Cookie и согласие по Закону 195/2024: практическое руководство для сайтов в Молдове

Почему cookie проверяют в первую очередь

Когда человек заходит на сайт, баннер cookie часто оказывается первым видимым контактом с правилами защиты данных. Некоторые технологии аналитики, маркетинга и ремаркетинга успевают передать идентификаторы или другие данные ещё до того, как посетитель что-то выбрал. Это важный технический сигнал, и, в отличие почти от всех остальных обязанностей закона, его видно снаружи — за тридцать секунд, инструментами обычного браузера.

Одно уточнение с самого начала, потому что оно меняет всю логику рассуждения: в Законе 195/2024 нет отдельной главы про cookie. В Республике Молдова не существует «закона о куки», который работал бы как европейская директива ePrivacy. Анализ идёт обычным путём: cookie хранит идентификатор или позволяет узнать человека, значит это обработка персональных данных, значит ей нужно правовое основание из ст. 6, информирование по ст. 12–14 и соблюдение принципов из ст. 5.

Практическое следствие: правильный вопрос звучит не «нужен ли мне баннер?», а «какое у меня основание для каждой категории технологий, которые я загружаю, и откуда посетитель о них узнаёт?».

Что такое действительное согласие

Ст. 6 перечисляет правовые основания обработки, а условия согласия рассматриваются отдельно. Официальное руководство CNPDCP даёт несколько однозначных ориентиров.

Первый: шесть оснований «находятся в равном положении», и «если есть законная обязанность или договор с человеком, согласие не требуется». Согласие — не основание по умолчанию. Это подходящее основание там, где у человека действительно есть настоящий выбор, что хорошо описывает маркетинг и аналитику и плохо описывает доставку заказа.

Второй, сформулированный в руководстве прямо: «Предварительно отмеченные галочки, молчание или бездействие не приравниваются» к согласию. Это не вопрос толкования.

Третий: отзыв согласия должен быть «так же прост, как его предоставление, но не обязательно тем же действием». То есть отзывать разрешено иначе, чем давать, — например, через ссылку в подвале сайта, — при условии, что это не сложнее.

Четвёртый: для специальных категорий данных и для международной передачи требуется явно выраженное согласие, полученное через проверяемый механизм. Руководство приводит примеры: «двухфакторная проверка, письменная подпись, электронная подпись». Клик по кнопке в баннере до этого уровня не дотягивает.

Коротко: действительное согласие должно быть свободным (посетитель может отказаться, не теряя доступа к тому, зачем пришёл), конкретным (одна категория — один выбор), информированным (он знает, кто вы, что вы собираете и зачем, ещё до нажатия) и недвусмысленным (чёткое действие, а не молчание, прокрутка или переход по сайту, истолкованный как согласие).

Каким cookie нужно согласие

Разделяет категории не технология, а цель. Если инструмент обслуживает исключительно функцию, которую пользователь запросил сам, основанием может быть не согласие. Если он обслуживает измерение, профилирование или рекламу, реалистичным основанием остаётся согласие — и получить его нужно до, а не после.

Баннер: что соответствует требованиям, а что нет

Два уточнения о точности, потому что эти пункты часто цитируют неверно. Визуальное равенство кнопок «Принять» и «Отказаться» не сформулировано в руководстве CNPDCP как отдельное правило: оно вытекает из требования, чтобы выбор был свободным и недвусмысленным — отказ, который посетитель не может найти, настоящим выбором не является. Точно так же «cookie wall» — термин европейской практики, а не молдавского закона; проблема, которую он описывает, это опять же условие свободного согласия. Мы относим оба пункта к добрым практикам с опорой на принципы, а не к статьям закона, на которые можно сослаться по номеру.

Несовершеннолетние

Здесь официальное руководство конкретно. Для услуг информационного общества — категории, в которую попадают сайты и приложения, — согласие может быть дано законно начиная с 14 лет. До 14 лет согласие даёт законный представитель. Для других видов обработки руководство указывает порог в 16 лет, ниже которого нужно согласие родителя.

Если ваш сайт обращается, пусть даже частично, к аудитории младше 18 лет — магазины игр, образовательные платформы, спортивные клубы, — это различие должно быть отражено и в баннере, и в информационном уведомлении.

Как проверить свой сайт самому за пять минут

Для базовой проверки не нужен ни один платный инструмент.

1. Откройте сайт в приватном окне, чтобы не сработал выбор, сохранённый ранее.
2. Не трогая баннер, откройте инструменты разработчика (F12), вкладку Network, и перезагрузите страницу.
3. Отфильтруйте по именам поставщиков, которых вы используете: google-analytics, googletagmanager, facebook, hotjar, clarity, tiktok. Любой успешный запрос до вашего выбора — это проблема.
4. Перейдите на вкладку Application, разделы Cookies и Local Storage. Запишите, что там уже есть, — снова до всякого выбора.
5. Нажмите Отказаться. Перезагрузите. Повторите шаги 3 и 4. Если те же запросы появляются снова, отказ декоративный.
6. Найдите в подвале ссылку на изменение выбора. Если её нет, отзыв согласия на практике невозможен.

Ровно эту процедуру автоматизирует наше публичное сканирование; полная методика описана в разделе как работает сканирование.

Спецификация баннера и журнал согласий

У этой статьи два практических артефакта: спецификация, которую можно отдать разработчику как есть, и таблица того, что должно оставаться в записях как доказательство.

