Сорок лет мелкого шрифта

29 октября 1969 года из Лос-Анджелеса в Стэнфорд отправили первое слово — LOGIN (вход). Дошли две буквы, потом система упала. Вся сеть состояла из четырёх машин, и каждая знала остальные три в лицо. Договариваться о правилах было не с кем: участники сидели в соседних университетах.

Документы, из которых выросли все интернет-стандарты, назывались Request for Comments — «просьба прокомментировать». Не «регламент» и не «приказ». Сеть строилась на вежливой просьбе, и этот тон продержался лет тридцать.

1 января 1983 года ARPANET за один день перевели на TCP/IP. Переход называли flag day: обратного пути не было, кто не успел — отвалился. Это последний раз, когда в интернете что-то поменялось одномоментно и для всех сразу. Дальше всё менялось так, как меняются законы: по кусочку, с отсрочками, и старое продолжало действовать рядом с новым.

В 1983-м появился DNS: адреса стали именами. 15 марта 1985 года компания Symbolics зарегистрировала symbolics.com — первый коммерческий домен в истории. Регистрация была бесплатной. Платить за домены начали только в 1995-м, и сумма — 50 долларов в год — казалась тогда возмутительной.

19 сентября 1990 года у СССР появилась зона .SU. Страна исчезла через пятнадцать месяцев, зона осталась и работает до сих пор. 7 апреля 1994 года завели .RU.

Вместе с доменом заводилась запись в WHOIS — публичная карточка владельца: имя, адрес, телефон. Проверять её было некому и незачем. «Иванов Иван, Москва, ул. Пушкина» — абсолютно рабочая регистрация 1994 года. Анонимность была не хитростью, а настройкой по умолчанию: сеть исходила из того, что люди в ней приличные.

Тридцать лет спустя ровно эта карточка станет доказательством в деле: кто оператор, тот и отвечает.

6 августа 1991 года Тим Бернерс-Ли опубликовал первый сайт — страницу о том, что такое World Wide Web. Ни баннеров, ни форм, ни счётчиков. Читать её мог кто угодно, и никто не знал, что он её читал.

В 1994-м Лу Монтулли из Netscape придумал cookie — чтобы корзина интернет-магазина не забывала товар при переходе на другую страницу. Задача была технической: HTTP не помнит предыдущий запрос. Побочный эффект — что сайт теперь узнаёт вернувшегося посетителя — обнаружили позже, и он оказался ценнее самой корзины.

27 октября 1994 года на HotWired вышел первый баннер — полоска AT&T с вопросом «вы когда-нибудь кликали мышью прямо сюда?». По ней кликнули 44 % увидевших. Сегодня такой баннер был бы рекламой без пометки, без идентификатора и без данных рекламодателя.

В 1995–1996 годах Netscape выпустила SSL 2.0 и 3.0 — шифрование трафика. Сертификат стоил денег и считался роскошью для банков. Обычный сайт жил на http и не видел в этом проблемы: логин и пароль шли по сети открытым текстом, потому что так делали все.

28 января 1981 года Совет Европы открыл для подписания Конвенцию № 108 — первый международный договор о защите персональных данных. В тексте нет слова «сайт»: речь про «автоматизированные картотеки». Именно из неё через двадцать пять лет вырастет российский закон о персональных данных, и оттуда же — привычные формулировки про цели обработки, срок хранения и права субъекта.

7 февраля 1992 года в России приняли закон «О защите прав потребителей». Он старше рунета: зоны .RU ещё не существует, а требование «покупатель должен знать, кто продавец, где он находится и когда работает» уже действует. Сегодня оно проверяется на сайте — и проваливается чаще, чем требования о персональных данных.

Дальше правила посыпались отовсюду: детский COPPA в США (1998), европейская директива о приватности в электронных коммуникациях (2002), из которой в 2009-м вырастут cookie-баннеры, американский антиспамовый CAN-SPAM (2003). В России в 2005-м принят закон о государственном языке — тот самый, который через восемнадцать лет дойдёт до кнопок в интернет-магазине.

27 июля 2006 года подписаны сразу два закона: «О персональных данных» и «Об информации». В марте того же года — закон «О рекламе», вступивший в силу 1 июля. Три документа, на которых до сих пор держится почти вся ответственность владельца сайта.

