Ситуация заключается в том, что владелец сайта example.ru осуществляет сбор IP-адресов и файлов cookie для целей аналитики. С юридической точки зрения, данная деятельность попадает под регулирование законодательства о персональных данных, так как IP-адрес и cookie-файлы (особенно те, которые позволяют идентифицировать устройство или поведение пользователя) признаются персональными данными — информацией, относящейся к прямо или косвенно определённому или определяемому физическому лицу.
Факт сбора таких данных делает владельца сайта оператором персональных данных — лицом, самостоятельно или совместно с другими организующим и осуществляющим обработку персональных данных, а также определяющим цели и состав обрабатываемых данных. Оператор обязан соблюдать ряд требований: уведомить Роскомнадзор о намерении обрабатывать персональные данные (зарегистрироваться в реестре операторов), получить согласие субъекта на обработку, обеспечить безопасность данных и т.д. Однако закон предусматривает исключения — случаи, когда уведомление РКН не требуется. Например, если оператор обрабатывает данные исключительно без использования средств автоматизации (вручную) или если данные обрабатываются в целях однократного пропуска физического лица на территорию. Поскольку на сайте используется автоматизированный сбор IP и cookies, эти исключения, как правило, неприменимы, и регистрация в РКН становится обязательной, если нет возможности избежать статуса оператора.
Юридически значимым обстоятельством здесь является не просто наличие политики обработки персональных данных, а её содержание и полнота, а также фактический порядок сбора данных. Необходимо оценить: какие именно cookies используются (строго необходимые для работы сайта, аналитические, рекламные, сторонние), собираются ли иные данные (например, через формы обратной связи, подписки, комментарии), а также осуществляется ли передача данных третьим лицам (например, сервисам аналитики, расположенным за пределами РФ). Каждый из этих аспектов порождает дополнительные обязанности оператора — от получения согласия до обеспечения трансграничной передачи данных с соблюдением специальных требований.
Ключевым юридически значимым действием пользователя является предоставление согласия на обработку персональных данных. Закон различает случаи, когда обработка возможна без согласия (например, на основании договора или в целях исполнения закона), и случаи, когда требуется явно выраженное, информированное, конкретное и однозначное согласие (например, для cookies, не являющихся строго необходимыми, или для передачи данных третьим лицам). Пока на сайте не настроен механизм получения такого согласия по каждому типу обработки, существует риск нарушения.
Оценка текущей политики должна быть направлена на выявление того, раскрывает ли она все обязательные сведения, предусмотренные законом: цели обработки, состав собираемых данных, правовые основания, сроки, порядок отзыва согласия, сведения о трансграничной передаче, а также контактные данные оператора. Наличие формальной политики само по себе не снимает обязанности получить согласие.
Таким образом, суть ситуации сводится к необходимости квалифицировать действия владельца сайта как деятельность оператора персональных данных, установить, какая конкретно обработка ведётся, и на этой основе определить, обязательна ли регистрация в РКН или её можно избежать путём полного отказа от сбора идентифицирующих данных или их анонимизации до неузнаваемости. Правовая проблема лежит в плоскости правильного выбора способов сбора данных (с согласием или без), минимизации объёма собираемой информации и адаптации политики обработки под все обнаруженные типы данных и их использование.
Квалификация сбора IP-адресов и файлов cookie как обработки персональных данных основывается на определении, данном в ст. 3 Федерального закона «О персональных данных». IP-адрес, особенно в совокупности с файлами cookie и данными аналитики, может быть отнесен к информации, прямо или косвенно определяющей физическое лицо (например, при привязке к устройству или учетной записи). Таким образом, сбор IP и cookie для целей аналитики является обработкой персональных данных, даже если владелец сайта не намеревается идентифицировать конкретного пользователя.
- персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 3
Поскольку обработка осуществляется, необходимо законное основание. Согласно ст. 6 Закона, по общему правилу обработка допускается с согласия субъекта персональных данных (п. 1 ч. 1). Сбор IP и cookie для аналитики не является необходимым для исполнения договора с пользователем (например, для предоставления доступа к контенту сайта), если только аналитика не является неотъемлемой частью оказываемой услуги (что маловероятно). Следовательно, без согласия пользователя такая обработка неправомерна, и владельцу сайта необходимо получить согласие в форме, соответствующей ст. 9.
