Cookie-банер і GDPR: що тобі справді потрібно

Ти відкриваєш власний сайт перед запуском реклами. Унизу з’являється знайома плашка: «Ми використовуємо cookies». Біля пункту «Погоджуюсь на все» вже стоїть галочка. Велика кнопка кличе прийняти все, а відмова захована десь за посиланням «детальніше». Ти бачиш банер і можеш подумати: добре, це вже зроблено.

Але cookies - це невеликі дані, які сайт зберігає в браузері відвідувача, - не стають прийнятними лише тому, що на екрані є плашка. GDPR, тобто європейські правила захисту персональних даних, не встановлює обов’язковий дизайн банера. Він ставить важливіше запитання: чи була в сайту законна підстава обробляти дані і, якщо ти покладаєшся на згоду, чи справді людина дала її сама.

Це різні речі. Банер - спосіб запитати, а не чарівна печатка «усе законно». Якщо він уже обрав відповідь за відвідувача, робить відмову незручною або не пояснює предмет вибору, його наявність не виправляє ситуацію. Він лише дуже старанно документує зламаний процес. А зламаний процес особливо любить називатися рішенням «під ключ».

Не потрібно ставати фахівцем із права, щоб побачити основну проблему. Подивися на банер так, ніби ти вперше зайшов на чужий сайт і не маєш причин довіряти його власнику. Чи розумієш ти, що пропонують? Чи можеш легко відмовитися? Чи не зробив сайт вибір замість тебе? На ці три запитання можна відповісти прямо на екрані.

Персональні дані - це відомості, за якими людину можна прямо або опосередковано впізнати, а обробка даних - будь-яка дія з ними: збирання, зберігання, передавання чи інше використання. Стаття 6 GDPR перелічує шість законних підстав для такої обробки. Згода - лише одна з них; серед інших є, зокрема, виконання договору та законний інтерес. Для малого бізнесу сенс не в тому, щоб самостійно розкласти GDPR на кілька сотень сторінок.

Не називай усе, що відбувається на сайті, «згодою на cookies» лише тому, що це зручно вмістити в одну кнопку. Спочатку з’ясуй, що саме сайт робить після відкриття сторінки і навіщо це тобі потрібно. Лише тоді можна чесно пояснити людині, про що її питають.

Банер показує вибір, а не замінює його

Уяви невелику онлайн-школу. Відвідувачка заходить на сторінку курсу, а сайт одразу використовує її поведінку для рекламних повідомлень. Власник додав банер, але кнопка «Прийняти» велика й помітна, а відмовитися можна тільки після кількох переходів через налаштування. Тут питання не в тому, чи сучасно виглядає плашка. Питання в тому, чи мала відвідувачка реальний вибір до того, як сайт почав покладатися на її згоду.

Згода - це чітке підтвердження людиною того, на що вона погоджується. Стаття 7 GDPR вимагає, щоб вона була вільною, конкретною, поінформованою та недвозначною. Ці слова звучать як юридична шафа з подвійним дном, але перевірка в них людська. Людина має розуміти, що її питають; бачити, на що саме може погодитися; не відчувати примусу; і сама зробити виразну дію.

Якщо в банері написано лише «для кращого досвіду», відвідувач не бачить предмета вибору. Якщо йому пропонують «погодитися на все» без зрозумілого поділу, він не може усвідомлено обрати окремі речі. Якщо відмова виглядає як покарання, а прийняття - як єдина нормальна дорога, вільність вибору теж викликає запитання.

Вільна згода означає, що людина дає її без примусу. На сторінці це можна перевірити не теорією, а власним пальцем. Відкрий сайт у приватному вікні браузера, щоб побачити його як новий відвідувач, і знайди шлях до відмови ще до того, як натиснеш будь-яку кнопку.

Порівняй шлях до відмови зі згодою. Якщо на згоду досить одного натискання, а для відмови треба шукати дрібний текст і відкривати налаштування, вибір нерівний.

Стаття 7 GDPR прямо говорить і про наступний момент: відкликати згоду має бути так само легко, як надати її. Це стосується не лише першого показу плашки: людина може змінити рішення пізніше, коли банер уже закрито. Тому потрібен зрозумілий шлях назад до налаштувань - наприклад, помітне посилання внизу сторінки або зрозумілий пункт у меню. Кнопка відмови може формально існувати, але бути настільки непомітною, що людина її не помітить. Формальна присутність - не те саме, що доступний вибір.

Відмова не має бути мініквестом

Уяви майстерню подарунків. Її банер дає можливість «Прийняти все» одним натисканням. Відмова не лежить поруч: її можна знайти лише в тексті політики конфіденційності, де відвідувачеві треба ще здогадатися, що робити далі. Це не вибір між двома діями. Це одна дія і маршрут для тих, хто готовий пройти мініквест із поганим призом.