Стоит помнить, как выглядел интернет в тот момент. iPhone выйдет через год. ВКонтакте — месяц назад. Яндекс.Метрики нет, Google Analytics год как открыт для всех. Cookie-баннеров не существует нигде в мире. Из ста россиян интернетом пользуются примерно восемнадцать.

Закон при этом написан так, что действует до сих пор, и в этом его сила и его подвох: он не говорит «cookie», «пиксель», «CDN» и «шрифты Google». Он говорит «обработка персональных данных» и «передача третьим лицам» — а что именно этим оказалось, решают надзор и практика следующие двадцать лет.

Сайт 2006 года был законным. Тот же самый сайт, не изменившийся ни на строку, сегодня — набор составов.

27 июля 2011 года в законе о персональных данных появляется статья 18.1: оператор обязан опубликовать документ о политике обработки и обеспечить к нему неограниченный доступ. Слов «на сайте» в законе нет — но именно с этой даты «Политика конфиденциальности» в подвале становится обязательным элементом дизайна, а не проявлением хорошего тона.

В том же 2011-м в Европе начинают действовать cookie-баннеры. Российского требования показывать баннер нет и не появится — но баннер приезжает в рунет вместе с шаблонами, плагинами и подрядчиками, и приезжает сломанным: с кнопкой «Принять» без кнопки «Отказаться», с cookie, поставленными до нажатия.

1 сентября 2015 года вступает в силу требование локализации: базы с данными россиян должны находиться в России. Через год за его нарушение заблокируют LinkedIn — первый случай, когда целую соцсеть выключили из-за того, где стоят её серверы.

И ровно в этот момент, в декабре 2015-го, запускается Let's Encrypt: бесплатные сертификаты для всех. HTTPS перестаёт быть роскошью банков за год до того, как его отсутствие начнут считать непринятием мер защиты. В июле 2018-го Chrome начнёт писать «Не защищено» в адресной строке любого http-сайта — и это подействует сильнее любого штрафа.

25 мая 2018 года в Европе заработал GDPR. Штрафы до 4 % мирового оборота сделали приватность темой для совета директоров, а не для юриста в подвале. Рунет ощутил это косвенно, но заметно: каждый второй сайт обзавёлся cookie-баннером, написанным под европейский закон и не отвечающим российскому.

Побочный эффект того же месяца: публичный WHOIS схлопнулся. Карточка владельца домена, открытая всему миру с 1980-х, оказалась той самой персональной информацией, которую теперь нельзя раздавать. Круг замкнулся — данные наконец стали проверять при регистрации, и ровно тогда их перестали показывать.

1 марта 2021 года появляется требование к согласию на распространение данных: разрешение опубликовать сведения о человеке оформляется отдельно от всего остального. Это первый звонок к тому, что произойдёт в 2025-м со всеми согласиями сразу.

С 1 сентября 2022 года вся интернет-реклама получает идентификатор erid и уезжает в единый реестр. Пометка «Реклама», данные рекламодателя, токен — на каждой публикации, включая пост в собственном канале о собственной скидке. Штрафы за нарушение заработали через год.

28 февраля 2023 года поправки в закон о государственном языке говорят прямо: сведения для потребителя доводятся на русском. Английский рядом — можно, вместо — нельзя.

С 1 октября 2023 года сайт, подбирающий посетителю товары и статьи по его поведению, обязан опубликовать правила применения рекомендательных технологий. С 1 декабря 2023 года вход на российский сайт нельзя делать через иностранные сервисы авторизации — кнопка «Войти через Google» становится нарушением.

С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от иных документов. Это отменяет самую распространённую конструкцию рунета: одну галочку «Согласен с офертой и политикой» под формой заказа. Теперь их должно быть две, а согласие, спрятанное абзацем внутри оферты, не считается согласием вовсе.

В том же году утечка персональных данных перестаёт измеряться фиксированной суммой и начинает считаться от оборота компании — тот же поворот, который Европа прошла в 2018-м.

С 1 марта 2026 года закон о защите прав потребителей требует дублировать иностранные слова по-русски. SALE (распродажа), NEW (новинка), чекаут и кешбэк — на русском или рядом с русским. Товарные знаки и фирменные наименования закон выводит из-под требования: Google Search Console не превращается в «Google Поиск Console».