Куки-файлы и грузинский закон: как берётся согласие
Работа с куки-файлами не имеет в Грузии отдельного законодательного режима: закон Грузии «О защите персональных данных» не содержит специальной статьи о куки. Это не означает нерегулируемости — сбор и использование данных через куки полностью подчиняется общему режиму согласия того же закона, применённому к идентификаторам оконечного оборудования. Ниже мы разъясняем, как закон определяет согласие, какие обязанности несёт владелец сайта при получении согласия и при его отзыве и какие штрафы установлены за нарушение этих обязанностей.
Почему куки-файл — это персональные данные
По определениям закона персональные данные — любая информация, связанная с идентифицированным или идентифицируемым физическим лицом. Лицо идентифицируемо, когда возможна его идентификация прямо или косвенно, в том числе по имени, фамилии, идентификационному номеру, данным геолокации, идентифицирующим данным электронной связи или иным характеристикам. Идентификатор куки — именно такие идентифицирующие данные: он привязывает посетителя к устройству и модели поведения. Определение обработки столь же широко: оно охватывает сбор данных, доступ к ним, организацию, хранение, использование, раскрытие путём передачи, предоставления, распространения и иное действие в отношении данных. Соответственно, запись куки, его считывание и построение профиля — это обработка, а поскольку она идёт с использованием информационных технологий, применяется полный режим закона. Автоматизированная обработка прямо определена как обработка с использованием информационных технологий, а профилирование — любая форма автоматизированной обработки, предполагающая оценку или прогнозирование характеристик, связанных с физическим лицом, — входит в ту же рамку.
Что такое согласие и когда оно основание
По закону согласие — это свободно и чётко выраженная воля субъекта данных, выраженная активным действием, письменно или устно, после получения соответствующей информации, на обработку касающихся его данных для конкретной цели. Здесь выделяются три признака. Информированность: согласие должно опираться на заранее предоставленную информацию. Активность: оно выражается действием, а не молчанием. Конкретность: оно относится к определённой цели. Обработка допустима лишь при наличии одного из установленных законом оснований, и согласие субъекта — первое среди них. Распределение ответственности однозначно: обязанность обоснования правового основания обработки возлагается на само ответственное лицо. Письменное согласие — в том числе электронное — это согласие, подписанное субъектом либо иным образом выраженное письменно применительно к конкретной цели после получения соответствующей информации; механика куки-банера должна соответствовать этой планке.