Регулирование cookie-файлов в мире

Время на прочтение: 7 мин

Файлы cookie – это небольшие фрагменты данных, которые содержат различную информацию, такую ​​как активность пользователя, пользовательские настройки сайта, данные сеанса. Они используются для сбора информации о посетителях сайта и предоставления им персонализированного опыта просмотра.

Хотя файлы cookie браузера являются полезным инструментом для обеспечения удобства и бесперебойной работы в Интернете, многие пользователи обеспокоены тем, как компании используют сторонние или отслеживающие файлы cookie для сбора и передачи данных о них.

Поскольку файлы cookie содержат большой объём информации о посетителях сайта, они могут представлять угрозу конфиденциальности пользователей. Информация в cookie может быть использована для целевого маркетинга, предоставления персонализированного контента или продана третьим лицам.

Использование cookie и сбор личной информации с их помощью в разных государствах регулируются законами о защите данных. Такие законы действуют в большинстве стран мира для обеспечения цифровой конфиденциальности граждан и направлены на защиту персональных данных посетителей веб-сайтов при их использовании в Интернете. Регулирование cookie-файлов призвано защищать конфиденциальность пользователей, обеспечивать прозрачность методов обработки данных и способствовать созданию безопасной и надежной онлайн-среды.

Полностью запретить использование cookie-файлов нельзя, поскольку они необходимы для улучшения пользовательского опыта. Поэтому важно найти баланс между конфиденциальностью пользователей и удобством использования. Регулирование их использования играет важную роль в достижении баланса, устанавливая правила для компаний по сбору, хранению и использованию данных, обеспечивая при этом конфиденциальность пользователей. Эти законы могут требовать от компаний получения явного или неявного согласия посетителей перед сбором их информации с помощью файлов cookie. Обычно это делается с помощью баннера на веб-сайте, информирующего посетителей об использовании cookie и запрашивающего их согласие.

Общий регламент Европейского союза по защите данных (General Data Protection Regulation, GDPR) – это комплексный закон о защите данных в Евросоюзе. Он вступил в силу в 2018 году и стал основной законодательной мерой для защиты конфиденциальности в цифровом мире. Регламент предоставляет физическим лицам контроль над своими персональными данными, устанавливает принципы законной обработки, требует явного согласия и предоставляет такие права, как доступ, исправление и удаление данных. Организации, обрабатывающие персональные данные резидентов ЕС, обязаны соблюдать его, независимо от своего местонахождения. За нарушения компании подвергаются значительным штрафам.

Директива об электронной конфиденциальности (ePrivacy Directive) была принята в 2002 году и изменена в 2009 году. Её наиболее заметным последствием стало распространение всплывающих окон с запросом согласия на использование cookie-файлов. Она дополняет Общий регламент Европейского союза по защите данных, затрагивает важные аспекты конфиденциальности электронных коммуникаций и отслеживания интернет-пользователей в более широком смысле.

В то время как GDPR распространяется только на обработку персональных данных, ePrivacy регулирует электронную коммуникацию, даже если она касается данных, не являющихся персональными. Директива о конфиденциальности требует получения информированного согласия пользователя перед сохранением файлов cookie на устройстве пользователя и/или их отслеживанием. Это означает, что, если сайт/приложение (или любой сторонний сервис, используемый сайтом/приложением) использует файлы cookie, необходимо показывать баннер с файлами cookie при первом посещении пользователя, реализовать политику использования файлов cookie и ждать от пользователя согласие. До получения согласия никакие файлы cookie не могут быть установлены. Требуется: документировать и хранить согласие, полученное от пользователей; предоставлять пользователям доступ к сервису, даже если они отказываются разрешить использование определенных файлов cookie; реализовать, чтобы пользователям было так же легко отозвать свое согласие, как и дать его изначально.

Закон о защите данных граждан Великобритании (The United Kingdom General Data Protection Regulation, UK-GDPR) представляет собой британскую версию Общего регламента Европейского союза по защите данных, адаптированную к условиям после Brexit. Он применяется к организациям в Великобритании и за ее пределами, обрабатывающим данные физических лиц Великобритании. В числе прочего, закон регулирует получение, хранение и использование файлов cookie пользователей из Великобритании. UK-GDPR требует получения явного согласия пользователей перед обработкой их персональных данных. Закон предоставляет физическим лицам существенные права в отношении их данных и устанавливает систему принципов законной и прозрачной обработки данных. UK-GDPR вступил в силу в 2018 году.

