Согласие на передачу cookie для обработки метрическими программами

Аннотация

УДК 342.9:004.738.5

Исследована правовая природа обработки cookie-файлов посредством метрических программ (на примере Яндекс Метрики и собственной веб-аналитики) в контексте Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации». Обосновано, что метрические программы не входят в обеспечение работоспособности сайта. Проведён сравнительно-правовой анализ поручения обработки хостинг-провайдеру, регистратору доменных имён и правообладателю метрической программы. Установлено, что согласие субъекта требуется не только при передаче данных третьему лицу, но и при обработке статистических cookie на собственном оборудовании оператора, поскольку цель обработки не совпадает с интересами посетителя. Разграничены статистические и маркетинговые cookie (ст. 15 Закона «О персональных данных»).

Ключевые слова: персональные данные, cookie-файлы, метрическая программа, Яндекс Метрика, согласие субъекта, поручение оператора, 152-ФЗ, 149-ФЗ, статистические cookie, хостинг-провайдер, регистратор доменных имён.

Abstract

Abstract. The legal nature of processing cookie files through metric programs (using Yandex Metrica as an example) was examined in the context of Federal Law No. 152-FZ of 27 July 2006 on Personal Data and Federal Law No. 149-FZ of 27 July 2006 on Information, Information Technologies and Protection of Information. The historical development of cookie regulation in European and Russian law was traced. It was substantiated that metric programs do not ensure website operability and are not part of the core service for visitors. A comparative legal analysis was conducted of entrusting processing to a hosting provider, a domain name registrar and a metric program rightholder under Part 3 of Article 6 of Federal Law No. 152-FZ. It was established that transferring statistical cookies to Yandex serves the website operator's interests and is not linked to exercising the right to information (Article 10 of Federal Law No. 149-FZ), ensuring the website's operability or the visitor's legitimate interests. The conclusion was drawn that separate informed consent of the personal data subject is required.

Keywords: personal data, cookie files, metric program, Yandex Metrica, subject's consent, operator's instruction, Federal Law No. 152-FZ, Federal Law No. 149-FZ, statistical cookies, hosting provider, domain name registrar.

Введение

Метрические программы веб-аналитики (Яндекс Метрика, Google Analytics и аналогичные сервисы) позволяют оператору сайта собирать сведения о поведении посетителей, анализировать трафик и оценивать эффективность контента. С правовой точки зрения передача cookie-файлов, содержащих данные об IP-адресе, устройстве, операционной системе и действиях пользователя, правообладателю метрической программы вызывает вопрос о законных основаниях обработки персональных данных.

В соответствии с п. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон «О персональных данных») персональные данные – это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Cookie-идентификаторы при определённых условиях подпадают под это определение; позиция Роскомнадзора исходит из необходимости соблюдения требований Закона «О персональных данных» при обработке таких данных.

Настоящая статья дополняет исследования, посвящённые механизму поручения обработки при использовании метрики и конструкции ч. 3 ст. 6 Закона «О персональных данных». Здесь рассматривается, почему для статистических cookie требуется отдельное согласие субъекта; чем обработка через облачную метрику (Яндекс Метрика) отличается от передачи данных хостинг-провайдеру; и требуется ли согласие, если оператор разворачивает метрическую программу на собственном оборудовании без передачи данных третьему лицу.

Цель исследования – обосновать, что обработка cookie через метрические программы не входит в обеспечение работы сайта, осуществляется в интересах оператора, а не в совместной цели с посетителем, и потому требует отдельного информированного согласия (ст. 9 Закона «О персональных данных») независимо от того, обрабатываются ли данные самим оператором или по поручению переданы правообладателю метрики (п. 1 ч. 3 ст. 6 Закона «О персональных данных»).

1. Исторический экскурс: от технического инструмента к объекту правового регулирования

1.1. Появление cookie и первые правовые подходы

Технология cookie была разработана в 1994 году программистом Лу Монтулли (Lou Montulli) для сохранения состояния сессии в браузере. Изначально cookie решали сугубо технические задачи: управление сессией и персонализацию интерфейса. В ранних браузерах Netscape Navigator и Internet Explorer (середина 1990-х гг.) сторонние и собственные cookie устанавливались по умолчанию. Долгое время сбор данных посредством cookie в России не был предметом специального регулирования; применялись общие нормы о персональных данных и информации.

