UK GDPR и PECR: правила для файлов cookie в Великобритании

В Великобритании использование файлов cookie регулируют два закона, действующие совместно. Правила о конфиденциальности и электронных коммуникациях (PECR) требуют получать согласие, прежде чем сохранять информацию на устройстве или получать к ней доступ, если не применяется исключение, а UK GDPR — британская версия Общего регламента по защите данных (GDPR) — определяет, каким должно быть действительное согласие. За соблюдением обоих актов следит Управление комиссара по информации (ICO), а недавние реформы вводят новые исключения, за которыми стоит внимательно следить.

Как соотносятся UK GDPR и PECR?

PECR устанавливает правило для файлов cookie, а UK GDPR — стандарт согласия. Если файл cookie или аналогичная технология затрагивает еще и персональные данные, применяются также более общие принципы UK GDPR, например прозрачность и минимизация данных.

PECR — это британская имплементация Директивы ЕС об электронной конфиденциальности (ePrivacy). Ее норма о файлах cookie — правило 6 — требует предоставлять ясную и исчерпывающую информацию и получать согласие, прежде чем сохранять информацию на устройстве пользователя или получать к ней доступ, если не применяется исключение. Как и статья 5(3) в ЕС, она охватывает файлы cookie и аналогичные технологии: локальное хранилище, пиксели отслеживания и цифровые отпечатки устройств.

UK GDPR — это версия GDPR ЕС, сохраненная в британском праве после выхода страны из ЕС; она действует наряду с Законом о защите данных 2018 года (Data Protection Act 2018). Согласие в ней определяется как свободное, конкретное, информированное и недвусмысленное волеизъявление, выраженное явным утвердительным действием. О том, как это соотношение устроено в ЕС, читайте в статье Директива ePrivacy и GDPR.

Для каких файлов cookie в Великобритании нужно согласие?

Согласно давно действующим правилам, на все, что не является строго необходимым, требуется предварительное согласие. Это относится к аналитическим и рекламным файлам cookie, файлам cookie социальных сетей и большинству файлов cookie для персонализации.

Традиционные исключения сформулированы узко:

• Исключение для передачи сообщений: сохранение или доступ, используемые исключительно для передачи сообщения по сети.
• Исключение для строго необходимых файлов cookie: сохранение или доступ, строго необходимые для предоставления услуги, которую пользователь явно запросил, например корзины покупок, сеанса входа или файла cookie безопасности.

ICO давно считает аналитику не строго необходимой, какой бы ценной она ни была для бизнеса. О пограничных случаях читайте в статье какие файлы cookie считаются строго необходимыми.

Что изменил закон Data (Use and Access) Act 2025?

Закон о данных (использовании и доступе) 2025 года (Data (Use and Access) Act 2025) вносит поправки и в PECR, и в UK GDPR, а его изменения в части файлов cookie — самые значительные за последние годы. Однако его положения вступают в силу поэтапно, поэтому, прежде чем менять баннер, сверьтесь с актуальными рекомендациями ICO.

В принятой редакции закон вводит новые исключения из требования о согласии для ряда целей с более низким уровнем риска — например, для некоторых видов аналитики, используемой для улучшения сайта или сервиса, и для функций, запоминающих, как пользователь хочет, чтобы сайт выглядел или работал. Там, где эти исключения применяются, вам, как правило, все равно нужно четко сообщать людям, что вы делаете, и давать им простой и бесплатный способ возразить. Закон также призван привести санкции по PECR в соответствие с уровнем UK GDPR.

Пока детали уточняются, стоит учитывать три практические оговорки:

1. Для рекламы согласие по-прежнему нужно. Новые исключения нацелены на цели с низким уровнем риска, а не на таргетированную рекламу или межсайтовое отслеживание.
2. Сторонние инструменты требуют тщательной проверки. Исключение, связанное с улучшением вашего собственного сервиса, может не распространяться на поставщика, который также использует данные в собственных целях.
3. На посетителей из ЕС это не влияет. Если вы работаете и с людьми в ЕС, правила ЕС, как правило, по-прежнему требуют согласия на аналитику, поэтому вам может понадобиться разное поведение для разных регионов.

Прежде чем полагаться на любое новое исключение, проведите аудит файлов cookie, чтобы точно знать, какие из них под него подпадают.

Чего ICO ожидает от баннеров cookie?

ICO ожидает реального выбора: отказаться должно быть так же легко, как согласиться, необязательные файлы cookie не должны загружаться до получения согласия, а информация должна быть понятной. Регулятор публично призывал крупные сайты исправить баннеры, которые не соответствовали этому стандарту.

Баннер, готовый к британским требованиям, должен:

1. Предлагать кнопку «Отклонить все» с той же заметностью и тем же числом кликов, что и «Принять все».
2. Обходиться без заранее отмеченных флажков, включенных по умолчанию переключателей и согласия, встроенного в условия обслуживания.
3. Никогда не считать согласием прокрутку или продолжение просмотра.
4. Блокировать необязательные файлы cookie, пока пользователь не даст согласие.
5. Позволять легко изменить или отозвать согласие позже.
6. Объяснять цели и роль третьих лиц простым языком, а подробности приводить в политике использования файлов cookie.

Дизайнерские уловки, подталкивающие людей к согласию, регулярно оказываются в центре внимания регуляторов. В нашем руководстве по темным паттернам в баннерах cookie перечислены приемы, которых следует избегать.

Чем британские правила отличаются от европейских?

Британские и европейские правила о файлах cookie по-прежнему во многом совпадают, но уже начинают расходиться. Используйте эту таблицу для быстрой ориентации, а не как юридический справочник.

	ЕС	Великобритания
Правило о файлах cookie	Ст. 5(3) Директивы ePrivacy, через национальные законы	Правило 6 PECR
Стандарт согласия	GDPR	UK GDPR
Регулятор	Национальные органы по защите данных	ICO
Аналитические файлы cookie	Как правило, требуется согласие; национальные исключения узкие	Новые исключения для некоторых видов аналитики — после вступления в силу и с учетом рекомендаций ICO
Рекламные файлы cookie	Требуется согласие	Требуется согласие
Максимальный штраф по GDPR	20 млн евро или 4% годового мирового оборота	17,5 млн фунтов стерлингов или 4% годового мирового оборота

Итоги

Для посетителей из Великобритании запрашивайте предварительное согласие на все необязательное, сделайте отказ таким же простым, как согласие, и следите за тем, как вступают в силу положения закона Data (Use and Access) Act 2025 о файлах cookie. Прежде чем смягчать какие-либо требования к согласию, сверьтесь с последними рекомендациями ICO и помните, что посетителям из ЕС по-прежнему нужно согласие по европейским стандартам. Такие инструменты, как Cookiesh, автоматизируют сканирование файлов cookie и ведут журналы согласий, защищенные от незаметных изменений, чтобы вы могли показать ICO, что делает ваш сайт и какой выбор сделали посетители.

Эта статья носит общий информационный характер и не является юридической консультацией. Для решений, касающихся вашей конкретной ситуации, обратитесь к квалифицированному специалисту по защите данных.