Политика использования cookie на сайте: образец, баннер и согласие по 152-ФЗ
Если сайт ставит счётчики, ремаркетинг или даже просто запоминает посетителя, он использует cookie — а значит, по 152-ФЗ и позиции Роскомнадзора обязан предупредить об этом и получить согласие. На практике это два элемента: cookie-баннер при входе и текст про cookie (отдельная политика cookie или раздел в политике конфиденциальности). Ниже — готовые образцы текста баннера и раздела, каким должен быть правильный баннер и что мы видим на реальных сайтах при сканировании.
Этот документ называют по-разному: «политика cookie», «политика использования файлов cookie», «политика обработки файлов cookie», «политика конфиденциальности cookie» или просто «политика cookie для сайта». Юридически это одно и то же — внутренний и опубликованный на сайте текст о том, какие cookie вы собираете и зачем. Дальше используем для краткости «политика cookie».
Нужно ли предупреждать об использовании cookie
Да. Как только cookie позволяют выделить конкретного посетителя (а так работают аналитика, пиксели и ремаркетинг), данные считаются персональными, и обработка требует согласия. Поэтому на сайте нужны:
- Cookie-баннер — уведомление при первом заходе с возможностью принять или отклонить cookie;
- Текст про cookie — какие файлы, зачем и на какой срок. Это может быть отдельная «Политика использования cookie» или раздел в политике обработки персональных данных.
Образец: текст баннера и раздела про cookie
Короткий текст для cookie-баннера — можно взять за основу:
«Мы используем файлы cookie, чтобы сайт работал корректно, а также для аналитики. Вы можете принять все cookie или отклонить необязательные. Подробнее — в Политике использования cookie».
Кнопки: [Принять всё] [Отклонить необязательные] [Настроить]
Раздел про cookie для политики (сокращённый образец):
«Сайт использует cookie-файлы: технические (обеспечивают работу сайта), аналитические (Яндекс.Метрика) и, при наличии согласия, маркетинговые. Технические cookie применяются на основании законного интереса, остальные — только после согласия, выраженного через баннер. Срок хранения — до 1 года. Отозвать согласие можно, очистив cookie в браузере или изменив выбор в настройках баннера».
Каким должен быть cookie-баннер (а не для галочки)
Роскомнадзор смотрит не на наличие баннера, а на то, как он работает. Правильный баннер:
Что мы находим в cookie-баннерах при сканировании
Мы в ScanBase сканируем сайты по 152-ФЗ и отдельно проверяем cookie-баннеры. Картина тревожная:
51%
сайтов вообще без cookie-баннера — каждый второй
56%
баннеров без кнопки «Отклонить» — только «Принять»
46%
баннеров без ссылки на политику про cookie
Отдельная проблема — тайминг: почти на всех сайтах, где стоят трекеры, они срабатывают до того, как посетитель что-либо нажал в баннере (выборка 496 сайтов с трекерами). То есть согласие спрашивают уже после того, как данные ушли, — это и есть типичная ошибка, за которую штрафуют.
Проверьте cookie-баннер вашего сайта
Сканер ScanBase откроет сайт как посетитель и покажет: есть ли баннер, можно ли отклонить, когда срабатывают трекеры и ведёт ли баннер на политику. Меньше минуты, бесплатно.
Как настроить cookie правильно: порядок
Соберите список: технические, аналитические (Яндекс.Метрика), маркетинговые. Для каждого — цель и срок хранения.
Отдельной страницей «Политика использования cookie» или разделом в политике конфиденциальности. Образец — выше.
С равнозначными «Принять» и «Отклонить», ссылкой на политику и без заранее отмеченных галочек.
Настройте так, чтобы аналитика и пиксели запускались только после нажатия «Принять». Это ключевой пункт, который чаще всего нарушают.
Соберите cookie-политику на основе анализа сайта
Генератор ScanBase просканирует сайт, найдёт реальные cookie и сервисы и соберёт текст про cookie под них — вместе с политикой и согласием, готовым комплектом.
Чем грозит cookie без согласия
Сбор данных через cookie без корректного согласия — это обработка персональных данных без согласия (ст. 13.11 КоАП) плюс риск по требованиям о cookie. Роскомнадзор фиксирует проблему прямо при открытии сайта: видит, что трекеры сработали до баннера или что отклонить cookie нельзя. Полный расклад по штрафам — в разборе штрафов за персональные данные.
По теме
Частые вопросы
Да. Если cookie позволяют выделить посетителя (аналитика, пиксели, ремаркетинг), это обработка персональных данных, и нужно уведомить о ней через cookie-баннер и описать в тексте про cookie. Без предупреждения и согласия обработка считается нарушением.
Это документ (или раздел политики конфиденциальности), который описывает, какие cookie-файлы использует сайт, с какими целями, на какой срок и как ими управлять. Он объясняет посетителю, что именно собирается через cookie, и на каком основании.
Да, согласие на cookie посетитель даёт через баннер. Важно, чтобы у него был реальный выбор: принять или отклонить необязательные cookie. Технические cookie, без которых сайт не работает, допустимы и без отдельного согласия — остальные только после него.
Это значит, что сайт сохраняет в вашем браузере небольшие файлы, чтобы запоминать вас между визитами — для корректной работы, аналитики или рекламы. Для владельца сайта это обязывает описать такие cookie и спросить согласие на необязательные из них.
Закон не требует именно отдельного документа — достаточно внятного раздела про cookie в политике конфиденциальности и работающего баннера. Отдельную «Политику использования cookie» делают для удобства, когда cookie много. Главное, чтобы текст совпадал с тем, что сайт реально ставит.