Юридическое заключение для бухгалтерии или другого отдела компании

Вопрос 2. Какая именно информация, хранящаяся в cookie, может отнести их к персональным данным?
Ответ. Роскомнадзор подразумевает файлы cookie в целом как персональные данные: «Персональные данные – информация, относящаяся прямо или косвенно к определённому или определяемому лицу. Файлы cookies характеризуют пользователя сети Интернет. Обработка cookie должна осуществляться с соблюдением требований Закона о персональных данных» (Семинар Роскомнадзора, 28 января 2021 г.).
История заказов и предпочтений потребителя, в том числе при отсутствии Ф.И.О., также является персональными данными по мнению Роскомнадзора. Данная совокупность является основой для профилирования физического лица, формирования индивидуальных маркетинговых предложений (семинар Роскомнадзора, 26 ноября 2020 г).
Суды указывают: случайный идентификатор пользователя, передаваемый в cookie и позволяющий отдельно отличить трафик пользователя, признаётся персональными данными. (Постановление 9-го Арбитражного апелляционного суда от 23.05.2016 №09АП-17574/2016 по делу №А40-14902/16).
Файлы cookie могут быть признаны персональными данными в том случае, если на их основании возможно определить действия пользователя, предположить индивидуальные предпочтения потребителя. Учитывая, что cookie хранит информацию о посещении сайта пользователем, они будут признаны персональными данными.


Вопрос 3. Как передать файлы cookie в новую информационную систему (“Treasure Data”, США)?
Ответ. Позиция Роскомнадзора и судов на февраль 2022 г. состоит в том, что файлы cookie являются персональными данными пользователя. Соответственно, передача файлов cookie должна соответствовать законодательству о передаче персональных данных.
Соединённые Штаты Америки не являются иностранным государством, обеспечивающим адекватную защиту прав субъектов персональных данных (Приказ Роскомнадзора от 15.03.2013 № 274 "Об утверждении перечня иностранных государств, не являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и обеспечивающих адекватную защиту прав субъектов персональных данных").
Трансграничная передача персональных данных в США возможна при наличии согласия в письменной форме субъекта персональных данных (п. 4 ст. 12 ФЗ “О персональных данных”).
Согласие на обработку персональных данных должно быть составлено в соответствии с п. 1 ст. 9 ФЗ “О персональных данных”. Пользователь должен иметь возможность выразить согласие на обработку данных: например, подтверждением в чек-боксе с помощью галочки. Согласие на трансграничную передачу персональных данных должно быть предусмотрено отдельно, например, отдельной галочкой на сайте (семинар Роскомнадзора, 26 ноября 2020 г.).
На сайте также должен быть опубликован в свободном доступе документ, определяющий политику Интернет-магазина в отношении обработки персональных данных, включающий сведения о реализуемых требованиях к защите персональных данных (ст. 18.1 ФЗ “О персональных данных”)
Кроме того, защита персональных данных, хранящихся в информационных системах, подразумевает принятие мер организационного и технического характера. Чаще всего операторы персональных данных привлекают специализированные организации, имеющие лицензии на деятельность по технической защите конфиденциальной информации.

Настоящее заключение актуально на «06» сентября 2022 года.

Партнёр «KayumovPisarenko» ______________________ Черноухов А.В.