Должен ли сайт использовать куки если пользователь не нажал на кнопку принимаю в баннере с предупреждением о персональных данных?

Question

[Khalit]

Я делаю баннер для сайта с предупреждением об использовании персональных данных с кнопкой принять может ли мой сайт обрабатывать куки до нажатия этой кнопки.

Answer 1

[Михаил Р.]

Я делаю баннер для сайта с предупреждением об использовании персональных данных с кнопкой принять может ли мой сайт обрабатывать куки до нажатия этой кнопки.

Не может, ибо пользователь должен выразить явное согласие на обработку его ПД.

1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным.

Я видел несколько судебных дел, где куки признаются ПД, лень искать, но вот имеется статейка Что нужно знать о cookies-файлах, чтобы не нарушит...:

Согласно ФЗ «О персональных данных» и GDPR куки-файлы и иные идентификаторы пользователя относятся к персональным данным, поскольку позволяют теоретически определить конкретного субъекта или выделить его среди других лиц.

Comments

[dim5x]

Справедливости ради, 152 ФЗ не содержит никаких упоминаний о куки. Как и не имеет общего исчерпывающего списка того, что является ПД.

"персональные данные" (ПД) — это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)

Очень рамочное, широкое определение, под которое можно, при желании, затянуть всё что угодно.
Соответственно, куки как могут содержать то, что будет трактоваться как ПД, так могут и не содержать.
А, если не содержат, то и обрабатываться могут.

Данные в файлах cookie могут быть признаны персональными данными

КонсультантПлюс
Могут, но не являются ими по умолчанию.

[Михаил Р.]

dim5x,

Справедливости ради, 152 ФЗ не содержит никаких упоминаний о куки. Как и не имеет общего исчерпывающего списка того, что является ПД.

Это правда, но закон пишется с широким вариантом толкования для других целей.

Соответственно, куки как могут содержать то, что будет трактоваться как ПД, так могут и не содержать.
А, если не содержат, то и обрабатываться могут.

Содержат или не содержат - определяется динамически, на месте в ркн или затем в суде.

[Khalit]

Если куки используется Яндекс Метрикой?

[Михаил Р.]

Khalit, метрика была размещена вами на сайте добровольно? Метрика собирает куки? Значит необходимо вначале получить разрешение от пользователя (втч. на передачу ПД третьим лицам), а затем подключать ПО, которое может собирать ПД.