Конструктор политики обработки файлов cookie

1. Зачем сайту отдельный документ о cookie

Почти любой сайт оставляет в браузере посетителя небольшие файлы: одни держат товар в корзине и не дают выйти из личного кабинета, другие считают визиты для счётчика, третьи запоминают, что человек смотрел, чтобы потом показать ему рекламу. Для владельца сайта это техническая мелочь, для закона — сбор сведений о человеке, который нужно объяснить и, в части случаев, согласовать с ним.

Политика обработки файлов cookie — публичный документ владельца сайта, в котором по видам перечислены файлы, цели, сроки хранения, правовые основания, сторонние сервисы, получающие данные, и способы отказа. Посетитель видит его по ссылке из баннера при первом заходе, а проверяющий сравнивает написанное с тем, что сайт делает на самом деле.

Общая политика обработки персональных данных описывает всё, что компания делает с данными клиентов, работников и контрагентов. Политика обработки файлов cookie уже по охвату и глубже по технике: она касается только посетителей сайта и только данных, которые собирает браузер. Поэтому конструктор предлагает в заключительных положениях сослаться на общую политику, а не повторять её.

2. Являются ли cookie персональными данными?

Сам по себе файл — это строка символов вроде случайного номера сессии. Но закон определяет персональные данные через возможность связать сведения с человеком, а не через их вид:

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (п. 1 ст. 3 Федерального закона № 152-ФЗ)

Cookie почти никогда не живут отдельно. Счётчик привязывает к ним IP-адрес, модель устройства, историю переходов, а после входа в кабинет — логин, телефон или номер заказа. Такой набор уже позволяет выделить конкретного человека, и отговорка «мы не знаем его имени» тут слабая: определяемым считается и тот, кого можно установить косвенно.

Косвенный довод есть и в КоАП. В примечании 4 к статье 13.11 введено понятие идентификатора — уникального обозначения сведений о физическом лице в информационной системе оператора, — и штрафы за утечки считаются в том числе по числу идентификаторов. Уникальный ID посетителя, привязанный к его данным в системе сайта, под это описание вполне может подойти.

Единой судебной практики о том, превращается ли любой технический cookie в персональные данные, пока нет, и мнения юристов расходятся. Безопаснее исходить из того, что аналитические и рекламные cookie — персональные данные, а строго технические файлы сессии обрабатываются на другом основании, не требующем согласия. На этом разделении построен и конструктор.

3. Кто должен публиковать политику cookie

Обязанность опубликовать документ о политике обработки и сведения о мерах защиты на страницах сайта, через которые идёт сбор данных, прямо установлена частью 2 статьи 18.1 Закона № 152-ФЗ, и распространяется она на любого оператора, а не только на компании. Если на сайте стоит счётчик посещаемости или форма заявки, владелец сайта — оператор.

В конструкторе первым выбирается статус оператора, от него зависят реквизиты во вводной части:

• юридическое лицо — наименование, ОГРН и ИНН; для компании политика ещё и часть обязательного внутреннего комплекта по п. 2 ч. 1 ст. 18.1;
• индивидуальный предприниматель — ФИО и ОГРНИП; за нарушение локализации и утечки ИП штрафуют как организацию;
• самозанятый — ФИО, ИНН и указание на налог на профессиональный доход: сайт мастера или репетитора с формой записи тоже собирает данные;
• физическое лицо — для личного блога или портфолио, где стоит метрика, указывается гражданство РФ;
• иностранный гражданин — с указанием страны; если сайт работает на российскую аудиторию, требования о хранении данных граждан РФ в российских базах к нему тоже применимы.

Нередко спрашивают, нужен ли документ сайту-визитке без форм, где стоят только технические файлы сессии. Строго говоря, если никакие сведения о посетителях не собираются и не связываются между собой, обязанности может и не быть. Но достаточно подключить счётчик или виджет карты, и ситуация меняется. Короткая политика в таком случае дешевле, чем спор о том, были ли данные персональными.

Дальше решается, добавлять ли определение IP-адреса. Если в тексте политики IP упоминается — например, в описании аналитики или мер защиты, — лучше выбрать «Да»: термин должен быть раскрыт до того, как им начнут пользоваться. Вариант «Свой вариант» подойдёт, если сайт хранит не полный адрес, а усечённый.

