Политика ЕС в отношении файлов cookie: полный гайд

Содержание

• Законодательство ЕС в отношении cookies
• Какие файлы cookie не требуют согласия
• Закон касается не только cookie
• На кого распространяется закон
• Как владельцу сайта соблюсти закон
  • Не собирайте cookie
  • Добавьте всплывающее окно
  • Получите согласие
  • Дополните «Правила и условия использования сайта»
  • Используйте специальную программу
• Когда нужно запрашивать согласие пользователя
• Предоставление информации о файлах cookie
• Распространенные вопросы о файлах cookie
  • Что такое cookie?
  • Типы cookie
  • Блокировка cookie
• Что, если пользователь запретит сбор cookie?
• Какие наказания ждут владельцев сайтов

Отслеживающие файлы cookie, которые размещаются на сайтах в рекламных целях, могут собирать информацию о привычках потребителей в интернете, видеть, какие продукты они просматривают и что покупают.

Эти данные используются, чтобы демонстрировать таргетированную рекламу. Именно поэтому, если вы просматривали SSD-диски на маркетплейсе, подобные предложения могут появляться в социальных сетях или онлайн-магазинах техники.

Файлы cookie полезны и для пользователей, и для владельцев сайтов: чем более таргетирована реклама, тем больше шансов, что по ней кликнут. Можно сказать, что отслеживающие файлы — «меньшее зло», необходимое, чтобы сайты оставались бесплатными.

Тем не менее многие считают, что благодаря этим файлам слишком просто отслеживать поведение пользователей в сети и использовать истории посещений в личных целях.

В 2011 году Европейский союз согласился с этим. Власти сочли, что пользователи имеют право знать, какие файлы cookie используют посещаемые ими сайты и для каких целей, а также иметь возможность отказаться от них, когда это необходимо.

В результате Европейский парламент принял Директиву 2009/136/ЕС, известную как Закон о файлах cookie. Согласно ей, все страны ЕС должны принять законы, требующие от сайтов получать информированное согласие на то, чтобы хранить информацию на компьютере посетителя или устройстве с поддержкой интернета и извлекать ее.

Другими словами, если сайт взаимодействует с пользователями из Европы и использует файлы cookie, ему необходимо сообщить им, для чего используются эти файлы, и получить их согласие.

Законодательство ЕС в отношении cookies

Закон о cookies появился как директива Европейского союза, которая была направлена на защиту конфиденциальности в интернете. С тех пор некоторые вариации этих мер были приняты всеми странами ЕС.

Закон о cookies обязывает владельцев сайтов, использующих файлы cookie, выполнять четыре действия.

1. Уведомлять каждого посетителя, что сайт использует файлы cookie.
2. Предоставлять подробную информацию о том, для каких целей будут применяться данные из этих файлов.
3. Предлагать несколько способов принять использование файлов cookie или отказаться от него.
4. В случае отказа убедиться, что файлы cookie не будут сохраняться на устройстве пользователя.

Какие файлы cookie не требуют согласия

Для некоторых cookies, которые необходимы для правильной работы сайта, делается исключение.

К примеру, когда пользователь интернет-магазина добавляет товары в корзину, он ожидает, что эти товары будут находится там при оформлении заказа. Эту возможность обеспечивают файлы cookie, и они считаются «строго необходимыми».

С другой стороны, онлайн-магазин не обязан предоставлять индивидуальный пользовательский опыт и предложения. Файлы cookie, активирующие эти функции, не входят в категорию «строго необходимых», и для них нужно получать согласие пользователя.

Файлы cookie, которые обеспечивают функции безопасности для сайтов, где ожидается высокий уровень безопасности, таких как сайты онлайн-банкинга, также считаются строго необходимыми.

Фото в тексте: Pixel-Shot / Shutterstock

Вот что говорится в рекомендациях ЕС в отношении «строго необходимых» cookies:

«Это не должно препятствовать любому техническому хранению или доступу с единственной целью осуществления передачи сообщения по сети электронных коммуникаций или в качестве строго необходимого для того, чтобы поставщик услуг информационного общества, явно запрошенный абонентом или пользователем, предоставил услугу».

Если вы не уверены, являются ли ваши cookies «строго необходимыми», стоит обратиться к местным регулирующим органам — они предоставят дополнительную информацию и рекомендации для конкретной страны.

Любой файл cookie, который не подпадает под определение «строго необходимого», требует согласия, прежде чем вы сможете сохранить его на устройстве посетителя.

