Сорок лет мелкого шрифта

29 октября 1969 года из университета в Лос-Анджелесе в Стэнфордский исследовательский институт отправили первое слово — LOGIN (вход). Дошли две буквы, потом система упала. В сети было два узла, к декабрю станет четыре, и каждый будет знать остальные три в лицо. Договариваться о правилах было не с кем: всех участников можно было собрать в одной комнате.

Документы, из которых выросли все интернет-стандарты, назывались Request for Comments — «просьба прокомментировать». Не «регламент» и не «приказ». Сеть строилась на вежливой просьбе, и этот тон продержался лет тридцать.

1 января 1983 года ARPANET за один день перевели на TCP/IP. Переход называли flag day — «день икс»: обратного пути не было, кто не успел — отвалился. Это последний раз, когда в интернете что-то поменялось одномоментно и для всех сразу. Дальше всё менялось так, как меняются законы: по кусочку, с отсрочками, и старое продолжало действовать рядом с новым.

В 1983-м появился DNS: адреса стали именами. 15 марта 1985 года компания Symbolics зарегистрировала symbolics.com — первый коммерческий домен в истории. Регистрация была бесплатной. Платить за домены начали только в 1995-м, и сумма — 50 долларов в год — казалась тогда возмутительной.

19 сентября 1990 года у СССР появилась зона .SU. Страна исчезла через пятнадцать месяцев, зона осталась и работает до сих пор. 7 апреля 1994 года завели .RU.

Вместе с доменом заводилась запись в WHOIS — публичная карточка владельца: имя, адрес, телефон. Проверять её было некому и незачем. «Иванов Иван, Москва, ул. Пушкина» — абсолютно рабочая регистрация 1994 года. Анонимность была не хитростью, а настройкой по умолчанию: сеть исходила из того, что люди в ней приличные.

Тридцать лет спустя ровно эта карточка станет доказательством в деле: кто оператор, тот и отвечает.

6 августа 1991 года Тим Бернерс-Ли открыл миру первый сайт — страницу о том, что такое World Wide Web; внутри CERN она работала с декабря 1990-го. Ни баннеров, ни форм, ни счётчиков. Читать её мог кто угодно, и никто не спрашивал, кто её читает.

В 1994-м Лу Монтулли из Netscape придумал cookie — чтобы корзина интернет-магазина не забывала товар при переходе на другую страницу. Задача была технической: HTTP не помнит предыдущий запрос. Побочный эффект — что сайт теперь узнаёт вернувшегося посетителя — обнаружили позже, и он оказался ценнее самой корзины.

27 октября 1994 года на HotWired вышел первый баннер — полоска AT&T с вопросом «вы когда-нибудь кликали мышью прямо сюда?». По ней кликнули 44 % увидевших. Сегодня такой баннер был бы рекламой без пометки, без идентификатора и без данных рекламодателя.

В 1995–1996 годах Netscape выпустила SSL 2.0 и 3.0 — шифрование трафика. Сертификат стоил денег и считался роскошью для банков. Обычный сайт жил на http и не видел в этом проблемы: логин и пароль шли по сети открытым текстом, потому что так делали все.

28 января 1981 года Совет Европы открыл для подписания Конвенцию № 108 — первый международный договор о защите персональных данных. В тексте нет слова «сайт»: речь про «автоматизированные файлы данных». Именно из неё через двадцать пять лет вырастет российский закон о персональных данных, и оттуда же — привычные формулировки про цели обработки, срок хранения и права субъекта.

7 февраля 1992 года в России приняли закон «О защите прав потребителей». Он старше рунета: зоны .RU ещё не существует, а требование «покупатель должен знать, кто продавец, где он находится и когда работает» уже действует. Сегодня его предъявляют каждому сайту, который что-то продаёт.

Дальше правила посыпались отовсюду: детский COPPA в США (1998), европейская директива о приватности в электронных коммуникациях (2002), из которой в 2009-м вырастут cookie-баннеры, американский антиспамовый CAN-SPAM (2003). В России в 2005-м принят закон о государственном языке — тот самый, который через восемнадцать лет дойдёт до кнопок в интернет-магазине.

27 июля 2006 года подписаны сразу два закона: «О персональных данных» и «Об информации». В марте того же года — закон «О рекламе», вступивший в силу 1 июля. Три документа, на которых до сих пор держится почти вся ответственность владельца сайта.

