A/B-тестирование cookie-баннера помогает поднять конверсию согласий, но правила 152-ФЗ не делают исключений для маркетинговых экспериментов. Часть вариантов, которые обычно тестируют в UX - цвет кнопки, текст, расположение - можно менять свободно. Другие меняют саму суть согласия и превращают эксперимент в нарушение закона. Разберём, где проходит граница.
Коротко
- Тестировать дизайн, текст и расположение баннера можно - закон не регулирует внешний вид.
- Нельзя тестировать варианты, где согласие подразумевается по умолчанию или собирается без явного действия пользователя.
- Нельзя A/B-тестировать факт установки cookies до согласия - это должно быть одинаково запрещено во всех вариантах.
- Метрики теста (id пользователя, вариант, клики) сами являются персональными данными и требуют отдельного основания обработки.
- Штрафы по ст. 13.11 КоАП не различают «эксперимент» и «продакшен» - нарушение фиксируется по факту.
Что можно тестировать без юридических рисков
Часть элементов cookie-баннера - это чистый UX, и закон не ограничивает их вариативность. Здесь эксперименты допустимы при условии, что каждый вариант сохраняет обязательные элементы согласия.
| Элемент | Можно тестировать | Условие |
|---|---|---|
| Цвет и форма кнопок | Да | Кнопка «Отклонить» не менее заметна, чем «Принять» |
| Текст пояснения | Да | Смысл и цели обработки не искажаются |
| Расположение баннера | Да | Баннер не перекрывает функциональность без выбора |
| Момент показа (сразу/через N секунд) | Да, с оговоркой | Cookies не устанавливаются до выбора ни в одном варианте |
| Порядок кнопок слева-справа | Да | Обе опции равноценны по доступности |
Ключевой принцип - вариативность формы допустима, вариативность содержания согласия недопустима. Если в одном варианте теста пользователь может отказаться, а в другом такой возможности фактически нет (мелкий текст, скрытая ссылка, тёмный паттерн), это уже не UX-эксперимент, а нарушение требования к информированности согласия.
Что нельзя тестировать без нарушения закона
Ряд «оптимизаций», популярных в маркетинге, напрямую противоречит требованиям к согласию на обработку персональных данных и cookies.
- Вариант без кнопки отказа. Согласие должно быть свободным и осознанным; баннер только с кнопкой «Принять» не даёт пользователю реального выбора.
- Предустановленные галочки. Молчание или бездействие пользователя не может считаться согласием - это касается и чекбоксов, отмеченных заранее.
- Установка cookies до клика в одном из вариантов теста. Технически это часто делают «для чистоты эксперимента», но по факту - обработка данных без согласия.
- Скрытие ссылки на политику обработки в части вариантов. Информирование о целях и составе данных обязательно в любом варианте.
- Тёмные паттерны, затрудняющие отказ (мелкий шрифт, контрастная кнопка согласия против бесцветной кнопки отказа) - формально это влияет на добровольность согласия.
Правило простое: экспериментировать можно с тем, как задают вопрос, но не с тем, есть ли у пользователя право сказать «нет».
Согласие как объект тестирования: требования закона
Согласие на обработку персональных данных по ст. 9 152-ФЗ должно быть конкретным, информированным, сознательным и добровольным независимо от того, в каком варианте A/B-теста оно получено. Это требование не подлежит оптимизации.
| Требование к согласию | Норма | Как соблюдается в тесте |
|---|---|---|
| Явное действие пользователя | ст. 9 152-ФЗ | Клик или тап, не просто продолжение просмотра |
| Информирование о целях обработки | ст. 9, ст. 18 ч.5 152-ФЗ | Ссылка на политику доступна в каждом варианте |
| Возможность отказа | ст. 9 152-ФЗ | Кнопка «Отклонить» присутствует и работает во всех вариантах |
| Отзыв согласия | ст. 9 152-ФЗ | Механизм отзыва не зависит от варианта теста |
Сами данные теста - тоже персональные данные
При A/B-тестировании сервис аналитики фиксирует, какой вариант увидел конкретный пользователь, его идентификатор (cookie ID, hash), клики и время взаимодействия. Если эти данные позволяют прямо или косвенно идентифицировать пользователя, на них распространяются требования 152-ФЗ в полном объёме, включая ст. 18.1 (внутренний контроль) и ст. 19 (меры по обеспечению безопасности).