4. Четыре вида cookie и сроки их хранения

Раздел о видах cookie — ядро документа. Обязательные файлы в документе есть всегда, остальные три вида включаются отдельными вопросами: функциональные, аналитические и маркетинговые. Если на сайте есть что-то сверх этого — например, cookie чата поддержки или A/B-тестов, — вопрос о дополнительных видах позволяет описать до трёх собственных категорий с целями и сроками.

Сроки в шаблоне — ориентир, а не норма закона. Часть 7 статьи 5 Закона № 152-ФЗ требует хранить данные в форме, позволяющей определить человека, не дольше, чем нужно для цели. Поэтому срок в политике должен совпадать со сроком, который реально выставлен в коде сайта и в настройках счётчика. Если метрика хранит идентификатор два года, а в документе написано «до 12 месяцев», это прямое расхождение, которое легко увидеть в инструментах разработчика любого браузера.

Ещё одно различие, которое полезно понимать при заполнении: собственные файлы ставит сам сайт, а сторонние — чужой код, встроенный в страницу. Счётчик, кнопка соцсети, встроенное видео или онлайн-карта могут ставить свои cookie, даже если владелец сайта об этом не задумывался. Их тоже нужно отнести к одному из видов и описать.

Поле «Перечислите конкретные cookies данного вида» не стоит оставлять пустым. Названия файлов (их видно в том же браузере) делают документ проверяемым и снимают вопрос, чем именно занимается каждый файл. Если список часто меняется, пишите в политике категории и отдельно держите технический реестр cookie с датой обновления.

5. Какие cookie можно обрабатывать без согласия?

Согласие — только одно из оснований статьи 6 Закона № 152-ФЗ. В конструкторе по умолчанию функциональные, аналитические и маркетинговые файлы обрабатываются с согласия (п. 1 ч. 1 ст. 6), а для остальных случаев есть четыре отдельных вопроса. Каждый из них добавляет в раздел об основаниях строку, где нужно указать категории или конкретные файлы.

1. Функции и обязанности по закону (п. 2). Для коммерческого сайта редкость: подходит, только когда хранить определённые сведения о посетителях прямо обязывает закон. Если такого требования нет, этот вопрос лучше закрыть вариантом «Нет».
2. Заключение и исполнение договора (п. 5). Корзина, оформление заказа, личный кабинет, сохранение авторизации. Это главное основание для обязательных cookie интернет-магазина и сервиса по подписке. Важная деталь: договор заключается по инициативе посетителя, поэтому основание работает только с момента, когда он сам начал оформление.
3. Права и законные интересы оператора (п. 7). Защита от ботов и подбора паролей, балансировка нагрузки, запоминание решения по баннеру. Условие — не нарушать при этом права и свободы посетителя. Рекламу и продажу аудитории этим основанием закрыть нельзя.
4. Статистические цели (п. 9). Самое коварное основание, о нём — отдельный раздел ниже.

Вопрос о дополнительных основаниях позволяет сослаться на другие пункты статьи 6, например на обработку данных, подлежащих обязательному раскрытию. Для обычного сайта это нужно редко: четырёх оснований плюс согласия хватает.

Помните о бремени доказывания: по части 3 статьи 9 закона именно оператор должен доказать согласие или другое основание. Если в политике для файла заявлен «законный интерес», а он передаёт данные рекламной сети, отстоять такое основание почти невозможно.

6. Статистическое основание: когда нужно обезличивание

Отвечая на вопрос «Указать, какие cookies обрабатываются в статистических целях», сверьте перечень файлов с самим основанием:

Обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 настоящего Федерального закона, при условии обязательного обезличивания персональных данных (п. 9 ч. 1 ст. 6 Федерального закона № 152-ФЗ)

Из нормы вытекают два ограничения. Первое — обезличивание обязательно: данные должны быть приведены в вид, при котором без дополнительной информации нельзя понять, к кому они относятся. Счётчик, который хранит уникальный идентификатор посетителя и полный IP, этому не соответствует, пока отчёты не агрегированы и идентификаторы не удалены.

