Политика Cookie для сайта: структура, содержание и примеры

Когда я спрашиваю владельца сайта, какие cookie использует его проект, самый популярный ответ звучит так: «Обычные». Это примерно как сказать автомеханику, что под капотом находятся «обычные детали».

После технической проверки обычно обнаруживаются cookie CMS, корзины, личного кабинета, Яндекс Метрики, рекламных систем, онлайн-чата, виджета обратного звонка и ещё нескольких сервисов, о которых владелец сайта слышит впервые.

Сама по себе политика Cookie не превращает такую систему в законную. Документ должен соответствовать тому, что реально происходит в браузере пользователя: какие файлы создаются, для чего они нужны, кому передаются сведения и может ли посетитель отказаться от необязательной обработки.

Разберём, что должна содержать политика использования cookies, как связать её с политикой конфиденциальности и почему красивый cookie-баннер иногда работает не лучше таблички «Осторожно, мокрый пол», установленной после того, как посетитель уже поскользнулся.

Что такое файлы cookie и зачем они нужны сайту

Cookie — это небольшие фрагменты данных, которые сайт или подключённый к нему сервис сохраняет в браузере пользователя. При следующем обращении браузер может отправить эти данные обратно.

С помощью cookie сайт способен:

• поддерживать авторизацию пользователя;
• сохранять товары в корзине;
• запоминать язык и регион;
• хранить выбранные настройки;
• отличать одного посетителя от другого;
• анализировать действия на страницах;
• оценивать эффективность рекламы;
• формировать персонализированные предложения;
• защищать формы и личные кабинеты от злоупотреблений.

Файлы cookie не обязательно содержат имя, телефон или паспортные данные. Чаще внутри находится технический идентификатор: набор символов, который помогает системе распознать браузер или конкретную сессию.

Но отсутствие ФИО ещё не означает, что информация не связана с человеком. Если идентификатор позволяет выделить посетителя, проследить его действия или связать их с аккаунтом и заказом, возникает вопрос о применении законодательства о персональных данных.

Cookie — это всегда персональные данные?

Нет универсального правила, по которому любой файл cookie автоматически признаётся персональными данными независимо от его назначения.

Оценивать нужно не название технологии, а содержание и возможности идентификации. Одноразовый технический файл, который сохраняет состояние корзины и удаляется после сеанса, отличается от постоянного рекламного идентификатора, позволяющего месяцами анализировать поведение посетителя.

Особенно внимательно следует относиться к совокупности сведений:

• идентификатор cookie;
• IP-адрес;
• характеристики устройства;
• история посещённых страниц;
• источник перехода;
• действия в формах;
• данные личного кабинета.

По отдельности некоторые элементы могут казаться обезличенными. В связке они способны сформировать устойчивый цифровой профиль пользователя.

Основные виды файлов cookies

Политика использования файлов cookie должна не просто сообщать, что сайт применяет эту технологию. Пользователю полезно объяснить, какие категории используются и зачем.

Технические cookie

Технические, или строго необходимые, cookie обеспечивают базовую работу сайта. Без них могут не функционировать авторизация, безопасность, корзина, выбор языка или сохранение пользовательской сессии.

Например, интернет-магазину нужно помнить, какие товары посетитель добавил в корзину. Иначе после перехода на другую страницу корзина будет очищаться, а покупки превратятся в испытание на терпение.

Функциональные cookie

Функциональные файлы сохраняют дополнительные настройки пользователя:

• выбранный город;
• язык интерфейса;
• предпочтительный вид каталога;
• состояние отдельных блоков;
• ранее выбранные параметры.

Они улучшают удобство, но не всегда необходимы для базовой работы ресурса.

Аналитические cookie

Аналитические cookie помогают владельцу узнать, сколько человек посетило сайт, какие страницы они открывали, откуда пришли и как взаимодействовали с интерфейсом.

Например, Яндекс Метрика использует идентификаторы браузера, сохраняемые в cookie и localStorage. Они позволяют различать посетителей, учитывать визиты и анализировать действия на страницах.