С технической точки зрения cookie – небольшие фрагменты данных, которые веб-сервер направляет браузеру, а браузер сохраняет и при последующих запросах к тому же сайту передаёт обратно на сервер. Как отмечается в справочных материалах Merion Academy, такие файлы позволяют сайту «узнавать» посетителя между страницами и запросами – в том числе для поддержания сеанса, персонализации и, отдельно, для учёта действий пользователя. Уже на уровне технического описания видно, что не все cookie одинаковы по назначению: одни обеспечивают работу запрошенной услуги, другие служат учёту поведения.

1.2. Европейский путь: ePrivacy и GDPR

Первым на проблему cookie отреагировало европейское право. Директива 2002/58/ЕС о конфиденциальности в электронных коммуникациях (ePrivacy Directive) заложила основу регулирования. Изменения, внесённые Директивой 2009/136/ЕС в 2009 году, установили требование предварительного согласия (prior consent) на установку cookie, за исключением файлов, строго необходимых для предоставления запрошенной пользователем услуги.

С 2018 года действует Общий регламент по защите данных (GDPR), усиливший требования к согласию: оно должно быть свободным, конкретным, информированным и однозначным. Решение Суда Европейского Союза по делу Planet49 (C‑673/17) от 1 октября 2019 года подтвердило, что согласие, выраженное через предварительно установленный флажок, недействительно; требуется активное поведение субъекта данных. Суд подчеркнул и требование специфичности согласия: оно должно относиться к конкретной обработке и не может выводиться из воли субъекта в иных целях.

1.3. Российское право

В российском законодательстве отсутствует специальная норма о cookie, аналогичная ePrivacy. Применяются положения Закона «О персональных данных» и Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (далее – 149-ФЗ). Практика Роскомнадзора исходит из того, что при возможности идентификации субъекта по содержимому cookie (IP-адрес, уникальные идентификаторы) такие данные подлежат режиму персональных данных. Для статистических и маркетинговых cookie в обиходе закрепилась модель получения отдельного согласия; технические cookie, необходимые для работы сайта, обрабатываются на иных основаниях (см. разд. 4).

2. Метрические программы и работа сайта: правовой анализ

2.1. Сайт как информационный ресурс (ст. 10 149-ФЗ)

В соответствии со ст. 10 149-ФЗ распространение информации в Российской Федерации осуществляется свободно при соблюдении требований законодательства. Посетитель сайта реализует конституционное право на поиск, получение и распространение информации (ст. 29 Конституции РФ, ст. 10 149-ФЗ). Пользовательское соглашение регулирует порядок использования сайта, однако предметом договора между оператором и посетителем является предоставление доступа к информации и сервисам сайта, а не сбор и передача данных о поведении посетителя третьим лицам для статистического анализа.

Посетитель приходит на сайт за информацией – ознакомиться с товарами, услугами, публикациями, – а не для участия в статистическом исследовании. Обработка cookie через метрическую программу не входит в содержание основной услуги; это дополнительная деятельность оператора в его собственных интересах (статистика посещаемости, анализ аудитории, оценка рекламных кампаний).

2.2. Метрика как необязательный компонент

Метрическая программа не является компонентом, без которого сайт перестаёт функционировать. Доступность страниц, отображение контента, навигация, работа форм обратной связи не зависят от наличия счётчика Яндекс Метрики. Отключение или удаление кода счётчика не делает сайт недоступным и не нарушает его работоспособность.

Это принципиальное отличие от инфраструктурных услуг: без хостинга и регистрации доменного имени сайт как адресный объект в сети «Интернет» существовать не может (см. разд. 3). Следовательно, интеграция метрики – решение оператора, а не техническая необходимость для предоставления посетителю запрошенной услуги.

3. Сравнительно-правовой анализ: хостинг-провайдер, регистратор доменных имён и Яндекс Метрика

Для понимания различного правового режима необходимо разграничить два вопроса, которые в практике нередко смешивают: (1) законное основание обработки персональных данных посетителя (ч. 1 ст. 6 Закона «О персональных данных») и (2) основание поручения обработки другому лицу (ч. 3 ст. 6 Закона «О персональных данных»). Поручение не заменяет основание обработки: договор с обработчиком организует исполнение, но не легитимирует саму обработку, если для неё нет самостоятельного основания по ч. 1 ст. 6.

