Конструктор политики обработки файлов cookie

1. Когда сайту нужна политика cookie

Политика cookie нужна почти любому сайту, который сохраняет на устройстве пользователя технические файлы или использует похожие технологии: идентификаторы сессии, пиксели, local storage, счетчики аналитики, рекламные метки, виджеты онлайн-чата. Документ особенно важен для интернет-магазинов, маркетплейсов, сайтов услуг, образовательных платформ, медицинских сервисов, банковских и финансовых кабинетов, SaaS-платформ, сервисов бронирования и личных кабинетов.

Если сайт использует только строго технические cookie, например для сохранения корзины или авторизации, требования будут мягче. Но даже в такой ситуации пользователю лучше объяснить, почему эти cookie необходимы. Если же сайт использует аналитику, рекламу, ретаргетинг, персонализацию, передачу данных третьим лицам или зарубежные сервисы, политика становится обязательным элементом юридической защиты.

В российском праве обязанность публиковать именно «политику cookie» прямо не названа. Но пункт 2 части 1 статьи 18.1 закона № 152-ФЗ требует от оператора персональных данных опубликовать документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных. Политику cookie можно сделать отдельным документом или отдельным разделом общей политики обработки персональных данных. Главное, чтобы пользователь мог легко ее найти до начала или в момент обработки необязательных cookie.

На практике отдельная политика удобнее, когда на сайте много сервисов: аналитика, реклама, A/B-тесты, чат, карты, платежные формы, видео, CRM-интеграции. Если сайт маленький, достаточно раздела «Файлы cookie» в общей политике. Но раздел должен быть содержательным, а не состоять из одной фразы «мы используем cookie для улучшения сайта».

2. Какие законы РФ учитывать при подготовке политики

Основной закон — Федеральный закон № 152-ФЗ «О персональных данных». Для cookie важны следующие нормы. Статья 3 дает определения персональных данных, оператора и обработки. Статья 5 устанавливает принципы обработки: законность, справедливость, ограничение конкретными целями, недопустимость избыточности, хранение не дольше целей обработки. Статья 6 определяет условия, при которых обработка допускается. Статья 9 регулирует согласие субъекта персональных данных. Статья 12 касается трансграничной передачи. Часть 5 статьи 18 закрепляет требование локализации баз данных при сборе персональных данных граждан РФ через интернет. Статья 18.1 говорит о локальных актах и опубликовании политики. Статья 19 требует принимать правовые, организационные и технические меры безопасности. Статья 22 регулирует уведомление Роскомнадзора о намерении осуществлять обработку персональных данных, если нет применимого исключения.

Если cookie применяются для рекламы, нужно учитывать Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе». Особенно важна статья 18, которая связана с распространением рекламы по сетям электросвязи и согласием адресата. Не каждый рекламный cookie сам по себе является рассылкой, но если сайт использует cookie для последующих рекламных сообщений, пушей, e-mail, SMS или иных персонализированных коммуникаций, согласие на рекламу лучше отделить от согласия на cookie.

Если сайт продает товары или услуги гражданам, дополнительно учитываются статьи 8–10 Закона РФ от 07.02.1992 № 2300-1 «О защите прав потребителей»: потребителю должна быть предоставлена необходимая и достоверная информация. Политика cookie не заменяет информацию о товаре или услуге, но влияет на прозрачность онлайн-взаимодействия с потребителем.

Ответственность за нарушения в сфере персональных данных установлена статьей 13.11 КоАП РФ. В зависимости от состава нарушения речь может идти о незаконной обработке, обработке без согласия, непубликации политики, невыполнении требований субъекта персональных данных и иных нарушениях. Поэтому документ нужен не «для красоты», а как часть доказательственной базы оператора.