Статья 6. Условия обработки персональных данных ... 1. Обработка персональных данных допускается в следующих случаях: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 6
Требования к форме согласия установлены ст. 9. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Оно может быть получено в любой форме, подтверждающей факт его получения, но должно оформляться отдельно от иных документов и информации, которые подписывает субъект. Для сайта это означает, что согласие на обработку IP и cookie не может быть «зашито» в пользовательское соглашение или политику конфиденциальности; требуется отдельное активное действие пользователя, например, отметка соответствующего чекбокса или нажатие кнопки в специальном баннере cookie, причём пользователю должна быть предоставлена возможность отказаться от сбора данных для аналитики (кроме строго необходимых технических cookie).
Статья 9. Согласие субъекта персональных данных на обработку его персональных данных. 1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 9
Если владелец сайта использует сторонние сервисы аналитики, зарегистрированные за рубежом (например, Google Analytics), возникает трансграничная передача персональных данных. Ст. 12 Закона обязывает оператора до начала такой передачи уведомить уполномоченный орган (Роскомнадзор) о своем намерении. Уведомление подаётся отдельно от общего уведомления об обработке (ст. 22). Кроме того, если страна, в которую передаются данные, не включена в перечень государств, обеспечивающих адекватную защиту прав субъектов (США в этот перечень не входит), то требуется, помимо уведомления, получение согласия субъекта на трансграничную передачу, а также могут быть нужны дополнительные меры (например, включение в договор с иностранным сервисом стандартных оговорок). Из предоставленного контекста следует лишь обязанность уведомления.
- Оператор до начала осуществления деятельности по трансграничной передаче персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять трансграничную передачу персональных данных. Указанное уведомление направляется отдельно от уведомления о намерении осуществлять обработку персональных данных, предусмотренного статьей 22 н
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 12
В силу ст. 7 Закона, оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать их третьим лицам без согласия субъекта. Если пользователь дал согласие на аналитику, это согласие должно явно распространяться и на передачу данных сервису аналитики (как третьему лицу). В противном случае такая передача без согласия будет нарушением.
Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 7
Владелец сайта желает избежать регистрации в Роскомнадзоре как оператор. Ст. 22 Закона устанавливает, что оператор до начала обработки обязан уведомить уполномоченный орган, за исключением случаев, перечисленных в ч. 2. В предоставленном контексте указано одно исключение — обработка исключительно без использования средств автоматизации (п. 8). Поскольку сбор IP и cookie через сайт происходит с использованием средств автоматизации (веб-сервер, CMS, скрипты аналитики), это исключение неприменимо. Других исключений, которые позволили бы не подавать уведомление при таких обстоятельствах, в контексте не содержится. Таким образом, если владелец сайта обрабатывает персональные данные (а IP и cookie при определённых условиях являются ПД), он обязан направить уведомление в Роскомнадзор. Единственный законный способ не делать этого — анонимизировать данные таким образом, чтобы они перестали быть персональными (например, агрегировать статистику без привязки к IP и уникальным идентификаторам), либо полностью отказаться от сбора любых данных, которые могут быть отнесены к ПД.
- Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
- Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных: ... 8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 22
В предоставленном контексте отсутствуют нормы, прямо устанавливающие обязательные элементы политики обработки персональных данных и политики cookie (обычно они содержатся в ст. 18.1 и 18.2 152-ФЗ). Однако из системного толкования процитированных статей (особенно ст. 9 о согласии и ст. 7 о неразглашении) следует, что политика должна раскрывать цели обработки, состав собираемых данных (IP, cookies), способы получения согласия, порядок отказа от обработки, информацию о трансграничной передаче, а также контактные данные оператора. Текущая политика сайта, упомянутая в вопросе, по‑видимому, не соответствует этим требованиям, так как в ней отсутствуют механизмы получения согласия и данные о трансграничной передаче (если используется зарубежная аналитика).
