Политика использования cookies: образец для сайта

Cookies (куки) — небольшие текстовые файлы, которые веб-сайт сохраняет на устройстве пользователя через браузер. Они содержат информацию о предыдущих посещениях, настройках, авторизации и поведении на сайте. Технология используется повсеместно: по данным исследований, более 95% сайтов в Рунете устанавливают хотя бы один cookie-файл.

Виды cookies по сроку хранения

• Сессионные (session cookies) — существуют только во время текущей сессии браузера. Удаляются автоматически после закрытия вкладки или браузера. Используются для поддержания состояния авторизации, хранения содержимого корзины в интернет-магазине.
• Постоянные (persistent cookies) — сохраняются на устройстве в течение заданного срока (от нескольких дней до нескольких лет). Позволяют «запоминать» пользователя при повторных визитах: язык интерфейса, тему оформления, логин.

Виды cookies по назначению

• Строго необходимые (essential) — обеспечивают базовую функциональность сайта: авторизацию, навигацию, безопасность. Без них сайт не может корректно работать. Пример: идентификатор сессии, CSRF-токен.
• Аналитические (analytics) — собирают обезличенную статистику посещений: количество просмотров, глубину просмотра, источники трафика. Устанавливаются системами веб-аналитики: Яндекс.Метрика (_ym_uid, _ym_d), Google Analytics (_ga, _gid).
• Функциональные (functional) — запоминают пользовательские предпочтения: язык, регион, размер шрифта. Улучшают опыт взаимодействия, но не являются обязательными для работы сайта.
• Рекламные (advertising/targeting) — используются рекламными сетями для показа релевантной рекламы и ретаргетинга. Отслеживают поведение пользователя между разными сайтами. Примеры: Facebook Pixel, Google Ads, myTarget.

Помимо собственных cookies сайта (first-party), браузер может получать сторонние cookies (third-party) от внешних сервисов, встроенных на страницу: счётчиков аналитики, виджетов социальных сетей, рекламных пикселей. Именно сторонние cookies вызывают наибольшие опасения с точки зрения приватности.

Политика cookies — юридический документ, информирующий посетителей сайта о том, какие cookie-файлы устанавливаются, для каких целей, и как пользователь может управлять ими. Необходимость этого документа обусловлена несколькими факторами.

Требования 152-ФЗ к информированию

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» устанавливает обязанность оператора предоставить субъекту информацию об обработке его персональных данных (ст. 14, 18.1). Если cookies содержат сведения, позволяющие идентифицировать пользователя (например, уникальный идентификатор в связке с иными данными), они могут быть признаны персональными данными. В этом случае оператор обязан:

• информировать пользователя о факте обработки его ПДн;
• указать цели и правовое основание обработки;
• обеспечить возможность отказа от обработки.

Влияние GDPR и международных стандартов

Общий регламент защиты данных ЕС (GDPR) прямо признаёт идентификаторы cookies персональными данными (Recital 30). Директива ePrivacy требует получения информированного согласия перед установкой нефункциональных cookies. Если сайт доступен пользователям из ЕС или обрабатывает данные граждан ЕС, соблюдение этих требований обязательно.

Даже если сайт ориентирован исключительно на российскую аудиторию, наличие политики cookies демонстрирует зрелый подход к защите данных и повышает доверие пользователей.

Штрафы за нарушения

Роскомнадзор при проверке сайта может квалифицировать отсутствие информирования об использовании cookies как нарушение порядка обработки ПДн. Штраф по ст. 13.11 КоАП РФ для юридических лиц составляет от 60 000 до 100 000 рублей за первичное нарушение, до 300 000 рублей — за повторное. При нарушениях GDPR штрафы существенно выше — до 20 000 000 евро или 4% годового оборота.

Наличие грамотно составленной политики cookies — один из самых простых способов снизить регуляторные риски при минимальных затратах.

Политика cookies должна быть понятной, полной и актуальной. Ниже — обязательные разделы, которые рекомендуется включить в документ.

1. Определение и общие сведения

Объясните, что такое cookies, кто является оператором сайта (наименование, ИНН, контактные данные), к какому сайту относится политика.

2. Перечень используемых cookies

Укажите конкретные cookies, сгруппированные по категориям. Для каждой cookie укажите:

3. Цели использования

Опишите, для чего используются cookies каждой категории: обеспечение работоспособности сайта, анализ посещаемости, персонализация контента, показ рекламы.

4. Сроки хранения

Укажите срок жизни каждой cookie или группы cookies. Сессионные cookies удаляются при закрытии браузера. Для постоянных укажите точный срок: 30 дней, 1 год, 2 года.

