# Постоянные сессии и согласие на куки в соответствии с GDPR

**URL:** <https://meta.discourse.org/t/persistent-sessions-and-gdpr-cookie-consent/290994>\
**Category:** Support\
**Tags:** privacy\
**Created:** [09.Январь.2024 11:09:27 UTC](https://meta.discourse.org/t/persistent-sessions-and-gdpr-cookie-consent/290994 "2024-01-09T11:09:27Z")\
**Posts on this page:** 1\
**Showing post:** 11

<div class="post-metadata">

**Author:** ![paulmelis](https://avatars.discourse-cdn.com/v4/letter/p/4bbf92/32.png) [@paulmelis](https://meta.discourse.org/u/paulmelis)\
**Post date:** [11.Январь.2024 09:22:05 UTC](https://meta.discourse.org/t/persistent-sessions-and-gdpr-cookie-consent/290994/11 "2024-01-11T09:22:05Z")

</div>

> [@RGJ](#):
>
> На данный момент у вас есть только один вариант — отключить настройку «постоянные сеансы» (persistent sessions).

Да, именно это я сейчас и делаю (к сожалению).

> [@Jagster](#):
>
> В документе об этом не сказано.

Мне очень интересно, как вы прочитали этот документ. Я имею в виду, что раздел _3.2 Cookies аутентификации_ излагает всё довольно чётко:

> Cookies аутентификации используются для идентификации пользователя после входа в систему (например, на сайте онлайн-банкинга). Эти cookies необходимы для того, чтобы пользователи могли аутентифицироваться при повторных посещениях сайта и получать доступ к защищённому контенту, например, просматривать свой баланс, транзакции и т. д. Cookies аутентификации обычно являются cookies сеанса. Использование постоянных cookies также возможно, **но их нельзя считать идентичными, как обсуждается ниже**.

Здесь признаётся необходимость cookies аутентификации (обратите внимание, они не называются техническими cookies). Чётко указывается, что срок их действия — сеансовый или постоянный — подразумевает разный подход к ним.

> Когда пользователь входит в систему, он явно запрашивает доступ к контенту или функционалу, на который у него есть права. Без использования токена аутентификации, сохранённого в cookie, пользователю пришлось бы вводить имя пользователя и пароль при каждом запросе страницы. Следовательно, эта функция аутентификации является неотъемлемой частью услуги информационного общества, которую пользователь явно запрашивает. Поэтому эти cookies освобождаются согласно КРИТЕРИЮ B.
> 
> Однако важно отметить, что пользователь **запрашивал доступ только к сайту и конкретному функционалу для выполнения требуемой задачи**. Сам факт аутентификации не должен использоваться как возможность для применения cookie в других вторичных целях, таких как поведенческий мониторинг или реклама, без согласия.

Вход в систему означает, что пользователь дал согласие на вход в систему, но не на другие виды использования данных через любые установленные cookies аутентификации.

> **Постоянные cookies входа в систему, которые хранят токен аутентификации между сеансами браузера, не освобождаются согласно КРИТЕРИЮ B.** Это важное различие, поскольку пользователь может не сразу осознавать, что закрытие браузера не очистит его настройки аутентификации. Он может вернуться на сайт, полагая, что остаётся анонимным, хотя на самом деле всё ещё вошёл в систему. Обычный метод использования флажка и простого информационного сообщения, например «запомнить меня (использует cookies)» рядом с формой отправки, был бы подходящим способом получения согласия, тем самым устраняя необходимость применять освобождение в данном случае.

КРИТЕРИЙ B гласит:

> cookie «строго необходим для того, чтобы провайдер услуги информационного общества, явно запрошенной подписчиком или пользователем, мог предоставить эту услугу».

Таким образом, пользователь должен дать согласие перед установкой постоянных cookies аутентификации. Причина: нельзя ожидать, что пользователь по умолчанию понимает последствия использования постоянных cookies аутентификации.

Да, законодательство размыто и сложно, с множеством различных обновлений почти за два десятилетия. И даже официальные сайты ЕС, которые я изучал, кажутся очень запутанными в том, как они обрабатывают cookies и формулируют свои политики.

---

_[View the full topic](https://meta.discourse.org/t/persistent-sessions-and-gdpr-cookie-consent/290994)._