Cookie-баннер стал таким же обязательным элементом сайта, как политика конфиденциальности. Но одного всплывающего окна недостаточно - важно, что именно оно делает технически и как это соотносится с требованиями 152-ФЗ. В статье разберём, какие cookie требуют согласия, как устроен корректный баннер и какая ответственность грозит за его отсутствие.
Коротко
- Cookie, которые связаны с конкретным пользователем (идентификаторы, метрики, рекламные пиксели), - это персональные данные, и на их обработку нужно согласие.
- Технические cookie (сессия, корзина, авторизация) обычно не требуют отдельного согласия - без них сайт не может нормально работать.
- Баннер должен давать реальный выбор: принять, отклонить или настроить категории, а не просто уведомлять о факте использования cookie.
- До получения согласия нельзя запускать аналитику, рекламные и социальные скрипты.
- Отсутствие корректного согласия - нарушение ст. 9 152-ФЗ, за которое предусмотрена ответственность по ст. 13.11 КоАП.
Что такое cookie с точки зрения 152-ФЗ
Формально 152-ФЗ не использует слово "cookie" - закон говорит о персональных данных и способах их обработки (ст. 3, ст. 9). Но многие файлы cookie как раз и содержат идентификаторы, которые позволяют распознать конкретного посетителя сайта: рекламные ID, идентификаторы сессии в системах аналитики, данные для ретаргетинга. Если по такому идентификатору можно прямо или косвенно определить пользователя - это персональные данные, и их сбор требует согласия по ст. 9 закона.
Не все cookie одинаковы, поэтому первый шаг - разделить их на категории.
| Категория cookie | Назначение | Нужно ли согласие |
|---|---|---|
| Технические (session, csrf, корзина) | Работа сайта, авторизация, оформление заказа | Как правило, нет |
| Аналитические (счётчики посещаемости) | Статистика, поведение пользователей | Да, если данные привязаны к конкретному пользователю |
| Рекламные и ретаргетинговые | Показ персонализированной рекламы | Да |
| Виджеты соцсетей и внешних сервисов | Кнопки шеринга, встроенное видео, чаты | Да, если сервис устанавливает свои cookie |
Как должен работать корректный баннер
Баннер о cookie - это не формальная плашка "мы используем cookie, продолжая пользоваться сайтом вы соглашаетесь". Такая формулировка не даёт пользователю выбора и по сути имитирует согласие, а не получает его. Согласие на обработку персональных данных должно быть конкретным, информированным и добровольным - это следует из общих принципов ст. 9 152-ФЗ.
Практически это означает следующую логику работы баннера:
- При первом visite сайта пользователю показывается баннер с описанием, какие категории cookie используются.
- Пользователь может нажать "Принять все", "Отклонить необязательные" или открыть детальные настройки по категориям.
- До выбора пользователя не должны загружаться скрипты аналитики, рекламы и внешних виджетов - технически это обычно решается через блокировку тегов до получения согласия (consent mode).
- Выбор пользователя сохраняется (например, в cookie самого баннера) и не запрашивается повторно при каждом визите, пока согласие действует.
- У пользователя должна быть возможность изменить или отозвать согласие позже, обычно - через ссылку в футере или в политике cookie.
Что должно быть закреплено в документах
Баннер - это интерфейсная часть, а её основание - документы сайта. Как минимум потребуется политика обработки персональных данных, размещённая в открытом доступе (это отдельное требование ст. 18.1 152-ФЗ об обеспечении прозрачности обработки), и, желательно, отдельная политика использования cookie, где описано, какие категории cookie применяются, для чего и на какой срок.
