Баннер «мы используем cookie» стоит почти на каждом сайте. Разбираем, что об этом говорит российский закон — а точнее, что он не говорит.
Коротко
- Закон не упоминает cookie вообще.
- Вопрос решается через определение данных.
- Баннер пришёл из иностранного регулирования.
- «Продолжая пользоваться» — слабая конструкция.
Чего в законе нет
Это проверяется поиском по тексту закона, и результат удивляет. В тексте 152-ФЗ нет ни слова «cookie», ни слова «куки», ни слова «идентификатор», ни «IP-адрес» — ни одного упоминания. Закон не выделяет cookie в отдельную категорию и не устанавливает для них особых правил.
| Что ищут в законе | Что находят |
|---|---|
| Слово «cookie» | Нет в тексте |
| Требование баннера | Нет такой нормы |
| Особый режим для идентификаторов | Нет |
| Общее определение персональных данных | Есть, статья 3 |
Отсюда главный вывод: вопрос о cookie в российском праве — это не отдельная тема, а частный случай общего определения. Про само определение — в статье про то, какие данные считаются персональными.
Откуда взялся баннер
| Причина появления | Что из неё следует |
|---|---|
| Иностранное регулирование | Требования другой юрисдикции |
| Шаблоны тем и конструкторов | Баннер приходит вместе с темой |
| Копирование у конкурентов | «У всех есть — поставим тоже» |
| Осторожность юристов | Лучше есть, чем нет |
Ни одна из этих причин не является нормой российского права, и это стоит проговорить честно. Баннер на российском сайте — обычно не выполнение требования 152-ФЗ, а перенесённая практика. Это не значит, что он лишний: информировать посетителя полезно само по себе. Но объяснять его наличие ссылкой на 152-ФЗ некорректно.
Какой вопрос действительно стоит
| Вопрос | Через какую норму решается |
|---|---|
| Относится ли собранное к человеку | Определение в статье 3 |
| На каком основании обрабатываете | Статья 6 часть 1 |
| Нужно ли согласие | Статья 6 часть 1 пункт 1 и статья 9 |
| Опубликована ли политика | Статья 18.1 часть 2 |
| Где хранятся данные | Статья 18 часть 5 |
Содержательно вопрос про cookie сводится к первой строке: позволяет ли собранное определить человека. Пока идентификатор посетителя живёт отдельно от заявок и имён, это спорно; как только он связан с данными клиента в CRM, информация начинает соотноситься с конкретным лицом. Правовую квалификацию такой связки должен давать юрист — норма даёт только признак.
Формулировка «продолжая пользоваться сайтом»
В законе есть норма, которая прямо касается этой конструкции, хотя и в другом контексте. Статья 6 часть 1 пункт 5 говорит про договор с субъектом и запрещает включать в него «положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных». А статья 9 часть 1 требует, чтобы согласие было «конкретным, предметным, информированным, сознательным и однозначным».
Слабая конструкция
- «Продолжая пользоваться сайтом, вы согласны»
- Галочка, отмеченная заранее
- Согласие в общем тексте об условиях
Почему вызывает вопросы
- Опирается на бездействие человека
- Не выглядит однозначным согласием
- Не оформлено отдельно
Насколько такая формулировка допустима в конкретном случае — вопрос правовой оценки. Но признак однозначности из статьи 9 предполагает действие, а не отсутствие действия. Как это выглядит в форме заявки — в статье про согласие на обработку данных в форме.
Счётчики и записи визитов
| Инструмент | Что собирает |
|---|---|
| Счётчик веб-аналитики | Идентификатор посетителя, поведение |
| Запись визита | Действия на странице, иногда ввод в поля |
| Коллтрекинг | Номер телефона и связь с визитом |
| Чат на сайте | Переписку и контакты |
| Связка с CRM | Соединяет визит с именем клиента |
Вторая строка опаснее, чем кажется, и её редко учитывают. Запись визита может зафиксировать то, что человек печатал в поле формы, включая данные, которые он потом удалил и не отправил. Сервисы аналитики дают настройки, скрывающие содержимое полей, — их стоит проверить. Про сами записи — в статье про Вебвизор и записи визитов.
Что делать с баннером на практике
Не считать баннер выполнением 152-ФЗ
Этого требования в законе нет.
Сделать политику и ссылку на неё
Вот это норма требует прямо.
Убрать «продолжая пользоваться»
Конструкция опирается на бездействие.
Проверить настройки записи полей
Чтобы в записи не попадал ввод.
Описать инструменты в политике
Счётчики, чаты, коллтрекинг.
Сверить формулировки с юристом
Квалификация — его работа.
Второй шаг важнее первого. Сайты часто имеют красивый cookie-баннер и при этом не выполняют реальное требование статьи 18.1 — опубликовать политику на страницах, где собираются данные, вместе со сведениями о реализуемых требованиях к защите. Про документ — в статье про политику обработки персональных данных.
Частые вопросы
Требует ли 152-ФЗ баннер про cookie?
В тексте закона нет ни слова «cookie», ни требования такого баннера. Вопрос решается через общее определение персональных данных и основания обработки.
Являются ли cookie персональными данными?
Закон не выделяет их в отдельную категорию. Проверяется общий признак: позволяет ли собранное определить конкретного человека. Квалификация конкретного случая — вопрос для юриста.
Можно ли писать «продолжая пользоваться сайтом, вы согласны»?
Конструкция опирается на бездействие человека, а статья 9 требует однозначного согласия. Статья 6 отдельно запрещает в договоре условия, допускающие бездействие субъекта.
Что действительно нужно сделать вместо баннера?
Выполнить требование статьи 18.1: опубликовать политику обработки и сведения о реализуемых требованиях к защите на страницах, где собираются данные.
Сделаем сайт, который приносит заявки
Спроектируем структуру под запросы, соберём и запустим — с учётом SEO с первого дня.
Обсудить разработку
