Коротко
- Отдельного закона, который требует именно баннер, в России нет.
- Но если cookie вместе с другими данными позволяют выделить посетителя — например, через счётчики аналитики, — это обработка персональных данных по 152-ФЗ.
- Поэтому сайтам со счётчиками нужно уведомить посетителя, описать cookie в политике и иметь основание для обработки.
- Самый аккуратный вариант — включать аналитику только после согласия посетителя.
Что такое cookie и при чём тут персональные данные?
Cookie — небольшие файлы, которые сайт сохраняет в браузере: чтобы помнить корзину, вход в личный кабинет или считать посещения. Технические cookie, без которых сайт не работает, обычно вопросов не вызывают. Иначе обстоит дело со счётчиками аналитики и рекламы: они присваивают посетителю идентификатор, собирают IP-адрес, данные об устройстве и действиях. В связке такие сведения позволяют выделить конкретного человека, поэтому их рассматривают как персональные данные.
Когда уведомление нужно?
| Что стоит на сайте | Нужно ли уведомление |
|---|---|
| Только технические cookie (корзина, вход) | Желательно упомянуть в политике |
| Яндекс Метрика или другая аналитика | Да: уведомление и описание в политике |
| Рекламные пиксели и ретаргетинг | Да, и лучше — включать только после согласия |
| Зарубежные счётчики (Google Analytics) | Проблема не в баннере: такой сбор данных за рубежом запрещён, счётчик нужно убрать |
Про последний пункт подробно — в статье штраф за Google Analytics на сайте.
Как сделать уведомление правильно?
- Понятный текст. Какие сервисы ставят cookie и зачем: «Мы используем Яндекс Метрику, чтобы понимать, какие страницы полезны».
- Выбор. Кнопки «Принять» и «Отказаться», а не только «ОК».
- Аналитика после согласия. Счётчик загружается только после «Принять». Так сделано на нашем сайте — можете открыть его в новой вкладке и проверить.
- Ссылка на политику, где описаны cookie и сервисы.
- Возможность передумать — ссылка «Настройки cookie» внизу страницы.
Какие ошибки встречаются?
- Баннер есть, но счётчики загружаются ещё до того, как посетитель что-то нажал.
- В баннере нет ссылки на политику, а в политике ничего не сказано о cookie.
- Баннер закрывает полэкрана на телефоне и мешает пользоваться сайтом.
- Баннер «для галочки», а на сайте при этом стоит Google Analytics.
В нашей проверке 45 сайтов салонов и стоматологий Москвы уведомления о cookie не было на 13% сайтов, при этом счётчики на многих из них работали.
Частые вопросы
Есть ли штраф именно за отсутствие cookie-баннера?
Отдельного штрафа за баннер нет. Риски связаны с обработкой персональных данных без основания и без описания в политике — за это ответственность установлена ст. 13.11 КоАП.
Нужно ли согласие на технические cookie?
Как правило, нет: без них сайт не работает. Но описать их в политике полезно.
Яндекс Метрика тоже требует уведомления?
Да. Метрика — российский сервис, и с ней нет проблемы сбора за рубежом, но она ставит cookie и обрабатывает данные посетителей. Уведомление и описание в политике нужны.
Подойдёт ли готовый плагин баннера?
Подойдёт, если он действительно блокирует счётчики до согласия, а не просто показывает текст.
Итог
Cookie-баннер в России — не формальность ради моды, а способ честно сказать посетителю, какие данные собирает сайт, и получить основание для аналитики. Сделайте его с выбором, связывайте с политикой и не загружайте счётчики до согласия. Мы делаем это в рамках исправления сайта по 152-ФЗ, а проверить, что на сайте сейчас, можно нашим ботом.
Источники
- Федеральный закон № 152-ФЗ «О персональных данных» — КонсультантПлюс
- КоАП РФ, ст. 13.11 — КонсультантПлюс