В Соединённых Штатах на данный момент нет федерального закона о защите данных. Однако соответствующие законы приняты во многих штатах.

Закон штата Калифорния о правах на неприкосновенность частной жизни (California Privacy Rights Act, CPRA) – дополнил и расширил предыдущий Закон штата Калифорния о защите персональных данных потребителей (California Consumer Privacy Act CCPA). Он также предоставил жителям Калифорнии более обширные права на конфиденциальность данных и установил новые обязанности для компаний. CPRA вступил в силу 1 января 2023 года. Согласно ему, компании обязаны предоставлять прозрачную информацию о данных, которые они собирают у потребителей, включая о файлах cookie.

Закон Вирджинии о защите данных потребителей (Virginia Consumer Data Protection Act, VCDPA) предоставляет жителям штата Вирджиния ряд прав, касающихся обработки их персональных данных компаниями. Он вступил в силу 1 января 2023 года. Как и CCPA, этот закон фокусируется на защите цифровых данных, а не конкретно файлов cookie. VCDPA предоставляет права на свои персональные данные, включая возможность доступа к ним, их исправления и удаления, а также возможность отказаться от их продажи или использования для целевой рекламы. Закон обязывает компании, подпадающие под действие VCDPA, предоставлять уведомления о конфиденциальности, проводить оценку защиты данных для определенных видов обработки с высоким уровнем риска и соблюдать принципы минимизации данных. С 1 января 2023 года VCDPA распространяется на компании, ориентированные на жителей Вирджинии и достигающие определенных пороговых значений выручки или обработки данных.

Закон штата Колорадо о конфиденциальности (Colorado Privacy Act, CPA) применим к любому бизнесу, который ведет деятельность в штате Колорадо, или ведет бизнес с жителями Колорадо и обрабатывает персональные данные 100 тыс. или более клиентов ежегодно, или получает финансовую выгоду от продажи персональной информации 25 тыс. потребителей. Хотя файлы cookie в нем прямо не упоминаются, он подразумевает их включение в более широкую категорию персональных данных, используемых для рекламы и профилирования потребителей. Основные положения закона включают права потребителей, обязанности аудиторов в отношении обработки данных и систему пресечения нарушений, при этом ключевую роль играет Генеральная прокуратура Колорадо. CPA вступил в силу 1 июля 2023 года.

Закон штата Юта о защите прав потребителей (The Utah Consumer Privacy Act, UCPA) предоставляет жителям штата Юта ряд прав в отношении их личной информации, передаваемой компаниям. Он не регулирует использование файлов cookie напрямую, но регламентирует использование персональных данных, собранных с их помощью, уделяя особое внимание праву потребителей отказаться от продажи своих персональных данных и их использования для целевой рекламы. Хотя UCPA не требует явного согласия взрослых на использование файлов cookie во всех случаях, он требует прямого информированного согласия на обработку данных детей и допускает обработку данных взрослых, если только потребитель не откажется от обработки. Компании должны предоставить пользователям чёткий механизм для реализации своего права отказа и управления своими предпочтениями в отношении данных. UCPA вступил в силу 31 декабря 2023 года.

Бразильский Общий закон о защите данных (Lei Geral de Proteção de Dados) защищает персональные данные граждан Бразилии, предоставляя им различные права, которые обеспечивают свободу и конфиденциальность. LGPD устанавливает принципы и правила обработки персональных данных, в том числе: утверждение правил сбора, использования и защиты персональных данных предприятиями и организациями; изменение существующих бразильских законов о конфиденциальности с целью повышения ответственности; установление штрафов для предприятий и организаций, нарушающих закон; создание Национального управления по защите данных Бразилии для дальнейшего надзора и выпуска рекомендаций и разъяснений в отношении закона LGPD; установление общих принципов передачи персональных данных, собираемых в Бразилии. Кроме того, существуют дополнительные технические, организационные и административные требования, которые аудиторы и обработчики обязаны выполнять для защиты персональных данных от несанкционированного доступа, удаления, потери, контроля, изменения или любой другой ненадлежащей или незаконной обработки. LGPD вступил в силу в сентябре 2020 года.

