Требования GDPR к согласию на файлы cookie: подробный разбор

По праву ЕС вам нужно предварительное явное согласие посетителя, прежде чем устанавливать или считывать любой файл cookie, который не является строго необходимым для оказания запрошенной им услуги. Это согласие должно соответствовать стандарту Общего регламента по защите данных (GDPR): быть свободным, конкретным, информированным и недвусмысленным. Посетители должны иметь возможность отказаться так же легко, как согласиться, и в любой момент передумать, а вы должны уметь доказать, какой выбор они сделали.

Какие законы регулируют файлы cookie в ЕС?

Здесь работают в связке два акта. Директива ePrivacy определяет, когда для файла cookie нужно согласие, а GDPR — каким должно быть действительное согласие.

Статья 5(3) Директивы ePrivacy касается хранения информации на устройстве пользователя или считывания информации с него. Сюда относятся не только файлы cookie, но и локальное хранилище, пиксели отслеживания, идентификаторы устройств и аналогичные технологии. Правило действует независимо от того, считается ли эта информация персональными данными.

GDPR задает стандарт согласия. Статья 4(11) дает определение согласия, а статья 7 устанавливает условия его действительности. Когда файлы cookie собирают персональные данные, как это делает большинство аналитических и рекламных cookie, GDPR регулирует и все, что вы делаете с этими данными дальше. Подробнее о том, как два акта распределяют роли, читайте в статье Директива ePrivacy и GDPR.

Поскольку Директива ePrivacy — это директива, а не регламент, каждая страна ЕС переносит ее в собственное национальное законодательство. Базовое правило везде одинаково, но рекомендации регуляторов и приоритеты правоприменения различаются.

Для каких файлов cookie нужно согласие?

Согласие нужно для любого файла cookie или аналогичной технологии, если только он не является строго необходимым для предоставления услуги, которую пользователь явно запросил, или не используется исключительно для передачи сообщения. Значение имеет цель, а не то, собственный это файл cookie или сторонний.

Цель файла cookie	Пример	Нужно ли согласие?
Аутентификация	Сохраняет вход пользователя на время сеанса	Нет, строго необходимый
Корзина покупок	Запоминает товары, добавленные в корзину	Нет, строго необходимый
Балансировка нагрузки	Направляет запросы на один и тот же сервер	Нет, строго необходимый
Хранение согласия	Запоминает выбор посетителя в отношении cookie	Нет, строго необходимый
Предпочтения	Язык или настройки отображения	Зависит от того, выбрал ли пользователь эту настройку явно
Аналитика	Считает посещения и отслеживает пути пользователей	Да, в большинстве случаев
Реклама	Ретаргетинг, отслеживание конверсий, профилирование	Да
Встраивания соцсетей	Кнопки «Поделиться», встроенные публикации, пиксели	Да, если они устанавливают или считывают идентификаторы

На двух моментах часто спотыкаются. Во-первых, собственный аналитический файл cookie в большинстве стран ЕС все равно требует согласия. Несколько регуляторов допускают узкие исключения для строго настроенного измерения аудитории, но относитесь к этому как к исключению, действующему лишь в отдельных странах.

Во-вторых, «строго необходимый» означает необходимый для услуги, которую запросил пользователь, а не для вашей бизнес-модели. Пограничные случаи разобраны в нашем руководстве по строго необходимым файлам cookie.

Когда согласие на файлы cookie действительно?

Согласие действительно, только если оно свободное, конкретное, информированное и недвусмысленное и выражено ясным активным действием. Для баннера cookie это сводится к нескольким конкретным правилам.

• Согласие вместо отказа по умолчанию. Необязательные категории изначально выключены. В решении по делу Planet49 (C-673/17, 2019) Суд Европейского союза (CJEU) постановил, что заранее отмеченный флажок не является действительным согласием.
• Никакого подразумеваемого согласия. По позиции Европейского совета по защите данных (EDPB) — органа, который выпускает общие рекомендации для регуляторов ЕС, — прокрутка страницы или продолжение просмотра сайта согласием не являются.
• Детальный выбор. У людей должна быть возможность разрешить аналитику и отказаться от маркетинга, а не единственный переключатель по принципу «все или ничего».
• Реальная информация. Объясните, кто устанавливает файлы cookie, для чего они нужны, сколько хранятся и какие третьи стороны получают данные.
• Свобода выбора. Отказаться должно быть так же просто, как согласиться, а доступ к сайту не должен зависеть от согласия на необязательные файлы cookie.