5. Третьи стороны

Перечислите все сторонние сервисы, устанавливающие cookies на сайте: Яндекс.Метрика, Google Analytics, рекламные сети, виджеты социальных сетей. Дайте ссылки на политики конфиденциальности этих сервисов.

6. Управление cookies

Предоставьте инструкцию, как пользователь может отключить или удалить cookies:

• через настройки браузера (дайте ссылки на инструкции для Chrome, Firefox, Safari, Edge);
• через баннер согласия на сайте;
• через настройки рекламных сервисов (opt-out ссылки).

Предупредите, что отключение необходимых cookies может повлиять на работоспособность сайта.

7. Обновление политики

Укажите, что политика может быть обновлена, и опишите порядок уведомления пользователей об изменениях (публикация на сайте, обновление даты редакции).

Ниже приведён типовой текст политики cookies, который можно адаптировать под ваш сайт. Замените данные в квадратных скобках на актуальные сведения.

Данный образец охватывает минимально необходимые разделы. Для сайтов с большим количеством сторонних интеграций или для работы с аудиторией ЕС рекомендуется расширить документ.

Одного документа недостаточно — важно обеспечить его видимость и удобство взаимодействия для пользователей.

Баннер согласия (cookie banner)

При первом посещении сайта пользователь должен увидеть уведомление об использовании cookies. Баннер размещается внизу или вверху экрана и содержит:

• краткое информирование: «Мы используем cookies для улучшения работы сайта»;
• ссылку на полный текст политики cookies;
• кнопку «Принять» или «Согласен»;
• опционально — кнопку «Настроить» для выбора категорий cookies.

До получения согласия аналитические и рекламные cookies не должны устанавливаться. Строго необходимые cookies могут работать без согласия.

Техническая реализация

Для реализации баннера используются несколько подходов:

• Готовые решения: CookieYes, Osano, CookieBot — облачные сервисы с готовыми виджетами и автоматическим сканированием cookies.
• Собственная реализация: JavaScript-скрипт, управляющий загрузкой сторонних скриптов через атрибут type="text/plain" до получения согласия. При согласии атрибут меняется на type="text/javascript".
• Google Tag Manager: настройка триггеров, активирующих теги аналитики и рекламы только после получения согласия через Consent Mode.

Ссылка в подвале сайта

Ссылка на политику cookies размещается в footer (подвале) каждой страницы сайта рядом с другими юридическими документами: политикой конфиденциальности и пользовательским соглашением. Рекомендуемый текст ссылки: «Политика cookies» или «Файлы cookie».

Рекомендации по UX

• Не блокируйте доступ к контенту баннером — используйте ненавязчивое уведомление внизу страницы.
• Обеспечьте возможность изменить выбор позже (ссылка «Настройки cookies» в footer).
• Храните факт согласия в localStorage или в необходимой cookie, чтобы не показывать баннер повторно.
• Срок действия согласия — не более 12 месяцев, после чего баннер показывается повторно.

Один из ключевых вопросов: являются ли cookies персональными данными в понимании 152-ФЗ? Ответ зависит от контекста использования.

Когда cookies = персональные данные

Cookies признаются персональными данными, если они позволяют прямо или косвенно идентифицировать конкретное физическое лицо (ст. 3 ч. 1 152-ФЗ). Это происходит, когда:

• cookie-идентификатор привязывается к учётной записи пользователя (логину, email, телефону);
• cookie используется в связке с IP-адресом, user-agent и другими параметрами для создания уникального «отпечатка» пользователя;
• рекламные cookies отслеживают поведение конкретного пользователя на разных сайтах, формируя детальный профиль.

Роскомнадзор в своих разъяснениях указывает, что cookie-файлы могут содержать персональные данные, если используются совместно с иными идентификаторами для определения конкретного пользователя.

Когда cookies — не ПДн

Cookies не являются персональными данными, если:

• они содержат исключительно технические данные (язык интерфейса, предпочтения отображения) без привязки к конкретному лицу;
• аналитические данные собираются в обезличенном и агрегированном виде без возможности идентификации конкретного пользователя;
• сессионные cookies используются только для поддержания технической сессии и не хранятся после её завершения.

Практические выводы

Для большинства коммерческих сайтов, использующих Яндекс.Метрику или Google Analytics, cookies с высокой вероятностью содержат персональные данные, поскольку аналитические системы создают уникальные идентификаторы посетителей. Это означает:

• необходимо включить cookies в перечень обрабатываемых ПДн;
• обработка cookies должна быть отражена в политике конфиденциальности;
• в уведомлении Роскомнадзора следует указать использование cookies как способ сбора данных;
• получение согласия на аналитические cookies является обязательным.

Сервис Кибероснова Документы автоматически учитывает взаимосвязь политики cookies с другими документами по 152-ФЗ, обеспечивая юридическую согласованность всего пакета.