Когда сайту нужен cookie-баннер и каким он должен быть
Отдельного закона о cookie в России нет, и именно поэтому вокруг баннеров столько мифов. Разбираемся, какие cookie закон считает персональными данными, когда без согласия нельзя ставить счётчики и пиксели, как должен работать баннер и что написать в политике, чтобы он не остался формальностью.
Что на самом деле говорит закон о cookie
В российском праве нет нормы, которая называлась бы «правила о cookie» и требовала бы баннер как таковой. Есть общее определение из пункта 1 статьи 3 152-ФЗ: персональные данные — это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Вопрос всегда сводится к одному: позволяют ли конкретные cookie и связанные с ними идентификаторы выделить конкретного человека — сами по себе или вместе с другими сведениями, которые есть у сайта.
Сессионный идентификатор корзины в интернет-магазине и рекламный идентификатор, который накапливает историю просмотров и склеивается с профилем пользователя, — это технически похожие записи в браузере, но юридически разные ситуации. Правоприменение последних лет идёт по широкому пути: если идентификатор устойчиво привязан к устройству или аккаунту и используется для профилирования, его безопаснее считать персональными данными и подбирать под обработку законное основание из статьи 6 152-ФЗ.
«С мая 2025 года закон 420-ФЗ приравнял cookie к персональным данным и сделал баннер обязательным для всех сайтов».
Федеральный закон от 30.11.2024 № 420-ФЗ изменил КоАП: с 30 мая 2025 года действуют повышенные штрафы по статье 13.11, в том числе за обработку персональных данных без надлежащего согласия. Парный закон № 421-ФЗ ввёл в Уголовный кодекс статью 272.1 об использовании и передаче незаконно полученных персональных данных. Ни один из них не вводил отдельных требований к cookie и не обязывал показывать баннер. Обязанность получать согласие вытекает из общих норм 152-ФЗ — она существовала и раньше, но цена ошибки выросла в разы.
Когда баннер действительно нужен
Разделите cookie по назначению — от этого зависит, нужно ли спрашивать пользователя и до какого момента файл вообще можно записывать.
| Тип cookie | Примеры | Нужно ли согласие |
|---|---|---|
| Строго необходимые | Сессия, авторизация, корзина, защита от ботов, выбор языка | Нет: обработка нужна для исполнения договора с пользователем либо для законных интересов оператора (п. 5 и п. 7 ч. 1 ст. 6) |
| Аналитические | Яндекс.Метрика, счётчики посещаемости, карты кликов и вебвизор | Да, если собираются идентификаторы, позволяющие выделить пользователя |
| Рекламные и маркетинговые | Пиксели рекламных систем, ретаргетинг, сквозная аналитика | Да, и это самая рискованная категория |
| Сторонние виджеты | Онлайн-чаты, видеоплееры, карты, кнопки соцсетей | Да, если виджет ставит свои cookie и передаёт данные владельцу сервиса |
Практический вывод: сайту-визитке без форм, аналитики и виджетов баннер не нужен. Как только на страницах появляется счётчик или рекламный пиксель — появляется и обработка, которую нужно на чём-то основывать, а значит, и механизм выбора для пользователя.
Как должен работать баннер, чтобы он что-то значил
Требования к согласию берутся из статьи 9 152-ФЗ: оно должно быть конкретным, предметным, информированным, сознательным и однозначным, а доказывать его наличие обязан оператор. Из этого складывается устройство баннера.
Что написано в баннере: разбор типовых формулировок
Чаще всего текст баннера берут с соседнего сайта, а там он взят с третьего. В результате по рунету ходят четыре формулировки, каждая из которых не выдерживает проверки по статье 9 152-ФЗ. Разберём, что с ними не так.
| Формулировка | Что с ней не так |
|---|---|
| «Продолжая пользоваться сайтом, вы соглашаетесь с использованием файлов cookie» | Согласие выводится из бездействия. Продолжение просмотра не является однозначным действием, а выбора пользователю не предложено вовсе |
| «Мы используем cookie, чтобы сделать сайт лучше. ОК» | Одна кнопка — значит, отказаться нельзя. Плюс «сделать сайт лучше» не является целью обработки: цель должна быть конкретной, например измерение посещаемости или показ рекламы |
| «Нажимая кнопку, вы соглашаетесь с политикой конфиденциальности» | Смешаны разные вещи: ознакомление с документом и согласие на обработку. По части 1 статьи 9 согласие оформляется отдельно от иных документов и должно быть предметным |
| «We value your privacy… Accept All» | Текст на языке, которым пользователь может не владеть, не делает согласие информированным. Для сайта с русскоязычной аудиторией баннер должен быть на русском |
Полезная проверка: закройте глаза на дизайн и прочитайте только текст баннера. Если из него непонятно, кто собирает данные, что именно собирается и как отказаться, — согласие не информированное, каким бы аккуратным ни был виджет.