Каждый пункт подробно разобран в нашем чек-листе действительного согласия.

Что на практике означает «предварительное» согласие?

Это значит, что ничего необязательного не запускается, пока посетитель не ответил «да». Баннер, который записывает выбор, когда теги аналитики и рекламы уже сработали при загрузке страницы, не соответствует требованиям, как бы аккуратно он ни выглядел.

По большей части это инженерная задача. Сторонние скрипты, контейнеры менеджера тегов и встроенные виджеты нужно придерживать, пока соответствующая категория не разрешена, а состояние согласия — проверять при каждом просмотре страницы, чтобы отказ оставался отказом.

Если вы используете рекламные или аналитические теги Google для посетителей из Европейской экономической зоны (ЕЭЗ), то с марта 2024 года Google также требует передавать сигналы режима согласия (consent mode). Эти сигналы сообщают тегам Google выбор посетителя. Это требование собственной политики Google, и оно не заменяет юридическую обязанность сначала получить согласие.

Что еще нужно для соответствия требованиям, помимо баннера?

Баннер — лишь видимая часть. Корректная настройка обычно состоит из восьми шагов:

1. Проведите аудит сайта. Составьте список всех файлов cookie, ключей локального хранилища, пикселей и сторонних скриптов, включая добавленные плагинами и менеджерами тегов.
2. Классифицируйте по целям. Отнесите каждый элемент к одной из категорий — необходимые, предпочтения, аналитика или маркетинг — и удалите все, чем больше не пользуетесь.
3. Блокируйте до получения согласия. Придерживайте каждый необязательный скрипт, пока его категория не будет разрешена.
4. Спрашивайте ясно. На первом уровне покажите кнопки «Принять» и «Отклонить» одинаковой заметности, а также возможность выбора по категориям.
5. Задокументируйте. Опубликуйте политику использования файлов cookie, которая соответствует тому, что сайт действительно устанавливает.
6. Упростите отзыв согласия. Согласно статье 7(3), отозвать согласие должно быть так же просто, как дать его, поэтому сохраняйте постоянную ссылку или кнопку, которая снова открывает настройки.
7. Ведите записи. Статья 7(1) требует, чтобы вы могли подтвердить наличие согласия, поэтому фиксируйте выбор, время и показанную версию баннера.
8. Повторяйте регулярно. Сканируйте сайт заново всякий раз, когда добавляете теги, меняете поставщиков или делаете редизайн.

Что будет, если ошибиться?

Штрафы могут быть значительными. Согласно статье 83(5) GDPR, за самые серьезные нарушения, включая нарушение условий согласия, может быть назначен штраф до 20 млн евро или до 4% общемирового годового оборота — в зависимости от того, какая сумма больше. Нарушения в отношении файлов cookie, которые преследуются по национальным законам об ePrivacy, наказываются по правилам каждой страны.

Регуляторы уже показали, что готовы пользоваться этими полномочиями. В декабре 2021 года французский орган по защите данных CNIL оштрафовал Google на 150 млн евро, а Facebook — на 60 млн евро, потому что отказаться от файлов cookie на их сайтах было сложнее, чем принять их. Регуляторы также могут обязать вас изменить баннер. В нашем разборе уроков, которые владельцы сайтов могут извлечь из санкций за cookie, описаны нарушения, за которые наказывают снова и снова.

Итоги

Согласие на файлы cookie по GDPR сводится к простой последовательности: знайте, что устанавливает ваш сайт, блокируйте все необязательное, спрашивайте ясно и с равноценной возможностью отказаться, соблюдайте ответ на каждой странице и сохраняйте доказательства. Большинство сбоев возникает в промежутках между этими шагами: например, тег добавили в обход аудита или баннер записывает выбор, но не применяет его. Такие инструменты, как Cookiesh, могут автоматизировать сканирование файлов cookie, блокировку скриптов и журналирование согласий, но решать, какие файлы cookie вам действительно нужны, по-прежнему вам.

Эта статья носит общий информационный характер и не является юридической консультацией. Для решений, касающихся вашей конкретной ситуации, обратитесь к квалифицированному специалисту по защите данных.