3.1. Четыре основания поручения по ч. 3 ст. 6 Закона «О персональных данных»

Часть 3 ст. 6 Закона «О персональных данных» закрепляет четыре альтернативных основания поручения обработки персональных данных другому лицу (подробный разбор – в статье о конструкции ч. 3 ст. 6):

1. с согласия субъекта персональных данных;
2. когда иное предусмотрено федеральным законом;
3. на основании заключаемого договора (в том числе государственного или муниципального контракта);
4. путём принятия акта государственным или муниципальным органом.

Основания являются альтернативными: для конкретного поручения достаточно одного из них. Вопрос в том, какое основание применимо к конкретному обработчику и связано ли поручение с необходимостью обеспечения функционирования сайта.

3.2. Хостинг-провайдер

Хостинг-провайдер размещает сайт на сервере, обеспечивает его доступность, хранит файлы и базы данных. Без услуг хостинга сайт не может существовать в сети «Интернет» и быть доступным посетителям. Обработка персональных данных (IP-адреса в логах сервера, технические записи) осуществляется в процессе предоставления услуги хостинга – в части, касающейся исполнения договора между оператором и хостером и обеспечения работы сайта для посетителя.

Для самой обработки данных посетителя оператор, как правило, опирается на п. 5 ч. 1 ст. 6 Закона «О персональных данных»: Пользовательское соглашение, акцептуемое посетителем при использовании сайта, устанавливает предмет договора – предоставление доступа к информации и сервисам ресурса, – а обработка персональных данных допустима лишь в объёме, необходимом для исполнения этого договора. Поручение хостинг-провайдеру при этом может быть оформлено на основании договора (п. 3 ч. 3 ст. 6 Закона «О персональных данных»): договор с хостером необходим для самой возможности предоставления услуги сайта, и обработчик участвует в обработке лишь в объёме, необходимом для этой цели. Отдельное согласие субъекта на сам факт поручения хостеру при такой модели, как правило, не требуется.

3.3. Регистратор доменных имён

Регистратор обеспечивает делегирование доменного имени и его соответствие IP-адресу сервера. Без регистрации домена пользователи не смогут обратиться к сайту по адресу в сети «Интернет». Обработка данных (контактная информация администратора домена, сведения в системе WHOIS) осуществляется в рамках договора на регистрацию и сопровождение домена.

Аналогично хостингу, поручение регистратору осуществляется на основании договора (п. 3 ч. 3 ст. 6 Закона «О персональных данных») и не требует отдельного согласия субъекта на поручение, поскольку обработка необходима для существования сайта как адресного объекта. Обработчик действует в части, касающейся исполнения договора с оператором.

3.4. Яндекс Метрика: дополнительная обработка в интересах оператора

Яндекс Метрика не обеспечивает размещение, адресацию или доступность сайта. Её использование служит исключительно интересам оператора: получение статистики, анализ поведения аудитории, оценка эффективности контента и рекламы. Посетитель не заинтересован в передаче своих cookie-данных Яндексу; его интерес – в получении информации на сайте.

Договор оператора с Яндексом (Условия использования сервиса «Яндекс Метрика») оформляет отношения между оператором и обработчиком и содержит элементы поручения: в п. 5.4 указано, что пользователь сервиса является оператором персональных данных, а Яндекс – лицом, действующим по поручению оператора в смысле ч. 3 ст. 6 Закона «О персональных данных». Однако этот договор не обеспечивает основную функцию сайта и не может служить самостоятельным основанием поручения в логике п. 3 ч. 3 ст. 6 Закона «О персональных данных» – по той же причине, по которой договор с хостером здесь неприменим для метрики: отсутствует критическая необходимость для функционирования ресурса.

Для поручения обработки статистических cookie через Яндекс Метрику надлежащим основанием по ч. 3 ст. 6 Закона «О персональных данных» выступает согласие субъекта (п. 1). Параллельно согласие необходимо и как основание самой обработки по ч. 1 ст. 6, поскольку статистические cookie не подпадают под исключения для обработки без согласия, в частности исполнение договора с посетителем (см. разд. 4 и 5).

