Cookie-баннеры: что на самом деле требует австрийское право

Всё на вашем сайте, что не является строго необходимым, можно сохранять или считывать на устройстве посетителя только после согласия. Отказаться должно быть так же просто, как согласиться, и до решения посетителя ничего не должно загружаться.

Почти у каждого сайта компании есть cookie-баннер, и многие из них не соответствуют правилам. Не из злого умысла, а потому что конструкторы сайтов и плагины загружают больше, чем знают владельцы. В этой статье — что действует в Австрии и как проверить собственный сайт.

Два набора правил

В Австрии § 165 абз. 3 Закона о телекоммуникациях 2021 года (TKG 2021) определяет, можно ли вообще сохранять информацию на устройстве или считывать её оттуда. Это касается cookies, а также local storage и похожих технологий. Без согласия это допустимо только тогда, когда строго необходимо для услуги, которую посетитель явно запросил, или для передачи сообщения.

Каким должно быть согласие, определяет GDPR: добровольным, конкретным, информированным и однозначным, а отозвать его должно быть так же просто, как дать (ст. 4(11) и ст. 7 GDPR). Как только обрабатываются персональные данные, например IP-адреса, передаваемые третьим лицам, дополнительно действует GDPR.

Для чего нужно согласие

• инструменты аналитики и статистики, как правило
• рекламные и ретаргетинговые пиксели, плагины соцсетей
• встроенные видео и карты сторонних сервисов, например YouTube или Google Maps
• виджеты чатов и похожие инструменты, загружаемые с внешних серверов

Согласие не нужно для того, без чего сайт не работает: сессионный cookie для корзины или входа, cookie, который хранит само решение о согласии, или балансировка нагрузки.

Как выглядит правильный баннер

Европейские надзорные органы по защите данных в 2023 году согласовали общие позиции в рабочей группе по cookie-баннерам. Главное:

• кнопка «Отклонить» на первом уровне, такая же заметная, как «Принять»
• никаких заранее отмеченных галочек
• никаких дизайнерских уловок вроде бледной ссылки «отклонить» рядом с яркой кнопкой «принять»
• «законный интерес» здесь не заменяет согласия
• возможность позже изменить или отозвать решение, например ссылка в подвале сайта

Проверьте свой сайт

1. Откройте свой сайт в приватном окне браузера и не нажимайте на баннер.
2. Откройте инструменты разработчика (F12), вкладку «Сеть», и перезагрузите страницу. Каждый запрос к чужому домену до вашего решения — потенциальная проблема.
3. В разделе «Приложение» → «Файлы cookie» видно, что уже сохранено.
4. Нажмите «Отклонить» и повторите: после отказа должны остаться только необходимые запросы.
5. Сравните результат с политикой конфиденциальности: всё, что загружается, должно быть там описано.

Частые ошибки

• Шрифты, загружаемые с серверов Google, передают IP-адрес посетителя. Размещайте их на собственном сервере.
• Видео и карты загружаются сразу при открытии страницы. Решение — заглушка, которая загружает содержимое только после клика.
• Баннер говорит «только необходимые», но скрипт статистики всё равно запускается.

Нужен взгляд со стороны? Наша быстрая проверка GDPR охватывает сайт, формы и cookies. Посмотреть наши услуги.