Если сайт передаёт данные пользователей сторонним сервисам (аналитика, рекламные сети, CDN зарубежных провайдеров), стоит также свериться с требованиями к трансграничной передаче данных (ст. 12 152-ФЗ) и, при необходимости, к локализации базы данных россиян на территории РФ (ч. 5 ст. 18 152-ФЗ).
| Документ / элемент | Что фиксирует |
|---|---|
| Политика обработки ПДн | Цели, состав, сроки обработки персональных данных |
| Политика cookie | Категории cookie, их назначение, сроки хранения |
| Cookie-баннер | Механизм получения согласия и управления настройками |
| Форма отзыва согласия | Возможность отказаться от необязательных cookie позже |
Ответственность за нарушения
Отсутствие согласия на обработку персональных данных или его ненадлежащее оформление подпадает под ч. 1 ст. 13.11 КоАП - штраф для юридических лиц от 10 000 до 30 000 рублей. Если оператор не выполняет обязанность по опубликованию политики обработки персональных данных (нарушение ст. 18.1 152-ФЗ), применяется ч. 2 ст. 13.11 КоАП - от 60 000 до 100 000 рублей, а при повторном нарушении - ч. 2.1, от 100 000 до 300 000 рублей.
Отдельно стоит помнить про ч. 3.2 ст. 13.11 КоАП - неуведомление Роскомнадзора об инциденте с персональными данными в течение 24 часов влечёт штраф от 100 000 до 150 000 рублей. А с 30 мая 2025 года за утечку персональных данных введены оборотные штрафы - их размер считается в процентах от выручки оператора, а не фиксируется в твёрдой сумме.
Если ваш сайт ранее не проходил проверку на соответствие 152-ФЗ, cookie-баннер - хороший повод заодно свериться и с остальными обязательными элементами: согласиями, политикой и формами сбора данных.
Что проверить у себя на сайте
- Показывается ли баннер при первом визите и есть ли в нём реальный выбор, а не только кнопка "Понятно".
- Блокируются ли аналитические и рекламные скрипты до получения согласия пользователя.
- Указаны ли в политике cookie конкретные категории и сроки хранения, а не общая формулировка.
- Работает ли ссылка на политику обработки персональных данных и открыта ли она без ошибок.
- Есть ли способ отозвать согласие или изменить настройки cookie позже.
- Не запускаются ли виджеты соцсетей и чаты раньше, чем пользователь дал согласие.
- Сохраняется ли выбор пользователя между визитами, чтобы баннер не показывался навязчиво повторно.
- Соответствует ли текст баннера тому, что реально происходит с данными на сайте.
Частые вопросы
Нужен ли баннер, если на сайте нет форм и заказов?
Если сайт использует хотя бы счётчики аналитики или рекламные пиксели, идентифицирующие посетителя, баннер нужен - согласие требуется на сам факт сбора и передачи данных, а не только на оформление заказа.
Достаточно ли просто уведомления "сайт использует cookie" без кнопок?
Нет. Такая формулировка не соответствует требованию информированного и добровольного согласия по ст. 9 152-ФЗ, поскольку не даёт пользователю возможности отказаться.
Можно ли использовать готовый плагин cookie-баннера?
Можно, но важно проверить, действительно ли он блокирует сторонние скрипты до согласия и позволяет управлять категориями, а не просто отображает текст поверх сайта.
Что делать, если на сайте уже стоят аналитика и реклама без баннера?
Стоит как можно быстрее внедрить механизм согласия и заодно проверить остальные документы сайта - актуальный набор документов по 152-ФЗ обычно включает не только баннер, но и политику обработки персональных данных с формами согласия.
Нужно ли получать согласие повторно после смены политики cookie?
Если существенно изменился состав или назначение используемых cookie, разумно предложить пользователю пройти настройку баннера заново, чтобы согласие оставалось актуальным и информированным.
Cookie-баннер - это не разовая настройка "поставили и забыли", а часть общей системы работы с персональными данными на сайте, которую стоит периодически пересматривать вместе с остальными документами.
Если сомневаетесь, насколько корректно настроен баннер на вашем сайте, можно спокойно разобраться по шагам самостоятельно или свериться с чек-листом на help152.ru - спешить и что-то менять "прямо сейчас" не обязательно, важнее сделать это последовательно.