Из чего складывается корректный текст
Единственно правильной формулировки не существует — есть набор элементов, которые в ней должны быть. Составьте текст под свой сайт, отталкиваясь от того, что реально подключено.
Сравните свой баннер с такой структурой: «ООО «Компания» использует файлы cookie: технические — чтобы сайт работал, аналитические — чтобы считать посещаемость, рекламные — чтобы показывать релевантные объявления. Необязательные категории включаются только с вашего согласия; изменить решение можно в любой момент в настройках cookie. Подробнее — в политике обработки персональных данных». Дальше — три действия: принять всё, отклонить необязательные, настроить. Это не шаблон для копирования: категории, цели и названия сервисов у каждого сайта свои, и именно их нужно подставить вместо общих слов.
Сам по себе виджет ничего не закрывает: он работает вместе с политикой, описанием категорий cookie и настройками счётчиков. Мы собираем эту связку под конкретный сайт — какие скрипты подключены, что они собирают и что должно быть написано в документах. Подробнее — разработка документов для сайта; проверить, как это устроено сейчас, можно аудитом по 152-ФЗ.
Что писать в политике и нужна ли отдельная политика cookie
Закон требует одного публичного документа — политики в отношении обработки персональных данных (ст. 18.1 152-ФЗ). Отдельная «политика cookie» не обязательна: можно сделать раздел внутри политики, а можно вынести описание на отдельную страницу — оба варианта допустимы, если содержание не расходится.
| Что раскрыть | Что это значит на практике |
|---|---|
| Категории cookie и цели | Аналитика, реклама, функциональность — с понятным объяснением, зачем каждая |
| Кто получает данные | Названия сервисов: счётчик, рекламная система, чат, CDN |
| Сроки хранения | Сессионные — до закрытия браузера, постоянные — конкретный срок |
| Как отказаться и отозвать согласие | Настройки баннера и настройки браузера |
| Правовое основание | Согласие — для необязательных категорий; иное основание — для строго необходимых |
Содержание этого раздела должно совпадать с тем, что реально написано в политике обработки персональных данных, в текстах согласий на сайте и в уведомлении в Роскомнадзор: цели обработки и категории данных в этих документах сверяют между собой в первую очередь.
Метрика, зарубежные счётчики и передача данных
Владелец сайта остаётся оператором, даже если статистику считает внешний сервис: тот обрабатывает данные по поручению и в интересах владельца. Отсюда два следствия.
Ошибки, которые видно с первого взгляда на сайт
Баннер висит, а счётчик и пиксель уже отработали в момент открытия страницы. Это проверяется за минуту в инструментах разработчика — и именно так выглядит обработка без основания.
Молчание и продолжение просмотра не образуют однозначного согласия. Такая формулировка — уведомление, а не выбор.
Текст ссылается на GDPR и «законные интересы» в европейском смысле, в политике — упоминание ePrivacy, а уведомление в Роскомнадзор не подано. Для российского сайта набор оснований и документов другой.
Один раз нажал «Принять» — и настроек больше нет. Между тем право на отзыв прямо предусмотрено частью 2 статьи 9, и механизм должен существовать.
На сайте работают пять сторонних сервисов, в политике не упомянут ни один. Обработка, не описанная в документах, не имеет законного основания.
Чем рискует компания
Отдельного состава «нет cookie-баннера» в КоАП нет — нарушение квалифицируют по общим составам статьи 13.11 в редакции, действующей с 30 мая 2025 года. Полный разбор составов и сумм — в материале о штрафах по 152-ФЗ в 2026 году.
| Нарушение | Норма | Штраф для юрлица |
|---|---|---|
| Обработка без надлежащего согласия | ч. 2 ст. 13.11 КоАП | 300 000 – 700 000 ₽ |
| Политика обработки не опубликована | ч. 3 ст. 13.11 КоАП | 30 000 – 60 000 ₽ |
| Уведомление в Роскомнадзор не подано | ч. 10 ст. 13.11 КоАП | 100 000 – 300 000 ₽ |
Откройте сайт в режиме инкогнито и посмотрите во вкладке «Сеть», какие запросы уходят до клика по баннеру. Затем сверьте список сервисов с тем, что перечислено в политике. Расхождение между этими двумя списками — и есть основной риск; как его закрывают, описано в разборе документов, которые нужны сайту.
Частые вопросы о cookie-баннере
Обязателен ли cookie-баннер в России?
Нужно ли согласие на Яндекс.Метрику?
Достаточно ли строки «Продолжая пользоваться сайтом, вы соглашаетесь с использованием cookie»?
Какой текст написать в cookie-баннере?
Нужна ли отдельная политика cookie?
Штрафуют ли именно за отсутствие баннера?
Связанные материалы
Cookie, согласия и документы под ваш сайт
Проверяем, какие скрипты и виджеты подключены, какие данные они собирают, и готовим политику, тексты согласий и логику баннера так, чтобы документы совпадали с тем, что происходит на сайте.