Второе — из основания исключены цели статьи 15, то есть продвижение товаров и услуг через прямые контакты с потенциальным потребителем. Маркетинговые cookie, которые нужны для догоняющей рекламы, в статистику не укладываются. Поэтому их безопаснее оставить только в строке о согласии, а в строку о статистике включить лишь агрегированную аналитику — или выбрать вариант «Нет».

Двойное основание для одного и того же файла («с согласия» и одновременно «в статистических целях») выглядит как попытка обработать данные даже после отказа. Проверяющий прочтёт это именно так. Выберите для каждой категории одно основание и держитесь его в тексте баннера.

7. Как получить согласие через баннер

Раздел «Настройка Cookies» описывает механику: баннер появляется при первом посещении, при входе с нового устройства или браузера, после истечения срока хранения cookie. В нём — ссылка на политику, текст согласия и кнопки. Требования к самому согласию даёт закон:

Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным… Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных (ч. 1 ст. 9 Федерального закона № 152-ФЗ)

Требование об отдельном оформлении действует с 1 сентября 2025 года. Для cookie оно означает простую вещь: согласие не прячется в пользовательском соглашении, в оферте или в фразе «продолжая пользоваться сайтом, вы соглашаетесь». Молчание и прокрутка страницы — не однозначное действие, а заранее проставленная галочка — не сознательное.

Практичный минимум для баннера:

• короткий текст о том, какие виды файлов и для чего используются, со ссылкой на политику;
• отдельная кнопка согласия и кнопка отказа, видимые без прокрутки и одинаково заметные;
• до нажатия на сайте работают только обязательные cookie, счётчики и рекламные пиксели не загружаются;
• решение посетителя записывается в журнал с датой, версией политики и выбранными категориями;
• ссылка «Настройки cookie» в подвале, чтобы вернуться к выбору в любой момент.

Журнал согласий нужен не для галочки. Раз доказывать согласие должен оператор, запись о нажатии кнопки с временем и версией текста — главное доказательство при проверке и в споре с посетителем.

8. Три кнопки или две: что выбрать в конструкторе

Вопрос «Укажите кнопки на баннере согласия» предлагает два готовых набора и свой вариант. От выбора зависит текст политики: при трёх кнопках описывается панель настройки с галочками по видам, при двух — только полное принятие или отказ.

«Принять», «Настроить» и «Отклонить» — вариант, который стоит выбирать всегда, когда на сайте одновременно есть аналитические и маркетинговые файлы. Согласие должно быть конкретным и предметным: посетитель вправе разрешить статистику и запретить рекламу. Если такой возможности нет, у согласия на «всё сразу» слабая предметность, и оператору труднее доказать, что человек понимал, на что соглашается.

«Только «Принять» и «Отклонить»» годится, когда кроме обязательных cookie на сайте один вид файлов — например, только функциональные или только одна метрика. Тогда выбор действительно бинарный, и лишняя панель настроек ничего не добавляет.

Прямого требования о кнопке «Настроить» в законе нет, но при аналитике и маркетинге она по сути необходима: без неё согласие на разные цели сливается в одно. Свой вариант пригодится, если используется платформа управления согласиями с собственной терминологией кнопок — главное, чтобы названия в политике совпадали с надписями на баннере.

9. Как посетитель отказывается от cookie и отзывает согласие

Согласие можно отозвать в любой момент (ч. 2 ст. 9 Закона № 152-ФЗ), и политика должна объяснять, как это сделать. В документе два пути: обращение к оператору по контактам из раздела «Контактные данные оператора» и управление файлами в браузере.

После отзыва оператор обязан прекратить обработку и, если хранение больше не нужно, уничтожить данные в срок не более 30 дней (ч. 5 ст. 21). Для cookie это значит не только перестать ставить новые файлы, но и удалить собранные по этому посетителю записи в своих системах и отозвать их у сервиса аналитики, если он действует по поручению.

Вопрос «Указать рекомендации по настройке cookies в браузерах» добавляет ссылки на инструкции для одного, двух или трёх браузеров. Это удобно, но не заменяет отказ на самом сайте: очистка браузера удаляет файлы у посетителя, а не данные на серверах счётчика. Поэтому ссылка на инструкции — дополнение к кнопке «Настройки cookie», а не её замена.

