Распространяется ли согласие на cookie на localStorage, пиксели и цифровые отпечатки?

Да. Правило ЕС о cookie в статье 5(3) Директивы ePrivacy вообще не упоминает файлы cookie. Оно распространяется на сохранение информации на устройстве пользователя и получение доступа к уже хранящейся там информации с помощью любой технологии. localStorage, IndexedDB, пиксели отслеживания и скрипты для снятия цифровых отпечатков подпадают под его действие, что Европейский совет по защите данных (EDPB) и подтвердил в своем Руководстве 2/2023.

Что на самом деле говорится в законе?

Статья 5(3) гласит, что сохранение информации или получение доступа к уже сохраненной информации в оконечном оборудовании пользователя допускается только с его согласия и после того, как ему предоставлена ясная и исчерпывающая информация. Предусмотрено два исключения: сохранение или доступ, необходимые исключительно для передачи сообщения, и сохранение или доступ, строго необходимые для предоставления услуги, которую пользователь явно запросил.

Слово «cookie» встречается только в преамбуле, в качестве примера. Сама обязанность определяется тем, что происходит на устройстве, а не механизмом. Поэтому название «закон о cookie» вводит в заблуждение, и поэтому перенос данных отслеживания из cookie в другое место не выводит их из-под действия закона. О том, как это правило соотносится с Общим регламентом по защите данных (GDPR), читайте в статье Директива ePrivacy и GDPR.

Что прояснило Руководство EDPB 2/2023?

EDPB опубликовал Руководство 2/2023, чтобы разрешить споры о техническом охвате статьи 5(3), и окончательно утвердил его в 2024 году. В руководстве правило разбито на элементы, и каждый из них толкуется широко.

• Информация — это любая информация, а не только персональные данные. Случайный идентификатор или настройка устройства тоже считаются.
• Оконечное оборудование — любое устройство, которое подключается к сети: ноутбук, телефон, смарт-телевизор или подключенный автомобиль.
• Сохранение охватывает любую запись на устройство — в файлы cookie, хранилище браузера, кеш или файлы.
• Получение доступа происходит всякий раз, когда кто-либо предпринимает шаги, чтобы получить информацию с устройства. Поручение браузеру отправить информацию тоже считается доступом, даже если никто не считывает хранилище напрямую.

Последний пункт важнее всего. При таком толковании скрипт, который запрашивает у браузера разрешение экрана, установленные шрифты или графический отпечаток, получает доступ к информации — как и тег изображения, который заставляет браузер отправить запрос с идентификаторами.

EDPB также разбирает конкретные сценарии, в том числе пиксели отслеживания, ссылки для отслеживания, данные, которые обрабатываются локально, а затем отправляются обратно, некоторые формы отслеживания по IP-адресу, подключенные устройства и уникальные идентификаторы. Во всех случаях вопрос один и тот же: заставил ли кто-то сохранить информацию на устройстве пользователя или отправить ее с него?

Для каких технологий нужно согласие?

Применяйте ко всем технологиям одну и ту же проверку: если технология сохраняет или считывает информацию на устройстве и не является строго необходимой для того, что запросил пользователь, для нее нужно согласие.

Технология	Подпадает под статью 5(3)?	Типичное использование, требующее согласия
Файлы cookie HTTP и JavaScript	Да	Идентификаторы для аналитики и рекламы
localStorage и sessionStorage	Да	Клиентские идентификаторы аналитики, буферы записи сеансов
IndexedDB и Cache Storage	Да	Кешированные рекламные данные или данные отслеживания
Пиксели отслеживания (на сайтах и в письмах)	Да, по мнению EDPB	Отслеживание конверсий, отслеживание открытия писем
Скрипты для снятия цифровых отпечатков	Да, по мнению EDPB	Межсайтовая идентификация без cookie
Параметры отслеживания в ссылках	Могут подпадать — в зависимости от того, как задается и считывается идентификатор	Атрибуция кликов и кампаний

Таблица — отправная точка, а не вердикт. Пиксель, который используется только для загрузки декоративного изображения, ничего не отслеживает, тогда как скрипт аналитики «без cookie», формирующий стабильный хеш устройства, как правило, отслеживает.

Действует ли по-прежнему исключение для строго необходимого?

Да, и оно тоже технологически нейтрально. Если что-то строго необходимо для предоставления услуги, которую пользователь явно запросил, вы можете сохранять или считывать это без согласия, каким бы ни был механизм хранения.

Типичные примеры в localStorage:

// Строго необходимо: пользователь сам запросил эти функции
localStorage.setItem('cart', JSON.stringify(cartItems));
localStorage.setItem('locale', 'de');
localStorage.setItem('consent', JSON.stringify(choices)); // запоминаем сам выбор

// Нужно согласие: идентифицирует устройство для аналитики или рекламы
localStorage.setItem('analytics_client_id', crypto.randomUUID());

Критерий — цель, а не технология. Один и тот же ключ в одном случае может не требовать согласия, а в другом — требовать, поэтому не используйте необходимое значение, например идентификатор сеанса, повторно для аналитики. Более полный список приведен в статье какие файлы cookie считаются строго необходимыми.

Позволяют ли цифровые отпечатки обойти требование о согласии?

Нет. Цифровые отпечатки часто продают как способ обойтись без баннеров cookie, но они основаны на считывании характеристик устройства через браузер, что EDPB рассматривает как получение доступа к информации на устройстве. Для них нужно согласие, а поскольку пользователи не могут увидеть или удалить цифровой отпечаток так, как удаляют файлы cookie, регуляторы, как правило, считают этот метод более, а не менее навязчивым.

То же относится к поставщикам решений «без cookie», которые формируют постоянный идентификатор из сигналов устройства. Если вам нужна аналитика без согласия, честный путь — собирать меньше: агрегированные подсчеты без постоянного идентификатора. Варианты описаны в статье аналитика без файлов cookie: что работает без согласия.

Что сделать на своем сайте?

Относитесь к каждой технологии хранения или доступа так, как если бы это был файл cookie.

1. Проведите полную инвентаризацию. Ваш аудит файлов cookie должен охватывать не только файлы cookie, но и ключи localStorage, sessionStorage и IndexedDB, исходящие запросы пикселей и скрипты, которые считывают характеристики устройства.
2. Классифицируйте по целям. Отметьте каждый элемент как строго необходимый либо как аналитический, маркетинговый или функциональный, используя те же категории, что и в баннере.
3. Блокируйте до получения согласия. Задерживайте скрипты и пиксели, которые записывают или считывают необязательные данные, пока пользователь не даст согласие. См. статью как блокировать сторонние скрипты до получения согласия.
4. Раскрывайте информацию. В политике cookie также должны быть указаны технологии помимо cookie — с их целью и сроком хранения.
5. Наводите порядок после отказа или отзыва согласия. Удаляйте необязательные ключи из хранилища браузера, когда пользователь говорит «нет», — так же, как удалили бы файлы cookie.

Итоги

Правила ЕС о согласии исходят из того, что происходит на устройстве, а не из того, как называется технология. Если вы сохраняете или считываете что-либо для аналитики, рекламы или отслеживания — в файле cookie, в localStorage, с помощью пикселя или цифрового отпечатка, — сначала нужно получить согласие. Такие инструменты, как Cookiesh, сканируют файлы cookie, ключи хранилища и сторонние запросы вместе, поэтому отслеживание без cookie попадает в тот же перечень, что и все остальное.

Эта статья носит общий информационный характер и не является юридической консультацией. Для решений, касающихся вашей конкретной ситуации, обратитесь к квалифицированному специалисту по защите данных.