- Инструмент A/B-тестирования должен быть указан как получатель данных в политике обработки.
- Если инструмент зарубежный, применяются требования ст. 12 о трансграничной передаче.
- Хранение и обработка сырых логов теста подчиняются общим правилам безопасности по ст. 19.
Ответственность за ошибки в тестировании
Ошибка в конфигурации теста не освобождает от ответственности - с точки зрения закона не имеет значения, был ли «неправильный» вариант показан намеренно или случайно попал в продакшен через A/B-инструмент.
| Нарушение | Норма КоАП | Санкция (юрлицо) |
|---|---|---|
| Обработка без надлежащего согласия (в т.ч. один из вариантов теста) | ч.1 ст. 13.11 КоАП | до 700 000 ₽ |
| Невыполнение обязанности по опубликованию политики обработки | ч.2 ст. 13.11 КоАП | до 100 000 ₽ |
| Неисполнение требований к содержанию согласия | ч.2.1 ст. 13.11 КоАП | до 700 000 ₽ |
| Повторное нарушение | ч.8 ст. 13.11 КоАП | до 1 500 000 ₽ |
| Утечка данных вследствие нарушения (оборотный штраф) | ч.9 ст. 13.11 КоАП | от 3% выручки, с 30.05.2025 |
Отдельно стоит помнить о ч.3.2 ст. 13.11 КоАП - ответственность за нарушение порядка трансграничной передачи, актуальную, если инструмент A/B-тестирования размещён на зарубежных серверах.
Как безопасно организовать A/B-тест cookie-баннера
Есть практический подход, который позволяет получать данные для оптимизации конверсии, не нарушая закон.
- Зафиксируйте инвариант: во всех вариантах теста отказ технически возможен и одинаково доступен.
- Убедитесь, что cookies не устанавливаются до выбора пользователя - ни в одном из вариантов.
- Проверьте, что ссылка на политику обработки данных присутствует в каждом варианте баннера.
- Оцените инструмент A/B-тестирования как получателя персональных данных и включите его в реестр обработки.
- Согласуйте план теста с ответственным за обработку персональных данных до запуска.
Что проверить у себя на сайте
- Есть ли в тестируемых вариантах баннера кнопка отказа, равная по заметности кнопке согласия.
- Не устанавливаются ли аналитические или рекламные cookies до выбора пользователя хотя бы в одном варианте.
- Указан ли инструмент A/B-тестирования в перечне получателей данных в политике обработки.
- Есть ли возможность отозвать согласие одинаковым способом во всех вариантах.
- Сохраняются ли логи участия в тесте (id, вариант, действия) обезличенно или как персональные данные.
- Проверена ли юрисдикция серверов сервиса A/B-тестирования на предмет трансграничной передачи.
- Содержит ли каждый вариант баннера ссылку на актуальную политику обработки данных.
- Согласован ли план эксперимента с ответственным за защиту персональных данных.
Частые вопросы
Можно ли тестировать текст согласия, если смысл не меняется?
Да, формулировки можно варьировать, если цели обработки и объём данных остаются идентичными и понятными пользователю.
Можно ли временно, «только для теста», ставить cookies без согласия?
Нет. Обработка без согласия остаётся нарушением независимо от того, тестовый это трафик или основной.
Нужно ли согласовывать A/B-тест с Роскомнадзором?
Отдельного согласования не требуется, но тест должен укладываться в уже заявленные цели обработки из уведомления оператора.
Как хранить результаты теста, чтобы не создавать лишний риск?
По возможности агрегировать и обезличивать данные о вариантах и конверсии, храня персональные идентификаторы отдельно и с ограниченным сроком.
Что делать, если в тесте случайно оказался вариант без кнопки отказа?
Немедленно остановить показ этого варианта, зафиксировать инцидент и проверить, были ли собраны данные без надлежащего согласия.
Если сомневаетесь, какие варианты cookie-баннера безопасны для теста на вашем сайте, можно свериться с перечнем актуальных документов по 152-ФЗ или начать с базового аудита сайта - это поможет увидеть текущую картину перед запуском эксперимента.