Политика обработки файлов cookie должна указывать применяемую систему аналитики, цели её использования, категории собираемых сведений и срок действия используемых идентификаторов.

Рекламные cookie

Рекламные файлы используются для оценки рекламных кампаний, ретаргетинга, ограничения количества показов и формирования аудиторных сегментов.

Такая обработка сильнее затрагивает интересы пользователя, поскольку может включать долговременное наблюдение за его действиями и передачу сведений рекламным платформам.

Сторонние cookie

Сторонние cookie устанавливаются не только самим владельцем сайта, но и подключёнными сервисами. Это могут быть:

• системы аналитики;
• рекламные сети;
• видеоплееры;
• карты;
• онлайн-чаты;
• виджеты социальных сетей;
• сервисы обратного звонка;
• формы бронирования.

Надпись «Мы используем cookie» не объясняет, что браузер посетителя одновременно взаимодействует с несколькими внешними компаниями. Политика в отношении cookies должна отражать не только собственные, но и сторонние технологии.

Обязательна ли политика Cookie для сайта

Федеральный закон № 152-ФЗ не содержит отдельной статьи с формулировкой: «Каждый сайт обязан разместить документ под названием “Политика Cookie”».

Но закон требует от оператора обеспечить прозрачность обработки персональных данных, определить цели, правовые основания, состав сведений, сроки и порядок прекращения обработки. При сборе данных через интернет оператор обязан опубликовать политику обработки персональных данных и обеспечить свободный доступ к ней.

Поэтому владелец сайта может выбрать один из двух подходов:

1. включить полный раздел о cookie в общую политику обработки персональных данных;
2. разместить отдельную политику использования cookies и сослаться на неё из основной политики.

Для небольшого сайта с несколькими техническими файлами может быть достаточно отдельного подробного раздела. Для интернет-магазина, сервиса или проекта с аналитикой, рекламой и десятками идентификаторов удобнее самостоятельная политика Cookie.

Главное — не название документа, а полнота и достоверность информации.

Политика Cookie и политика конфиденциальности: в чём разница

Политика конфиденциальности обычно описывает всю обработку персональных данных на сайте: формы, заказы, личные кабинеты, обращения, рассылки, аналитику, передачу подрядчикам и права пользователей.

Политика Cookie посвящена более узкой теме:

• какие технологии хранения используются в браузере;
• какие категории cookie устанавливаются;
• для каких целей они нужны;
• какие внешние сервисы участвуют в обработке;
• сколько хранятся идентификаторы;
• как пользователь может изменить выбор.

Политика конфиденциальности и использования файлов cookie должны дополнять друг друга, а не рассказывать две разные истории.

Если основной документ утверждает, что сайт не передаёт данные третьим лицам, а политика использования cookie перечисляет Метрику, рекламную платформу и внешний чат, документы противоречат друг другу.

Что должна содержать политика Cookie

Универсальной утверждённой формы документа нет. Его структура зависит от технологий конкретного сайта. Однако качественная политика обработки cookie обычно включает несколько обязательных по смыслу разделов.

1. Общие положения

В начале нужно указать:

• кто является владельцем и оператором сайта;
• к какому ресурсу применяется документ;
• что понимается под cookie;
• какие связанные технологии используются;
• как политика связана с обработкой персональных данных.

Не стоит начинать документ с нескольких страниц цитирования законов. Пользователь пришёл узнать, что происходит в его браузере, а не сдавать экзамен по юридической технике.

2. Цели использования файлов cookie

Политика использования файлов cookie должна содержать конкретные цели. Например:

• обеспечение работы сайта и его функций;
• сохранение пользовательских настроек;
• поддержание безопасности;
• анализ посещаемости;
• улучшение интерфейса;
• оценка рекламных кампаний;
• показ релевантных предложений.

Формулировка «для повышения качества обслуживания» слишком расплывчата, если за ней скрывается аналитика, профилирование и передача рекламной системе.

3. Перечень и категории cookie

Пользователю желательно показать, какие файлы применяются. Для сложного проекта удобно оформить таблицу.

