Баннерная реклама на сайте почти всегда работает через рекламные сети, которые устанавливают cookie и пиксели для показа персонализированных объявлений. С точки зрения 152-ФЗ такие идентификаторы посетителя относятся к обработке персональных данных, поэтому маркировка рекламы на сайте требует не только соблюдения правил ОРД и ERID, но и корректной работы с согласием пользователя на обработку его данных.
Коротко
- Рекламные баннеры собирают данные посетителя через cookie, пиксели и SDK рекламных сетей.
- Для показа персонализированной рекламы нужно согласие пользователя на обработку персональных данных.
- Политика обработки персональных данных должна описывать использование рекламных cookie и партнёров.
- Отсутствие согласия или неполная политика - основание для штрафа по ст. 13.11 КоАП.
- С 30.05.2025 за утечку персональных данных, в том числе через сторонние рекламные скрипты, действуют оборотные штрафы.
Как баннерная реклама связана с персональными данными
Рекламные сети размещают на сайте скрипты, которые формируют cookie-файл или идентификатор устройства и передают его на сторонние серверы для подбора объявлений. Такой идентификатор в связке с историей посещений и поведением пользователя признаётся персональными данными, если позволяет прямо или косвенно определить конкретного человека. Поэтому владелец сайта, на котором размещены баннеры, фактически становится оператором персональных данных по смыслу ст. 3 и ст. 22 152-ФЗ, даже если сам не собирает имя или телефон посетителя.
Требование получить согласие на обработку персональных данных распространяется и на рекламные cookie. Согласие должно быть предварительным, информированным и не может считаться полученным по умолчанию из-за одного факта посещения сайта - это следует из общих требований ст. 9 152-ФЗ к согласию субъекта персональных данных.
Что должно быть в политике обработки персональных данных
Политика обработки персональных данных, которую обязаны публиковать операторы согласно ст. 18.1 152-ФЗ, должна отражать реальную практику сайта, включая работу с рекламными партнёрами. В документе стоит зафиксировать цели обработки, перечень рекламных сетей и трекеров, а также порядок отзыва согласия.
| Раздел политики | Что указать |
|---|---|
| Цели обработки | Показ персонализированной и ретаргетинговой рекламы |
| Категории данных | Cookie, идентификаторы устройства, IP-адрес, история просмотров |
| Получатели данных | Рекламные сети, партнёрские платформы, аналитические сервисы |
| Сроки хранения | Период действия cookie рекламных партнёров |
| Порядок отзыва согласия | Отключение баннера согласия, настройки браузера, обращение оператору |
Если политика ограничивается общими фразами и не упоминает рекламные cookie, при проверке это может быть расценено как неполное информирование пользователя, что относится к нарушениям, предусмотренным ч. 1 ст. 13.11 КоАП.
Cookie-баннер и согласие на рекламную обработку
Технически согласие на рекламные cookie реализуется через баннер согласия, который должен появляться до начала показа персонализированной рекламы, а не после. Пользователь должен иметь возможность отказаться от рекламных cookie отдельно от технически необходимых - это соответствует требованию ст. 9 152-ФЗ о конкретности и предметности согласия. Формулировки в духе "продолжая пользоваться сайтом, вы соглашаетесь" без реальной возможности отказа не создают надлежащего согласия.
Отдельное внимание стоит уделить трансграничной передаче данных, если рекламная сеть обрабатывает данные на серверах за пределами России. Такая передача регулируется ст. 12 152-ФЗ и требует уведомления Роскомнадзора либо иных оснований, предусмотренных законом.
Ответственность за нарушения при работе с рекламными данными
Штрафы за нарушения при обработке персональных данных, связанных с рекламными сервисами, определены ст. 13.11 КоАП. Размер зависит от характера нарушения и повторности.
| Нарушение | Норма | Штраф для юрлица |
|---|---|---|
| Обработка без согласия или с нарушением условий обработки | ч. 1 ст. 13.11 КоАП | 10 000 - 30 000 руб. |
| Отсутствие или неполнота политики обработки персональных данных | ч. 2 ст. 13.11 КоАП | 60 000 - 100 000 руб. |
| Повторное нарушение | ч. 2.1 ст. 13.11 КоАП | 100 000 - 300 000 руб. |
| Утечка персональных данных, в том числе через рекламные скрипты | оборотные штрафы с 30.05.2025 | процент от выручки оператора |
Оборотные штрафы за утечку персональных данных применяются независимо от того, произошла ли утечка через основную базу сайта или через подключённый рекламный скрипт с уязвимостью - оператор сайта отвечает за подбор и контроль партнёров, чьи коды размещены на его странице.
Что проверить у себя на сайте
- Есть ли на сайте баннер согласия на использование рекламных и аналитических cookie.
- Появляется ли баннер до загрузки рекламных скриптов, а не после.
- Можно ли отказаться от рекламных cookie отдельно от технических.
- Упомянуты ли в политике обработки персональных данных конкретные рекламные сети и трекеры.
- Указаны ли сроки хранения данных, собираемых для рекламы.
- Описан ли порядок отзыва согласия и удаления рекламных cookie.
- Проверена ли трансграничная передача данных рекламными партнёрами.
- Обновляется ли список рекламных подрядчиков в документах при смене партнёров.
- Есть ли форма согласия при подключении новых виджетов и баннеров.
Частые вопросы
Нужно ли отдельное согласие на рекламные cookie, если на сайте уже есть согласие на обработку персональных данных при регистрации?
Да, согласие должно быть предметным для каждой цели обработки, поэтому согласие на регистрацию не заменяет согласие на рекламную обработку cookie.
Относится ли требование к небольшим сайтам с одним рекламным баннером?
Требования 152-ФЗ не зависят от размера сайта или количества баннеров - значение имеет сам факт обработки данных посетителя рекламной сетью.
Кто отвечает, если утечка произошла через код рекламного партнёра?
Ответственность оператора персональных данных сайта не снимается автоматически - оператор обязан выбирать и контролировать подрядчиков в соответствии со ст. 22.1 152-ФЗ.
Можно ли использовать зарубежную рекламную сеть без уведомления Роскомнадзора?
Если данные передаются за пределы России, нужно проверить основания трансграничной передачи по ст. 12 152-ФЗ и при необходимости направить уведомление.
Как понять, какие рекламные скрипты уже установлены на сайте?
Проще всего запросить у разработчиков список подключённых виджетов и трекеров либо провести технический аудит сайта.
Если на сайте есть баннерная реклама, стоит один раз свериться, как оформлено согласие на рекламные cookie и что написано в политике обработки персональных данных. Проверить сайт и получить перечень конкретных доработок можно через форму аудита, а актуальные шаблоны документов - в разделе документов.