Куки-файлы и грузинский закон: как берётся согласие
Работа с куки-файлами не имеет в Грузии отдельного законодательного режима: закон Грузии «О защите персональных данных» не содержит специальной статьи о куки. Это не означает нерегулируемости — сбор и использование данных через куки полностью подчиняется общему режиму согласия того же закона, применённому к идентификаторам оконечного оборудования. Ниже мы разъясняем, как закон определяет согласие, какие обязанности несёт владелец сайта при получении согласия и при его отзыве и какие штрафы установлены за нарушение этих обязанностей.
Почему куки-файл — это персональные данные
По определениям закона персональные данные — любая информация, связанная с идентифицированным или идентифицируемым физическим лицом. Лицо идентифицируемо, когда возможна его идентификация прямо или косвенно, в том числе по имени, фамилии, идентификационному номеру, данным геолокации, идентифицирующим данным электронной связи или иным характеристикам. Идентификатор куки — именно такие идентифицирующие данные: он привязывает посетителя к устройству и модели поведения. Определение обработки столь же широко: оно охватывает сбор данных, доступ к ним, организацию, хранение, использование, раскрытие путём передачи, предоставления, распространения и иное действие в отношении данных. Соответственно, запись куки, его считывание и построение профиля — это обработка, а поскольку она идёт с использованием информационных технологий, применяется полный режим закона. Автоматизированная обработка прямо определена как обработка с использованием информационных технологий, а профилирование — любая форма автоматизированной обработки, предполагающая оценку или прогнозирование характеристик, связанных с физическим лицом, — входит в ту же рамку.
Что такое согласие и когда оно основание
По закону согласие — это свободно и чётко выраженная воля субъекта данных, выраженная активным действием, письменно или устно, после получения соответствующей информации, на обработку касающихся его данных для конкретной цели. Здесь выделяются три признака. Информированность: согласие должно опираться на заранее предоставленную информацию. Активность: оно выражается действием, а не молчанием. Конкретность: оно относится к определённой цели. Обработка допустима лишь при наличии одного из установленных законом оснований, и согласие субъекта — первое среди них. Распределение ответственности однозначно: обязанность обоснования правового основания обработки возлагается на само ответственное лицо. Письменное согласие — в том числе электронное — это согласие, подписанное субъектом либо иным образом выраженное письменно применительно к конкретной цели после получения соответствующей информации; механика куки-банера должна соответствовать этой планке.
Существенные требования при получении и отзыве согласия
Закон устанавливает конкретные требования, с которыми сталкивается и дизайн куки-банера. Первое — выделение: если письменное согласие планируется в документе, касающемся и других вопросов, текст согласия должен быть изложен ясным, простым и понятным языком и отделён от остальных частей документа. Второе — добровольность: при даче согласия в рамках договора или услуги оценивается, в том числе, является ли согласие необходимым условием этой услуги и возможно ли получение услуги без него. Третье — информирование: до получения согласия субъект должен быть информирован о праве его отозвать. Четвёртое — последствие: при отзыве обработка немедленно прекращается, а обработанные данные удаляются или уничтожаются, если законом не установлено иное; отзыв не отменяет правовых последствий, возникших до отзыва и в его пределах.
Механизм отзыва урегулирован отдельно: ответственное лицо обязано обеспечить бесплатный, простой и доступный механизм отзыва, включая возможность отозвать согласие в той же форме, в которой оно было дано. До отзыва субъект вправе получить информацию о возможных последствиях — в том числе если отзыв порождает для него правовые, финансовые или иные существенно значимые последствия. Согласие может быть отозвано в любое время без каких-либо объяснений и обоснований, после чего обработка прекращается либо данные удаляются не позднее 10 рабочих дней с момента требования, если иного основания обработки не существует. К этому добавляется бремя доказывания: при возникновении спора о наличии согласия ответственное лицо обязано доказать факт его существования.
Штрафы за нарушение режима согласия
Закон устанавливает административную ответственность за неисполнение обязанностей при получении согласия и его отзыве. Для физического лица, публичного учреждения, некоммерческого юридического лица, а также юридического лица, филиала иностранного предприятия и индивидуального предпринимателя с годовым оборотом, не превышающим 500 000 лари, нарушение влечёт предупреждение либо штраф в размере 1 000 лари; для юридического лица (кроме некоммерческого), филиала иностранного предприятия и индивидуального предпринимателя с годовым оборотом свыше 500 000 лари — предупреждение либо штраф в размере 2 000 лари. При наличии отягчающего обстоятельства штраф составляет соответственно 2 000 и 4 000 лари. Суммы выглядят скромно, однако они налагаются за каждое нарушение, и повторные замечания быстро накапливаются там, где тот же дефектный банер продолжает работать.
Наша услуга
Мы помогаем привести куки-политику и механизм согласия в порядок: определяем, какие куки-файлы необходимы, а какие требуют согласия, готовим информационные тексты, соответствующие требованиям закона, и выстраиваем процедуру отзыва. Обратитесь за консультацией — мы проверим ваш сайт и предложим практическое решение.