Владелец небольшого сайта однажды получает письмо от юриста или читает новость о штрафе за «использование Google Analytics без согласия». Звучит странно: ну какие данные собирает счётчик посещений? Оказывается — достаточно, чтобы попасть под действие законодательства о персональных данных.
Разбираемся, что такое файлы cookies, зачем нужны метрические программы, какие у них правовые последствия и что конкретно нужно сделать владельцу сайта.
Что такое файлы cookies и как они классифицируются
Когда браузер впервые открывает сайт, сервер может отправить в ответ небольшой текстовый файл — cookie. Браузер сохраняет его и при каждом следующем визите отправляет обратно на сервер. Так сайт «узнаёт» вернувшегося пользователя.
Именно cookies позволяют вам не вводить пароль каждый раз, сохранять корзину в интернет-магазине и видеть персонализированную рекламу на разных сайтах.
По продолжительности хранения cookies делятся на два типа: сессионные и постоянные. Сессионные удаляются сразу после закрытия браузера — они нужны, например, чтобы держать вас авторизованным в рамках одного сеанса. Постоянные остаются на устройстве до наступления указанного срока или до ручного удаления.
По функциональному назначению разделение важнее. Файлы cookie принято делить на четыре категории:
Строго необходимые
Без них сайт не работает: авторизация, корзина, хранение настроек интерфейса. Для них согласие не требуется — это технические cookies, необходимые для оказания услуги.
Аналитические
Используются системами статистики: считают посещения, фиксируют поведение пользователей, отслеживают источники трафика. Это cookies Яндекс.Метрики, Google Analytics и подобных сервисов.
Функциональные
Запоминают предпочтения пользователя: выбранный язык, регион, оформление. Влияют на отображение сайта, но не участвуют в рекламе.
Маркетинговые (рекламные)
Применяются рекламными сетями для показа персонализированной рекламы и отслеживания пользователя на разных сайтах. Именно эта категория вызывает наибольшее число вопросов с точки зрения закона.
Важно понимать
Сам по себе cookie — просто текстовая строка на устройстве пользователя. Его юридический статус определяется тем, что именно он позволяет идентифицировать: конкретного человека или только абстрактное устройство.
Метрические программы: инструменты аналитики и сбора данных
Метрические программы — это счётчики, которые устанавливаются на сайт в виде небольшого фрагмента JavaScript-кода. При каждом визите код выполняется в браузере и отправляет данные о сессии на серверы системы аналитики.
Самые распространённые в России инструменты — Яндекс.Метрика и Google Analytics. Помимо них, владельцы сайтов используют Roistat, Calltouch, Comagic и другие специализированные платформы.
Стандартный набор данных, который фиксирует счётчик при каждом визите:
IP-адрес
Технический идентификатор устройства в сети. Позволяет определить примерное местоположение и интернет-провайдера.
Идентификатор пользователя (Client ID)
Уникальный код, присваиваемый браузеру при первом визите. Именно он хранится в cookie и позволяет «узнать» пользователя при следующем посещении.
Поведение на сайте
Просмотренные страницы, время на сайте, клики, прокрутка, заполнение форм, переходы между разделами.
Технические параметры
Браузер, операционная система, разрешение экрана, тип устройства — смартфон или компьютер.
Источник трафика
Откуда пришёл пользователь: поисковая система, рекламное объявление, прямой переход, ссылка с другого сайта.
На первый взгляд — обезличенная статистика. Проблема в том, что Client ID в сочетании с IP-адресом и поведенческими данными в ряде случаев позволяет идентифицировать конкретного человека. Именно это делает метрические программы предметом правового регулирования.
Правовой статус cookies в российском и международном законодательстве
Федеральный закон 152-ФЗ не упоминает cookies напрямую. Тем не менее Роскомнадзор последовательно занимает позицию: если cookie позволяет идентифицировать пользователя — это персональные данные, и на их обработку нужно согласие.
Ключевой критерий — идентифицируемость. Технический cookie, хранящий состояние корзины без привязки к личности, под закон не подпадает. Cookie метрической системы, который накапливает историю посещений и поведение пользователя — другой разговор.
Позиция европейского регулятора GDPR сформулирована ещё жёстче: уникальный идентификатор браузера или устройства признаётся персональными данными по умолчанию, поскольку позволяет выделить конкретного человека из множества. Российские суды начали обращаться к этой логике при рассмотрении споров, связанных с интернет-сервисами.
