Какие файлы cookie считаются строго необходимыми?

Строго необходимый файл cookie — это файл cookie, без которого сайт не может предоставить услугу, явно запрошенную пользователем: например, сохранить вход в систему, удержать товары в корзине или запомнить выбор в отношении файлов cookie. По правилам ЕС такие файлы cookie освобождены от согласия. Файлы cookie, которые служат прежде всего вашему бизнесу, например для аналитики, рекламы или A/B-тестирования, как правило, к ним не относятся.

Что на самом деле говорит закон?

Исключение установлено статьей 5(3) Директивы ePrivacy. Хранение информации на устройстве пользователя или доступ к ней требует согласия, за исключением случаев, когда это используется только для передачи сообщения по сети или строго необходимо для предоставления услуги, которую пользователь явно запросил.

Основную нагрузку несут две формулировки:

• «Строго необходимый» задает высокую планку. Полезности, эффективности или коммерческой значимости недостаточно. Без файла cookie услуга должна перестать работать или оказаться невозможной.
• «Явно запросил» означает, что услуга оценивается с точки зрения посетителя. Посетитель запрашивает страницу, вход в систему или оформление заказа. Измерение аудитории или таргетинг рекламы он не запрашивает.

В британском PECR есть равнозначное исключение, за соблюдением которого следит ICO. Государства — члены ЕС реализуют директиву через национальные законы, поэтому формулировки и рекомендации регуляторов в разных странах немного различаются. О соседних категориях читайте в статье Типы файлов cookie.

Как проверить, является ли файл cookie строго необходимым?

Спросите себя, перестанет ли работать запрошенная пользователем услуга без этого файла cookie и делает ли он что-то еще. Пройдитесь по этим вопросам для каждого файла cookie:

1. Какую услугу запросил пользователь? Назовите ее конкретно: просмотр страницы, вход в систему, оформление заказа.
2. Перестанет ли услуга работать без этого файла cookie? Если честный ответ — «работать будет, но мы потеряем аналитику», файл cookie не является строго необходимым.
3. Используется ли файл cookie только для этой цели? Если тот же идентификатор также передается в аналитику или рекламу, исключение на эти виды использования не распространяется.
4. Соразмерен ли срок его действия? Сеансовый или недолговечный файл cookie обосновать проще, чем тот, что хранится годами.
5. Использует ли данные кто-то еще? Если поставщик использует информацию в собственных целях, например для построения профилей, исключение вряд ли применимо.

Файл cookie, прошедший все пять проверок, — серьезный кандидат в категорию необходимых. Если он не прошел хотя бы одну, считайте, что для него нужно согласие.

Какие файлы cookie обычно подходят?

Большинство строго необходимых файлов cookie связаны с сеансами, безопасностью и запоминанием выбора, который сделал пользователь. В таблице приведены типичные случаи, но всегда применяйте проверку к собственной конфигурации.

Сценарий использования	Обычно строго необходимый?	Примечания
Вход в систему и управление сеансом	Да	Для разделов, в которые пользователь решил войти
Корзина покупок	Да	Хранит товары, добавленные пользователем
Балансировка нагрузки	Да	Распределяет запросы в течение сеанса
Безопасность, например CSRF-токены или проверки входа на мошенничество	Как правило, да	Если связаны с запрашиваемой услугой
Хранение выбора пользователя в отношении согласия	Да	Нужно, чтобы уважать этот выбор
Выбранные пользователем настройки языка или специальных возможностей	Часто	Если заданы явным действием пользователя и хранятся разумный срок
Аналитика и измерение аудитории	Как правило, нет	См. раздел об аналитике ниже
A/B-тестирование и персонализация	Как правило, нет	Служат вашей оптимизации, а не запросу пользователя
Реклама, ретаргетинг и отслеживание конверсий	Нет	В ЕС требуют согласия
Встраивания соцсетей, отслеживающие посетителей	Нет	Загружайте их только после согласия

Какие ошибки превращают «необходимые» файлы cookie в нарушение?

Самая распространенная проблема — отнести необязательные файлы cookie к категории необходимых, чтобы они загружались до согласия. Именно это регуляторы и ищут, когда проверяют баннеры и списки файлов cookie.

Остерегайтесь таких приемов:

• Аргумент «это нужно бизнесу». Фраза «нам нужна аналитика, чтобы вести бизнес» может быть правдой, но исключение касается услуги, которую запросил пользователь, а не ваших операционных потребностей.
• Доверие к ярлыкам поставщиков. Если поставщик называет свой файл cookie «обязательным», это описание продукта, а не юридическая оценка. Проверьте, что файл cookie делает на самом деле.
• Многоцелевые файлы cookie. Если один идентификатор используется и для управления сеансом, и для атрибуции рекламы, для рекламного использования нужно согласие. По возможности разделите функции между отдельными файлами cookie.
• Теги, которые загружаются вместе с необходимыми скриптами. Контейнер менеджера тегов может загружаться до согласия, но теги внутри него все равно должны дожидаться выбора посетителя.
• Смешение исключения с законным интересом. Основание «законный интерес» по Общему регламенту по защите данных (GDPR) не заменяет требование ePrivacy о согласии на хранение информации на устройстве. Подробнее об этом — в статье Можно ли опираться на законный интерес для файлов cookie?

Нужно ли раскрывать информацию о строго необходимых файлах cookie?

На практике да. Исключение снимает необходимость в согласии, но если файл cookie обрабатывает персональные данные, обязанности GDPR по прозрачности сохраняются, и регуляторы ожидают видеть необходимые файлы cookie в списке наряду с остальными.

Это означает три вещи. Укажите каждый необходимый файл cookie в политике использования файлов cookie с его целью и сроком действия, как описано в статье о том, как написать политику использования файлов cookie. Показывайте категорию необходимых файлов cookie в настройках баннера как «всегда активна», а не в виде переключателя. И пересматривайте список всякий раз, когда добавляете поставщика, потому что файл cookie, освобожденный сегодня, может утратить этот статус, если его использование изменится.

Есть ли исключения для аналитики?

Как правило, нет. По Директиве ePrivacy в большинстве стран ЕС для аналитических файлов cookie нужно согласие. Несколько национальных регуляторов описали узкие условия, при которых базовое собственное измерение аудитории может быть освобождено от согласия; обычно для этого требуются строго ограниченная цель, отсутствие межсайтового отслеживания и агрегированные результаты.

Эти позиции национальные, а не общеевропейские, и их условия строгие. Великобритания также пошла на смягчение правил о согласии для некоторых видов использования с низким риском, включая определенную аналитику, но как это применяется, зависит от законодательства и рекомендаций ICO, поэтому, прежде чем на это полагаться, уточните текущую позицию. Если вам нужно измерение, которое меньше зависит от согласия, стоит присмотреться к аналитике без cookie, хотя и она не выходит за рамки правил автоматически.

Итоги

Строго необходимые файлы cookie — узкая категория: это файлы cookie, без которых не может работать запрошенная пользователем услуга, которые не используются ни для чего другого и имеют соразмерный срок действия. Проверяйте каждый файл cookie по этому стандарту, все остальное держите за согласием, а необходимые файлы cookie все равно раскрывайте. Такие инструменты, как Cookiesh, могут автоматизировать сканирование файлов cookie, и так проще заметить новые файлы cookie до того, как они окажутся не в той категории.

Эта статья носит общий информационный характер и не является юридической консультацией. Для решений, касающихся вашей конкретной ситуации, обратитесь к квалифицированному специалисту по защите данных.