В 152-ФЗ прямо не перечислены cookie-файлы, IP-адреса, client ID систем аналитики, device ID, логи посещений, данные о действиях на сайте и другие технические идентификаторы.
Но это не значит, что такие данные автоматически находятся вне закона о персональных данных.
152-ФЗ использует широкую формулировку: персональные данные - это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.
Именно поэтому технические данные сайта в некоторых случаях могут рассматриваться как персональные данные.
Когда cookie и технические данные могут быть персональными
Если cookie-файл или другой технический идентификатор сам по себе является случайным техническим значением и не позволяет связать пользователя с конкретным человеком, риск признания его персональными данными ниже.
Например, если cookie нужен только для корректной работы сайта: сохранения сессии, выбранного языка, содержимого корзины или базовых настроек интерфейса.
Но ситуация меняется, если технический идентификатор связывается с другими данными пользователя.
Например, с:
- личным кабинетом;
- номером заказа;
- заявкой на сайте;
- CRM-контактом;
- email или телефоном из формы;
- историей посещений;
- рекламной аудиторией;
- данными из внешнего аналитического или рекламного кабинета.
В таком случае cookie, IP-адрес или иной идентификатор может начать работать как персональный идентификатор пользователя.
Какие cookie можно использовать без отдельного согласия
Более безопасная практическая позиция для сайта в РФ такая: строго необходимые технические cookie обычно можно не выносить в отдельное согласие, если они действительно нужны для работы сайта или исполнения запроса пользователя.
Например, это могут быть cookie, которые используются для:
- работы корзины;
- авторизации пользователя;
- защиты сайта;
- сохранения технических настроек;
- корректной работы формы или личного кабинета.
Но даже такие cookie стоит раскрывать в политике конфиденциальности или отдельном разделе о cookie-файлах.
Важно: если cookie используются не только для технической работы сайта, но и для аналитики, рекламы, ретаргетинга или профилирования, подход должен быть строже.
Когда лучше получать отдельное согласие
Если сайт использует аналитические, рекламные, маркетинговые cookie, вебвизор, запись сессий, ретаргетинговые пиксели, внешние виджеты или иностранные сервисы, безопаснее запускать их только после получения отдельного, конкретного и информированного согласия пользователя.
До получения согласия такие инструменты лучше не загружать.
Это особенно важно, если сервисы собирают данные о поведении пользователя на сайте, формируют профиль, передают данные во внешние кабинеты или используются для рекламных целей.
Как оформить согласие на cookie
Согласие на cookie не обязательно должно быть отдельным PDF-документом.
На практике это может быть cookie-баннер или центр настроек, где пользователь может отдельно принять:
- необходимые cookie;
- аналитические cookie;
- рекламные cookie;
- маркетинговые и ретаргетинговые инструменты;
- внешние виджеты и сторонние сервисы.
При этом важно, чтобы пользователь мог понять:
- какие данные собираются;
- для каких целей они используются;
- какие сервисы подключены;
- можно ли отказаться от необязательных cookie;
- где можно ознакомиться с полным текстом политики или согласия.
Факт согласия желательно фиксировать: когда пользователь дал согласие, с какой версией текста он согласился и какие категории cookie выбрал.
Главный вывод
Cookie, IP-адреса и данные веб-аналитики не всегда являются персональными данными сами по себе.
Но если они позволяют прямо или косвенно связать поведение на сайте с конкретным пользователем, их нужно рассматривать как часть обработки персональных данных.
Поэтому владельцу сайта важно не просто поставить cookie-баннер «для галочки», а понять, какие именно данные собирает сайт, какие сервисы подключены и какие согласия действительно нужны.