Название или категория	Назначение	Поставщик	Срок
Технические	Работа сессии, корзины и авторизации	Владелец сайта	Сеанс или установленный срок
Функциональные	Сохранение языка, города и настроек	Владелец сайта	В зависимости от настройки
Аналитические	Статистика посещений и действий	Сервис аналитики	По документации сервиса
Рекламные	Оценка рекламы и ретаргетинг	Рекламная платформа	По документации платформы

Необязательно перегружать пользователя техническим каталогом на несколько сотен строк. Но основные идентификаторы, поставщики, цели и сроки должны быть понятны.

4. Сторонние сервисы

Политика cookies для сайта должна перечислять внешние системы, которые получают сведения через код, встроенный в страницы.

Для каждого сервиса следует определить:

• наименование поставщика;
• назначение подключения;
• категории передаваемых сведений;
• сроки хранения;
• роль поставщика в обработке;
• страну обработки, если это имеет значение;
• возможность отказа.

Фраза «данные могут передаваться партнёрам» слишком неопределённа. У пользователя не должно возникать ощущения, что партнёром может оказаться любой, кто когда-либо обменялся с компанией визиткой.

5. Сроки хранения cookie

Срок зависит от назначения конкретного файла. По продолжительности cookie обычно разделяют на:

• сеансовые — удаляются после закрытия браузера или завершения сессии;
• постоянные — сохраняются на установленный период;
• обновляемые — срок может начинаться заново при повторном посещении.

Политика использования cookie на сайте не должна обещать единый срок, если разные сервисы сохраняют идентификаторы на несколько минут, месяцев или лет.

Кроме того, срок в документе нужно сверять с фактическими настройками. Написать «30 дней», оставив в коде cookie на два года, — не юридическая оптимизация, а обычное противоречие.

6. Управление cookie

Пользователю следует объяснить, как он может:

• принять или отклонить необязательные категории;
• изменить ранее выбранные настройки;
• удалить cookie через браузер;
• запретить их сохранение;
• узнать о последствиях отключения.

Важно предупредить, что блокирование технических файлов может повлиять на авторизацию, корзину и другие функции сайта.

7. Контакты оператора

В документе необходимо указать способ связи по вопросам обработки данных и применения cookie. Пользователь должен понимать, кому направить запрос, а не искать контакты владельца домена через сторонние сервисы.

8. Порядок обновления политики

Политика использования cookies должна обновляться после подключения новых инструментов, изменения целей, поставщиков или сроков хранения.

Уместно указать дату редакции документа. Но сама дата ничего не гарантирует: политика с надписью «обновлено вчера» может описывать сервисы, отключённые три года назад.

Нужно ли согласие на использование cookie

Нельзя одинаково оценивать все категории cookie.

Технические файлы, без которых невозможно выполнить запрошенную пользователем функцию, отличаются от рекламных и аналитических идентификаторов. Для каждой категории необходимо определить цель и правовое основание обработки.

Когда обработка строится на согласии, оно должно быть свободным, конкретным, информированным и однозначным. Оператор также обязан уметь доказать его получение.

Поэтому настройка согласия на cookie должна обеспечивать активное действие пользователя, а не подменять его молчанием.

Подходит ли фраза «Продолжая использовать сайт, вы соглашаетесь»

Такая формулировка не всегда позволяет подтвердить однозначное волеизъявление, особенно если необязательные аналитические и рекламные инструменты запускаются ещё до того, как человек сделал выбор.

Пользователь может продолжить просмотр по разным причинам: не заметил баннер, не понял текст, прокрутил страницу или просто искал кнопку закрытия.

Для процессов, основанных на согласии, надёжнее использовать понятные кнопки:

• «Принять все»;
• «Отклонить необязательные»;
• «Настроить»;
• «Сохранить выбор».

Кнопка отказа не должна превращаться в квест из пяти экранов, пока принятие занимает один клик. Формально выбор есть, но добровольность начинает выглядеть декоративно.

Как должен работать cookie-баннер

Cookie-баннер и политика решают разные задачи. Политика подробно информирует, а баннер предоставляет краткую информацию и позволяет выразить выбор.