Практическая позиция регулятора
Роскомнадзор в методических рекомендациях указывает, что использование на сайте счётчиков и систем аналитики, передающих данные иностранным компаниям, является трансграничной передачей персональных данных. Это отдельное основание для претензий — помимо вопроса о наличии согласия.
Обязанности владельца сайта при использовании средств отслеживания
Если на сайте установлен хотя бы один счётчик метрики или используются аналитические cookies — сайт стал оператором персональных данных. Это автоматически влечёт несколько обязанностей.
Опубликовать политику конфиденциальности
Документ должен описывать, какие данные собираются, с какой целью, кому передаются и как долго хранятся. Установка Яндекс.Метрики означает передачу данных Яндексу — это нужно прямо указать в политике.
Информировать пользователей об использовании cookies
Пользователь должен понимать, что сайт использует файлы cookie и передаёт технические данные третьим лицам. Это минимальное требование — даже если согласие в явном виде не запрашивается для каждого типа cookies.
Получить согласие на аналитические и рекламные cookies
Для cookies, выходящих за рамки технической необходимости, требуется явное согласие пользователя — до момента их установки в браузер. Это ключевое требование, которое нарушает большинство сайтов.
Уведомить Роскомнадзор о трансграничной передаче
Google Analytics передаёт данные на серверы за пределами России. Это трансграничная передача персональных данных, которая требует отдельного уведомления в Роскомнадзор.
Механизмы получения согласия пользователя (Cookie Consent)
Cookie Consent — это уведомление, которое появляется при первом визите на сайт и предлагает пользователю выбрать, какие типы cookies он разрешает. В обиходе его часто называют «банером cookies» или «плашкой про куки».
Почему сайт запрашивает согласие на cookie — вопрос, который задают многие пользователи, впервые столкнувшись с такой плашкой. Ответ прост: потому что без явного согласия установка аналитических cookies нарушает закон о персональных данных.
Важное разграничение: активное согласие и пассивное ознакомление — принципиально разные вещи.
| Тип | Как выглядит | Правовая сила |
|---|---|---|
| Активное согласие | Пользователь нажимает кнопку «Принять» или самостоятельно выбирает категории cookies | Действительное согласие. Cookies устанавливаются только после нажатия |
| Пассивное ознакомление | Плашка с надписью «Продолжая использовать сайт, вы соглашаетесь с использованием cookies» | Не является согласием. Молчание и продолжение использования сайта не приравниваются к согласию по 152-ФЗ |
| Предустановленные галочки | Все категории cookies отмечены по умолчанию, пользователь может снять галочки | Не является согласием. Согласие должно быть дано свободно и осознанно |
Правильный баннер cookies должен:
Появляться до установки нетехнических cookies
Аналитические cookies не должны устанавливаться до получения согласия. Счётчик метрики нельзя запускать «на всякий случай» с первых секунд загрузки страницы.
Предлагать выбор
Кнопка «Отклонить» или возможность выбрать категории — не менее заметные, чем «Принять всё». Если отказаться от cookies сложнее, чем согласиться, это нарушение принципа свободного согласия.
Содержать ссылку на политику
Пользователь должен иметь возможность прочитать подробную информацию перед принятием решения. Ссылка на политику конфиденциальности в баннере обязательна.
Запоминать выбор
Баннер не должен появляться при каждом визите. Выбор пользователя сохраняется — как правило, через отдельный технический cookie с настройками согласия.
Работа с метрическими программами и защита персональных данных
Сами по себе Яндекс.Метрика и Google Analytics не являются нарушением закона. Нарушением является их использование без надлежащего уведомления пользователей и без оформленных правовых оснований для передачи данных.
При трансграничной передаче персональных данных — а именно так квалифицируется отправка данных в Google — требуется предварительное уведомление Роскомнадзора. Яндекс является российской компанией, поэтому Яндекс.Метрика с этой точки зрения проще в оформлении.
Чтобы снизить риски при использовании аналитики, можно применить несколько технических мер:
Включить анонимизацию IP
В Google Analytics есть функция anonymizeIp — она обрезает последний октет IP-адреса перед отправкой на сервер. В результате точная геолокация пользователя не передаётся. Аналогичные настройки есть в большинстве аналитических систем.
Отключить передачу демографических данных
Функции «Аудитория» и «Демография» в Google Analytics собирают расширенные данные о пользователях через рекламную сеть Google. Для большинства сайтов эти данные избыточны — их можно отключить в настройках аккаунта.
