператор обязан подать уведомление об обработке персональных данных, включая обработку через куки; локализация баз данных — сведения российских пользователей (включая куки и IP-адреса) должны храниться на серверах в РФ.
Что делать владельцу сайта
Минимум: cookie-баннер + политика + возможность отказа + уведомление в РКН + проверить хостинг.
Если аудитория только РФ — обычно достаточно информирующего баннера. Лучший вариант — баннер с управлением категориями.
Для регулярного аудита своего ресурса и подготовки к проверкам Роскомнадзора удобнее использовать расширения-сканеры для браузера (например, PreConsent) или онлайн-сервисы (например, Cookie Checker) для получения отчёта.