3.5. Сводное сопоставление

4. Обязательные (технические) и статистические cookie

4.1. Классификация cookie по назначению

В прикладной и образовательной литературе cookie обычно различают по функции. Merion Academy выделяет, в частности, сеансовые cookie (связь действий с сессией пользователя), cookie аутентификации (поддержание входа в учётную запись), а также отслеживающие cookie, которые фиксируют активность пользователя и передают сведения службе отслеживания при загрузке сайта, использующего эту службу. При этом прямо указано, что реклама – не единственное применение таких файлов: «многие службы аналитики также используют отслеживающие файлы cookie для анонимной регистрации действий пользователей».

Для правового анализа важно, что эта классификация совпадает с разграничением, необходимым по Закону «О персональных данных»: cookie сеанса и аутентификации, как правило, обеспечивают предоставление посетителю запрошенной услуги (вход в личный кабинет, корзина, сохранение настроек безопасности). Отслеживающие cookie веб-аналитики – в том числе при подключении Яндекс Метрики – служат иной цели: учёту просмотров, переходов и иных действий в интересах оператора сайта, а не для самостоятельного функционирования ресурса.

4.2. Сторонние cookie и метрические программы

Merion Academy различает основные (first-party) и сторонние (third-party) cookie: последние относятся к домену, отличному от домена сайта, который пользователь видит в адресной строке браузера. Типичный пример – рекламная сеть, чей cookie фиксирует действия посетителя на сайте магазина, хотя пользователь обращается к домену магазина, а не сети.

Яндекс Метрика юридически и технически ближе к этой модели, чем к cookie, необходимым для работы самого сайта: оператор подключает внешний сервис отслеживания, данные о действиях посетителя обрабатываются в интересах получения статистики, а правообладатель метрики (ООО «ЯНДЕКС») выступает обработчиком по поручению оператора. Посетитель обращается к сайту оператора за информацией или услугой, но параллельно – при отсутствии согласия такая схема не должна активироваться – может включаться учёт действий внешней аналитической службой. Именно поэтому в Пользовательском соглашении администратора сайта статистические cookie, как правило, выделяются в отдельную категорию и не смешиваются с обязательными техническими файлами.

4.3. Правовое разграничение в комплекте документов оператора

В комплекте документов оператора (например, комплект Генератор152ФЗ) Пользовательское соглашение разграничивает cookie на два типа.

Обязательные (технические) cookie необходимы для корректной работы сайта: сохранение настроек безопасности, аутентификация, поддержание сессии. Их обработка, как правило, обосновывается п. 5 ч. 1 ст. 6 Закона «О персональных данных»: посетитель использует сайт на условиях Пользовательского соглашения, а технические cookie необходимы именно для предоставления запрошенного доступа к информации и сервисам ресурса. Отказ от технических cookie делает использование сайта невозможным или существенно затруднённым.

Статистические cookie собирают сведения о том, как посетители используют сайт: просмотренные страницы, переходы, время на сайте, источники трафика. Для них требуется отдельное согласие, получаемое через баннер с кнопкой «Принять». Отказ от статистических cookie не влияет на доступность сайта, что подтверждает их необязательный характер для работы ресурса.

Именно статистические cookie, используемые метрическими программами (в том числе при передаче данных Яндексу), являются предметом настоящего исследования. Они не относятся к числу необходимых для работы сайта и не могут быть обоснованы необходимостью исполнения договора с посетителем в смысле п. 5 ч. 1 ст. 6 Закона «О персональных данных».

5. Обработка статистических cookie в интересах оператора, а не посетителя

Как правило, в Пользовательском соглашении администратора сайта цели обработки статистических cookie включают совершенствование работы сайта, проведение статистических исследований, анализ посещаемости и эффективности ресурса. Все указанные цели служат интересам оператора (администратора сайта), а не посетителя.

Посетитель, реализуя право на получение информации (ст. 10 149-ФЗ), не выражал намерения участвовать в статистическом исследовании или предоставлять данные о своём поведении третьему лицу для составления отчётов. Потенциальный покупатель на интернет-витрине приходит за сведениями о товаре или услуге, а не для передачи профиля поведения оператору и Яндексу.

Следовательно, обработку статистических cookie нельзя представить как осуществляемую в интересах посетителя. Более того, сбор сведений об устройстве, IP-адресе, истории просмотров затрагивает право на неприкосновенность частной жизни (ст. 23 Конституции РФ). В материалах Merion Academy справедливо отмечается, что пользователям часто не хватает прозрачности и контроля над тем, что службы отслеживания делают с собранными данными, а при определённых видах учёта действий в сети «Интернет» запись активности может быть соотнесена с конкретным лицом. В российской модели такому риску соответствует требование весомого правового обоснования – в данном случае информированного согласия субъекта (ст. 9 Закона «О персональных данных»).

