Чему санкции за нарушения с cookie учат владельцев сайтов

Регуляторы раз за разом наказывают одни и те же немногочисленные ошибки: отказаться сложнее, чем принять, заранее отмеченные флажки или продолжение просмотра считаются согласием, а трекеры загружаются до того, как кто-либо сделал выбор. Самые наглядные уроки дают решение Суда ЕС по делу Planet49 и штрафы, которые Франция наложила на Google и Facebook в 2021 году. Устраните эти ошибки и проверьте свой сайт так, как это сделал бы регулятор.

Что произошло в решениях CNIL против Google и Facebook?

В декабре 2021 года французский орган по защите данных CNIL оштрафовал Google на 150 млн евро, а Facebook — на 60 млн евро. Главный вывод был простым: на их сайтах принять файлы cookie можно было одним кликом, а чтобы отказаться, требовалось несколько.

CNIL рассудил, что такая асимметрия подталкивала людей к согласию, поэтому собранное согласие не было свободным. Никого не заставляли соглашаться, но путь наименьшего сопротивления вел к «да», и этого оказалось достаточно. Регулятор также обязал обе компании предложить способ отказаться от файлов cookie, который был бы так же прост, как согласие.

Эти решения также показали, что у правил о cookie есть собственный путь правоприменения. CNIL действовал на основании французского закона, реализующего Директиву ePrivacy, а не через трансграничную процедуру Общего регламента по защите данных (GDPR), поэтому ему не нужно было уступать дело ведущему надзорному органу другой страны.

Урок: разместите кнопку отказа на первом уровне и сделайте ее такой же заметной, как кнопку согласия. Связанные с этим дизайнерские уловки, которые ищут регуляторы, описаны в нашем руководстве по темным паттернам в баннерах cookie.

Что окончательно решило дело Planet49?

В деле Planet49 (C-673/17, 2019) Суд Европейского союза (CJEU) постановил, что заранее отмеченный флажок не дает действительного согласия на файлы cookie. Посетитель должен совершить активное действие.

Дело касалось онлайн-лотереи, где флажок, разрешающий файлы cookie, был отмечен по умолчанию. Суд указал, что согласие требует активного поведения, поэтому оставить настройку по умолчанию недостаточно. Он также подтвердил, что требование согласия распространяется на информацию, хранящуюся на устройстве, независимо от того, является ли она персональными данными, и что пользователям нужно сообщать, как долго будут действовать файлы cookie и могут ли третьи стороны получить к ним доступ.

Урок: держите все необязательные категории изначально выключенными и убедитесь, что баннер или панель настроек объясняет сроки действия файлов cookie и доступ третьих сторон.

Какие ошибки регуляторы находят снова и снова?

Одни и те же проблемы всплывают раз за разом. Большинство из них видны любому, кто откроет инструменты разработчика в браузере.

Типичная ошибка	Почему это нарушение	Что делать вместо этого
Нет кнопки отказа на первом уровне	Отказаться сложнее, чем принять, поэтому согласие не свободное	Покажите кнопки «Принять» и «Отклонить» рядом и с одинаковой заметностью
Заранее отмеченные флажки или включенные переключатели	Это не активный и недвусмысленный выбор	Держите все необязательные категории изначально выключенными
Трекеры срабатывают при загрузке страницы	Согласие не получено до доступа к устройству	Блокируйте скрипты, пока соответствующая категория не разрешена
Уведомления «Используя сайт, вы соглашаетесь»	Продолжение просмотра не является активным действием	Требуйте явного клика для согласия
Файлы cookie устанавливаются и после отказа	Выбор записан, но не применяется	Проверяйте сценарий отказа на каждом шаблоне страниц
Устаревшие списки cookie	Согласие недостаточно информированное	Сканируйте сайт заново и обновляйте политику при изменении тегов
Нет простого способа отозвать согласие	Отозвать согласие должно быть так же просто, как дать его	Держите постоянную ссылку, которая снова открывает настройки

Третья и пятая строки заслуживают особого внимания. Хорошо продуманный баннер ничего не дает, если скрипты за ним игнорируют ответ. Техническая сторона разобрана в нашем руководстве о том, как блокировать сторонние скрипты до получения согласия.

Почему национальные регуляторы так часто занимаются cookie?

Нарушения с файлами cookie легко проверить, на них легко пожаловаться, и меры по ним можно принимать на местном уровне. Это сочетание делает их частой мишенью.

Поскольку правила ePrivacy реализованы в национальном законодательстве, регулятор обычно может действовать против любого сайта, который обслуживает людей в его стране, без трансграничной координации по GDPR. Почему эти два режима применяются по-разному, объясняется в статье Директива ePrivacy и GDPR.

Многие расследования начинаются с жалоб пользователей или правозащитных организаций в сфере конфиденциальности, некоторые из которых подавали жалобы пачками на сайты с несоответствующими требованиям баннерами. Регуляторы также проводят собственные проверки и кампании по соблюдению требований. Доказательства собрать несложно: скриншот баннера и список запросов, отправленных до того, как сделан выбор.

Санкции зависят от того, по какому пути идет дело. Согласно статье 83(5) GDPR, за самые серьезные нарушения может быть назначен штраф до 20 млн евро или до 4% общемирового годового оборота — в зависимости от того, какая сумма больше. Санкции по национальным законам об ePrivacy определяются правилами каждой страны. В любом случае регуляторы могут также обязать вас внести изменения, иногда в установленный срок.

Как проверить свой сайт глазами регулятора?

Откройте сайт как новый посетитель, зафиксируйте, что происходит до первого клика, а затем проверьте каждый вариант выбора, который предлагает баннер. Базовая проверка укладывается в один рабочий сеанс.

1. Начните с чистого листа. Откройте приватное окно браузера с инструментами разработчика на вкладках Network и Application (или Storage).
2. Загрузите ключевые страницы, ничего не нажимая. Проверьте главную страницу, страницу с контентом и страницу оформления заказа или регистрации, отмечая каждый файл cookie, запись в локальном хранилище и сторонний запрос.
3. Отметьте все необязательное. Запросы аналитики, рекламы или социальных сетей на этом этапе — проблема.
4. Посчитайте клики. Сравните, сколько усилий нужно, чтобы принять все, и сколько — чтобы все отклонить.
5. Откажитесь и походите по сайту. Отклоните все, затем переходите по страницам и перезагружайте их. Новых необязательных файлов cookie или запросов появляться не должно.
6. Примите одну категорию. Разрешите, например, только аналитику и убедитесь, что загружаются только теги аналитики.
7. Отзовите согласие. Снова откройте настройки, отзовите согласие и убедитесь, что затронутые теги перестали работать.
8. Сравните и найдите запись. Убедитесь, что политика использования файлов cookie соответствует увиденному и что вы можете найти запись о согласии для своего тестового визита.

Чтобы составить полный перечень всего, что устанавливает ваш сайт, воспользуйтесь нашим руководством о том, как провести аудит файлов cookie.

Итоги

История правоприменения на редкость последовательна: регуляторы наказывают за асимметричный выбор, согласие, включенное по умолчанию, и трекеры, которые игнорируют ответ посетителя. Ничто из этого не трудно обнаружить, поэтому такие нарушения и продолжают появляться в решениях. Такие инструменты, как Cookiesh, могут автоматически сканировать файлы cookie и вести журналы согласий с цепочкой хешей, но самый полезный первый шаг — вручную проверить собственный баннер по приведенному выше чек-листу.

Эта статья носит общий информационный характер и не является юридической консультацией. Для решений, касающихся вашей конкретной ситуации, обратитесь к квалифицированному специалисту по защите данных.