Корректная логика обычно выглядит так:

1. при первом посещении загружаются только необходимые технологии;
2. пользователь видит краткое уведомление;
3. из уведомления доступна политика Cookie;
4. посетитель принимает, отклоняет или настраивает категории;
5. необязательные скрипты запускаются с учётом выбора;
6. решение сохраняется;
7. пользователь может позднее изменить настройки.

Главная техническая ошибка cookie-баннера

Самая частая проблема — аналитика и реклама уже работают, пока посетитель только читает предложение согласиться.

Внешне сайт выглядит корректно: баннер есть, кнопки красивые, ссылка на документ открывается. Но технически информация отправилась сторонним сервисам раньше выбора.

Такой баннер напоминает охранника, который проверяет пропуск у человека уже после того, как тот вошёл в серверную.

Как составить политику обработки файлов cookie

Работу следует начинать не с шаблона, а с технической инвентаризации.

1. Проверить браузерное хранилище. Найти cookie, localStorage и sessionStorage.
2. Изучить сетевые запросы. Определить, с какими доменами соединяется браузер.
3. Составить список скриптов. Учесть аналитику, рекламу, карты, видео, чаты и формы.
4. Определить владельцев. Установить, какие компании получают сведения.
5. Классифицировать технологии. Разделить технические, функциональные, аналитические и рекламные.
6. Проверить сроки. Сопоставить документацию сервисов и фактические значения.
7. Определить основания. Отдельно оценить каждую цель обработки.
8. Настроить баннер. Связать пользовательский выбор с запуском скриптов.
9. Подготовить документ. Описать реальную, а не предполагаемую систему.
10. Провести повторный тест. Проверить работу до и после согласия или отказа.

В LeveLSite при настройке сайта по 152-ФЗ мы проверяем не только текст политики, но и то, какие технологии фактически запускаются в браузере. Иначе можно идеально описать cookie, которых на сайте нет, и забыть о тех, которые действительно собирают информацию.

Пример структуры политики Cookie

Базовая структура документа может выглядеть следующим образом:

1. общие положения и сведения об операторе;
2. определение файлов cookie и связанных технологий;
3. категории используемых файлов;
4. цели использования;
5. перечень сторонних сервисов;
6. состав обрабатываемых сведений;
7. сроки хранения;
8. правовые основания;
9. порядок получения и фиксации согласия;
10. управление настройками и отказ;
11. меры защиты данных;
12. контакты оператора;
13. порядок внесения изменений.

Это не готовый универсальный текст. Наполнение каждого раздела зависит от CMS, подключённых сервисов, целей и технической схемы конкретного проекта.

Типичные ошибки в политике использования cookies

• документ скопирован с сайта, использующего другие сервисы;
• указаны только собственные cookie, но забыты сторонние;
• нет сроков хранения;
• не объяснены цели использования файлов cookie;
• аналитика и реклама объединены с техническими файлами;
• политика конфиденциальности противоречит политике Cookie;
• отказ пользователя технически ничего не меняет;
• не предусмотрена возможность изменить выбор;
• баннер сообщает об обработке после запуска скриптов;
• документ не обновляется после изменения сайта.

Мнение IT-юриста LeveLSite

Политика Cookie нужна не для того, чтобы добавить в футер ещё одну юридическую ссылку. Её задача — объяснить систему, которая обычно невидима пользователю.

Лучший документ начинается с технического вопроса: «Что именно делает сайт в первые секунды после открытия страницы?»

Когда известен ответ, юрист может определить цели, основания, получателей и сроки. Если ответа нет, политика превращается в литературное произведение по мотивам предполагаемой работы сайта.

Перед публикацией проверьте пять вещей:

• совпадает ли перечень cookie с реальностью;
• указаны ли все внешние сервисы;
• запускаются ли необязательные скрипты с учётом выбора;
• можно ли отказаться так же легко, как согласиться;
• согласованы ли между собой баннер, политика Cookie и основная политика обработки данных.

Хорошая политика использования файлов cookie не запугивает пользователя юридическими терминами и не скрывает техническую реальность. Она честно отвечает на четыре вопроса: что сохраняется, зачем, кому передаётся и как это отключить.