Из судебной практики для темы важны общие подходы Верховного Суда РФ. Постановление Пленума Верховного Суда РФ от 25.12.2018 № 49 разъясняет подходы к заключению и толкованию договоров: условия должны оцениваться по смыслу, добросовестности сторон и обстоятельствам их принятия. Для сайта это важно при оценке пользовательских соглашений, оферт и условий, к которым пользователь присоединяется онлайн. Постановление Пленума Верховного Суда РФ от 24.03.2005 № 5 по вопросам применения КоАП РФ важно для административных дел: суд проверяет событие правонарушения, состав, виновность и доказательства. По делам о персональных данных оператору недостаточно сказать, что «согласие было»; нужно иметь доказательства, как и когда пользователь его дал.

3. Когда cookie становятся персональными данными

Cookie становятся юридически значимыми, когда помогают определить пользователя. Закон № 152-ФЗ в статье 3 говорит не только о прямо определенном лице, но и о косвенно определяемом лице. Это широкая формулировка. Пользователь может не вводить фамилию и паспортные данные, но сайт может узнавать его по идентификатору сессии, IP-адресу, устройству, аккаунту, истории заказов или рекламному профилю.

Пример: пользователь зашел на сайт, посмотрел несколько товаров, положил товар в корзину и ушел. Сайт сохранил cookie корзины. Пока пользователь не авторизован и не оставил контакт, риск ниже. Но если через день он вошел в личный кабинет и оформил заказ, прежняя история просмотров может связаться с конкретным человеком. С этого момента данные о поведении на сайте уже сложно считать полностью обезличенными.

К персональным данным могут относиться не только ФИО и телефон. В контексте cookie потенциально значимы:

• IP-адрес и сведения об устройстве;
• уникальный идентификатор пользователя или браузера;
• история посещений страниц;
• действия в личном кабинете;
• просмотренные товары, услуги, статьи или объявления;
• данные о согласии на cookie;
• сведения о рекламном профиле и сегментах аудитории.

Это не означает, что любой сайт обязан получать письменное согласие на каждый технический cookie. Но это означает, что владелец сайта должен понимать, какие данные он собирает и на каком основании. Статья 5 закона № 152-ФЗ запрещает избыточную обработку. Если для работы сайта достаточно хранить только идентификатор сессии, не нужно собирать дополнительные рекламные параметры без понятной цели.

Чем ближе cookie к профилированию, рекламе, аналитике поведения и передаче третьим лицам, тем выше требования к прозрачности и согласию пользователя.

В политике не стоит писать, что cookie «не являются персональными данными» во всех случаях. Такая формулировка слишком категорична и может быть неверной. Лучше указать, что отдельные сведения, получаемые через cookie, могут относиться к персональным данным, если позволяют определить пользователя прямо или косвенно. Это более безопасная и честная позиция.

4. Какие виды cookie нужно описать в документе

Перед подготовкой текста нужно сделать инвентаризацию. Это не юридическая формальность, а нормальная рабочая проверка сайта. Нужно открыть сайт, посмотреть cookie в браузере, проверить счетчики, пиксели, формы обратной связи, чат-виджеты, платежные модули, карты, видео, систему авторизации, CRM-интеграции и рекламные кабинеты. Только после этого можно составить документ.

Обычно cookie делят на несколько категорий. Технические cookie обеспечивают базовую работу сайта: вход в аккаунт, корзину, безопасность сессии, распределение нагрузки, защиту от спама и мошенничества. Такие cookie часто являются обязательными, потому что без них сайт не сможет нормально работать.

Функциональные cookie запоминают настройки пользователя: город, язык, валюту, размер шрифта, выбранный регион, параметры интерфейса. Они не всегда строго необходимы, но делают сайт удобнее.

Аналитические cookie помогают понять, как пользователи взаимодействуют с сайтом: какие страницы посещают, где проводят больше времени, с каких устройств заходят, где возникают ошибки. Аналитика может быть внутренней или подключенной через сторонние сервисы.

Рекламные cookie используются для ретаргетинга, персонализации рекламы, ограничения частоты показов, оценки эффективности рекламных кампаний. Именно эта категория обычно требует наиболее осторожного подхода.

Отдельно стоит описать cookie третьих лиц. Их устанавливают не сам владелец сайта, а внешние сервисы: аналитика, рекламные сети, онлайн-чаты, карты, видеоплееры, платежные сервисы, сервисы безопасности. Пользователь должен понимать, что часть данных может обрабатываться не только владельцем сайта, но и его партнерами или подрядчиками.