Выбор посетителя тоже имеет срок. Текст политики предусматривает повторный показ баннера после истечения срока хранения cookie, и это правильно: согласие, данное два года назад на старую версию документа, трудно назвать информированным. Разумно хранить решение не дольше, чем самый долгий из заявленных сроков, и спрашивать заново после него.

Выбирайте браузеры по реальной аудитории сайта: статистика той же метрики показывает, чем пользуются посетители. Ссылки давайте на официальные страницы справки разработчиков браузера, а не на сторонние статьи — они не устаревают и не исчезают.

10. Сервисы веб-аналитики и рекламы: передача данных третьим лицам

Счётчик посещаемости или рекламный пиксель — это код другой компании, который получает cookie посетителя напрямую. Поэтому вопрос «Добавить раздел о передаче данных третьим лицам» почти для любого коммерческого сайта нужно закрыть одним из вариантов «Да».

«Да, для аналитики» — если данные уходят только в систему статистики. В политике указывается название сервиса, договор с ним, полное наименование и реквизиты компании, место нахождения её серверов, названия и адреса её документов об обработке данных.

«Да, для аналитики и рекламы» — если тот же сервис или рекламная сеть используют cookie ещё и для показа персонализированной рекламы. Текст раздела в этом случае расширяется целью «показ рекламы, соответствующей интересам и предпочтениям».

С юридической стороны важно понять роль сервиса. Если он обрабатывает данные только для вас и по вашим инструкциям, это поручение по ч. 3 ст. 6 Закона № 152-ФЗ: оно требует согласия посетителя, а в договоре с сервисом — перечень данных, действия, цели, конфиденциальность и защита. Поэтому сервис, которому поручена обработка, стоит назвать прямо в тексте согласия в баннере. Если сервис использует данные и в собственных целях (строит профили для рекламы), он действует как самостоятельный оператор, и согласие посетителя на передачу ему данных должно быть отдельным и явным.

Для рекламных кампаний данные из cookie часто связывают с отчётами подрядчика. Когда рекламу ведёт агентство, условия о доступе к счётчику и данным стоит прописать в договоре оказания рекламных услуг, а при создании сайта — в договоре на разработку сайта: кто владеет аккаунтом метрики и какие счётчики разработчик вправе ставить.

Не забывайте о виджетах, которые на первый взгляд к аналитике не относятся: онлайн-чат, форма обратного звонка, встроенный видеоплеер, карта проезда, кнопки «поделиться». Многие из них ставят собственные cookie и передают данные своему владельцу. Если их нельзя загрузить только после согласия, лучше заменить встраивание ссылкой или статичной картинкой-заглушкой, которая подгружает виджет по клику.

11. Где хранятся данные: российские и зарубежные счётчики?

Вопрос «Указать, где хранятся данные пользователей» предлагает вариант «Да, на территории РФ», свой вариант или «Не указывать». За ним стоит одно из самых дорогих требований закона:

При сборе персональных данных, в том числе через интернет, запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан России с использованием баз за пределами страны не допускаются (ч. 5 ст. 18 Закона № 152-ФЗ, в редакции от 28.02.2025). Исключения касаются только оснований пунктов 2, 3, 4 и 8 части 1 статьи 6 — к обычному сайту и его счётчикам они не относятся.

Если все счётчики и рекламные системы хранят данные в России, выбирайте «Да, на территории РФ» — это короткое и проверяемое заверение. Если на сайте стоит зарубежная аналитика, данные с первой секунды записываются в базу за рубежом, и заявление о хранении в РФ будет неправдой, а само размещение такого счётчика — риском нарушения локализации.

Даже когда первичная запись идёт в Россию, последующая передача за рубеж — это трансграничная передача. До её начала оператор направляет в Роскомнадзор отдельное уведомление (ч. 3 ст. 12 закона), а в страны вне перечня «адекватных» передавать можно не раньше чем через 10 рабочих дней, если РКН не запретил (ч. 9, 11 ст. 12). Ещё до подачи уведомления нужно получить от иностранного получателя сведения о мерах защиты данных (ч. 5 ст. 12). Согласие пользователя на трансграничную передачу уведомление Роскомнадзора не заменяет: закон требует и того и другого, если передача ведётся.

