Как читать этот список
Пункты 1–5 — про добровольность и осознанность согласия. Пункты 6–9 — про техническую сторону: согласие должно что-то менять в работе сайта, иначе оно бессмысленно. Пункты 10–12 — про доказательства: при проверке спрашивают не «есть ли баннер», а «покажите, что согласие было получено».
Добровольность и осознанность
1. Согласие даётся действием, а не фактом посещения. Формулировка «продолжая пользоваться сайтом, вы соглашаетесь» согласием не является: человек ничего не выбирал. Нужно нажатие.
2. Отказ возможен и виден. Кнопка «Отклонить» или «Только необходимые» должна быть рядом с кнопкой принятия, а не спрятана в настройках второго уровня. Отсутствие выбора превращает согласие в формальность.
3. Отказ не слабее принятия визуально. Одинаковый размер, одинаковая читаемость. Серая надпись мелким шрифтом рядом с крупной цветной кнопкой — это тёмный паттерн, и он подрывает добровольность.
4. Категории разделены. Необходимые, аналитика, реклама. Необходимые можно не отключать — без них сайт не работает. Остальное человек выбирает.
5. Понятно, о чём речь, и есть ссылка на политику. Текст без юридического жаргона, ссылка на политику обработки персональных данных открывается и действительно ведёт на политику, а не на страницу «Условия использования».
Техническая сторона
6. Счётчики не запускаются до согласия. Главный пункт списка. Проверяется за минуту: чистое окно браузера, F12, вкладка «Сеть», обновить страницу и ничего не нажимать. Если появились обращения к аналитике и рекламе — согласие ни на что не влияет, и баннер лишь создаёт видимость соответствия.
7. Блокировка, а не «доверие галочке». Просьба к счётчику «не собирать данные» не работает: скрипт уже загружен и уже отправил запрос. Скрипт не должен загружаться, пока согласие не получено.
8. Выбор сохраняется и перечитывается. Баннер не должен появляться на каждой странице заново, а сохранённый отказ должен уважаться при следующем визите.
9. Отзыв согласия так же прост, как его дача. Требование части 2 статьи 9 152-ФЗ. Нужна постоянно доступная точка входа — ссылка «Настройки cookie» в подвале или плавающая кнопка, — и по отзыву аналитические cookie должны быть удалены, а счётчики остановлены.
Доказательства
10. Журнал согласий ведётся. Дата и время, действие (принял, отклонил, выбрал частично, отозвал), адрес страницы, обезличенный признак посетителя. Без журнала утверждение «мы получали согласия» ничем не подтверждается.
11. Записана версия баннера. Согласие дано на конкретный текст и конкретный набор категорий. Если через год текст изменился, нужно понимать, на что именно соглашался человек в прошлом марте. Поэтому в журнале хранят версию баннера, а сам снимок версии — рядом.
12. Журнал нельзя составить задним числом. Это следствие, а не пункт настройки: доказательство существует только если сбор начался раньше проверки. Полезная привычка — начинать вести журнал в тот же день, когда ставится баннер, даже если сайт небольшой.
Что проверяют в первую очередь
По практике первым смотрят пункт 6: запускаются ли счётчики до согласия. Он объективен, проверяется без пояснений владельца и не зависит от толкований. Вторым — наличие опубликованной политики и упоминания cookie в ней. Третьим — возможность отказаться и отозвать согласие.
Оговорка
Чек-лист собран по требованиям закона и практике их применения, но не является юридической консультацией и не заменяет оценку конкретного сайта. Спорные случаи стоит обсуждать с юристом.