Согласие на cookie по требованиям GDPR: гайд

Чего GDPR и ePrivacy требуют от cookie

Cookie-согласие в ЕС складывается из двух правил. Директива ePrivacy (статья 5(3)) требует предварительного согласия до того, как любой необязательный cookie будет сохранён или прочитан на устройстве посетителя. GDPR (статьи 4(11) и 7) определяет действительное согласие: свободное, конкретное, информированное и однозначное утвердительное действие, отозвать которое так же просто, как дать.

Рекомендации EDPB 05/2020 расписывают детали: никаких предотмеченных галочек, отказ должен быть так же прост, как согласие, а продолжение просмотра согласием не считается. Суд ЕС в деле Planet49 (C-673/17) подтвердил: предотмеченные галочки недействительны.

Это общая информация, а не юридическая консультация. Правильная настройка зависит от вашего сайта и аудитории; по вашей ситуации обратитесь к квалифицированному юристу.

Четыре категории cookie

Обычно cookie делят на четыре категории. Без согласия работает только первая:

Необходимые - нужны для работы сайта (вход, корзина, безопасность). Согласие не требуется.
Предпочтения - запоминают выбор вроде языка или региона.
Статистика - аналитика, которая измеряет использование сайта.
Маркетинг - реклама и межсайтовый трекинг.

Как привести использование cookie в порядок

Просканируйте сайт и найдите каждый cookie, пиксель и трекер.
Разложите их по четырём категориям выше.
Заблокируйте необязательные cookie и скрипты до согласия посетителя.
Покажите баннер с равными кнопками «Принять» и «Отклонить» и детальным выбором без галочек.
Записывайте каждый выбор: что разрешили, когда и как. Этим вы и докажете, что согласие было.
Дайте посетителям менять и отзывать согласие в любой момент.
Опубликуйте политику cookie со списком cookie и их назначением.

Платформа управления согласием делает всё это за вас, чтобы не строить и не поддерживать систему вручную.

Частые ошибки, которых стоит избегать

Предотмеченные галочки или «согласие» из факта прокрутки - и то и другое недействительно.
Кнопка «Отклонить», которую сложнее найти или нажать, чем «Принять».
Загрузка аналитики или рекламных скриптов до согласия посетителя.
Cookie-стена, которая заставляет согласиться ради доступа к сайту.
Отсутствие записей о том, кто на что согласился и когда.

Именно по этим паттернам EDPB и национальные регуляторы действуют чаще всего.

Как выглядит корректный cookie-баннер

Корректный баннер делает согласие и отказ одинаково простыми: кнопки «Принять все» и «Отклонить все» стоят рядом, одного размера, заметности и визуального веса. Он не подталкивает к согласию яркой кнопкой «Принять» рядом с серой или спрятанной «Отклонить» и не закапывает отказ на два клика вглубь за ссылкой «Настроить».

На первом слое баннер называет, кто и зачем собирает данные, ссылается на полную политику cookie и даёт посетителю принять, отклонить или открыть детальный выбор по категориям. Необязательные категории по умолчанию не отмечены, а закрытие баннера, прокрутка или продолжение просмотра никогда не считаются согласием.

Быстрый тест: если отказ требует больше кликов или усилий, чем согласие, баннер, скорее всего, некорректен. Регуляторы считают такую асимметрию тёмным паттерном.

Штрафы и практика регуляторов

Эти правила реально применяются. В декабре 2021 года французский регулятор CNIL оштрафовал Google в сумме на 150 миллионов евро, а Facebook на 60 миллионов именно за то, что отказ от cookie требовал больше кликов, чем согласие. Это самое цитируемое нарушение. CNIL (Франция), DSK (Германия) и ICO (Великобритания) опубликовали разъяснения: отказаться должно быть так же просто, как согласиться.

Большинство дел крутится вокруг одних и тех же ошибок: трекеры срабатывают до согласия, нет настоящей кнопки «Отклонить все», предотмеченные галочки, согласие из прокрутки. Правильный баннер - блокировка до согласия, равный по весу отказ, детальный выбор без галочек и запись каждого решения - удерживает вас в рамках и ePrivacy, и GDPR.

Сделайте это бесплатно с KookiOk

KookiOk построен вокруг этих требований: он сканирует сайт, блокирует необязательные cookie до согласия, показывает баннер, где «Отклонить все» доступна наравне с «Принять все», даёт выбор по категориям и ведёт журнал согласий за 5 лет, который нельзя изменить задним числом. Бесплатно, с сайтами и просмотрами без лимитов.

Поставьте баннер за пару минут, бесплатноБез банковской карты · Сайты и просмотры без лимитов

Начать бесплатно

Источники

Частые вопросы

Как сделать cookie на сайте соответствующими GDPR?

Просканируйте и категоризируйте cookie, заблокируйте необязательные до согласия посетителя, покажите баннер, где отказаться так же просто, как согласиться, с выбором по категориям и без проставленных галочек, записывайте каждый выбор и дайте людям отзывать согласие. Платформа управления согласием вроде KookiOk делает это за вас.

Какие cookie можно использовать без согласия?

Без согласия работают только строго необходимые (технические) cookie: вход в аккаунт, корзина, безопасность, балансировка нагрузки. Для аналитики, предпочтений и маркетинговых cookie по правилам GDPR и ePrivacy нужно предварительное согласие посетителя.

Требует ли GDPR предварительного согласия на cookie?

Да. Директива ePrivacy (статья 5(3)) требует согласия до сохранения или чтения необязательных cookie, а GDPR определяет, каким должно быть действительное согласие. Исключение - строго необходимые cookie.

Допустимы ли предотмеченные галочки согласия?

Нет. Рекомендации EDPB 05/2020 и решение Суда ЕС по делу Planet49 прямо говорят: предотмеченные галочки не являются действительным согласием. Категории должны быть пустыми, пока посетитель сам их не отметит.

Нужно ли хранить подтверждение согласия на cookie?

Да. По статье 7 GDPR вы должны уметь доказать, что согласие было дано. KookiOk записывает каждый выбор в журнал, который нельзя изменить задним числом, хранит его 5 лет и экспортирует в PDF или JSON.

Согласие на cookie по требованиям GDPR: практический гайд