Правила использования файлов cookie и почему это важно

Сегодня трудно найти сайт, который бы не использовал cookie для сбора данных о своих пользователях. С момента появления данной технологии сбора данных происходила постепенная трансформация ее законодательного регулирования и правоприменительной практики.

История вопроса

Еще в 2013 году между Немецкой организацией по защите прав потребителей и немецкой компанией Planet49 возник спор о возможности неявной дачи согласия на использование сайтом файлов cookie. Суды разных инстанций выносили противоречивые решения, пока Суд Европейского Союза не решил вопрос о том, может ли пользователь дать свое согласие на использование файлов cookie, просто не снимая предварительно установленную галочку. Поскольку последнее слушание в суде состоялось за несколько месяцев до вступления в силу Общего регламента о защите данных (GDPR), суд принял во внимание новые требования регулятора, основываясь тем не менее на действующих Директивах.

Ключевые моменты Регламента (вступают в силу 1 октября 2019 г.)

1. Согласие или отказ должны быть выражены явно и однозначно

Решая вопрос о том, может ли пользователь дать свое согласии посредством априори установленного на сайте флажка, Суд Европейского Союза, проанализировав Директиву ePrivacy, постановил, что требуются именно активные действия пользователя.

Судом в частности подчеркивается, что пользователь мог просто не заметить или проигнорировать установленный флажок, что, естественно, не может трактоваться как факт согласия.

Ссылаясь на GDPR от 25 мая 2018 года, Суд постановил, что разрешение пользователя на использование cookie должно принимать форму «свободно выраженного, конкретного и недвусмысленного» заявления или другого «четкого активного действия».

Следовательно, только зарегистрированные уведомления о файлах cookie, в которых пользователь должен активно соглашаться на сбор и использование своей информации, соответствуют юридическому стандарту.

2. Пользователь сайта должен быть проинформирован

Суд также пояснил, что в соответствии с Директивой ePrivacy, поставщик услуг должен будет информировать пользователя о продолжительности использования файлов cookie и о том, могут ли третьи лица иметь доступ к собранной информации.

3. Персональные данные и данные файлов cookie – не одно и то же

Суд в своем решении указал на то, что собираемую посредством файлов cookies информацию не следует смешивать с понятием персональных данных. Таким образом, получение согласия на сбор информации о пользователе является обязательным вне зависимости от того, собираются ли личные данные или иная информация, а пользователь должен быть предупрежден об использовании cookies на сайте.

Российская практика

GDPR, на который в том числе ссылается Суд Европейского Союза в своем решении, распространяется не только на компании, ведущие деятельность на территории 28 стран ЕС, но также и на любые компании вне зависимости от их местонахождения.

Российским компаниям стоит обратить внимание на то, что соответствие отечественному законодательству не обеспечивает автоматического соблюдения GDPR, так как процессы, регулируемые европейским законом, не нашли пока законодательного закрепления в России.

Кроме того, наша правоприменительная практика связывает сбор данных о местоположении пользователей и их поведении на сайте со сбором персональных данных, в связи расширительным толкованием понятия «персональные данные». Для однозначного соблюдения требований законодательства необходимо дополнить сайт разделом «Политика конфиденциальности». При заполнении контактной информации о себе пользователь должен иметь возможность ознакомиться и согласиться с ней (например, в отдельном окне). Также нелишним будет подробно проинформировать пользователей о целях сбора персональных данных и о том, какие именно данные Ваш сайт собирает.

Обратите внимание, что есть несколько категорий файлов cookie, и с некоторыми из них пользователь должен иметь возможность не согласиться в баннере cookie, а не в настройках своего браузера. Поэтому обращайте внимание при подготовке как Политики обработки персональных данных для сайта, так и Политики использования файлов cookie, что для некоторых cookie, к примеру, маркетинговых, возможность отказа должна быть реализована напрямую через Ваш сайт.

Если же на Вашем сайте не реализованы данные механизмы, рекомендуем обратиться к юристам IDEA legal group для разработки Политики в отношении обработки персональных данных и Политики обработки cookie файлов для Вашего сайта.