Хороший шаблон политики должен содержать таблицу. В ней можно указать название cookie, поставщика, цель, срок хранения и категорию. Если сайт простой, таблица может быть короткой. Если сайт сложный, таблица должна быть более подробной. Типовой текст без таблицы допустим только для очень простых проектов, где cookie немного и они понятны.

5. Как определить правовое основание обработки cookie

Самый сложный вопрос — правовое основание обработки. Статья 6 закона № 152-ФЗ содержит несколько оснований, при которых обработка персональных данных допускается. Для сайта чаще всего рассматривают согласие пользователя, необходимость исполнения договора или пользовательского соглашения, исполнение обязанностей оператора по закону, а также иные основания, прямо предусмотренные статьей 6.

В российском праве не стоит бездумно писать, что cookie обрабатываются на основании «законного интереса оператора», как это часто делают в документах по GDPR. В законе № 152-ФЗ нет такого же универсального основания в европейском смысле. Поэтому для российского документа лучше формулировать точнее: технические cookie используются для обеспечения работы сайта, исполнения пользовательского соглашения, сохранения сессии, защиты от неправомерных действий; аналитические и рекламные cookie используются на основании согласия пользователя, если они не являются строго необходимыми.

По статье 9 закона № 152-ФЗ согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Эти слова важны. Если пользователь видит баннер с фразой «мы используем cookie» и единственной кнопкой «понятно», это не всегда доказывает согласие на аналитику, рекламу и передачу третьим лицам. Чем больше необязательных cookie, тем более детальным должен быть выбор.

Безопасная модель выглядит так: технические cookie включены всегда, потому что без них сайт не работает; аналитические cookie можно принять или отключить; рекламные cookie включаются только после отдельного действия пользователя; пользователь может изменить настройки позже.

Политика должна объяснять, что отказ от необязательных cookie не лишает пользователя доступа к основным функциям сайта, если это технически возможно. При этом отказ от технических cookie может привести к некорректной работе сайта: не сохранится корзина, не получится войти в личный кабинет, будут сбрасываться настройки. Такую информацию нужно написать прямо.

Если сайт работает между юридическими лицами, например B2B-портал, система закупок или личный кабинет корпоративного клиента, требования о персональных данных все равно могут применяться. Представитель компании — это физическое лицо, и его e-mail, номер телефона, должность, IP-адрес и действия в кабинете могут быть персональными данными. Если сайт используется между физическими лицами, например сервис объявлений, аренды или частных услуг, риски также есть: оператор платформы обычно обрабатывает данные обеих сторон.

6. Как правильно оформить согласие и cookie-баннер

Cookie-баннер — это не просто всплывающее окно. Это способ сообщить пользователю об обработке и, при необходимости, получить согласие. Ошибка многих сайтов в том, что баннер появляется уже после установки всех рекламных и аналитических cookie. В таком случае он не получает согласие, а только сообщает о состоявшейся обработке. Для необязательных cookie это слабая позиция.

Баннер лучше сделать двухуровневым. На первом уровне — короткое сообщение: сайт использует cookie для работы, аналитики и персонализации; пользователь может принять все, отклонить необязательные cookie или настроить выбор. На втором уровне — настройки по категориям: технические, функциональные, аналитические, рекламные.

В тексте баннера должна быть ссылка на политику cookie. Ссылка должна быть заметной, а не спрятанной в сером мелком тексте. Кнопки должны быть понятными. Нежелательно делать кнопку «принять» яркой и крупной, а кнопку отказа незаметной или спрятанной в несколько переходов. Такой интерфейс может быть оценен как недобросовестный способ получения согласия.

Пример нормальной структуры:

• «Принять все»;
• «Отклонить необязательные»;
• «Настроить cookie»;
• ссылка «Политика cookie»;
• ссылка или раздел «Изменить настройки».

