Cookie-банер і GDPR: що тобі справді потрібно

Ти відкриваєш власний сайт перед запуском реклами. Унизу з’являється знайома плашка: «Ми використовуємо cookies». Біля пункту «Погоджуюсь на все» вже стоїть галочка. Велика кнопка кличе прийняти все, а відмова захована десь за посиланням «детальніше». Ти бачиш банер і можеш подумати: добре, це вже зроблено.

Але cookies - це невеликі дані, які сайт зберігає в браузері відвідувача, - не стають прийнятними лише тому, що на екрані є плашка. GDPR, тобто європейські правила захисту персональних даних, не встановлює обов’язковий дизайн банера. Він ставить важливіше запитання: чи була в сайту законна підстава обробляти дані і, якщо ти покладаєшся на згоду, чи справді людина дала її сама.

Це різні речі. Банер - спосіб запитати, а не чарівна печатка «усе законно». Якщо він уже обрав відповідь за відвідувача, робить відмову незручною або не пояснює предмет вибору, його наявність не виправляє ситуацію. Він лише дуже старанно документує зламаний процес. А зламаний процес особливо любить називатися рішенням «під ключ».

Не потрібно ставати фахівцем із права, щоб побачити основну проблему. Подивися на банер так, ніби ти вперше зайшов на чужий сайт і не маєш причин довіряти його власнику. Чи розумієш ти, що пропонують? Чи можеш легко відмовитися? Чи не зробив сайт вибір замість тебе? На ці три запитання можна відповісти прямо на екрані.

Персональні дані - це відомості, за якими людину можна прямо або опосередковано впізнати, а обробка даних - будь-яка дія з ними: збирання, зберігання, передавання чи інше використання. Стаття 6 GDPR перелічує шість законних підстав для такої обробки. Згода - лише одна з них; серед інших є, зокрема, виконання договору та законний інтерес. Для малого бізнесу сенс не в тому, щоб самостійно розкласти GDPR на кілька сотень сторінок.

Є другий шар, якого стаття 6 не закриває. Зберігання інформації на пристрої відвідувача або доступ до вже збереженої там інформації регулює стаття 5(3) Директиви 2002/58/EC про приватність в електронних комунікаціях. Вона дозволяє це лише за умови, що користувач дав згоду після того, як отримав ясну й вичерпну інформацію про цілі. Текст називає два винятки: зберігання чи доступ, єдина мета яких - здійснити передавання повідомлення, і те, що є суворо необхідним для надання послуги, яку користувач прямо запросив. Саме тому «у нас законний інтерес» не закриває питання для рекламного чи вимірювального скрипта: перш ніж він щось запише або прочитає на пристрої, правило про cookies вимагає згоди.

Не називай усе, що відбувається на сайті, «згодою на cookies» лише тому, що це зручно вмістити в одну кнопку. Спочатку з’ясуй, що саме сайт робить після відкриття сторінки і навіщо це тобі потрібно. Лише тоді можна чесно пояснити людині, про що її питають.

Банер показує вибір, а не замінює його

Візьмімо гіпотетичну невелику онлайн-школу - вигадану ситуацію, а не нашого клієнта. Відвідувачка заходить на сторінку курсу, а сайт одразу використовує її поведінку для рекламних повідомлень. Власник додав банер, але кнопка «Прийняти» велика й помітна, а відмовитися можна тільки після кількох переходів через налаштування. Тут питання не в тому, чи сучасно виглядає плашка. Питання в тому, чи мала відвідувачка реальний вибір до того, як сайт почав покладатися на її згоду.

Припустімо про цю школу три речі. Рекламний тег спрацьовує під час завантаження сторінки, ще до будь-якого натискання. Сайт також ставить cookie, який тримає заповненою форму запису, поки відвідувачка переходить між її кроками. І власник ніде не фіксує, хто на що погодився. За таких припущень рішення не є справою смаку. Рекламний тег має чекати, доки відвідувачка зробить чітку ствердну дію, бо стаття 5(3) вимагає згоди ще до того, як щось буде записано на її пристрій або прочитано з нього, а рецитал 32 GDPR каже, що мовчання, попередньо відмічені галочки й бездіяльність такою дією не є. Cookie форми може лишитися: він обслуговує послугу, яку вона прямо запросила. Тож наступний крок власника конкретний - перенести тег за рішення про згоду, а поруч із дією прийняття поставити дію відмови.

Які докази змінили б цей висновок? Підтвердження, що тег нічого не зберігає на пристрої й нічого з нього не читає та не обробляє персональних даних, - тоді стаття 5(3) взагалі не спрацьовує і лишається лише питання статті 6. Висновок змінився б і тоді, якби cookie форми обслуговував ще й рекламу: він перестав би бути суворо необхідним для запитаної послуги. А національний закон, яким Директиву впроваджено в країні школи, разом із роз’ясненнями тамтешнього наглядового органу може бути суворішим за наведений тут текст. Ця частина - до юриста, а не до банера.

