Нужен ли cookie-баннер, если на сайте только Яндекс.Метрика

Счётчик аналитики без единой формы на сайте — уже обработка персональных данных. Разбираем, почему так, какие cookie требуют согласия, и почему баннер, стоящий на большинстве сайтов, юридически не работает.

Cookie — это персональные данные?

Сам по себе идентификатор в cookie — это строка символов. Персональными данными его делает контекст. Статья 3 152-ФЗ определяет персональные данные предельно широко: это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.

Ключевое слово — «определяемому». Идентификатор в cookie в связке с IP-адресом, моделью устройства, историей просмотров и — особенно — с данными формы, которую человек заполнил на том же сайте, позволяет выделить конкретного посетителя и связать с ним поведение. Именно в такой связке cookie попадают под действие закона.

Отсюда вывод, который часто удивляет: наличие на сайте одного только счётчика, без единой формы, уже означает обработку данных посетителей.

Что делает Яндекс.Метрика

Метрика ставит собственные cookie, присваивает посетителю идентификатор и передаёт на серверы сервиса сведения о визите — включая IP-адрес, страницы, устройство и источник перехода. При включённом Вебвизоре записывается ещё и поведение на странице.

Это обработка персональных данных, и у неё есть две стороны. Вы как владелец сайта — оператор, поскольку определяете цели обработки. Сервис аналитики обрабатывает данные по вашему поручению, а условия этого поручения зафиксированы в его пользовательском соглашении. Обязанности оператора — информировать посетителей и получать согласие там, где оно нужно, — остаются на вас.

Какие cookie требуют согласия

Правовой режим зависит не от технологии, а от назначения файла.

Логика простая: без технических cookie сайт физически не работает — человек, заходя на него, объективно не может отказаться от корзины и сессии. Аналитика и реклама сайту для работы не нужны, они нужны вам, и здесь у посетителя должен быть выбор.

Каким должен быть баннер

Полоска с текстом «Мы используем cookie» и кнопкой «ОК» — это уведомление, а не согласие. Чтобы баннер работал, ему нужны четыре свойства:

1. Заметность. Появляется сразу при входе, а не прячется внизу страницы и не исчезает через две секунды.
2. Информативность. Сказано, какие категории cookie используются и зачем, и есть ссылка на политику или cookie-политику с подробностями.
3. Действие. Согласие выражается нажатием кнопки. Прокрутка страницы, продолжение навигации или «продолжая пользоваться сайтом, вы соглашаетесь» — не действия по выражению воли.
4. Отложенная загрузка. До нажатия необязательные счётчики не запускаются.

Пункт 4 — тот, на котором спотыкается большинство сайтов. Баннер стоит, а Метрика уже отработала: код счётчика подключён в шапке и выполняется раньше, чем баннер отрисуется.

Как проверить свой сайт за минуту

Откройте сайт в режиме инкогнито, нажмите F12, перейдите в Application → Cookies и посмотрите список до клика по баннеру. Если там уже есть _ym_uid, _ym_d или _ga, порядок нарушен и баннер выполняет роль декорации.

Что писать в политике

Cookie-политика может быть отдельным документом или разделом общей политики обработки персональных данных. Содержательно в ней должно быть:

• какие категории cookie используются и с какой целью;
• какие сторонние сервисы получают данные — с перечислением, а не общей фразой «третьи лица»;
• сроки хранения по категориям;
• как отозвать согласие и как отключить cookie в популярных браузерах;
• передаются ли данные за пределы России.

Перечень сервисов — самая уязвимая часть. Скачанный шаблон описывает набор счётчиков, которого у вас нет, и не описывает тот, который есть.

Чем рискует сайт

Отдельной статьи «за cookie» в КоАП нет — применяются общие составы статьи 13.11:

• Часть 3 — нет политики в открытом доступе: до 20 000 ₽ для ИП, до 60 000 ₽ для организации.
• Часть 1 — обработка без законного основания: до 100 000 ₽ для ИП, до 300 000 ₽ для организации.
• Часть 2 — согласие получено с нарушением требований к его составу: до 300 000 ₽ для ИП и до 700 000 ₽ для организации.

Все три проверяются дистанционно, без визита к вам: достаточно открыть сайт и посмотреть, что происходит до нажатия на баннер.

Частые вопросы

Материал носит справочный характер, подготовлен редакцией сервиса FastaDoc и не является индивидуальной юридической консультацией. Нормы приведены по состоянию на дату обновления статьи. В нестандартных ситуациях — обработка данных детей, специальные категории данных, трансграничная передача — рекомендуем отдельную юридическую проверку.