Многие сайты используют куки-файлы — кто-то самостоятельно, кто-то при подключении сторонних инструментов. Они очень полезны и хранят небольшое количество информации в целях безопасности и правильной работы сайта. Однако не все компании уведомляют об их использовании.
Меня зовут Дмитрий, я IT-юрист, и сегодня расскажу, что такое куки-файлы и почему об их использовании нужно уведомлять.
Что такое куки простыми словами?
Cookie (куки) — это небольшие текстовые файлы, которые сайт сохраняет на вашем компьютере или smartphone, когда вы на него заходите.
Они созданы для удобства и безопасности. Именно благодаря куки сайт «помнит», что вы положили товар в корзину (и она не очищается, если закрыть вкладку), «узнает» ваш логин, чтобы вы не вводили пароль каждый раз, и помнит, что вы выбрали темную тему оформления.
Почему куки считаются персональными данными?
152-ФЗ предусматривает, что персональные данные — это любая информация, которая прямо или косвенно позволяет определить человека.
Сам по себе отдельный файл куки не содержит вашего имени или адреса. Но в нем зашит ваш уникальный ID, к которому привязываются:
- Ваш IP-адрес;
- Геолокация (из какого вы города);
- Модель устройства и браузер;
- История страниц, которые вы смотрели на сайте.
Когда вы подключаете к сайту Яндекс.Метрику, Google Analytics или пиксель ВКонтакте, эти сервисы собирают куки, объединяют их с другими цифровыми следами и составляют ваш четкий портрет. Вы становитесь «определяемым» физическим лицом.
Судебная практика тут однозначна. Суды уже много лет (начиная со споров Роскомнадзора с крупными операторами связи) признают: куки, IP-адреса и данные о поведении на сайте — это полноценные персональные данные. Если вы их собираете, вы автоматически становитесь Оператором ПДн.
Главные ошибки бизнеса
Незнание об использовании куки
Некоторые компании даже не догадываются, что их сайт использует куки-файлы. Да, сам сайт — та часть, которая написана самой компанией — может и не использовать куки, однако на нем могут быть подключены сторонние сервисы: аналитика (метрика), карты, формы обратной связи, видео- и аудиоплееры и т. д. И когда пользователь заходит на сайт, данные сервисы используют cookie через ваш ресурс.
Неуведомление об использовании куки
Поскольку куки — это персональные данные, пользователь должен быть уведомлен об их использовании. Обычно это реализуется через баннер, в котором пользователь предупреждается о применении такой технологии.
Согласие в «подвале» сайта
Еще не все компании, использующие куки, применяют уведомление с помощью всплывающего баннера — у многих до сих пор используется надпись в «подвале» (нижней части) сайта. В связи с этим пользователь узнает об обработке, только если прокрутит страницу до самого конца, хотя данные к этому моменту уже будут записаны и использованы, что не соответствует требованиям закона.
Отсутствие политики в части куки
В связи с тем, что куки являются персональными данными, политика конфиденциальности должна отражать порядок и правила их обработки. Не обязательно составлять отдельный документ, можно просто включить соответствующее положение в общую политику конфиденциальности.
Отсутствие ссылки на политику в уведомлении
Если компания уже установила куки-баннер, то часто можно столкнуться с тем, что данное уведомление не содержит прямой ссылки на саму политику.
Что должно быть в вашей Политике конфиденциальности?
Нельзя просто написать фразу «мы собираем куки». В Политике необходимо детально расписать:
- Какие именно типы куки используются (технические, аналитические, маркетинговые);
- Для каких целей они собираются (для работы сайта, для веб-аналитики, для показа таргетированной рекламы);
- Какие сторонние сервисы имеют к ним доступ (если стоит код Яндекса или ВК — вы передаете им данные, и это должно быть зафиксировано).
Заключение
Если на вашем корпоративном сайте или лендинге используются куки-файлы, вы обязаны уведомить об этом пользователя, включить в политику положение об этих файлах.
P.S. Не знаете, правильно ли настроен сбор цифровых следов на вашем ресурсе? Присылайте ссылку на свой сайт на почту kartashovdmitriyi@yandex.ru — я проведу экспресс-аудит, проверю баннер, счетчики метрики и подскажу, есть ли у вас риски получить штраф от регулятора.