Баннер cookie для маленького сайта: что требует закон ЕС, а что нет

Баннер cookie — самая раздражающая часть интернета. И одна из самых непонятных для тех, кто делает сайты. Нужен ли он вообще? Если нужен, то какой? Можно ли просто написать «Пользуясь сайтом, вы соглашаетесь на cookie» и забыть об этом?

Нам пришлось ответить на эти вопросы, когда мы делали Consent, свой баннер cookie для небольших сайтов. Посмотреть, как он работает, можно на fewbase.com: он стоит на нашем собственном сайте. Ниже то, что на самом деле говорят закон ЕС и европейские органы по защите данных. Мы берём только первоисточники: директиву, GDPR, Суд ЕС и Европейский совет по защите данных (EDPB).

Это не юридическая консультация. Если у вас сложный случай, обратитесь к юристу.

Главное правило умещается в одну фразу

Его задаёт статья 5(3) директивы ePrivacy. Сохранять информацию на устройстве посетителя или читать её оттуда можно только с согласия посетителя. И сначала нужно понятно объяснить, зачем (Директива 2002/58/EC).

Из этого следуют две вещи:

• Речь не только о cookie. EDPB пишет, что правило касается и «похожих технологий»: пикселей отслеживания, меток отслеживания в ссылках, чтения идентификаторов устройства и fingerprinting (EDPB, Guidelines 2/2023).
• Неважно, персональные это данные или нет. Так решил Суд ЕС в деле Planet49 (C-673/17).

Когда согласие не нужно

У правила два исключения. Согласие не нужно, если хранение или чтение нужно только для передачи данных по сети. Или если оно строго необходимо, чтобы оказать посетителю услугу, которую он сам запросил (ст. 5(3)).

В заключении 2012 года органы ЕС по защите данных перечислили, что обычно сюда относится (WP29, Opinion 04/2012):

• сессия после входа посетителя в аккаунт;
• корзина или форма из нескольких страниц;
• защитные cookie, например против подбора пароля;
• распределение нагрузки между серверами;
• короткие cookie с настройками, которые выбрал посетитель, например язык.

EDPB добавляет cookie, которые запоминают выбор самого посетителя. Сюда входит и ответ на сам баннер cookie (EDPB, отчёт Cookie Banner Taskforce, п. 30).

Что сюда не относится: вход «запомнить меня», который сохраняется между визитами, реклама, ремаркетинг и аналитика.

Итак, если на сайте только такие технические cookie, баннер для согласия не нужен. Но описать их в политике конфиденциальности всё равно стоит.

Аналитика — самая частая ловушка

Многие считают аналитику «необходимой». Регуляторы ЕС с этим не согласны. Статистика посещений нужна владельцу сайта, но посетитель её не просил. Поэтому аналитические cookie не попадают под исключение, и для них нужно согласие (WP29, п. 4.3). Эстонская инспекция по защите данных (AKI) тоже относит аналитические cookie к дополнительным, для которых нужно предварительное согласие (aki.ee).

В некоторых странах есть свои исключения. Например, французский регулятор CNIL разрешает измерять аудиторию без согласия при строгих условиях: только ваша собственная статистика, без связи с другими данными, сокращённый IP-адрес и срок жизни не больше 13 месяцев (CNIL). Но это правило Франции, а не всего ЕС.

Каким должен быть правильный баннер

Если согласие нужно, у баннера есть понятные требования.

Ничего не включается до выбора

Cookie, для которых нужно согласие, нельзя ставить, пока посетитель не нажал кнопку. Согласие — это активное действие (отчёт Taskforce, п. 7).

Прокрутка — не согласие

Прокрутка, свайп или «просто продолжение работы с сайтом» никогда не считаются согласием (EDPB, Guidelines 05/2020, п. 86). Фраза «Продолжая, вы соглашаетесь» не работает.

Никаких заранее отмеченных галочек

Это запретил Суд ЕС в деле Planet49.

Отказаться так же просто, как согласиться

Большинство европейских органов по защите данных считают нарушением баннер, где есть кнопка «Принять», но нет кнопки «Отклонить» на том же экране (отчёт Taskforce, п. 8). Отказ не должен прятаться в виде бледной ссылки, а дизайн не должен подталкивать людей к «Принять».

Выбор для каждой цели

Посетитель должен иметь возможность разрешить аналитику и отказаться от рекламы, а не принимать всё одним пакетом (Guidelines 05/2020, п. 42).