Важно подчеркнуть: использование сайта и обработка статистических cookie через метрику – два разных правовых режима. Первое связано с доступом к информации и акцептом Пользовательского соглашения; второе – с дополнительной деятельностью оператора, не влияющей на доступность ресурса. Как отмечено в материалах портала «Генератор152ФЗ», поручение обработки не является самостоятельной «операцией» с персональными данными, а организует исполнение обработки силами третьего лица; однако организация поручения не отменяет необходимости законного основания для самой обработки.

6. Метрика на собственном оборудовании оператора: нужно ли согласие без передачи третьему лицу

На практике нередко возникает вопрос: если администратор сайта устанавливает метрическую программу (Matomo, AWStats, собственная разработка и т.п.) на своём сервере и cookie-данные не передаются Яндексу или иному внешнему сервису, можно ли ограничиться описанием обработки в Пользовательском соглашении, без отдельного баннера согласия?

Представляется, что нет. Передача третьему лицу и необходимость согласия – разные, хотя и связанные, плоскости анализа.

Первая плоскость – законное основание самой обработки (ч. 1 ст. 6 Закона «О персональных данных»). Статистические cookie фиксируют поведение посетителя – просмотры страниц, переходы, время на сайте – в целях анализа аудитории и эффективности ресурса. Эти цели относятся к сфере интересов оператора (администратора сайта), а не к предоставлению посетителю запрошенной услуги. Посетитель приходит ознакомиться с информацией или совершить покупку, а не для того, чтобы его действия учитывались в статистике, даже если учёт ведётся только на сервере оператора.

Следовательно, обработка статистических cookie не подпадает под исполнение договора с посетителем (п. 5 ч. 1 ст. 6) и не входит в объём обработки, необходимый для предоставления доступа к сайту (см. разд. 4). Отсутствие передачи данных Яндексу не меняет характер цели: оператор по-прежнему реализует собственную задачу учёта поведения пользователей, не совпадающую с целью визита субъекта на сайт.

Вторая плоскость – поручение обработки (ч. 3 ст. 6). При облачной метрике (Яндекс Метрика) возникает дополнительный вопрос о передаче данных обработчику и основании поручения. При собственной метрике оператор одновременно является и лицом, определяющим цели обработки, и лицом, непосредственно осуществляющим её; институт поручения по ч. 3 ст. 6 здесь, как правило, не применяется. Но это не освобождает от необходимости согласия на саму обработку по ч. 1 ст. 6.

Роль Пользовательского соглашения. Соглашение может и должно информировать посетителя о видах cookie, целях и сроках обработки (ст. 18 Закона «О персональных данных»). Однако одного акцепта соглашения путём использования сайта недостаточно для признания согласия на статистические cookie действительным. Согласие по ст. 9 Закона «О персональных данных» должно быть конкретным, предметным и выраженным отдельным активным действием – в комплекте документов Генератор152ФЗ это нажатие кнопки «Принять» в баннере, а не молчание или факт продолжения просмотра страниц. Пользовательское соглашение задаёт правила и раскрывает условия, баннер – фиксирует волеизъявление на необязательную обработку.

Итак, согласие требуется в целом для обработки статистических cookie метрическими программами, поскольку обработка осуществляется в интересах оператора и не связана с функционированием сайта. Передача данных Яндексу – частный, но распространённый случай, когда к согласию на обработку добавляется вопрос о поручении обработки третьему лицу.

7. Статистические cookie метрики и маркетинговые cookie: разграничение со ст. 15 Закона «О персональных данных»

Обработку cookie нельзя сводить к единому правилу: разные цели влекут разные основания. Для маркетинговых cookie ситуация иная, чем для статистических.

Статья 15 Закона «О персональных данных» устанавливает, что обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путём осуществления прямых контактов с потенциальным потребителем с помощью средств связи допускается только при условии предварительного согласия субъекта персональных данных. Если администратор интернет-магазина, зная предпочтения клиента (историю просмотров, корзину, покупки), предлагает ему персонализированные товары или рассылку, такая обработка подпадает под маркетинговую модель и требует согласия в смысле ст. 15.