Закон касается не только cookie

На самом деле, файлы cookie не упоминаются в самом регламенте. Существует множество способов хранения пользовательской информации, и многие из них включают передачу файлов на компьютер, телефон или планшет пользователя. Регламент не называет какую-либо технологию явно, и это сделанно намеренно: чтобы охватить все варианты, а также те, которые еще будут созданы.

Читайте по теме:

Что такое Post-Cookie World, о котором все говорят, и чем он грозит бизнесу

Что заменит cookies: обзор решений для идентификации и таргетинга

Так что же это значит? Файлы cookie — это наиболее распространенная технология, используемая для хранения информации пользователя на его персональном устройстве. Именно поэтому этот закон часто называют Законом о cookies. Однако любая другая технология, которая хранит информацию в браузере пользователя или где-либо еще на его устройстве, должна быть раскрыта и получить одобрение.

К ним относятся такие инструменты, как Flash и локальное хранилище HTML5, оба из которых хранят информацию локально аналогично файлам cookie.

На кого распространяется закон

На все сайты, использующие файлы cookie (их владельцы могут даже не осознавать этого).

Большинство современных систем управления контентом, таких как WordPress или Drupal, а также ПО для ведения блогов, форумы и многие другие веб-приложения, используют файлы cookie для идентификации пользователя, входа в систему или отслеживания комментариев.

Интернет-магазины применяют файлы cookie для всего — от корзины покупок до логинов пользователей и индивидуальных рекомендаций товаров.

Google Analytics, Google AdSense, AdWords, социальные медиа-плагины (кнопки «Мне нравится»), встроенные видеоролики YouTube или другой медиаконтент также могут содержать cookie.

Если вы не уверены в том, использует ли ваш сайт файлы cookie, проверить это можно с помощью Google Chrome.

• В браузере откройте Инструменты разработчика (F12 для Windows и Cmd+Opt+J для Mac).
• Перейдите на вкладку Application. В разделе Cookies можно найти необходимую информацию. Обязательно посетите каждую страницу и протестируйте все возможные точки взаимодействия: оставьте комментарий, войдите в систему, поставьте отметку «Мне нравится» и так далее.
• Если раздел пустой, вероятно, беспокоиться не о чем. Однако если удалось найти файлы cookie, пришло время рассмотреть варианты.

Как владельцу сайта соблюсти закон

Правила ЕС не устанавливают конкретных требований — скорее это пожелания высокого уровня. Как их соблюсти, во многом зависит от владельца сайта. Рассмотрим несколько вариантов.

Не собирайте cookie

Это кажется очевидным решением, но реализовать его не так легко. Оно подойдет для простого статичного сайта. С помощью браузера найдите страницы с файлами cookie и удалите код, содержащий их.

Однако, если на сайте есть более сложные элементы, придется учесть, чем пожертвовать в этом процессе. Например, вы ведете на нем ежедневный блог, а cookie необходимы для комментариев. Отключить комментарии только для того, чтобы не сообщать своим посетителям о файлах cookie? Скорее всего, нет.

Добавьте всплывающее окно

На самом деле нет конкретных инструкций относительно того, как необходимо информировать пользователей или какую именно информацию необходимо им предоставить. Однако есть несколько общепринятых подходов.

Прежде всего, сообщите пользователям, что сайт использует файлы cookie. Это можно сделать с помощью всплывающего окна, строки заголовка или аналогичного элемента. На данном этапе формулировка не должна быть сложной или даже подробной. Подробности можно сообщить на другой странице. Важно то, что предупреждение существует и что оно включает в себя возможность отказаться от использования файлов cookie.

Пример текста: «Мы разместили файлы cookie на вашем устройстве, чтобы помочь сделать этот веб-сайт лучше. Здесь вы можете изменить настройки файлов cookie. В противном случае мы будем считать, что вы согласны продолжить».

Во всплывающем окне или строке заголовка оставьте место для согласия или отказа пользователя. Если предупреждение проигнорировано, можно предположить, что пользователь согласен с условиями.

Получите согласие

В зависимости от законодательства конкретной страны ЕС, форма согласия пользователя может быть разной. В некоторых случаях требуется нажать кнопку «Согласен с использованием cookie», прежде чем получить доступ к сайту.

Другой подход — отобразить короткое сообщение, информирующее об использовании файлов cookie, обычно в строке заголовка или другом элементе, который никак не мешает доступу. По истечении заданного промежутка времени, который может составлять всего несколько секунд, объявление может исчезнуть. В этом случае подразумевается, что если пользователь остается на сайте, то он согласен.

При этом Национальная комиссия по делам информационных технологий и правам человека (CNIL) Франции (в начале 2022 года оштрафовала Google и Meta* из-за политики сбора данных) подчеркивает, что согласие должно быть добровольным и явным.

