Куки и персональные данные: что требует 152-ФЗ

Куки для аналитики и рекламы делают пользователя сайта субъектом персональных данных и требуют явного согласия по правилам 152-ФЗ, а Роскомнадзор проверяет сайты автоматически.

Телеграм-канал «Юрист в IT».

Согласно ч. 1 ст. 3 Закона № 152-ФЗ, персональные данные — это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.

Куки присваивают пользователю уникальный идентификатор, отслеживают его поведение на сайте, связывают посещения и действия между сессиями и могут передаваться третьим лицам — Яндекс.Метрике, рекламным сетям и т. п. Даже если сайт не собирает имя или телефон, достаточно IP-адреса и идентификатора устройства, чтобы пользователь стал субъектом персональных данных. Технические данные приравнены к персональным.

Какие куки требуют согласия

Есть 2 типа куки:

• Технические: авторизация, корзина, сессия — можно без отдельного согласия.
• Аналитические и рекламные: Метрика, GA, пиксели, ретаргетинг — нужно явное согласие пользователя.

На что смотрит Роскомнадзор

Роскомнадзор перешёл на автоматизированные системы анализа сайтов, которые сканируют HTML-код, JavaScript-запросы, cookie-файлы и ответы сервера. Основные точки контроля:

• наличие cookie-баннера при первом посещении — автоматическая проверка фиксирует, показывается ли уведомление до начала сбора данных;
• возможность отказа — баннер должен давать выбор, а не только кнопку «Принять», отсутствие альтернативы расценивается как нарушение;
• сохранение выбора — согласие или отказ должны фиксироваться и не запрашиваться повторно в течение разумного срока (обычно 12 месяцев);
• ссылка на политику — баннер без ссылки на полную политику использования куки юридически бесполезен;
• уведомление Роскомнадзора — оператор обязан подать уведомление об обработке персональных данных, включая обработку через куки; локализация баз данных — сведения российских пользователей (включая куки и IP-адреса) должны храниться на серверах в РФ.

Что делать владельцу сайта

Минимум: cookie-баннер + политика + возможность отказа + уведомление в РКН + проверить хостинг.

Если аудитория только РФ — обычно достаточно информирующего баннера. Лучший вариант — баннер с управлением категориями.

Для регулярного аудита своего ресурса и подготовки к проверкам Роскомнадзора удобнее использовать расширения-сканеры для браузера (например, PreConsent) или онлайн-сервисы (например, Cookie Checker) для получения отчёта.

Оригинал в Telegram

• Что должно быть на сайте, чтобы не получить штрафы
• Страшный сон админа: что делать, чтобы защитить свой канал в Телеграм
• Все статьи колонки "Юрист в IT — экспертная колонка Анны Стратулат"

Правовые документы

Федеральный закон от 27.07.2006 N 152-ФЗ

Анна Стратулат автор Ведёт колонку на ppt.ru Все колонки автора

Как мы готовим и проверяем материалы