GDPR для собственного сайта: согласие на cookie, права субъектов данных, DPA и политика конфиденциальности
1. Шкала штрафов GDPR: почему одной политики конфиденциальности недостаточно
GDPR (Общий регламент по защите данных) применяется ко всем сайтам, ориентированным на пользователей из ЕС, независимо от того, где зарегистрирована компания. Штрафы делятся на две категории: за обычные нарушения — до 10 млн евро или 2% глобального годового оборота, за серьёзные — до 20 млн евро или 4% глобального годового оборота, что больше. Google был оштрафован ирландским DPC на 50 млн евро за нарушения в рекламных технологиях, а Amazon — на 746 млн евро за непрозрачность обработки данных.
Контринтуитивный вывод: чаще всего штрафы вызывают не плохо написанные политики конфиденциальности, а несоответствующие баннеры cookie. Многие сайты делают так: как только пользователь заходит на сайт, скрипты Google Analytics и Facebook Pixel уже загружаются в фоне, а затем появляется окно «Принять cookie». По GDPR это нарушение, потому что аналитические скрипты относятся к необязательным cookie и должны загружаться только после явного согласия пользователя. Полный разбор основ соответствия — в статье Основы соответствия для зарубежных сайтов: как внедрить GDPR, cookie и трансграничную передачу данных.
| Тип нарушения | Категория штрафа | Типичный триггер |
|---|---|---|
| Загрузка cookie без согласия | Серьёзное нарушение, до 20 млн евро или 4% | GA/Pixel загружены до появления баннера |
| Нет кнопки «Отклонить» | Серьёзное нарушение | Только «Принять» и «Продолжить просмотр» |
| Непрозрачная политика конфиденциальности | Обычное нарушение, до 10 млн евро или 2% | Не указаны цели обработки и получатели данных |
| Нет ответа на запросы субъектов данных | Серьёзное нарушение | Нет ответа на запрос доступа/удаления в течение 30 дней |
| Не подписано DPA | Обычное нарушение | Нет DPA с поставщиками аналитики/email/CRM |
2. Как подключить управление согласием на cookie (CMP)
Платформа управления согласием на cookie (CMP) — ключевой компонент соответствия. Она делает три вещи: во-первых, показывает баннер cookie при входе пользователя на сайт и делит cookie на три категории — необходимые, аналитические и маркетинговые, — чтобы пользователь отметил их по отдельности. Во-вторых, пока пользователь не согласился на аналитические cookie, не загружает необязательные скрипты вроде GA, Facebook Pixel и LinkedIn Insight Tag. В-третьих, фиксирует выбор пользователя и временную метку как доказательство.
Три жёстких требования. Первое: кнопка «Отклонить» должна быть такой же заметной, как «Принять», нельзя прятать отказ в подменю. Второе: нельзя ставить галочки по умолчанию — пользователь должен выбрать сам. Третье: «Продолжить просмотр» не равно согласию, нельзя считать согласием простое прокручивание страницы. Рекомендуемые CMP-инструменты: Cookiebot (бесплатной версии хватит небольшому сайту), OneTrust (для крупных компаний), CookieYes (плагин для WordPress). О мониторинге сайта см.Мониторинг сайта и оповещения.
| Тип cookie | Нужно ли согласие | Пример | Что делать |
|---|---|---|---|
| Необходимые cookie | Не нужно | Сессия, корзина, CSRF | Загружаются сразу, без баннера |
| Аналитические cookie | Нужно | Google Analytics | Загружаются после согласия |
| Маркетинговые cookie | Нужно | Facebook Pixel、LinkedIn Tag | Загружаются после согласия |
| Функциональные cookie | Нужно | Языковые настройки, выбор региона | Загружаются после согласия |
III. Права субъектов данных: регламент ответа за 30 дней
GDPR даёт пользователям из ЕС семь прав: право на доступ, на исправление, на удаление, на ограничение обработки, на переносимость данных, на возражение и право не подчиняться автоматизированным решениям. В интернет-магазинах чаще всего запрашивают доступ («покажите, какие мои данные вы храните») и удаление («удалите все мои данные»). На оба запроса нужно ответить в течение 30 дней; для сложных случаев срок можно продлить ещё на 2 месяца, но об этом нужно заранее уведомить пользователя.
Пример: немецкий пользователь пишет вам на почту и просит удалить все его данные. Нужно сделать три вещи. Первое: убедиться, что это действительно он (запросить email регистрации и номер заказа). Второе: удалить или обезличить его данные в админке сайта, CRM, сервисе email-рассылок и логах CDN. Третье: письменно подтвердить удаление и перечислить, из каких систем данные удалены. Для всего процесса нужен стандартный регламент, а не поиск данных в спешке. О надёжности форм заявок см.Надёжность формы запроса статью о работе с данными на сайте.