Ведомство считает, что выразить согласие можно только через действие, например, нажав кнопку, и что владелец сайта обязан в любое время доказать, что пользователь дал согласие.

Кроме того, у пользователя должна быть возможность отозвать согласие, причем с той же легкостью, что и дать его.

Дополните «Правила и условия использования сайта»

Иногда всплывающее окно мешает пользовательскому опыту, и поэтому некоторые компании включают информацию о файлах cookie в раздел, посвященным правилам и условиям использования сайта. Это довольно удобный и ненавязчивый метод, но он имеет ряд особенностей.

Во-первых, пользователи должны согласиться на использование файлов cookie. Обычно это делается на этапе регистрации или входа в систему. Если сайт не требует от пользователей регистрации, этот вариант, вероятно, не подойдет.

Во-вторых, если условия использования cookie меняются, нельзя просто обновить существующие правила и условия использования сайта. Если пользователи сайта ранее уже дали согласие, необходимо уведомить их о новых условиях и вновь получить их согласие.

Используйте специальную программу

Существует множество доступных приложений и плагинов, которые помогают соблюдать законы о файлах cookie.

В зависимости от своего функционала они могут идентифицировать cookie на сайте, создать подробный список того, как они используются, проинформировать пользователей и получить их согласие. Некоторые программы могут даже обновлять настройки и информирование по мере изменения файлов cookie.

Когда нужно запрашивать согласие пользователя

При первом же посещении сайта пользователь должен разрешить использование cookie. При повторных посещениях запрашивать согласие не нужно (файлы cookie позволяют идентифицировать повторных посетителей). Как только согласие получено, подразумевается, что оно распространяется на каждый визит.

Кроме того, не нужно получать согласие каждый раз, когда меняются файлы cookie (за исключением случаев, когда способ использования информации претерпел существенные изменения — тогда нужно еще раз запросить у пользователей согласие).

Предоставление информации о файлах cookie

Независимо от метода, который используется для получения согласия, владельцу сайта необходимо предоставить подробную информацию о типах используемых файлов cookie и о том, как они используются.

Это можно сделать на отдельной странице, в Политике использования файлов cookie, в Политике конфиденциальности или Правилах и условиях использования сайта. В любом случае, эта информация должна быть доступна по ссылке, расположенной на каждой странице вашего сайта.

Конкретных требований к информации не существует. Рекомендуемый способ — подробно описать типы используемых файлов cookie, и как применяется информация, которую они не предоставляют. Подробно описывать каждый отдельный файл не стоит: многие из них делают по сути одно и то же.

Фото в тексте: Ground Picture / Shutterstock

Важно обратить внимание на любые сторонние файлы cookie, которые могут создать наибольшие проблемы, связанные с несоблюдением законодательства.

Хорошая идея — описать, что такое файлы cookie, хотя это и не обязательно. Чем больше информации предоставить посетителям сайта, тем комфортнее они будут чувствовать себя в отношении cookie.

После того, как на сайте размещена вся необходимая информация, регулярно проверяйте сайт на предмет изменений и актуализируйте информацию о файлах cookie.

Распространенные вопросы

Что такое cookie?

Файл cookie — это очень маленький текстовый файл. При посещении сайта сервер, на котором он размещен, помещает этот файл на компьютер пользователя (обычно среди файлов настроек браузера).

Как только файл cookie попадает на компьютер, он действует примерно так же, как бонусная карта. При следующем посещении этого сайта файл cookie сообщит сайту, кто вы такой, а также предоставит любую другую информацию, необходимую для персонализации пользовательского опыта.

Что именно сообщает cookie, зависит от сайта.

• Если на ресурсе требуется заходить в систему, файл cookie позволяет оставаться в системе или запоминать имя пользователя.
• Если сайт предоставляет прогноз погоды, файлы cookie позволяют ему запоминать местоположение пользователя.
• Сайты, использующие рекламные файлы cookie, могут размещать информацию о просмотренных или приобретенных товарах, на основании которой будет отображаться реклама.

Типы cookie

Существует три основных типа файлов cookie.

Сессионные — это временные файлы cookie. Они хранят информацию о текущем сеансе, а затем удаляются при закрытии браузера. Часто они позволяют отслеживать товары в корзине интернет-магазина или используются при доступе к сайту банка. Cookie этого типа с наименьшей вероятностью могут вызвать проблемы с конфиденциальностью, и многие из них попадают в категорию «строго необходимых».

Постоянные (следящие) файлы cookie размещаются на жестком диске устройства и не удаляются при закрытии браузера. Они позволяют распознавать пользователя при входе на сайт, а также отслеживать его поведение, чтобы улучшать пользовательский опыт и строить аналитику.

