- Cookie могут считаться персональными данными при возможности идентификации пользователя
- Аналитические и маркетинговые cookie обычно требуют согласия
- Технические cookie необходимы для работы сайта и чаще всего не требуют отдельного согласия
- Cookie-баннер рекомендуется для большинства коммерческих сайтов
- Важно разделять технические, аналитические и рекламные cookie
Являются ли cookie персональными данными
Cookie могут считаться персональными данными, если позволяют определить пользователя напрямую или косвенно.
Это особенно актуально, если cookie:
- содержат уникальный идентификатор;
- связаны с аккаунтом пользователя;
- позволяют отслеживать поведение;
- используются для аналитики или рекламы.
Сам по себе cookie-файл не всегда является персональными данными. Значение имеет возможность идентифицировать конкретного пользователя в совокупности с другими данными.
Когда cookie не считаются персональными данными
Обычно к таким случаям относятся:
- технические сессионные cookie;
- временные cookie без идентификаторов;
- файлы, необходимые только для работы сайта.
Например:
- сохранение содержимого корзины;
- поддержание авторизации;
- балансировка нагрузки сайта.
Типы cookie и требования к согласию
| Тип cookie | Согласие требуется? | Пример | |---|---|---| | Технические / сессионные | ❌ Нет | Авторизация, корзина | | Аналитические | ✅ Да | Метрика, аналитика поведения | | Маркетинговые | ✅ Да | Ретаргетинг, рекламные пиксели | | Функциональные | ⚠️ Желательно | Сохранение настроек интерфейса |
Многие сайты загружают аналитику и рекламные скрипты ещё до получения согласия пользователя. Это считается рискованной практикой с точки зрения privacy-compliance.
Cookie-баннер: что важно
Корректный cookie-баннер должен:
- появляться до запуска аналитики;
- объяснять, какие cookie используются;
- позволять отказаться от нетехнических cookie;
- содержать ссылку на cookie-политику.
Нежелательные практики
- Предустановленное согласие
- Скрытая кнопка отказа
- Автоматическая загрузка маркетинговых cookie
- Отсутствие информации о сторонних сервисах
Что указать в cookie-политике
В политике рекомендуется описать:
- какие cookie используются;
- цели обработки;
- сроки хранения;
- сторонние сервисы;
- способы отключения cookie;
- контакты оператора ПД.
Яндекс.Метрика и Google Analytics
Яндекс.Метрика
Часто используется российскими сайтами как локальный инструмент аналитики.
Google Analytics
Требует оценки рисков трансграничной передачи данных, так как данные могут обрабатываться за пределами РФ.
При использовании зарубежных аналитических сервисов необходимо учитывать требования ФЗ-152 о трансграничной передаче персональных данных.
Практические рекомендации
Для большинства сайтов безопасный подход выглядит так:
- Разделить технические и нетехнические cookie
- Загружать аналитику только после согласия
- Опубликовать cookie-политику
- Настроить возможность отказа
- Проверять сторонние скрипты после обновлений сайта
- Cookie-политика опубликована на сайтеобязательно
- Cookie-баннер появляется до загрузки аналитикиобязательно
- Пользователь может отказаться от нетехнических cookie
- Аналитические сервисы перечислены в политике
- Проверена трансграничная передача данных