Факт согласия нужно фиксировать. Желательно сохранять дату, время, версию политики, выбранные категории cookie и технический идентификатор согласия. Это важно на случай жалобы пользователя или проверки. В административном споре по статье 13.11 КоАП РФ применяются общие правила доказывания КоАП РФ, в том числе статьи 26.1 и 26.2: нужно установить обстоятельства дела и оценить доказательства. Поэтому оператору полезно иметь не только текст политики, но и технический след согласия.

Баннер с одной кнопкой «ОК» подходит только для самых простых сценариев. Для аналитики, рекламы и профилирования безопаснее дать пользователю реальный выбор.

7. Что написать о целях обработки cookie

Цели обработки должны быть конкретными. Это требование следует из статьи 5 закона № 152-ФЗ: обработка должна ограничиваться достижением конкретных, заранее определенных и законных целей. Нельзя написать «для любых целей, связанных с деятельностью сайта». Такая формулировка слишком широкая.

В политике можно указать следующие цели, если они действительно соответствуют работе сайта:

• обеспечение функционирования сайта и его отдельных разделов;
• авторизация пользователя и сохранение сессии;
• сохранение товаров в корзине или избранном;
• защита сайта от спама, мошенничества и несанкционированного доступа;
• запоминание пользовательских настроек;
• анализ посещаемости и улучшение структуры сайта;
• выявление технических ошибок;
• персонализация интерфейса;
• оценка эффективности рекламных кампаний;
• показ релевантной рекламы при наличии отдельного согласия.

Не нужно включать цель, которой на сайте нет. Если вы не используете рекламу, не пишите про рекламные cookie. Если нет личного кабинета, не пишите про авторизацию. Если нет аналитики, не включайте ее «на будущее». Когда функциональность изменится, документ можно обновить.

Для каждой цели желательно указать категорию cookie. Например, технические cookie нужны для авторизации и безопасности; аналитические — для статистики; рекламные — для показа рекламы и ретаргетинга. Так пользователь понимает, что именно происходит.

Если политика создается через онлайн-конструктор, внимательно проверьте блок целей. Некоторые сервисы автоматически добавляют слишком широкий перечень: маркетинг, профилирование, партнерские программы, рассылки, A/B-тесты. Если этого нет на сайте, текст нужно сократить. Конструктор помогает создать основу, но не освобождает оператора от ответственности за содержание документа.

8. Как описать третьих лиц и трансграничную передачу

Современный сайт редко работает полностью самостоятельно. Обычно используются хостинг, CDN, аналитика, рекламные кабинеты, CRM, платежные сервисы, онлайн-чаты, рассылки, карты, виджеты социальных сетей. Если через такие сервисы передаются сведения о пользователе, это нужно отразить в политике.

Можно указать категории третьих лиц: технические подрядчики, поставщики хостинга, сервисы аналитики, рекламные партнеры, платежные организации, сервисы безопасности, операторы рассылок. В отдельных случаях лучше назвать конкретные сервисы. Чем чувствительнее данные и чем активнее профилирование, тем больше прозрачности требуется.

Если данные могут передаваться за пределы России, нужно учитывать статью 12 закона № 152-ФЗ о трансграничной передаче персональных данных. Оператор должен оценить, в какие страны передаются данные, обеспечивается ли там надлежащая защита прав субъектов, и выполнить требования закона, включая уведомительные обязанности в случаях, когда они применяются. Для cookie это особенно актуально при использовании зарубежной аналитики, рекламных сетей, облачных CRM и маркетинговых платформ.

Также нужно помнить о части 5 статьи 18 закона № 152-ФЗ: при сборе персональных данных граждан РФ через интернет оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение таких данных с использованием баз данных, находящихся на территории РФ. Это требование часто называют локализацией персональных данных. Оно не означает полного запрета на все иностранные сервисы, но требует правильно организовать первичный сбор и хранение данных.

