Когда cookie считаются персональными данными
Cookie-файл сам по себе — это небольшой фрагмент данных, который браузер сохраняет на устройстве пользователя. Он становится персональным данным, если содержит информацию, которая прямо или косвенно относится к конкретному человеку. Например, идентификатор пользователя в системе аналитики, сохранённый логин, история посещений или поведенческий профиль — всё это может быть квалифицировано как персональные данные.
Ключевой момент: если cookie можно связать с конкретным субъектом — напрямую или через сопоставление с другими данными, — оператор сайта обязан соблюдать требования 152-ФЗ. Это касается и рекламных пикселей, и систем аналитики, и авторизации через сторонние сервисы.
Технические cookie, необходимые для работы сайта (например, сессионные идентификаторы корзины или языковые настройки), можно устанавливать без согласия. Аналитические, рекламные и маркетинговые cookie требуют предварительного согласия посетителя, если они обрабатывают персональные данные.
Что проверить в cookie-баннере
Баннер должен появляться до того, как сайт начнёт устанавливать аналитические и рекламные cookie. Текст баннера обязан ясно объяснить, какие данные собираются, для каких целей и кто их обрабатывает. Кнопка отказа должна быть равнозначна кнопке согласия по размеру, цвету и расположению — скрытая ссылка мелким шрифтом создаёт риск.
Если баннер предлагает только кнопку «Принять» или «ОК», а отказаться можно, лишь покинув сайт, это может квалифицироваться как принуждение к согласию. Закон требует, чтобы согласие было добровольным и информированным.
Хорошая практика — дать возможность настроить категории cookie: разрешить технические, но отклонить рекламные. Проверка фиксирует, есть ли такая опция и как она представлена в интерфейсе.
Как узнать, стартуют ли трекеры до согласия
Распространённая ошибка: баннер есть, но счётчики и пиксели уже отправили данные в момент загрузки страницы. Посетитель видит предложение дать согласие, а его браузер уже передал идентификаторы аналитическим системам.
Проверить это вручную можно через инструменты разработчика в браузере: открыть вкладку «Сеть» и обновить страницу с чистой сессией. Если до клика на баннер уходят запросы к доменам вроде google-analytics.com, mc.yandex.ru, connect.ok.ru или к доменам зарубежных рекламных пикселей — трекеры стартовали раньше согласия.
Dobrolex открывает сайт с чистой сессии и фиксирует все сетевые запросы до взаимодействия с баннером. Если обнаружены запросы к сервисам, которые обрабатывают персональные данные, это попадает в отчёт как эпизод с признаками нарушения, со снимком экрана и временем фиксации.
Трансграничная передача и хранение данных
Если сайт использует иностранные сервисы аналитики или рекламы, данные посетителей могут покидать Россию. Закон требует, чтобы персональные данные граждан РФ записывались и хранились на серверах в России. Передача за рубеж допускается, но при соблюдении условий: согласие субъекта, уведомление Роскомнадзора и адекватная защита данных в стране назначения.
Google Analytics, зарубежные рекламные пиксели, Hotjar и многие другие популярные инструменты размещены на серверах за пределами России. Если оператор не уведомил Роскомнадзор о трансграничной передаче или не получил согласие, это создаёт риск штрафа.
Проверка фиксирует, какие иностранные домены получают данные посетителя, и указывает в отчёте, если передача может квалифицироваться как нарушение требований о локализации или трансграничной передаче.
Политика конфиденциальности и реальность сайта
Политика конфиденциальности должна описывать, какие персональные данные собираются, для каких целей, кто оператор, куда передаются данные и как субъект может отозвать согласие. Если в политике не упомянуты сервисы, которые фактически получают данные, это расхождение между документом и реальностью.
Проверка извлекает текст политики, фиксирует список активных трекеров и сопоставляет их. Если Яндекс Метрика работает, а в политике нет ни слова о ней, или указаны устаревшие реквизиты оператора — отчёт укажет на это.
Отсутствие опубликованной политики обработки персональных данных — самостоятельное основание для штрафа. Документ должен быть доступен на сайте без регистрации и скачивания.
Что проверить на сайте прямо сейчас
- 01Баннер появляется до загрузки трекеров. Откройте сайт в режиме инкогнито, откройте инструменты разработчика (F12), вкладка «Сеть». Обновите страницу и посмотрите, нет ли запросов к аналитическим системам до клика на баннер.
- 02Кнопка отказа равнозначна согласию. Проверьте, что кнопка отказа от cookie видна сразу, одного размера и контрастности с кнопкой согласия. Скрытая ссылка или мелкий текст создают риск.
- 03Политика конфиденциальности опубликована. Убедитесь, что политика доступна на сайте, содержит реквизиты оператора (ИНН, ОГРН, адрес) и перечисляет сервисы, которым передаются данные.
- 04Перечислены все используемые трекеры. Сверьте список сервисов в политике с реально работающими счётчиками: Google Analytics, Яндекс Метрика, зарубежные рекламные пиксели, VK Pixel, рекламные сети.
- 05Указана трансграничная передача. Если используете иностранные сервисы, в политике должно быть упоминание о передаче данных за рубеж и получении согласия на это.
- 06Есть способ отозвать согласие. Политика или баннер должны объяснять, как посетитель может отозвать согласие на обработку cookie и других данных.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Все ли cookie считаются персональными данными?
Нет. Технические cookie, необходимые для работы сайта (сессионный ID, язык интерфейса), не являются персональными данными и устанавливаются без согласия. Аналитические, рекламные и поведенческие cookie, которые позволяют идентифицировать посетителя, подпадают под 152-ФЗ.
Нужно ли получать согласие на установку cookie?
Для технических cookie согласие не требуется. Для аналитических, рекламных и маркетинговых — да, если они обрабатывают персональные данные. Согласие должно быть получено до установки таких файлов.
Можно ли использовать Google Analytics на сайте?
Можно, но с соблюдением требований: получить согласие посетителя, указать передачу данных за рубеж в политике и уведомить Роскомнадзор о трансграничной передаче. Без этого возникает риск штрафа.
Что будет, если трекеры стартуют до согласия?
Это может квалифицироваться как обработка персональных данных без законного основания. Риск — штраф для юрлиц и предписание Роскомнадзора исправить нарушение.
Как проверить, какие данные собирает сайт?
Вручную — через инструменты разработчика браузера, вкладка «Сеть» и «Cookie». Автоматически — через проверку, которая открывает сайт с чистой сессии, фиксирует все запросы и cookie и связывает их с нормами закона.
Нужно ли уведомлять Роскомнадзор, если сайт собирает cookie?
Если cookie содержат персональные данные, требования к уведомлению зависят от характера обработки. При трансграничной передаче данных уведомление необходимо. Отчёт покажет, куда уходят данные и есть ли риск.
Что покажет отчёт Dobrolex?
Отчёт фиксирует, какие cookie и трекеры установлены до согласия, куда уходят данные, есть ли расхождения с политикой конфиденциальности и какие эпизоды создают правовой риск. Каждый эпизод связан с нормой закона и рекомендацией по исправлению.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.