Понятное объяснение

Расскажите посетителям, для чего нужны cookie, сколько они хранятся и могут ли к ним получить доступ третьи стороны. Это тоже следует из решения Planet49.

Без «стены cookie»

Нельзя закрывать доступ к сайту, пока человек не согласится (Guidelines 05/2020, п. 39).

Без «законного интереса»

Для cookie по статье 5(3) законный интерес владельца сайта не может быть правовым основанием (отчёт Taskforce, п. 24).

Передумать можно в любой момент

Отозвать согласие должно быть так же легко, как дать его (GDPR, ст. 7(3)). EDPB предлагает для этого, например, маленькую иконку, которая всегда видна на странице (отчёт Taskforce, п. 32).

Согласие нужно уметь доказать

Закон не говорит дословно «ведите журнал согласий». Но владелец сайта должен уметь доказать, что согласие было дано (GDPR, ст. 7(1)). EDPB поясняет, что ссылки на «правильно настроенный сайт» для этого мало. Нужна запись о том, когда и как было дано согласие. При этом не стоит собирать больше данных, чем для этого нужно (Guidelines 05/2020, пп. 106–108).

Если вы используете рекламу Google, хранить записи о согласиях просит и собственная политика Google (EU User Consent Policy).

Google Consent Mode v2, если у вас Google Analytics или Ads

Consent Mode сообщает тегам Google, на что согласился посетитель. В ноябре 2023 года Google добавил к прежним параметрам ad_storage и analytics_storage два новых: ad_user_data и ad_personalization. Эта версия называется v2 (Google). Для посетителей из Европейской экономической зоны Google просит собирать согласие и передавать эти сигналы. Без них перестают работать измерение, персонализация рекламы и ремаркетинг (Google Ads Help).

А если ваш сайт не в ЕС?

GDPR действует и для компаний за пределами ЕС, если они предлагают товары или услуги людям в ЕС или следят за их поведением там (GDPR, ст. 3(2)). Того, что люди в ЕС могут открыть ваш сайт, самого по себе недостаточно. Важно, для кого сделан сайт: язык, валюта, упоминания клиентов в ЕС (EDPB, Guidelines 3/2018).

Чек-лист

• Выпишите все cookie и скрипты на сайте: аналитика, реклама, виджеты чата, встроенные видео, пиксели.
• Только технические cookie? Баннер для согласия не нужен. Достаточно политики конфиденциальности.
• Есть аналитика или реклама? Нужен баннер.
• До выбора посетителя ничего не включается.
• «Принять» и «Отклонить» на первом экране, одинаково заметные.
• Выбор по каждой категории, без заранее отмеченных галочек.
• Объяснение: зачем, на какой срок и есть ли доступ у третьих сторон.
• Посетитель может изменить выбор в любой момент.
• Выбор записывается, без лишних персональных данных.
• Google Analytics или Ads? Подключён Consent Mode v2.

Как мы сделали это у себя

Мы сделали Consent, баннер для маленьких сайтов, который выполняет этот список по умолчанию.

Одна строка кода

Вы добавляете на сайт одну строку. Всё остальное настраивается в кабинете на fewbase.com.

«Принять» и «Отклонить» выглядят одинаково

«Принять все» и «Отклонить все» одного цвета и размера, рядом с ними «Настройки». Ничего не выбрано заранее.

Четыре категории

Необходимые, предпочтения, аналитика и маркетинг. Под каждой посетитель видит сервисы, которые вы к ней подключили.

Сервисы выключены, пока посетитель не выбрал

Google Tag Manager, GA4, Google Ads, Meta Pixel и Microsoft Clarity подключаются по ID, можно добавить и свои скрипты. Consent Mode v2 встроен.

Путь назад

После выбора в углу страницы остаётся маленькая кнопка. Она снова открывает настройки, и посетитель может передумать.

Журнал согласий

В каждой записи есть дата, выбор, категории, язык, страница и страна. Нет IP-адресов, имён и email. Журнал можно выгрузить в CSV.

Ваш язык и ваш стиль

Баннер говорит на 26 языках, у него есть светлая и тёмная тема, и вы можете написать свои тексты.

Честно о том, чего Consent не делает: он не сканирует ваш сайт. Скрипт, который вы не подключили и не отметили, будет работать как раньше. Поэтому после установки баннера проверьте свои страницы.

Начать можно бесплатно.