Условия маркетинговой обработки целесообразно отражать в Пользовательском соглашении и в политике оператора в отношении обработки персональных данных; согласие получать через баннер или иной механизм активного волеизъявления. При этом маркетинговая цель может в определённой степени совпадать с интересом покупателя (релевантные предложения), однако закон всё равно требует предварительного согласия – то есть отдельного и заблаговременного по отношению к самой маркетинговой обработке.

Статистические cookie (веб-аналитика, Яндекс Метрика, собственная метрика) служат иной цели: не прямым контактам с потребителем и не предложению товаров, а внутреннему учёту посещаемости и поведения аудитории. Статья 15 к ним непосредственно не применяется; основание – общий порядок ст. 6 и ст. 9 Закона «О персональных данных». При этом вывод о необходимости согласия для статистических cookie следует не из ст. 15, а из того, что:

• обработка не обеспечивает работу сайта и не входит в исполнение договора с посетителем;
• цель обработки – интерес оператора, а не совместная цель оператора и субъекта;
• иные основания ч. 1 ст. 6 к такой обработке, как правило, неприменимы (см. также разд. 9).

На практике оператору полезно разделять в документах технические, статистические и маркетинговые cookie: для каждой категории – своя цель, своё правовое обоснование и, при необходимости, отдельный элемент согласия в баннере. Смешение статистики и маркетинга в одной формулировке без разграничения затрудняет проверку законности обработки.

8. Порядок получения согласия: баннер и кнопка «Принять»

Как правило, Пользовательское соглашение администратора сайта предусматривает механизм получения согласия на обработку статистических cookie: при первом посещении отображается баннер с текстом о применении Яндекс Метрики; нажатие кнопки «Принять» означает согласие на обработку статистических cookie в соответствии с соглашением. До нажатия кнопки счётчик не должен активироваться (реализация на стороне сайта – через отложенную загрузку скрипта метрики).

Такой механизм соответствует ст. 9 Закона «О персональных данных»: согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Оно выражается активным действием, а не молчанием или продолжением просмотра страниц без выбора. Подход согласуется с европейской практикой (дело Planet49), с логикой разграничения строго необходимых и иных cookie, а также с общепринятой моделью информированного согласия до активации отслеживающих файлов: как указывает Merion Academy, во многих юрисдикциях пользователь должен быть уведомлён об использовании cookie и выразить согласие до их применения, за исключением файлов, строго необходимых для работы сайта. Баннер с кнопкой «Принять» реализует этот принцип применительно к статистическим cookie и Яндекс Метрике.

Нажатие «Принять» – отдельное волеизъявление, не тождественное самому факту использования сайта или акцепту Пользовательского соглашения в целом. Субъекту одновременно обеспечивается право отказа (отзыва согласия) и получения сведений об обработчике – Яндексе (п. 9 ч. 7 ст. 14 Закона «О персональных данных»; сведения раскрываются в Пользовательском соглашении).

9. Можно ли обойтись без согласия: иные основания ч. 1 ст. 6

В практике иногда обсуждается возможность обосновать обработку статистических cookie без согласия субъекта, в том числе со ссылкой на п. 7 ч. 1 ст. 6 Закона «О персональных данных». Для статистических cookie через метрические программы такой подход представляется сомнительным.

Во-первых, обработка не является необходимой для функционирования сайта: оператор может анализировать посещаемость по собственным серверным логам – в том числе при развёрнутой на своём оборудовании метрике – без установки отслеживающих cookie в браузере посетителя. Во-вторых, сбор поведенческих данных, параметров устройства и сетевых идентификаторов затрагивает частную жизнь субъекта. В-третьих, при сопоставлении интересов преобладает интерес посетителя в контроле над своими данными, поскольку статистика для оператора носит вспомогательный, а не критический характер.

Иное дело – технические cookie и иная обработка, необходимая для предоставления доступа к сайту в рамках исполнения договора с посетителем (п. 5 ч. 1 ст. 6). Здесь интерес оператора и посетителя совпадают: без технической инфраструктуры услуга недоступна. Метрическая программа к этой категории не относится.

Таким образом, для статистических cookie метрическими программами наиболее корректной является модель согласия субъекта, а не попытка обойтись без активного волеизъявления посетителя.