При этом они могут храниться в течение неопределенного периода времени и могут быть использованы в рекламных целях, а также передавать третьим лицам личные или технические данные. Зачастую именно они вызывают проблемы конфиденциальности.

Независимые от браузера файлы cookie действуют во многом как постоянные, за исключением того, что они не сохраняются браузером, а помещаются в соответствующие программные файлы. Это усложняет их удаление: для этого может потребоваться установить отдельную программу.

Независимые cookie ценны для владельцев сайтов, поскольку их можно использовать для резервного копирования традиционных данных файлов cookie. Таким образом, даже если пользователь удалит у себя cookie, сайт все равно сможет распознать его и предоставить тот же пользовательский опыт. Конечно, если на сайте используются независимые от браузера файлы cookie, владельцу необходимо будет уведомить об этом.

Блокировка cookie

Все современные браузеры предоставляют пользователям какой-либо способ заблокировать cookie. Как правило, этот параметр можно установить в настройках безопасности или конфиденциальности, или выбрать во всплывающем окне опцию «Не отслеживать».

В некоторых случаях браузеры могут быть настроены на автоматическую блокировку различных типов файлов cookie. Chrome, например, позволяет пользователям сбрасывать локальные данные при закрытии браузера, запретить сайтам размещать какие-либо данные на компьютере или блокировать все сторонние файлы cookie.

Законодательство ЕС позволяет ориентироваться на эти настройки, запрашивая согласие пользователя. Однако их поддерживают не все браузеры, и не стоит строить свою политику защиты данных исключительно на них.

Что, если пользователь запретит сбор cookie?

Если посетитель сайта не дает разрешения на cookie, у владельца есть несколько вариантов обработки запроса.

Самый простой вариант — ничего не делать. Просто сообщите пользователю, что на сайте используются файлы cookie. Следущий шаг зависит от него: покинуть сайт или обновить настройки браузера. Этот вариант предполагает наименьшее количество работы для владельца сайта, но он не обеспечит наилучший опыт для пользователей.

Также можно сообщить пользователям, как обновить настройки браузера: дать ссылку на внешний ресурс или составить собственное руководство. Информацию можно добавить во всплывающее окно, которое появляется после отказа пользователя, или добавить в политику конфиденциальности, список файлов cookie или отдельной страницей.

Чтобы упростить пользовательский интерфейс, можно настроить сайт так, чтобы он отключал файлы cookie при отказе пользователя или разрешить ему выбрать, какой тип файлов сохранить, и отключить все остальные.

Такой подход обеспечит наилучший общий пользовательский опыт и наименьшую вероятность того, что пользователи просто покинут сайт. Однако это, вероятно, также приведет к более высокому уровню отказа или частичного отказа. Для сайта, который в значительной степени полагается на файлы cookie для аналитики или получения прибыли от рекламы третьих лиц, это может оказаться не лучшим вариантом.

Какие наказания ждут владельцев сайтов

Строго говоря, Закон ЕС о файлах cookie не является законом. Поэтому требования и соответствующие наказания устанавливаются местными органами власти, и потенциальные штрафы будут отличаться в зависимости от места жительства владельца сайта.

Вероятнее всего, при нарушении местные регуляторы предпримут одно из следующих действий.

Запрос дополнительной информации. Прежде чем местный регулятор начнет направлять запросы на внесение изменений, он может попросить владельца предоставить дополнительные данные: типы используемых файлов, ссылки на раздел сайта с информацией о cookie и прочее, что позволит определить, соответствует ли площадка требованиям или ей необходимо предпринять дополнительные усилия.

Запрос на внесение изменений. Если регулятор зафиксировал нарушения сайта, он попросит их устранить. Это можно считать дружеским предупреждением: если на сайте еще нет всплывающего окна с предупреждением о сборе cookie, сейчас самое время его сделать.

Принудительное исполнение. На этом этапе местный регулирующий орган потребует выполнить конкретные действия в течение установленного промежутка времени. Если владелец не подчинится, ему могут быть предъявлены уголовные обвинения.

Штрафы. Проступки, которые караются штрафом, и максимальная сумма, варьируются в зависимости от страны. Для получения более подробной информации стоит проконсультироваться с местным регулирующим органом. Решение — убедиться, что сайт соответствует требованиям, чтобы не пришлось беспокоиться о штрафах.

* Meta и входящие в нее Facebook и Instagram признаны экстремистскими организациями, деятельность которых запрещена в РФ.

В подготовке использованы следующие материалы:

Privacy Policies, Cookieyes

Фото на обложке: Maryia_K / Shutterstock