Спецификация баннера, восемь пунктов

1. Ни один скрипт из необязательных категорий не загружается до явного выбора.
2. Баннер появляется при первом визите и не блокирует доступ к контенту.
3. Кнопки «Принять все» и «Отклонить все» имеют одинаковый размер, одинаковый контраст и одинаковый иерархический вес.
4. Третья кнопка, «Настройки», открывает отдельные категории — все не отмечены по умолчанию, кроме строго технических.
5. Текст в двух предложениях объясняет, кто оператор, какие категории используются и с какой целью, со ссылкой на информационное уведомление.
6. Выбор запоминается и соблюдается при перезагрузке и на всех страницах.
7. Постоянная ссылка в подвале открывает панель выбора заново.
8. При отзыве скрипты останавливаются, а уже установленные cookie отклонённых категорий удаляются.

Журнал согласий: что записывать по каждому выбору

Журнал согласий — не отдельное требование, сформулированное в руководстве CNPDCP. Но это самый простой способ выполнить принцип подотчётности из ст. 5: доказать, что согласие было, когда, на что и что отзыв был возможен. Без журнала ваша позиция при проверке сводится к словам.

Частые ошибки

• Скрипты, которые стартуют в любом случае — аналитические cookie загружаются до любого взаимодействия с баннером, что бы посетитель ни выбрал. Это самая частая и самая заметная проблема.
• Декоративный отказ — баннер исчезает, а сетевые запросы продолжаются.
• Предварительно отмеченные галочки — прямо исключены официальным руководством.
• Тёмные паттерны — кнопка отказа с намеренно пониженным контрастом или тексты, намекающие, что отказ «сломает» сайт.
• Нет возможности передумать — приняв один раз, посетитель больше не может изменить выбор.
• Баннер, цитирующий законодательство другой страны — текст, взятый из европейского или иного шаблона, который называет другой закон и другой орган вместо CNPDCP. Русскоязычные шаблоны, которые легко находятся в сети, почти всегда написаны под чужую юрисдикцию: их нужно переписывать, а не переводить.
• Политика cookie, не совпадающая с реальностью — перечисляет три инструмента, а страница загружает семь.

Источники

• CNPDCP — datepersonale.md, надзорный орган Республики Молдова.
• Официальное руководство CNPDCP по Закону 195/2024, PDF — источник по условиям согласия, возрастным порогам и явно выраженному согласию.
• Полный текст Закона 195/2024 на legis.md.
• Информирование субъекта данных — раздел CNPDCP для операторов.
• CNIL — cookies et autres traceurs, европейский ориентир доброй практики, без обязательной силы в Республике Молдова.

Часто задаваемые вопросы

Есть ли в Законе 195/2024 отдельная глава про cookie? Нет. Отдельного режима для cookie, аналогичного европейской директиве ePrivacy, не существует. Cookie, позволяющие узнать человека, рассматриваются как любая другая обработка: правовое основание из ст. 6, информирование по ст. 12–14, соблюдение принципов из ст. 5.

Нужно ли согласие на сессионный cookie корзины покупок? Как правило нет. Для cookie, строго необходимого для функции, которую запросил сам пользователь, основанием может быть исполнение договора, а не согласие. А вот cookie измерения или рекламы остаются в зоне согласия.

Можно ли оставить только кнопку «Принять», без кнопки «Отказаться»? Такая конфигурация не защитима. Согласие должно быть свободным, а интерфейс, в котором отказ недоступен или его невозможно найти, настоящего выбора не даёт. Руководство CNPDCP не формулирует отдельного правила о равенстве кнопок, но требование свободного согласия приводит к тому же практическому результату.

Что происходит, если посетитель вообще ничего не выбрал? Ничего и не происходит: необязательные скрипты остаются выключенными. Официальное руководство прямо говорит, что молчание или бездействие не приравниваются к согласию.

Разрешены ли предварительно отмеченные галочки? Нет. Руководство CNPDCP исключает их прямо, вместе с молчанием и бездействием.

Как должен работать отзыв согласия? Он должен быть так же прост, как предоставление, но руководство уточняет: не обязательно тем же действием. Постоянная ссылка в подвале, открывающая панель выбора, требование выполняет — если отзыв действительно останавливает скрипты.

С какого возраста несовершеннолетний может дать согласие сам? Для услуг информационного общества, куда входят сайты и приложения, руководство указывает возраст 14 лет. До 14 лет согласие даёт законный представитель, а для других видов обработки указанный порог — 16 лет.

Нужно ли периодически запрашивать согласие заново? Закон не устанавливает фиксированного срока. На практике повторный запрос становится нужен, когда существенно меняются категории используемых технологий или их цель: старое согласие перестаёт быть и конкретным, и информированным для новой ситуации.

Что такое «явно выраженное согласие» и когда оно мне нужно? Это более высокий стандарт, требуемый для специальных категорий данных и для международной передачи. Руководство приводит в пример двухфакторную проверку, письменную подпись и электронную подпись — а не простой клик по баннеру.

Нужно ли хранить доказательство согласия? Отдельного требования в руководстве нет, но принцип подотчётности из ст. 5 означает, что вы должны уметь доказать соответствие. Журнал с моментом, категориями и версией показанного текста — самый простой способ это сделать.

Можно ли использовать европейскую платформу управления согласием? Да, если поменять в ней тексты. Большинство таких платформ по умолчанию ссылается на законодательство и органы ЕС; на сайте из Молдовы ориентиром должен быть Закон 195/2024, а упомянутым органом — CNPDCP.

Проверьте свой баннер cookie сейчас

Автоматическое сканирование наблюдает исходную публичную страницу, составляет опись cookie и запросов и, когда механизм управления определён уверенно, пробует сценарий отказа. Отчёт отделяет технические доказательства от элементов, требующих контекста или проверки человеком. Полный правовой контекст — в руководстве по Закону 195/2024, а возможные последствия — в статье о санкциях.

Проверить сайт бесплатно →