Согласие на cookie и политика cookie: в чём разница

Эти понятия часто употребляют как взаимозаменяемые, но они решают разные задачи. Политика cookie — это документация. Согласие на cookie — это исполнение. Одно сообщает посетителям, что вы делаете, другое следит за тем, чтобы вы делали это только после их согласия, и сохраняет запись о том, что согласие было.

Правильно понимать это различие важно, потому что прекрасно написанная политика cookie при трекерах, срабатывающих на загрузке страницы, — это нарушение требований, и точно так же им является изящный баннер согласия, который не ведёт ни на какую политику.

Политика cookie — это статичная страница или раздел, который простым языком объясняет, какие cookie и схожие технологии устанавливает ваш сайт, кто их размещает, что они делают, сколько хранятся и как посетитель может ими управлять. Обычно она находится рядом с политикой приватности или внутри неё, и ссылки на неё стоят в подвале сайта и в самом баннере согласия.

Её задача — прозрачность. Она обеспечивает «информированную» часть информированного согласия, давая людям детали, необходимые для реального выбора. Хорошая политика cookie перечисляет cookie по категориям и называет задействованные третьи стороны, а не предлагает расплывчатый шаблонный текст.

Согласие на cookie — это интерактивная система, которая работает в браузере посетителя. Она блокирует необязательные cookie, пока посетитель не примет решение, показывает варианты выбора, применяет решение, освобождая трекеры или продолжая их блокировать, и сохраняет запись о том, что и когда было выбрано.

Если политика — это слова на странице, то согласие — это поведение в реальном времени. Именно оно на самом деле не даёт трекеру установить cookie до того, как посетитель согласится, и именно оно создаёт доказательства, которые вы предъявите регулятору.

Эти две вещи задуманы так, чтобы усиливать друг друга. Баннер согласия ведёт на политику cookie, чтобы посетители могли изучить детали до выбора. Политика описывает категории, которые баннер согласия позволяет людям переключать. Когда вы добавляете или убираете трекер, вы обновляете и то и другое: текст политики и привязку категорий в баннере.

Именно на синхронизации многие сайты и расходятся с реальностью. Трекер добавляется через маркетинговый инструмент, баннер не обновляют, чтобы его блокировать, а политика о нём вообще не упоминает. Теперь все три уровня противоречат друг другу. Сканирование, которое находит каждый cookie и питает данными и баннер, и политику, удерживает их в согласованном состоянии.

В большинстве юрисдикций — да. GDPR и правила ePrivacy предполагают информированное согласие, для которого нужно раскрытие информации из политики cookie, и предварительное согласие, для которого нужен механизм согласия. Индийский DPDPA предполагает детализированное уведомление и проверяемое согласие — снова два уровня. Даже режимы с моделью opt-out, как в Калифорнии, предполагают и понятное раскрытие информации о приватности, и работающий механизм отказа.

На практике ответ такой: политика без согласия оставляет трекеры работать незаконно, а согласие без политики оставляет посетителей неинформированными. Вам нужны и документ, и механизм, согласованные друг с другом.