| Тип права | Что просит пользователь | Сроки ответа | Действие |
|---|---|---|---|
| Право на доступ | Покажите, какие мои данные вы храните | 30 дней | Выгрузить данные пользователя из всех систем |
| Право на удаление | Удалите все мои данные | 30 дней | Удалить или обезличить во всех системах |
| Право на исправление | У меня неверные данные, исправьте | 30 дней | Обновить CRM и систему заказов |
| Право на возражение | Не присылайте мне маркетинговые письма | Немедленно | Отписать от рассылки, поставить отметку о возражении |
| Право на переносимость данных | Выгрузите мои данные для меня | 30 дней | Экспорт в машиночитаемом формате |
IV. DPA и политика конфиденциальности: два документа, которые нельзя пропустить
DPA (соглашение об обработке данных) — это договор, который вы заключаете со всеми третьими сторонами, обрабатывающими данные пользователей из ЕС. Типичные обработчики для интернет-магазина: Google Analytics, Google Tag Manager, сервисы рассылок Mailchimp/SendGrid, платёжные системы Stripe/PayPal, CRM HubSpot/Salesforce, поставщики CDN. С каждым нужно подписать DPA, убедиться, что они обрабатывают данные по стандартам GDPR, и получить список их субобработчиков.
Политику конфиденциальности нельзя просто скопировать с сайта-шаблона. В ней обязательно должно быть указано: кто является контролёром данных, какие данные обрабатываются, с какой целью, кому они передаются (с конкретными названиями — Google, Stripe), как долго хранятся, какие права есть у пользователя, как их реализовать, а также контакты DPO или иного ответственного лица. Язык должен быть простым, без страницы юридических терминов. Пишите послойно: на главной — краткое резюме, подробности — на отдельной странице. О доступности сайта см.Доступность сайта (WCAG).
| Третьи стороны | Тип данных | Есть ли DPA | Примечание |
|---|---|---|---|
| Google Analytics | Данные о поведении | Можно подписать в панели Google | Нужна анонимизация IP |
| Stripe/PayPal | Платёжные данные | Стандартный DPA платёжного провайдера | Отдельно обсуждать не нужно |
| Сервисы email-маркетинга | Email и данные подписки | Можно подписать в панели сервиса | Нужно перечислить субпроцессоров |
| CRM (HubSpot и др.) | Данные клиентов и заявок | Можно подписать в корпоративной версии | В бесплатной версии DPA неполный |
| CDN (Cloudflare и др.) | Данные логов | Стандартный DPA | Нужно уточнить срок хранения логов |
5. Как внедрить в небольшой команде: четыре шага
Небольшой команде не стоит пытаться сделать всю работу по GDPR за один раз. Идите в четыре шага. Первый: подключите CMP, настройте категории Cookie и отложенную загрузку скриптов. Второй: подпишите DPA со всеми третьими сторонами и составьте список обработчиков данных. Третий: напишите простую политику конфиденциальности со всеми обязательными раскрытиями. Четвёртый: создайте регламент обработки запросов субъектов данных — с проверкой личности, удалением из нескольких систем и письменным ответом.
Типичные ошибки. Первая: использовать «продолжая просмотр» как согласие — это нарушение. Вторая: аналитические скрипты загружаются до появления баннера — это самая частая причина штрафов. Третья: политика конфиденциальности скопирована с сайта-шаблона, без конкретных целей обработки и получателей. Четвёртая: приходит запрос на удаление, а вы не знаете, где хранятся данные, потому что нет реестра данных. Пятая: данные из ЕС передаются на серверы в Китае без стандартных договорных условий (SCC) — трансграничная передача данных требует законного механизма. О резервном копировании и восстановлении см.Бэкап и восстановление сайта.
| Этап | Действие | Результат | Рекомендуемый срок |
|---|---|---|---|
| Первый шаг | Подключить CMP, настроить категории Cookie | Баннер Cookie, соответствующий требованиям | 1 неделя |
| Второй шаг | Подписать DPA со всеми третьими сторонами | Список обработчиков данных | 2 недели |
| Третий шаг | Написать политику конфиденциальности | Страница политики конфиденциальности с послойной структурой | 1 неделя |
| Шаг четвёртый | Создать регламент обработки запросов | Документ с процессом ответа за 30 дней | 1 неделя |
FAQ: частые вопросы
Какой максимальный штраф по GDPR и за что его выписывают?
Обязательна ли кнопка отказа в баннере Cookie и можно ли спрятать её в подменю?
Когда загружается скрипт Google Analytics?
За сколько я должен ответить, если пользователь требует удалить данные?
Что такое DPA и с кем его заключать?
С чего начать GDPR-комплаенс небольшой команде?
В заключение
Суть GDPR-комплаенса не в красиво написанных юридических документах, а в технической стороне: cookie не загружаются заранее, согласия фиксируются, с третьими сторонами подписаны DPA, на запросы пользователей есть регламент. Проблема многих сайтов в том, что политика конфиденциальности написана на десятки страниц, а скрипт GA срабатывает до показа баннера — именно отсюда и приходят штрафы.
Четыре шага на практике: подключить CMP и настроить категории cookie, подписать DPA со всеми третьими сторонами, написать понятную политику конфиденциальности, создать регламент ответа на запросы данных в течение 30 дней. Небольшой команде не стоит пытаться сделать всё сразу — сначала закройте согласие на cookie, самый частый источник штрафов.
Фраза, которую стоит запомнить: GDPR-комплаенс — это не написать политику конфиденциальности, а сделать так, чтобы ваш сайт до того, как пользователь скажет «нет», не смел тайком загрузить ни одного необязательного cookie.