Cookie-баннер и защита данных на сайте канцелярии: что нужно и как этого избежать

Два свода правил: доступ к устройству и GDPR

В вопросе cookie-баннера действуют два свода правил. Первый защищает устройство: кто сохраняет информацию на компьютере или смартфоне посетителя или считывает её оттуда, например устанавливает cookie, в принципе нуждается в согласии. В Германии это закреплено в § 25 TDDDG, Законе о защите данных в телекоммуникациях и цифровых услугах, который до мая 2024 года назывался TTDSG. В Австрии это регулирует § 165 абз. 3 TKG 2021. Оба закона реализуют одну и ту же директиву ЕС и знают одно и то же исключение: то, что строго необходимо для работы явно запрошенной услуги, согласия не требует.

Второй свод правил – GDPR. Он применяется, как только обрабатываются персональные данные, а к ним относится уже IP-адрес. Кто загружает шрифт, видео или карту с чужого сервера, передаёт IP-адрес этому поставщику, даже без всяких cookies. Для этого нужно правовое основание, и для услуг, без которых сайт может обойтись, на практике это часто только согласие.

• Добровольно и активно: согласие предполагает осознанное действие. Суд ЕС в 2019 году по делу Planet49 решил, что заранее отмеченная галочка не является действительным согласием.
• Информированно и конкретно: посетители должны знать, на что соглашаются, какие поставщики участвуют и как долго хранятся данные.
• С возможностью отзыва: отозвать согласие должно быть так же просто, как дать его (ст. 7 п. 3 GDPR), например через постоянную ссылку «Настройки cookies» в подвале сайта.
• Заранее: услуги, требующие согласия, могут загружаться только после него, а не сразу при открытии страницы.

Что требует согласия, а что нет

Решает не слово «cookie», а то, что происходит технически и нужно ли это сайту. В обзоре ниже типичные элементы сайтов канцелярий. В конкретном случае всё зависит от настройки.

Если баннер нужен: как он должен выглядеть

Кто использует сервисы, требующие согласия, нуждается в баннере, который оставляет настоящий выбор. Немецкие надзорные органы описали свои ожидания в ориентирах для поставщиков цифровых услуг, а Европейский совет по защите данных в 2023 году опубликовал итоги работы своей рабочей группы по cookie-баннерам. Суть: отказаться должно быть можно на том же уровне и так же просто, как согласиться.

Сторонний инструмент управления согласием сам нередко загружает данные с чужих серверов. Проверьте, где он размещён, есть ли договор об обработке данных и действительно ли он технически исполняет выбор. Баннер, который лишь красиво выглядит, пока на заднем плане всё загружается, хуже, чем отсутствие баннера.

Лучше всего: без баннера

Самое элегантное решение – сайт, который не загружает ничего, о чём пришлось бы спрашивать. Для канцелярий это почти всегда возможно: типичные причины для баннера – рекламное отслеживание и встроенный чужой контент, а сайту канцелярии редко нужно и то и другое. Выигрыш: никакого баннера перед первым впечатлением, полная статистика и ясный сигнал, что вы бережно обращаетесь с данными. Для фирм, которые сами консультируют по защите данных, это даже доказательство компетентности; подробнее в статье о сайте юридической фирмы по IT-праву и защите данных.

Особенность канцелярий: конфиденциальность ещё до первого контакта

У канцелярий о многом говорит уже посещение страницы. Кто ночью читает страницу «уголовная защита», «развод» или «банкротство», многое сообщает о себе. Рекламный пиксель на этих страницах передаёт это рекламной платформе. Юридически с согласием это допустимо, но плохо сочетается с профессией, суть которой – тайна. То же касается контактных форм: обращения должны приходить напрямую к вам, передаваться в зашифрованном виде и не проходить через сервис форм за пределами ЕС.

Это в той же мере относится к нотариусам и аудиторам, которые особенно внимательны к независимости и нейтральности. Лёгкий сайт без отслеживания здесь не только юридически надёжнее, но и создаёт более цельное впечатление.

Политика конфиденциальности: что в неё входит

Даже без баннера вам нужна политика конфиденциальности, ведь каждый сайт обрабатывает персональные данные, как минимум у хостера и в контактной форме. Обязанности по информированию вытекают из ст. 13 GDPR. Как и выходные данные (Impressum), политика конфиденциальности должна быть доступна в один клик с каждой страницы. Что входит в Impressum, объясняют руководства по обязательным сведениям, например для адвокатов в Германии или налоговых консультантов в Австрии.

Два практических замечания. Во-первых, политика конфиденциальности сайта – это не то же самое, что информация о защите данных для клиентов, которую вы передаёте в начале поручения. Во-вторых, по § 38 BDSG канцелярии в Германии, как правило, обязаны назначить уполномоченного по защите данных, если не менее 20 человек постоянно заняты автоматизированной обработкой персональных данных. Шаблон из интернета редко подходит точно; поручите адаптировать политику под реально используемые сервисы.

Как проверить сайт самостоятельно

Передаёт ли ваш сайт данные третьим лицам без спроса, можно проверить самим за несколько минут, без специальных знаний. Нужен только браузер.

Если вы обнаружили обращения к чужим серверам до того, как дали согласие, поговорите с агентством. Обычно это исправляется несколькими изменениями, и нередко после этого баннер исчезает совсем.