Згода - це чітке підтвердження людиною того, на що вона погоджується. Стаття 4(11) GDPR визначає її як вільне, конкретне, поінформоване й недвозначне волевиявлення людини, зроблене заявою або чіткою ствердною дією. А стаття 7 додає умови для власника сайту: запит має бути чітко відокремлений від інших питань, написаний зрозумілою мовою, і людина повинна мати змогу згодом відкликати згоду. Ці слова звучать як юридична шафа з подвійним дном, але перевірка в них людська. Людина має розуміти, що її питають; бачити, на що саме може погодитися; не відчувати примусу; і сама зробити виразну дію.

Якщо в банері написано лише «для кращого досвіду», відвідувач не бачить предмета вибору. Якщо йому пропонують «погодитися на все» без зрозумілого поділу, він не може усвідомлено обрати окремі речі. Якщо відмова виглядає як покарання, а прийняття - як єдина нормальна дорога, вільність вибору теж викликає запитання.

Вільна згода означає, що людина дає її без примусу. На сторінці це можна перевірити не теорією, а власним пальцем. Відкрий сайт у приватному вікні браузера, щоб побачити його як новий відвідувач, і знайди шлях до відмови ще до того, як натиснеш будь-яку кнопку.

Порівняй шлях до відмови зі згодою. Якщо на згоду досить одного натискання, а для відмови треба шукати дрібний текст і відкривати налаштування, вибір нерівний.

Стаття 7(3) GDPR прямо говорить і про наступний момент: відкликати згоду має бути так само легко, як надати її, а людину треба поінформувати про це право ще до того, як вона погодиться. Це стосується не лише першого показу плашки: людина може змінити рішення пізніше, коли банер уже закрито. Тому потрібен зрозумілий шлях назад до налаштувань - наприклад, помітне посилання внизу сторінки або зрозумілий пункт у меню. Кнопка відмови може формально існувати, але бути настільки непомітною, що людина її не помітить. Формальна присутність - не те саме, що доступний вибір.

Відмова не має бути мініквестом

Уяви майстерню подарунків. Її банер дає можливість «Прийняти все» одним натисканням. Відмова не лежить поруч: її можна знайти лише в тексті політики конфіденційності, де відвідувачеві треба ще здогадатися, що робити далі. Це не вибір між двома діями. Це одна дія і маршрут для тих, хто готовий пройти мініквест із поганим призом.

Практична правка тут не потребує нової юридичної мови. Постав поруч зрозумілу дію для відмови й дію для прийняття. Потім закрий банер, прокрути сторінку донизу та сам знайди спосіб повернутися до свого рішення. Якщо ти не бачиш такого способу без пошуку, відвідувач теж не зобов’язаний його відгадувати.

Не йдеться про симетрію кнопок до пікселя. Йдеться про симетрію можливостей. Людина має бачити: я можу погодитися, можу відмовитися, а також можу повернутися й передумати. Якщо один із цих варіантів існує лише в документації для розробника, на екрані його фактично немає.

Рецитал 32 GDPR каже це прямо: згода має надаватися чіткою ствердною дією, а мовчання, попередньо відмічені галочки чи бездіяльність згоди не становлять. Рецитали пояснюють, як читати статті, а стаття 4(11) вимагає тієї самої чіткої ствердної дії вже в обов’язковому тексті. Тож галочка біля «дозволити все», яку відвідувач має зняти сам, - не дрібна неточність у налаштуваннях. Сайт уже поставив відповідь замість людини.

Перевір це в режимі нового відвідувача. Відкрий приватне вікно або очисти дані сайту, завантаж сторінку й подивися на всі перемикачі. Якщо для певного пункту ти покладаєшся на згоду, він має чекати на чітку ствердну дію людини. Не на закриття хрестиком. Не на прокручування сторінки. Не на фразу, яка оголошує будь-яке продовження перегляду автоматичним погодженням.

Важлива деталь: готовий плагін або сервіс не ухвалює це рішення замість тебе. Він може дати кнопки, перемикачі й місце для пояснень, але не знає, що саме підключено на твоєму сайті та як ти вирішив його налаштувати. Один і той самий інструмент можна використати для чесного вибору або для заздалегідь увімкнених пунктів. Дивись не на назву в рахунку, а на перший екран, який бачить відвідувач.

Формулювання на кшталт «Продовжуючи, ти погоджуєшся» намагається перетворити звичайну дію на нібито дозвіл. Згода має бути виражена чіткою ствердною дією.