Стоит помнить, как выглядел интернет в тот момент. iPhone выйдет через год. ВКонтакте откроется только в октябре. Яндекс.Метрики нет, Google Analytics откроют для всех только в августе. Cookie-баннеров не существует нигде в мире. Из ста россиян интернетом пользуются примерно восемнадцать.

Закон при этом написан так, что действует до сих пор, и в этом его сила и его подвох: он не говорит «cookie», «пиксель», «CDN» и «шрифты Google». Он говорит «обработка персональных данных» и «передача третьим лицам» — а что именно этим оказалось, решают надзор и практика следующие двадцать лет.

Сайт 2006 года был законным. Тот же самый сайт, не изменившийся ни на строку, сегодня — набор составов.

27 июля 2011 года в законе о персональных данных появляется статья 18.1: оператор, собирающий данные через сеть, обязан опубликовать в ней документ о политике обработки и обеспечить к нему доступ. С этой даты «Политика конфиденциальности» в подвале становится обязательным элементом дизайна, а не проявлением хорошего тона. В 2022-м закон назовёт место прямо: «на страницах принадлежащего оператору сайта».

В том же 2011-м в Европе начинают действовать cookie-баннеры. Отдельного закона о cookie в России нет — их судят общими правилами о персональных данных, — но баннер приезжает в рунет вместе с шаблонами, плагинами и подрядчиками, и приезжает сломанным: с кнопкой «Принять» без кнопки «Отказаться», с cookie, поставленными до нажатия.

1 сентября 2015 года вступает в силу требование локализации: базы с данными россиян должны находиться в России. Через год за его нарушение заблокируют LinkedIn — первый случай, когда целую соцсеть выключили из-за того, где стоят её серверы.

И ровно в этот момент, в декабре 2015-го, запускается Let's Encrypt: бесплатные сертификаты для всех. HTTPS перестаёт быть роскошью банков, и вместе с ценой исчезает последняя причина передавать данные открытым текстом. В июле 2018-го Chrome начнёт писать «Не защищено» в адресной строке любого http-сайта — и это подействует сильнее любого штрафа.

25 мая 2018 года в Европе заработал GDPR. Штрафы до 4 % мирового оборота сделали приватность темой для совета директоров, а не для юриста в подвале. Рунет ощутил это косвенно, но заметно: сайты массово обзавелись cookie-баннерами, написанными под европейский закон и не отвечающими российскому.

Побочный эффект того же месяца: публичный WHOIS в доменах ICANN схлопнулся. Карточка владельца домена, открытая всему миру с 1980-х, оказалась той самой персональной информацией, которую теперь нельзя раздавать. Круг замкнулся: прятать данные владельца теперь обязаны — а врать в них по-прежнему нельзя.

1 марта 2021 года появляется требование к согласию на распространение данных: разрешение опубликовать сведения о человеке оформляется отдельно от всего остального. Это первый звонок к тому, что произойдёт в 2025-м со всеми согласиями сразу.

С 1 сентября 2022 года вся интернет-реклама получает идентификатор erid и уезжает в единый реестр. Пометка «Реклама», данные рекламодателя, токен — на каждой публикации, от баннера на чужом сайте до поста у блогера. Штрафы за нарушение заработали через год.

28 февраля 2023 года поправки в закон о государственном языке говорят прямо: сведения для потребителя доводятся на русском. Английский рядом — можно, вместо — нельзя.

С 1 октября 2023 года сайт, подбирающий посетителю товары и статьи по его поведению, обязан опубликовать правила применения рекомендательных технологий. С 1 декабря 2023 года вход на российский сайт нельзя делать через иностранные сервисы авторизации — кнопка «Войти через Google» становится нарушением.

С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от иных документов. Это отменяет самую распространённую конструкцию рунета: одну галочку «Согласен с офертой и политикой» под формой заказа. Теперь их должно быть две, а согласие, спрятанное абзацем внутри оферты, не считается согласием вовсе.

В том же году штраф за утечку персональных данных вырастает до миллионов, а за повторную начинает считаться от оборота компании — тот же поворот, который Европа прошла в 2018-м.

С 1 марта 2026 года закон о защите прав потребителей требует дублировать иностранные слова по-русски. SALE (распродажа), NEW (новинка), CHECKOUT (оформление заказа) — на русском или рядом с русским. Товарные знаки и фирменные наименования закон выводит из-под требования: Google Search Console не превращается в «Google Поиск Console».