Настроить срок хранения данных
В личном кабинете Google Analytics 4 можно выбрать срок хранения пользовательских данных — минимум 2 месяца. Не стоит оставлять данные «навсегда», если аналитика за прошлые периоды вам не нужна.
Использовать режим согласия (Consent Mode)
Google предлагает Consent Mode — режим работы счётчика, при котором до получения согласия передаются только обезличенные агрегированные сигналы, без привязки к пользовательским идентификаторам.
Риски и ответственность за нарушения
Отсутствие баннера cookies или использование счётчиков без надлежащего оформления — это нарушения 152-ФЗ. При этом привлечение к ответственности происходит не автоматически, а как правило по итогам проверки.
Проверки Роскомнадзора делятся на плановые и внеплановые. Внеплановые чаще всего начинаются по жалобам пользователей. Пользователь, увидевший, что его данные передаются в Google без его согласия, может подать жалобу — и это будет основанием для проверки.
| Нарушение | Возможные последствия |
|---|---|
| Отсутствие политики конфиденциальности | Штраф до 60 000 ₽ |
| Обработка персональных данных без согласия (в т.ч. через cookies) | 300 000 — 700 000 ₽ |
| Трансграничная передача данных без уведомления РКН | 100 000 — 300 000 ₽ |
| Повторное нарушение | до 1 500 000 ₽ |
Важно, что европейские регуляторы действуют агрессивнее. Несколько крупных европейских компаний уже получили многомиллионные штрафы за использование Google Analytics без надлежащего оформления — именно из-за трансграничной передачи данных в США. Российская практика пока менее обширна, но направление движения то же.
Судебная практика по cookie-нарушениям в России только формируется. Пока большинство дел связаны с отсутствием политики конфиденциальности или обработкой данных без согласия в формах. Pero регуляторное внимание к метрическим программам последовательно растёт.
Технические способы управления cookies для пользователя
Пользователь не обязан принимать cookies. У него есть несколько инструментов для управления ими — от настроек браузера до специализированных расширений.
Настройки браузера
В любом браузере можно заблокировать сторонние cookies (third-party cookies) — именно они используются для рекламного отслеживания. Первичные cookies сайта (first-party) при этом продолжают работать, и авторизация не сломается. Как очистить файлы cookie в браузере — отдельная тема, но для ограничения аналитики важнее именно блокировка, а не очистка.
Инструменты Opt-out
Яндекс.Метрика предоставляет официальное расширение для браузера, позволяющее отказаться от сбора данных. Google Analytics также поддерживает Opt-out через расширение Google Analytics Opt-out Add-on. После установки счётчик продолжает загружаться, но данные о конкретном пользователе не передаются.
Режим инкогнито
В режиме приватного просмотра cookies не сохраняются между сессиями. Каждый раз браузер выглядит как новый, и накопить историю визитов не получится. Это не блокировка — данные всё равно отправляются счётчику, просто без привязки к предыдущим сессиям.
Блокировщики рекламы и трекеров
uBlock Origin, Privacy Badger и аналогичные расширения блокируют не только рекламу, но и большинство аналитических счётчиков. Для пользователя это один из наиболее эффективных способов ограничить слежку со стороны метрических программ.
Частые вопросы
Нужен ли баннер cookies на сайте, где нет никаких счётчиков?
Яндекс.Метрика — это тоже трансграничная передача данных?
Достаточно ли написать в политике конфиденциальности про cookies, без баннера?
Что будет, если пользователь откажется от cookies?
Нужно ли упоминать каждый счётчик по отдельности в политике?
Пользователь может потребовать удалить свои данные из системы аналитики?
Главное
Файлы cookies и метрические программы — стандартные инструменты веб-разработки. Сами по себе они не запрещены. Вопрос в том, как оформлена работа с ними с правовой точки зрения.
Если на сайте стоит Яндекс.Метрика или Google Analytics — сайт обрабатывает персональные данные и передаёт их третьим лицам. Пользователи должны об этом знать и иметь возможность выбора. Молчаливое согласие законом не признаётся.
Минимальный набор для законного использования аналитики: политика конфиденциальности с упоминанием всех счётчиков, баннер cookies с возможностью отказа, и для Google Analytics — уведомление о трансграничной передаче данных. Это не сложно технически, но снимает большинство правовых рисков.