Не плутай порожній чекбокс із рішенням, яке відвідувач не може побачити. Перевір усі екрани: початкову плашку, детальні налаштування й екран після повторного відкриття. Лише так ти побачиш, чи не повертається попередній вибір там, де його не мало бути.

Конкретна й поінформована згода означає, що людина розуміє предмет свого вибору. Це не означає, що треба примусити її читати довгий документ перед кожним натисканням. Але слово «cookies» саме по собі не пояснює, що сайт робить і для чого ти просиш дозвіл.

Одну межу варто провести ще до того, як напишеш перше слово для банера. Стаття 5(3) Директиви про приватність в електронних комунікаціях звільняє від згоди лише дві речі: зберігання чи доступ, єдина мета яких - здійснити передавання повідомлення, і те, що суворо необхідне для послуги, яку відвідувач прямо запросив. Кошик, який має пам’ятати свій вміст, лежить на боці необхідного. Вимірювання відвідувань, рекламні підключення та вбудовані плеєри, що стежать за переглядом, зазвичай ні - хоч якими корисними вони є для тебе. «Суворо необхідне» міряють від того, що запросив відвідувач, а не від того, що потрібно твоєму маркетинговому плану, - і все, що виходить за цю межу, ти маєш у людини запитати.

Почни не з редагування тексту на банері, а зі звичайного списку підключень. Подивися на форму заявки, кошик, вимірювання відвідувань, рекламні підключення, вбудовані відео та інші зовнішні елементи. Біля кожного пункту напиши простою мовою три відповіді: що він робить, яких даних може стосуватися і навіщо він тобі потрібен. Не вигадуй офіційних формулювань. Запис має бути таким, щоб ти зміг пояснити його людині по телефону.

Прочитай текст банера вголос. Відвідувач має відрізняти потрібну для дії на сайті функцію від додаткового відстеження й розуміти кожен перемикач.

Коректна робота зі згодою - не окремий юридичний квест, який треба ховати наприкінці запуску. Це частина технічної роботи над сторінкою, формою та кошиком. Коли плануєш сайт або інтернет-магазин, додай перевірку згоди до переліку речей, які мають бути зрозумілі до запуску. Тоді вона не загубиться між дизайном, оплатою і фразою «залишилася тільки дрібна правка».

Водночас ця перевірка не є повною відповіддю на всі правові питання. GDPR містить ширші вимоги, а конкретна ситуація залежить від того, які дані використовує твій сайт і з якою метою. Якщо в тебе складна схема даних або ти не розумієш, на якій підставі працює певне підключення, передай свій список юристу. Але три базові ознаки банера ти можеш побачити сам ще до цієї розмови.

Питання про те, правила якої країни застосовуються, теж належить до цієї розмови. GDPR - це регламент, він діє напряму; за статтею 3 він охоплює й компанію поза ЄС, якщо вона пропонує товари чи послуги людям у ЄС або відстежує їхню поведінку там. Натомість правило про cookies живе в директиві, а стаття 17 Директиви 2002/58/EC зобов’язала кожну державу-члена перенести його у своє національне право. Тож формулювання, яке зобов’язує саме тебе, - національне, і деталі можуть відрізнятися від країни до країни. Не відрізняється те, що показує екран: наперед обрана відповідь, захована відмова й розмите пояснення виглядають однаково будь-якою мовою.

Не починай із пошуку нового сервісу з написом GDPR у назві. Спершу подивися на чинний банер як відвідувач, бо значення має його реальна поведінка. Відкрий чисте або приватне вікно, зайди на головну сторінку, а потім на сторінку з формою чи кошиком. Деякі елементи можуть з’являтися не на першому екрані, тому не зупиняйся після одного натискання. Не намагайся за один вечір переробити все, чого поки не розумієш, і не прибирай банер навмання: це не відповідає на запитання, що саме відбувається з даними.

Зроби для себе коротку перевірку:

• Чи є хоча б один пункт згоди, увімкнений до дії відвідувача?
• Чи лежить відмова поруч із прийняттям, а не за кількома додатковими переходами?
• Чи можна після закриття банера знайти місце, де рішення змінюється?
• Чи пояснює текст, на що саме ти просиш згоду, без загальних фраз?
• Чи маєш ти перелік підключень на сайті та розумієш призначення кожного?

Твій перший крок один: відкрий сайт у приватному вікні та зроби скриншот першого екрана банера. Познач на ньому, де людина погоджується, де відмовляється і що вже було вибрано до її дії. На цьому скриншоті зазвичай добре видно, чи даєш ти відвідувачеві вибір, чи лише декорацію вибору.