Заключение

На основе проведённого анализа сформулированы следующие выводы.

1. Исторически cookie прошли путь от технического инструмента к объекту правового регулирования; европейский опыт (ePrivacy, GDPR, дело Planet49) закрепил стандарт: без согласия обрабатываются лишь строго необходимые cookie; для остальных требуется активное информированное согласие.
2. Согласие субъекта требуется для обработки статистических cookie метрическими программами в целом – как при передаче данных Яндексу, так и при аналитике на собственном оборудовании оператора: цель обработки не совпадает с интересами посетителя и не связана с работой сайта. Одного Пользовательского соглашения без активного баннера недостаточно.
3. Передача данных облачной метрике (Яндекс Метрика) добавляет вопрос поручения обработки по ч. 3 ст. 6 Закона «О персональных данных»; при собственной метрике поручение, как правило, отсутствует, но согласие на обработку сохраняется.
4. Маркетинговые cookie регулируются отдельно (ст. 15 Закона «О персональных данных» – предварительное согласие на продвижение товаров и прямых контактов); статистические cookie метрики подпадают под общий порядок ст. 6 и ст. 9, при этом согласие также необходимо по причинам необязательности обработки и интереса оператора.
5. Хостинг-провайдер и регистратор доменных имён обеспечивают критически необходимые функции; поручение им может основываться на договоре (п. 3 ч. 3 ст. 6 Закона «О персональных данных») без отдельного согласия субъекта на поручение. Облачная метрика к этой категории не относится.
6. Договор оператора с Яндексом оформляет отношения с обработчиком, но не заменяет согласие субъекта на обработку статистических cookie и не устраняет необходимости разграничения технических, статистических и маркетинговых файлов.

Предложенное понимание согласуется с буквальным и системным толкованием Закона «О персональных данных» и с практикой оформления комплекта документов на портале «Генератор152ФЗ» (Пользовательское соглашение, баннер cookie, политика обработки персональных данных). Оно позволяет оператору законно использовать веб-аналитику, сохраняя за субъектом контроль над необязательной обработкой данных.

Список литературы

1. Федеральный закон от 27.07.2006 № 152-ФЗ (ред. от 24.06.2025) «О персональных данных» // Доступ из справ.-правовой системы «КонсультантПлюс».
2. Федеральный закон от 27.07.2006 № 149-ФЗ (ред. от 08.08.2024) «Об информации, информационных технологиях и о защите информации» // Доступ из справ.-правовой системы «КонсультантПлюс».
3. Афанасьев А.А. Обработка cookie-файлов с использованием метрических программ: поручение оператора и согласие субъекта персональных данных // Генератор152ФЗ. – URL: https://генератор152фз.рф/pages/articles/obrabotka-cookie-metrika-poruchenie-soglasie.html (дата обращения: 20.07.2026).
4. Афанасьев А.А. Поручение обработки персональных данных: правовая конструкция части 3 статьи 6 Федерального закона «О персональных данных» // Генератор152ФЗ. – URL: https://генератор152фз.рф/pages/articles/poruchenie-obrabotki-pdn-st6-ch3.html (дата обращения: 20.07.2026).
5. Условия использования сервиса «Яндекс Метрика» и AppMetrica. – URL: https://yandex.ru/legal/metrica_termsofuse (дата обращения: 20.07.2026).
6. Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (ePrivacy Directive) // Official Journal L 201, 31.7.2002, p. 37–47.
7. Directive 2009/136/EC of the European Parliament and of the Council of 25 November 2009 amending Directive 2002/22/EC, Directive 2002/58/EC and Regulation (EC) No 2006/2004 // Official Journal L 337, 18.12.2009, p. 11–36.
8. Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation – GDPR) // Official Journal L 119, 4.5.2016, p. 1–88.
9. Judgment of the Court of Justice of the European Union (Grand Chamber) of 1 October 2019 in Case C‑673/17, Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. v. Planet49 GmbH // ECLI:EU:C:2019:801.
10. Ратушный М. Файлы cookie и персональные данные: терминология и основания для обработки // Право.ру. – 2023. – URL: https://pravo.ru/opinion/250647/ (дата обращения: 20.07.2026).
11. Что такое файлы cookie // Merion Academy : база знаний. – URL: https://wiki.merionet.ru/articles/chto-takoe-fajly-cookie (дата обращения: 20.07.2026).

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.