В политике можно написать, что оператор может привлекать третьих лиц для обеспечения работы сайта, аналитики, безопасности и рекламы, при этом такие лица обязуются соблюдать конфиденциальность и требования законодательства о персональных данных. Но одной фразы мало. Если подрядчик реально обрабатывает персональные данные по поручению оператора, отношения нужно оформить договором или соответствующими условиями поручения обработки персональных данных. Это вытекает из статьи 6 закона № 152-ФЗ, где предусмотрена обработка персональных данных по поручению оператора при соблюдении требований закона.

9. Как указать сроки хранения cookie

Сроки хранения — один из самых практических разделов политики. Их можно проверить технически через браузер, поэтому нельзя писать случайные значения. Если политика обещает хранение 30 дней, а cookie фактически живет 24 месяца, возникает расхождение между документом и реальной обработкой.

Статья 5 закона № 152-ФЗ требует хранить персональные данные не дольше, чем этого требуют цели обработки, если иной срок не установлен законом, договором или согласием. Поэтому в политике нужно указать сроки по категориям или по конкретным cookie.

Пример подхода: сессионные cookie хранятся до закрытия браузера; cookie авторизации — в течение срока сессии или до выхода пользователя из аккаунта; cookie настроек — несколько месяцев или до удаления пользователем; cookie согласия — до изменения настроек или истечения установленного срока; аналитические cookie — в течение срока, установленного в настройках сервиса аналитики; рекламные cookie — в течение срока, указанного рекламным партнером или настройками сайта.

Лучше не писать «бессрочно». Даже если cookie технически установлен на длительный срок, должна быть понятная причина. Например, cookie согласия может храниться дольше, чтобы сайт не показывал баннер при каждом посещении и мог доказать выбор пользователя. Но срок все равно должен быть разумным.

В разделе о сроках также нужно объяснить, что пользователь может удалить cookie через настройки браузера. Но важно предупредить: после удаления cookie сайт может забыть настройки, корзину, регион, статус авторизации. Это нормальная и честная информация.

Если используется типовой шаблон, этот раздел нужно особенно внимательно адаптировать. В чужом документе могут быть сроки для других сервисов и другой архитектуры сайта. Владелец сайта отвечает за свой текст, даже если он решил скачать его из открытого источника.

10. Как связать политику cookie с другими документами сайта

Политика cookie не должна противоречить общей политике обработки персональных данных. Если в общей политике написано, что сайт обрабатывает только имя и телефон для обратного звонка, а в политике cookie перечислены рекламные профили, история просмотров, аналитика и передача третьим лицам, документы конфликтуют. Такой конфликт снижает доверие к оператору и может быть использован пользователем в споре.

Для сайта обычно нужен комплект документов: политика обработки персональных данных, политика cookie или раздел о cookie, пользовательское соглашение или оферта, согласие на обработку персональных данных для форм, согласие на рекламные сообщения, условия подписки или личного кабинета. Не все документы нужны каждому сайту, но их нужно согласовать между собой.

Политика обработки персональных данных должна описывать общую систему: кто оператор, какие категории данных обрабатываются, цели, основания, сроки, права субъекта, порядок обращений. Политика cookie уточняет технический слой: какие файлы и технологии используются при посещении сайта. Пользовательское соглашение или оферта регулирует использование сервиса, покупку товаров, оказание услуг, регистрацию и ответственность сторон.

Нельзя прятать согласие на рекламу внутри общей фразы о принятии политики. Закон о рекламе требует согласия адресата на распространение рекламы в соответствующих случаях. Лучше сделать отдельный чекбокс или отдельное действие. Заранее отмеченная галочка — плохая практика, потому что согласие должно быть активным и осознанным.

Судебная практика по онлайн-документам исходит из того, что важно не только наличие текста, но и возможность пользователя ознакомиться с ним. Постановление Пленума Верховного Суда РФ № 49 от 25.12.2018 полезно учитывать при конструировании пользовательских условий: если лицо присоединяется к условиям, они должны быть доведены до него понятным способом. Для персональных данных этот подход усиливается специальными требованиями статей 6, 9 и 18.1 закона № 152-ФЗ.