Канадский Закон о защите персональной информации и электронных документах (Personal Information Protection and Electronic Documents Act, PIPEDA) – это федеральный закон, который касается конфиденциальности. Он регулирует сбор, использование и раскрытие компаниями персональных данных в коммерческих целях. Закон устанавливает принципы добросовестной информационной практики, включая получение согласия на сбор и использование информации, обеспечение точности информации и защиту информации от потери или несанкционированного доступа. Закон направлен на обеспечение баланса между правом человека на неприкосновенность частной жизни и потребностями организаций и применяется на национальном уровне. В Канаде нет специального закона о cookie-файлах, однако их использование регулируется PIPEDA. В стране действую и другие законы, включая законы провинций и Закон о неприкосновенности частной жизни, который защищает персональные данные, хранящиеся на федеральном уровне, но PIPEDA является основным законом для частного сектора.

Закон Южной Кореи о защите персональной информации (South Korea’s Personal Information Protection Act, PIPA) – комплексный закон о конфиденциальности всех данных, который устанавливает строгие правила сбора, использования и обработки персональных данных государственными и частными организациями, как локальными, так и зарубежными, если они обрабатывают данные граждан Южной Кореи. PIPA налагает такие обязательства, как получение согласия пользователя, обеспечение безопасности данных и предоставление права доступа к своим данным и их удаления, а также существенные штрафы за несоблюдение. Ключевые обновления включают добавление права на переносимость данных и регулирование автоматизированного принятия решений, что отражает постоянное развитие закона в связи с появлением новых технологий. PIPA был принят в 2011 году.

Закон о защите персональных данных Китая (Personal Information Protection Law, PIPL) требует согласия на сбор персональных данных, а также предусматривает чёткие условия, при которых допускается передача персональных данных за пределы страны. Серьёзные нарушения закона могут повлечь за собой штраф в размере до 5% от годового оборота. Также могут быть наложены штрафы на отдельных руководителей или сотрудников в размере порядка 1 млн юаней¹12132294,65 рублей.

PIPL определяет персональную информацию как любую информацию, относящуюся к идентифицированным или идентифицируемым лицам, за исключением анонимизированных данных, которые являются довольно стандартными. Данные, собранные с помощью файлов cookie, считаются персональными. Это означает, что компании должны получить явное согласие пользователей, прежде чем использовать файлы cookie для сбора персональных данных. Компании должны четко разъяснить пользователям, какие данные собираются, с какой целью и как долго они будут храниться. PIPL также требует от компаний внедрения соответствующих мер безопасности для защиты персональных данных, собранных через файлы cookie, в зависимости от степени их конфиденциальности. Закон устанавливает ещё более строгие правила защиты особо конфиденциальных данных, таких как биометрические данные, финансовая информация и данные о несовершеннолетних младше 14 лет. PIPL принят в 2020 году.

Японский закон о защите персональных данных (Act on the Protection of Personal Information, APPI) редко применяется к организациям за пределами Японии. Считается, что данные, собранные с помощью файлов cookie, подпадают под определение персональной информации, данное в APPI. Следовательно, для передачи этих данных за пределы страны также требуется согласие пользователя. Акт обязывает организации получать согласие на использование данных, применять меры безопасности и сообщать об утечках данных. За соблюдением APPI следит Комиссия по защите персональных данных (PPC). Закон предоставляет физическим лицам право доступа к своим данным и их исправления, а также предусматривает серьёзные административные, гражданские и уголовные наказания за несоблюдение. APPI был принят в 2003 году.

Закон Южной Африки о защите персональной информации (The Protection of Personal Information Act is South Africa’s, POPIA) регулирует использование персональных данных граждан. В соответствии с ним, файлы cookie считаются персональными данными, поскольку они могут использоваться для идентификации пользователей в Интернете. В связи с этим веб-сайты, работающие в Южной Африке или обрабатывающие персональные данные жителей страны, обязаны соблюдать требования POPIA при использовании файлов cookie. Это означает, что веб-сайты должны получать явное согласие пользователей посредством уведомления о согласии или баннера. В уведомлении о согласии должно быть четко указано, какие данные собираются файлами cookie и для каких целей. Пользователям должна быть предоставлена ​​возможность принять или отклонить необязательные файлы cookie. Кроме того, веб-сайтам необходима комплексная политика в отношении файлов cookie, ссылка на которую находится в уведомлении о согласии, с подробным описанием типов используемых файлов cookie и их назначения.

Как отмечает Организация Объединенных Наций, в настоящее время в 137 странах действуют законы о конфиденциальности данных. Из большинства следует, что собственники сайтов должны спрашивать согласие, прежде чем собирать данные о посетителе.

• 1
  12132294,65 рублей