Вариант «Не указывать» формально допустим, но он лишь откладывает вопрос: посетитель вправе запросить сведения о лицах, получающих его данные, и о сроках их хранения (ч. 7 ст. 14 закона), а проверяющий спросит о месте баз в любом случае.

12. Нужны ли правила рекомендательных технологий?

Маркетинговые cookie часто используются не только для рекламы на других площадках, но и внутри сайта: «вам может понравиться», персональные подборки товаров, сортировка каталога по интересам. Здесь включается ещё один закон — об информации.

Статья 10.2-2 Федерального закона № 149-ФЗ обязывает владельца сайта, который показывает информацию на основе анализа предпочтений пользователей из России, информировать их о применении рекомендательных технологий, разместить на сайте правила их применения и указать адрес электронной почты для юридически значимых сообщений и своё наименование (для гражданина — фамилию и инициалы). В правилах описываются процессы и методы сбора и анализа сведений о предпочтениях, виды таких сведений и источники их получения.

Политика обработки файлов cookie эти правила не заменяет: она объясняет, какие файлы собираются и на каком основании, а не как работает алгоритм выдачи. Если на сайте есть персональные рекомендации, вариант «Добавить дополнительные виды cookies» стоит использовать для отдельного описания файлов, питающих рекомендательную систему, а в тексте сослаться на отдельный документ с правилами.

Блоки «похожие товары» по одной лишь категории товара, скорее всего, рекомендательными технологиями не являются; с «популярным» по поведению всех посетителей вопрос спорный, практики пока нет. Отличать одно от другого лучше вместе с разработчиком.

13. Меры защиты: конкретный перечень или общая фраза

Закон требует публиковать вместе с политикой сведения о реализуемых требованиях к защите данных (ч. 2 ст. 18.1). Вопрос «Меры по защите данных» даёт выбор между конкретным перечнем и общей формулировкой о правовых, организационных и технических мерах.

Конкретный вариант конструктор помечает как рекомендуемый, и это оправдано: общая фраза ничего не сообщает ни посетителю, ни проверяющему. Для cookie уместно перечислить меры, которые действительно применяются:

• передача cookie только по защищённому соединению HTTPS и флаг Secure;
• флаг HttpOnly для файлов сессии, чтобы их не мог прочитать сторонний скрипт;
• ограничение SameSite против подделки межсайтовых запросов;
• ограниченный круг сотрудников с доступом к кабинету метрики, двухфакторный вход в него;
• регулярная очистка устаревших идентификаторов и журналирование действий администраторов.

Статья 19 Закона № 152-ФЗ перечисляет общие направления защиты: определение угроз, правила доступа, учёт действий с данными, обнаружение несанкционированного доступа, восстановление данных. Перечень в политике не должен обещать больше, чем есть на деле — сертифицированные средства защиты или круглосуточный мониторинг, которых нет, станут аргументом против оператора. Кто отвечает за организацию обработки, закрепляется отдельно — приказом о назначении ответственного за работу с персональными данными.

14. Какие штрафы грозят за cookie без согласия?

Ответственность за нарушения при обработке данных установлена статьёй 13.11 КоАП, и после поправок, вступивших в силу 30 мая 2025 года, суммы заметно выросли. Для сайта с cookie чаще всего применяются такие составы:

• ч. 1 — обработка без законного основания или несовместимая с целями, в том числе аналитика и реклама без согласия: гражданам 10–15 тыс. руб., должностным лицам 50–100 тыс., организациям 150–300 тыс.; при повторном нарушении (ч. 1.1) организациям 300–500 тыс.;
• ч. 3 — политика не опубликована или недоступна: организациям 30–60 тыс., ИП 10–20 тыс., гражданам 1,5–3 тыс.;
• ч. 8 — данные граждан России при сборе записываются в зарубежные базы: организациям и ИП 1–6 млн руб., повторно (ч. 9) 6–18 млн;
• ч. 10 — оператор не подал уведомление в Роскомнадзор о намерении обрабатывать данные: организациям 100–300 тыс.;
• ч. 12–14 — утечка: при 10 тыс.–100 тыс. идентификаторов организациям 3–5 млн, при 100 тыс.–1 млн — 5–10 млн, свыше миллиона — 10–15 млн (для НКО по ч. 10–14 штраф налагается на должностное лицо).

