Cookies и персональные данные. Требования к тем, кто хочет знать о своих клиентах больше

Cookies представляют собой файлы с данными о действиях пользователя на Интернет-сайтах: его логины и пароли, количество и частота посещений, выбор товаров и услуг – они могут также хранить сведения о вашем IP-адресе и электронном устройстве, с которого осуществляется вход на страницу. Такая информация необходима предпринимателям, чтобы анализировать свою клиентскую базу, Интернет-изданиям и блогерам – чтобы составить представление о вкусах аудитории; особенно востребованы cookies среди рекламодателей, поскольку, зная об активности пользователя, его конкретных действиях и предпочтениях, они имеют возможность размещать персонализированную рекламу.

Первым на появление cookies отреагировало европейское право. Европейский парламент и Совет Европейского Союза приравняли данные cookies к персональным данным и установили в их отношении режим конфиденциальности. Согласно позиции органов ЕС, пользователи должны иметь возможность отказаться от cookies, в связи с чем их необходимо информировать о такой возможности перед использованием веб-сайта. Предупредить о возможности отказа, а также запросить согласие пользователя должны наиболее удобным способом.

Так был задан вектор правовых изменений в области cookies. Сведения о действиях лица в Интернете приобрели статус конфиденциальной информации, на получение которой требуется специальное разрешение. Такой взгляд был еще раз сформулирован Европейским парламентом и Советом Европейского Союза уже в 2016 году.

Долгое время правовой статус cookies в России оставался неопределенным. Ни законодательство, ни судебная практика не регламентировали порядок их обработки, пока Московский городской суд в деле социальной сети «LinkedIn Corporation» прямо не указал на то, что данные cookies относятся к персональным данным. Сайт компании LinkedIn был внесен в Реестр нарушителей прав субъектов персональных данных, а деятельность – в том числе по обработке cookies – была признана нарушающей права граждан на неприкосновенность частной жизни, личную и семейную тайну. Аналогичная позиция по cookies была затем изложена в постановлении Второго кассационного суда общей юрисдикции. Взгляд Московского суда также поддержали представители Роскомнадзора на семинаре 28 января 2020 года.

В Европейском Союзе необходимо уведомление о сборе и обработке cookie-файлов, которое играет информационную роль. Пользователь в свою очередь может предоставить отказ от сбора файлов cookie.

В России же владелец сайта (оператор) должен запрашивать у пользователя сайта согласие на обработку cookies. То есть владелец сайта должен обеспечить, чтобы пользователь нажал кнопку и подтвердил бы свое согласие на сбор и обработку cookie-файлов.

Как это можно сделать с минимальными потерями, чтобы не потерять клиентов и не заставить их заполнять множество форм и согласий?

Во-первых, отразить согласие на обработку cookies во всплывающем окне, которое возникает сразу при посещении сайта. Рекомендуется сделать его явным и интерактивным, то есть, чтобы пользователь сайта нажимал кнопку «ОК» или «Согласен».

Далее на веб-сайте прописать в общей политике обработки персональных данных информацию о сборе и обработке cookie-файлов. В этом документе вы указываете: данные о пользовательском устройстве, о местоположении устройства, параметры сессии и прочее, цели обработки, способ отказа от их обработки.

Имейте в виду, что документ, определяющий политику обработки персональных данных, обязательно должен быть и должен быть размещен на сайте. При этом отдельную политику обработки cookies можно не размещать.

Однако недавно появилась позиция Верховного Суда РФ, которая может изменить неоднозначную ситуацию по отнесению файлов cookies к персональным данным и таким образом к получению согласия на обработку cookies. Так Верховный суд признал, что номер телефона и e-mail не являются персональными данными без идентифицирующих данных физического лица. Под идентифицирующими данными понимается: полное ФИО, паспортные данные, ИНН, СНИЛС, дата, место рождения, др. Это связано с тем, что отдельно номер телефона и e-mail не обладают признаками неизменности и уникальности.