Штраф за неправильно настроенный cookie-баннер редко становится первым риском проекта. Обычно ему предшествуют незафиксированная передача идентификаторов в рекламные системы, отсутствие реестра трекеров, сбор данных до согласия пользователя и Privacy Policy, не совпадающая с фактической архитектурой продукта. Для SaaS-платформ, маркетплейсов, e-commerce и сервисов веб-аналитики это создает риск не только претензий регулятора, но и срыва сделки с инвестором или корпоративным заказчиком.
Вопрос, законны ли куки, нельзя решать одной формулой. Сами файлы cookie не запрещены. Правомерность зависит от того, какие именно технологии используются, какие данные они связывают с человеком, где находятся пользователи, кому уходят сведения и есть ли надлежащее правовое основание.
Что именно регулируется при работе с cookie
Cookie — это небольшой идентификатор, который браузер передает сайту при последующих обращениях. Он может поддерживать авторизацию, сохранять язык интерфейса, содержимое корзины или настройки безопасности. Но тот же механизм способен отслеживать действия пользователя на разных страницах и ресурсах, строить рекламный профиль и передавать идентификаторы внешним поставщикам.
Юридическая оценка поэтому касается не только самого cookie-файла. Анализируются связанные с ним IP-адрес, идентификатор устройства, рекламный ID, история посещений, данные учетной записи и события в продукте. По GDPR онлайн-идентификаторы могут относиться к персональным данным, если позволяют прямо или косвенно выделить пользователя. Это следует из статьи 4 GDPR и разъяснений к понятию идентифицируемого лица.
Для владельца продукта критична и техническая сторона. Скрипт аналитики может быть установлен разработчиком как «статистика», но фактически передавать данные в третью страну, включать рекламные аудитории или сохранять идентификатор до того, как посетитель сделал выбор. Название сервиса не определяет его правовой режим — его определяют фактические параметры обработки.
Когда требуется согласие пользователя
В Европейском союзе базовое правило складывается из GDPR и Директивы ePrivacy. Статья 5(3) ePrivacy требует предварительного информированного согласия на размещение или чтение информации на устройстве пользователя, кроме случаев, когда технология строго необходима для передачи сообщения либо оказания прямо запрошенной пользователем услуги.
Практически это делит технологии на две группы. Строго необходимые cookie обычно могут работать без отдельного согласия: например, сессионный идентификатор авторизованного пользователя, токен защиты от подделки запросов, балансировка нагрузки или сохранение выбранных пользователем настроек, если без этого услуга не работает.
Аналитические, маркетинговые, ретаргетинговые и межсайтовые идентификаторы требуют более осторожного подхода. Во многих сценариях для пользователей из ЕС их нельзя активировать до получения согласия. Простая фраза «продолжая пользоваться сайтом, вы соглашаетесь» не отвечает критериям GDPR: согласие должно быть свободным, конкретным, информированным и однозначным. Это закреплено в статье 4(11) и статье 7 GDPR.
Отдельная проблема — неравный выбор. Баннер с заметной кнопкой «Принять» и скрытой ссылкой на отказ создает риск того, что согласие не признают свободным. Отказ от необязательных технологий должен быть столь же доступен, как и согласие. Предварительно отмеченные чекбоксы, загрузка рекламных скриптов до выбора и отсутствие возможности отозвать разрешение — типовые дефекты комплаенса.
Российское регулирование и ФЗ-152
В России cookie не выделены в отдельный федеральный закон, однако они могут подпадать под режим персональных данных. Если идентификатор позволяет связать браузер с конкретным или определяемым пользователем, применяется Федеральный закон № 152-ФЗ «О персональных данных».
Для бизнеса это означает необходимость определить цель обработки, состав данных, основания их получения, круг получателей и меры защиты. На сайте должны быть доступны сведения об обработке персональных данных. Если сервис использует внешнюю аналитику, рекламные пиксели или передает идентификаторы подрядчикам, такая архитектура должна быть отражена в документации, а не маскироваться общей формулировкой о «повышении качества услуг».
Российский баннер сам по себе не заменяет правовое основание. Его задача — уведомить пользователя и, когда это необходимо, получить действие, подтверждающее согласие. Для трансграничных продуктов приходится применять более строгий стандарт: география компании не отменяет требования GDPR, если сервис предлагает товары или услуги лицам в ЕЭЗ либо отслеживает их поведение.
США и риск по CCPA
Для пользователей из Калифорнии ключевое значение имеют CCPA и CPRA. Здесь модель не полностью совпадает с европейской. Не вся обработка строится на предварительном согласии, но компания обязана прозрачно раскрывать категории собираемой информации, цели ее использования и права потребителя.
