«Да у меня просто Метрика стоит!»: 4 опасных мифа о куки и Роскомнадзоре, из-за которых бизнес получает штрафы на ровном месте

Каждый раз, когда заходит речь о штрафах за персональные данные (ФЗ-152) и куки-баннерах, в комментариях среди владельцев сайтов и маркетологов начинается парад опасных юридических иллюзий. Бизнес свято верит в мифы 10-летней давности, пока автоматические краулеры ведомств выписывают реальные протоколы по ст. 13.11 КоАП РФ.

Разработчики ежедневно анализируют сотни сайтов и судебную практику. Давайте разберем 4 главных заблуждения рунета и разобьем их сухими фактами и законом.

Логика бизнеса: Раз Роскомнадзор не регламентировал форму всплывающего окна, я просто напишу в футере микро-текстом: «Мы собираем куки» — и закон выполнен.

Реальность и закон:

В законе действительно нет слова «плашка». Но там есть статья 9 ФЗ-152, которая жестко требует, чтобы согласие на обработку данных было «конкретным, информированным, сознательным, однозначным и предметным».

Если текст скрыт мелким шрифтом в подвале, пользователь не совершил никакого однозначного и сознательногодействия. Он просто открыл страницу. Роскомнадзор и суды трактуют это однозначно: сбор цифрового следа (cookie, IP, браузер) без явного клика по кнопке согласия — это обработка данных без согласия пользователя. Именно поэтому Сбер, Яндекс, Т-Банк и все крупные корпорации используют интерактивные баннеры с кнопками «Принять все» — это единственная железная защита от штрафа.

Логика бизнеса: Скрипты сбора статистики принадлежат Яндексу, сервера тоже их. Я просто установил бесплатный код. Я ничего не собираю и не храню.

Реальность и закон:

Это самое глупое и дорогое заблуждение. Согласно ст. 3 ФЗ-152, Оператором персональных данных является именно владелец сайта, так как именно вы добровольно установили счетчик на свой домен с целью анализировать ваших b2b-клиентов.

Яндекс в этой цепочке — лишь лицо, осуществляющее обработку по поручению оператора (ст. 6 ФЗ-152) [Официальный провайдер Yandex Cloud]. Всю юридическую и финансовую ответственность за сбор данных на вашем сайте перед законом и пользователями несете лично вы, а не Яндекс.

Логика бизнеса: Человек зашел через Chrome или Яндекс.Браузер, там в лицензионном соглашении уже написано, что его данные могут обрабатываться. Зачем мне собирать согласие еще раз?

Реальность и закон:

Согласие с правилами Apple, Microsoft или Google дает право собирать и анализировать данные этим корпорациям внутри их экосистем. Оно юридически никак не распространяется на ваш личный, независимый коммерческий сайт. Закон обязывает легализовать трекеры на каждом домене отдельно. Чужие b2b-соглашения вас не защитят.

Логика бизнеса:

Мы не интернет-магазин, мы просто собираем заявки на консультацию или b2b-аудит. Имя и телефон — это не паспорт, значит, это не персональные данные.

Реальность и закон:

Как только Имя и Телефон (или Имя и Email) попадают в вашу базу данных (хоть в SQLite, хоть в Excel) для последующей связи с человеком — вы обрабатываете полноценные персональные данные.

Если под формой нет чекбокса согласия, ссылки на Политику не кликабельны, а сама Политика скачана из интернета и содержит технические заглушки вроде [Указать ИНН компании] — ваш сайт находится в зоне максимального риска. Автоматический ИТ-краулер Роскомнадзора найдет эту форму за 15 секунд.

Бесплатный сканер rkn-scanner.ru создан именно для того, чтобы вы могли моментально посмотреть на свой веб-ресурс глазами проверяющих роботов. Он анализирует сетевые запросы, проверяет, «спят» ли ваши метрики до клика по баннеру, и вычитывает тексты политик на предмет скрытых уязвимостей.

Неприятная правда, но лучше перебдеть, чем недобдеть.