Практична правка тут не потребує нової юридичної мови. Постав поруч зрозумілу дію для відмови й дію для прийняття. Потім закрий банер, прокрути сторінку донизу та сам знайди спосіб повернутися до свого рішення. Якщо ти не бачиш такого способу без пошуку, відвідувач теж не зобов’язаний його відгадувати.

Не йдеться про симетрію кнопок до пікселя. Йдеться про симетрію можливостей. Людина має бачити: я можу погодитися, можу відмовитися, а також можу повернутися й передумати. Якщо один із цих варіантів існує лише в документації для розробника, на екрані його фактично немає.

Стаття 7 GDPR прямо зазначає: мовчання, бездіяльність і попередньо відмічені галочки не становлять згоди. Тож галочка біля «дозволити все», яку відвідувач має зняти сам, - не дрібна неточність у налаштуваннях. Сайт уже поставив відповідь замість людини.

Перевір це в режимі нового відвідувача. Відкрий приватне вікно або очисти дані сайту, завантаж сторінку й подивися на всі перемикачі. Якщо для певного пункту ти покладаєшся на згоду, він має чекати на чітку ствердну дію людини. Не на закриття хрестиком. Не на прокручування сторінки. Не на фразу, яка оголошує будь-яке продовження перегляду автоматичним погодженням.

Важлива деталь: готовий плагін або сервіс не ухвалює це рішення замість тебе. Він може дати кнопки, перемикачі й місце для пояснень, але не знає, що саме підключено на твоєму сайті та як ти вирішив його налаштувати. Один і той самий інструмент можна використати для чесного вибору або для заздалегідь увімкнених пунктів. Дивись не на назву в рахунку, а на перший екран, який бачить відвідувач.

Формулювання на кшталт «Продовжуючи, ти погоджуєшся» намагається перетворити звичайну дію на нібито дозвіл. Згода має бути виражена чіткою ствердною дією.

Не плутай порожній чекбокс із рішенням, яке відвідувач не може побачити. Перевір усі екрани: початкову плашку, детальні налаштування й екран після повторного відкриття. Лише так ти побачиш, чи не повертається попередній вибір там, де його не мало бути.

Конкретна й поінформована згода означає, що людина розуміє предмет свого вибору. Це не означає, що треба примусити її читати довгий документ перед кожним натисканням. Але слово «cookies» саме по собі не пояснює, що сайт робить і для чого ти просиш дозвіл.

Почни не з редагування тексту на банері, а зі звичайного списку підключень. Подивися на форму заявки, кошик, вимірювання відвідувань, рекламні підключення, вбудовані відео та інші зовнішні елементи. Біля кожного пункту напиши простою мовою три відповіді: що він робить, яких даних може стосуватися і навіщо він тобі потрібен. Не вигадуй офіційних формулювань. Запис має бути таким, щоб ти зміг пояснити його людині по телефону.

Прочитай текст банера вголос. Відвідувач має відрізняти потрібну для дії на сайті функцію від додаткового відстеження й розуміти кожен перемикач.

Коректна робота зі згодою - не окремий юридичний квест, який треба ховати наприкінці запуску. Це частина технічної роботи над сторінкою, формою та кошиком. Коли плануєш сайт або інтернет-магазин, додай перевірку згоди до переліку речей, які мають бути зрозумілі до запуску. Тоді вона не загубиться між дизайном, оплатою і фразою «залишилася тільки дрібна правка».

Водночас ця перевірка не є повною відповіддю на всі правові питання. GDPR містить ширші вимоги, а конкретна ситуація залежить від того, які дані використовує твій сайт і з якою метою. Якщо в тебе складна схема даних або ти не розумієш, на якій підставі працює певне підключення, передай свій список юристу. Але три базові ознаки банера ти можеш побачити сам ще до цієї розмови.

Не починай із пошуку нового сервісу з написом GDPR у назві. Спершу подивися на чинний банер як відвідувач, бо значення має його реальна поведінка. Відкрий чисте або приватне вікно, зайди на головну сторінку, а потім на сторінку з формою чи кошиком. Деякі елементи можуть з’являтися не на першому екрані, тому не зупиняйся після одного натискання. Не намагайся за один вечір переробити все, чого поки не розумієш, і не прибирай банер навмання: це не відповідає на запитання, що саме відбувається з даними.

Зроби для себе коротку перевірку:

• Чи є хоча б один пункт згоди, увімкнений до дії відвідувача?
• Чи лежить відмова поруч із прийняттям, а не за кількома додатковими переходами?
• Чи можна після закриття банера знайти місце, де рішення змінюється?
• Чи пояснює текст, на що саме ти просиш згоду, без загальних фраз?
• Чи маєш ти перелік підключень на сайті та розумієш призначення кожного?

Твій перший крок один: відкрий сайт у приватному вікні та зроби скриншот першого екрана банера. Познач на ньому, де людина погоджується, де відмовляється і що вже було вибрано до її дії. На цьому скриншоті зазвичай добре видно, чи даєш ти відвідувачеві вибір, чи лише декорацію вибору.