Если передача идентификаторов рекламным и аналитическим партнерам квалифицируется как sale или sharing персональной информации, пользователю необходимо предоставить понятный механизм отказа. Для многих сайтов это означает отдельную ссылку или интерфейс «Do Not Sell or Share My Personal Information», а также корректную обработку универсальных сигналов отказа, если они применимы к компании.
Ошибка часто возникает у SaaS-команд, которые считают себя исключительно B2B-сервисом. Если продукт собирает данные посетителей лендинга, демо-страниц, справочного центра или личного кабинета, режим регулирования оценивается по фактической обработке, а не по формулировке коммерческой модели.
Как проверить cookie-баннер до запуска продукта
Начинать нужно не с дизайна баннера, а с инвентаризации. Юристу и технической команде следует установить, какие cookie, local storage, пиксели и SDK используются на каждой странице, кто является их поставщиком, какие события передаются и как долго хранятся идентификаторы. Особенно внимательно проверяются теги, подключенные через системы управления тегами: они нередко загружают сторонние технологии без отдельного согласования с командой комплаенса.
После инвентаризации формируется матрица целей. Строго необходимые технологии отделяются от аналитики, персонализации и маркетинга. Для каждой категории определяется основание обработки, срок хранения, получатель данных, страна передачи и требуемое действие пользователя.
Рабочая настройка обычно включает следующие элементы:
- блокировку необязательных скриптов до согласия для аудиторий, на которых распространяется ePrivacy;
- равнозначные действия «принять» и «отклонить» без искусственных препятствий;
- возможность изменить выбор в любой момент через заметный раздел настроек;
- журналирование согласий с версией текста, временем, категорией и способом получения;
- синхронизацию баннера с Privacy Policy, договорами с подрядчиками и фактической конфигурацией тегов.
Нужна и регулярная проверка после релизов. Новый инструмент аналитики, чат-виджет или сервис записи сессий меняет профиль рисков так же, как обновление публичной политики. Если маркетинговая команда добавила пиксель в обход процесса согласования, формально корректная политика не защитит компанию.
Какие документы нужны владельцу сайта или SaaS
Cookie Policy не должна быть копией шаблона из интернета. В ней целесообразно описать категории технологий, цели, сроки, поставщиков и порядок управления настройками. Privacy Policy раскрывает более широкий контекст обработки персональных данных: категории субъектов, основания, права пользователей, трансграничную передачу и каналы для обращений.
Если сторонний поставщик обрабатывает данные по поручению компании, требуется договорная конструкция, распределяющая роли и обязанности. Для отношений в контуре GDPR это обычно DPA с положениями статьи 28 GDPR. При передаче персональных данных за пределы ЕЭЗ также оцениваются применимые механизмы трансграничной передачи и дополнительные технические меры.
Для агрегатора или дата-брокера особое значение имеет разрыв между веб-сбором и дальнейшей коммерциализацией. Идентификаторы, полученные через сайт, нельзя автоматически смешивать с внешними базами, профилировать и передавать партнерам только потому, что пользователь увидел баннер. Цели, правовые основания и объем раскрытия должны покрывать весь жизненный цикл данных.
Цена формального подхода
По GDPR серьезные нарушения принципов обработки и условий согласия могут повлечь штраф до 20 млн евро или до 4% общего годового мирового оборота группы компаний — в зависимости от того, какая сумма выше. Помимо административной ответственности, бизнес сталкивается с требованиями удалить данные, остановить передачу подрядчику, изменить продуктовую архитектуру и уведомить клиентов о нарушении.
Для компании, которая продает SaaS крупным заказчикам, последствия часто проявляются раньше штрафа. В ходе vendor due diligence контрагент запросит карту потоков данных, перечень субпроцессоров, DPA, настройки согласия и подтверждение того, что трекеры не передают персональные данные без контроля. Отсутствие этих материалов может остановить закупку или привести к жестким гарантиям в договоре.
Корректная работа с идентификаторами не означает отказ от аналитики. Она означает управляемую архитектуру: технически ограниченный запуск трекеров, понятные пользовательские настройки, доказуемое согласие и договоры, соответствующие реальным потокам данных.
Дата-юристы помогут провести аудит cookie и трекеров, проверить баннер, подготовить Cookie Policy, Privacy Policy и DPA, а также выстроить модель обработки для ЕС, США и стран СНГ. Это позволяет выпускать продукт и подключать подрядчиков без скрытого регуляторного долга, который обычно обнаруживается в момент масштабирования.