ФЗ-152 «О персональных данных» как средство конкурентной борьбы

На днях возникла необходимость поставить счётчик посещаемости «Яндекс.Метрика» на один из своих проектов и сделать это в соответствии с законом о персональных данных. Ну, стандартные действия, знакомые многим: опубликовать страницу с текстом согласия на сбор персональных данных, добавить плашку с уведомлением пользователя и кнопкой «Согласен» и тому подобное.

Чтобы немного освежить знания, решил почитать несколько источников на эту тему и изучить, как «Яндекс.Метрика» используется на других сайтах. По мере изучения меня взял профессиональный интерес проверить, насколько декларируемая политика сбора персональных данных на этих сайтах совпадает с технической реализацией и требованиями законодательства. Оказалось, что не всё так просто.

Далее — несколько примеров сайтов из поисковой выдачи по фразе «яндекс метрика персональные данные», которые я выбрал случайным образом.

Вот скриншот сайта интернет-журнала «Натив». Рядом открыта браузерная консоль разработчика с перечнем сетевых вызовов с данной страницы. Как видим, на сайте висит плашка с уведомлением пользователя о наличии системы аналитики и кнопкой «Принять», которую я ещё не нажал. Тем не менее страница уже сделала множество сетевых вызовов к домену mc.yandex.ru (та самая «Яндекс.Метрика»). То есть сайт отправляет персональные данные до фактического получения от пользователя согласия на это!

Аналогичный пример: сайт ветеринарной клиники. Вроде бы всё в порядке: есть уведомление пользователя, ссылка на политику обработки персональных данных, кнопка «Принять». Но счётчик «Яндекс.Метрики» уже отправляет данные, не дождавшись от пользователя нажатия на кнопку.

Сайт IC Tech пошёл ещё дальше и вместо получения явного согласия пользователя предлагает просто нажать на кнопку «Ок». Впрочем, даже этого не нужно: сайт будет собирать статистику в любом случае.

Ну и заключительный пример. Интернет-магазин «Наше» стремится добросовестно исполнять требование закона, разместив на кнопке целую фразу «Согласен на обработку персональных данных». Вот только счётчик «Яндекс.Метрика» работает вне зависимости от этого.

Отдельно хочу отметить сайт компании «Татэнергосбыт». Здесь картина та же: отправка данных в «Яндекс.Метрику» до нажатия пользователем на кнопку «Принять». Но это ещё не всё. На скриншоте этого не видно, но поверх интерфейса сайта размещён невидимый слой, не дающий возможности нажимать на элементы интерфейса. То есть сайт заставляет пользователя согласиться на сбор персональных данных взамен на доступ к функционалу. Весьма сомнительный ход с точки зрения права, учитывая то, что, согласно закону, согласие на сбор персональных данных должно быть добровольным, а счётчик «Яндекс.Метрики» на функционал сайта не влияет.

Возвращаясь к заголовку статьи: при чём тут вообще конкурентная борьба? Заголовок действительно несколько провокационный, но это первое, что пришло мне в голову в процессе исследования.

Дело в том, что практически каждый сайт из взятых мною наугад собирает статистику с помощью счётчика «Яндекс.Метрики» до фактического получения на это согласия пользователя (за некоторым исключением). Зайдя на подобный сайт своего недруга любой желающий может направить жалобу в Роскомнадзор, в паре абзацев изложив технические детали, и подставить конкурента на крупную сумму.

Сложно сказать, с чем связано подобное несоответствие. Возможно, это прямое указание владельцев сайтов, стремящихся внешне соблюсти требования Роскомнадзора и одновременно не желающих терять ценные статистические данные.

Но что более вероятно, это последствия работы недобросовестных разработчиков, «приводящих» сайты в соответствие законодательству чисто визуально, не затрагивая внутреннюю реализацию сбора персональных данных, подкладывая таким образом огромную свинью своим клиентам.

Возникает вопрос: как же правильно реализовать работу счётчика «Яндекс.Метрика» на сайте?

Если руководствоваться здравым смыслом и статьёй 6 ФЗ-152 в которой сказано, что «обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных», то ответ вполне однозначный: инициализация счётчика «Яндекс.Метрики» должна происходить только после нажатия пользователя на кнопку согласия и никак не ранее этого.

Та же рекомендация приводится и самим «Яндексом» в документации к «Яндекс.Метрике» (да кто её вообще читает?): на странице https://yandex.ru/support/metrica/ru/general/notification приведён пример простого кода отложенной загрузки.

То есть как это, после нажатия на кнопку согласия?! А если пользователь вообще её не нажмёт?

Звучит грустно, но опять же, принимая во внимание, что данные, отправляемые в «Яндекс.Метрику» признаны персональными данными, а обработку персональных данных можно производить только с явного согласия пользователя, сайт не может отправлять аналитику, если пользователь вообще не выразил на это согласия и не собирается это делать.

В сети размещено множество статей о том, как привести сайт в соответствие закону о персональных данных, в том числе в контексте использования «Яндекс.Метрики», но почему-то нигде не упоминается эта маленькая деталь о том, что по-умолчанию счётчик «Яндекс.Метрики» технически не связан с кнопкой получения согласия от пользователя и отправляет данные до её нажатия. Владельцы сайтов добросовестно исполняют требования закона, уведомляя пользователя о сборе персональных данных с помощью счётчика «Яндекс.Метрики» и размещая кнопку «Согласен», даже не подозревая, что внутренняя реализация сбора статистики может не соответствовать требованиям закона.

Впрочем, на данный момент я не наслышан об эпизодах привлечения к ответственности Роскомнадзором именно за неправильное использование счётчика «Яндекс.Метрики». Большинство судебных дел связаны с более существенными нарушениями, например отсутствием политики обработки персональных данных на сайте вообще.

Тем не менее ситуация может измениться, так что рекомендую проверить, как реализован счётчик «Яндекс.Метрики» на вашем сайте (ведь конкуренты не дремлют) и быть в курсе последних новостей правоприменительной практики в области обработки персональных данных.

* * *

Согласно местным поверьям здесь должно быть предложение подписаться на Телеграм-канал, но у меня его нет: мне надо работать.