Последний пункт важен именно для cookie: идентификаторы посетителей копятся быстро, и десятки тысяч записей в базе сайта средней посещаемости — обычное дело. При утечке оператор обязан сообщить в Роскомнадзор в течение 24 часов, а о результатах расследования — в течение 72 часов (ч. 3.1 ст. 21 закона); за неисполнение — отдельный штраф по части 11.

Штраф по части 1 не зависит от того, что написано в политике: наказывают за саму обработку без основания. Хороший документ при плохом баннере не спасает, поэтому проверять нужно связку «текст политики — поведение сайта».

15. Типичные ошибки в политике cookie

Большинство претензий к таким документам связано не с отсутствием текста, а с его расхождением с реальностью:

1. Скопирован чужой документ со счётчиками, которых на сайте нет, и без тех, что есть.
2. Счётчики загружаются до нажатия кнопки в баннере, а политика обещает обработку «с согласия».
3. Для маркетинговых файлов заявлены одновременно согласие и статистическое основание.
4. Указано хранение в России, хотя подключена зарубежная аналитика.
5. Сроки хранения в документе не совпадают со сроками в коде сайта.
6. Нет контактов оператора или указан ящик, который никто не читает, — отзыв согласия уходит в пустоту.
7. Дата публикации не меняется годами, хотя счётчики добавлялись и удалялись.

Отдельная ошибка — смешение документов. Политика cookie не должна подменять согласие на обработку персональных данных из формы заявки: там другие данные (имя, телефон, почта), другие цели и другой момент получения. Не стоит и вставлять раздел о cookie в пользовательское соглашение или публичную оферту: согласие должно быть оформлено отдельно от других документов.

16. Публикация, дата и обновления

Заключительные положения документа закрепляют, что действующая редакция постоянно размещена на сайте по указанному адресу с датой публикации и что новая версия вступает в силу с момента размещения. Адрес лучше сделать постоянным и коротким, ссылку на него — поставить в баннер и в подвал всех страниц.

Дата публикации — не формальность. Журнал согласий фиксирует, с какой версией соглашался посетитель; если документ существенно изменился (появился новый рекламный сервис, новая цель), прежнее согласие на неё не распространяется. Практичное решение — при добавлении новой категории cookie сбрасывать сохранённый выбор и заново показывать баннер.

Вопрос «Включить информацию об общей политике конфиденциальности» добавляет фразу о том, что документ дополняет основную политику, и адрес её страницы. Выбирайте «Да»: посетитель получает полную картину, а проверяющий видит, что обработка данных из форм, заказов и рассылок описана отдельно. Если общего документа ещё нет, его можно подготовить по шаблону политики конфиденциальности.

Раздел «Контактные данные оператора» заполняется адресом, телефоном и электронной почтой — туда посетители направляют вопросы и отзыв согласия. Почту лучше указать общую (не личную сотрудника), а ответственного за обработку назначить заранее.

17. Как пользоваться конструктором политики cookie

Прежде чем отвечать на вопросы, проведите короткий аудит: откройте сайт в режиме инкогнито, посмотрите в инструментах разработчика, какие файлы появляются до и после нажатия кнопки согласия, и выпишите все подключённые счётчики, пиксели и виджеты. Этот список — исходные данные для каждого вопроса конструктора.

Дальше последовательно: статус оператора и реквизиты, определения (IP-адрес и собственные термины), виды cookie с конкретными файлами и сроками, основание для каждого вида, раздел о передаче сервисам аналитики и рекламы, кнопки баннера, инструкции для браузеров, меры защиты, место хранения данных, ссылка на общую политику. Где нужна формулировка под ваш случай, помогает «Свой вариант»: ИИ-помощник соберёт пункт по вашему описанию.

После публикации сверьте документ с баннером: названия кнопок, перечень видов и ссылка должны совпадать. Возвращайтесь к политике обработки файлов cookie каждый раз, когда на сайте появляется новый счётчик или рекламная интеграция — обновлённую редакцию удобно собрать в том же конструкторе из личного кабинета.

Готовый документ можно заполнить онлайн прямо на сайте или скачать в PDF или WORD.

Автор статьи: Мария Губина (юрист)