11. Можно ли использовать образец, шаблон или онлайн-конструктор

Использовать образец можно, но как черновик. Использовать шаблон можно, но после проверки. Использовать онлайн-конструктор можно, если он задает правильные вопросы и позволяет настроить документ под конкретный сайт. Проблема возникает тогда, когда владелец сайта хочет скачать типовой текст, не понимая, какие cookie реально используются.

Хороший образец помогает не забыть структуру: оператор, виды cookie, цели, сроки, третьи лица, права пользователя, настройки браузера, контакты. Хороший шаблон дает формулировки, которые можно адаптировать. Хороший конструктор задает вопросы о личном кабинете, аналитике, рекламе, трансграничной передаче, локализации и согласиях. Но ни один инструмент не заменяет инвентаризацию сайта.

Перед тем как скачать и опубликовать документ, нужно ответить на вопросы:

• какие cookie устанавливаются при первом заходе на сайт;
• какие cookie включаются только после согласия;
• есть ли рекламные пиксели и ретаргетинг;
• какие данные получают третьи лица;
• есть ли передача данных за пределы РФ;
• где хранятся базы данных граждан РФ;
• фиксируется ли согласие пользователя.

Если на эти вопросы нет ответа, политика будет формальной. Она может красиво выглядеть, но не будет подтверждать законность обработки. В случае проверки Роскомнадзора или жалобы пользователя формальность быстро обнаружится: достаточно сравнить текст документа с реальными cookie и сетевыми запросами сайта.

Для небольшого сайта услуг допустим краткий документ, если cookie действительно ограничены техническими и простой аналитикой. Для интернет-магазина, сервиса с личным кабинетом или рекламным ретаргетингом нужен более подробный текст и нормальная настройка баннера.

12. Итоговый чек-лист и пример структуры политики

Перед публикацией политики cookie стоит пройти короткий чек-лист. Сначала определите оператора: ООО, ИП, физическое лицо или иная организация. Затем проведите техническую проверку сайта. После этого распределите cookie по категориям, определите цели, сроки хранения, правовые основания и третьих лиц. Отдельно проверьте трансграничную передачу и локализацию данных граждан РФ. Затем настройте баннер и фиксацию согласия.

Пример структуры политики может выглядеть так:

• общие положения;
• сведения об операторе;
• понятие cookie и похожих технологий;
• категории используемых cookie;
• цели использования cookie;
• правовые основания обработки;
• cookie третьих лиц;
• трансграничная передача данных;
• сроки хранения;
• управление cookie и отзыв согласия;
• права пользователя;
• контакты оператора и порядок изменения политики.

В разделе «Права пользователя» нужно указать, что пользователь вправе получать информацию об обработке своих персональных данных, требовать их уточнения, блокирования или уничтожения в случаях, предусмотренных законом № 152-ФЗ, а также отозвать согласие, если обработка основана на согласии. Можно добавить, что пользователь вправе изменить настройки cookie в браузере или через интерфейс сайта, если такая функция предусмотрена.

В разделе «Изменение политики» нужно указать дату редакции и порядок обновления. Если сайт добавляет новые рекламные сервисы или меняет аналитику, политику следует обновить. Если меняются цели обработки или категории данных, может потребоваться новое согласие пользователя.

Итоговая рекомендация такая: не начинать с текста, а начинать с карты обработки данных. Сначала выяснить, какие cookie есть на сайте, потом определить юридические основания, затем подготовить документ и баннер. Только в таком порядке политика будет не бумажной формальностью, а рабочим инструментом защиты.

Грамотно составленная политика cookie помогает пользователю понимать, что происходит с его данными, а владельцу сайта — подтверждать прозрачность и законность обработки. Ее можно создать самостоятельно, используя образец, шаблон, типовой подход или онлайн-конструктор, но финальная версия должна быть адаптирована под конкретный сайт. Если используются реклама, профилирование, личные кабинеты, платежи, иностранные сервисы или передача данных третьим лицам, документ лучше проверить отдельно до публикации. Это дешевле, чем потом объяснять пользователю, Роскомнадзору или суду, почему фактическая обработка не совпала с опубликованной политикой.