Отдельной статьи «штраф за отсутствие cookie-баннера» в КоАП РФ нет - формально это частный случай обработки персональных данных без надлежащего согласия субъекта. Cookie-файлы, которые сайт устанавливает браузеру посетителя (идентификаторы, метки аналитики, рекламные пиксели), в большинстве случаев относятся к персональным данным, поэтому их сбор без согласия образует состав правонарушения по ч. 2 ст. 13.11 КоАП РФ - как и любой другой сбор данных без согласия. В 2026 году эта тема особенно актуальна: Роскомнадзор системно проверяет сайты именно на предмет cookie, потому что это самый простой технически проверяемый признак нарушения.
Коротко
- Cookie-баннер сам по себе не упомянут в КоАП - штрафуется факт обработки данных без согласия, который баннер как раз и подтверждает или опровергает.
- Для юрлиц - от 60 000 до 100 000 ₽ за первое нарушение по ч. 2 ст. 13.11 КоАП, при повторном - от 100 000 до 300 000 ₽ по ч. 2.1 ст. 13.11 КоАП.
- На практике часто сначала выносится предписание устранить нарушение, штраф - следующим шагом при неисполнении предписания или при повторной проверке.
- Отсутствие баннера или его формальное наличие при фактическом запуске трекеров до согласия - одно из самых легко проверяемых технически нарушений, поэтому именно с cookie чаще всего начинаются проверки сайтов среднего и малого бизнеса.
Норма закона
| Нарушение | Норма | Юрлицо |
|---|---|---|
| Обработка ПД (включая cookie) без согласия субъекта | ч. 2 ст. 13.11 КоАП РФ | 60 000-100 000 ₽ |
| Повторное аналогичное нарушение | ч. 2.1 ст. 13.11 КоАП РФ | 100 000-300 000 ₽ |
Почему нет отдельной статьи именно про cookie-баннер
Закон о персональных данных (152-ФЗ) технологически нейтрален: он регулирует обработку персональных данных вообще, не называя конкретные технологии сбора. Cookie - лишь один из способов идентификации пользователя и сбора сведений о его действиях на сайте. Поэтому законодатель не выделял cookie в отдельный состав правонарушения - он подпадает под общую норму об обработке персональных данных без согласия. Cookie-баннер - это интерфейсный инструмент, с помощью которого оператор фиксирует и демонстрирует получение согласия. Если баннера нет вовсе, либо он есть, но трекеры фактически запускаются до нажатия «согласен», это означает, что согласие не было получено - а значит, применяется общая норма ст. 13.11 КоАП о нарушениях при обработке персональных данных.
Как Роскомнадзор выявляет нарушение
На практике используются два основных канала выявления.
- Дистанционный мониторинг сайтов. Роскомнадзор и подведомственные организации регулярно сканируют сайты автоматизированными средствами: проверяется, какие сетевые запросы уходят с сайта до получения согласия пользователя, есть ли баннер, что происходит при отказе от согласия. Cookie-запросы, отправленные аналитическим и рекламным сервисам до клика по баннеру, фиксируются как техническое доказательство нарушения.
- Жалобы граждан. Пользователь может пожаловаться на сайт, если считает, что его данные обрабатываются без согласия - например, если баннер отсутствует, не даёт реального выбора («cookie-стена») или сайт продолжает отслеживать посетителя после отказа. Жалоба может стать основанием для внеплановой проверки.
По итогам проверки чаще выносится предписание устранить нарушение в определённый срок. Штраф применяется, если предписание не исполнено, либо сразу - при повторном или явном нарушении, зафиксированном на проверке.
Типичные ситуации на практике
- Баннера нет вовсе, а на сайте установлены счётчики аналитики и рекламные пиксели - классический случай сбора данных без какого-либо согласия.
- Баннер есть, но декоративный: кнопка «Принять» ничего не блокирует, трекеры и так уже загружены в момент открытия страницы, а не после клика.
- Cookie-стена без альтернативы: пользователю не дают пользоваться сайтом, пока он не согласится на все cookie, включая рекламные.
- Согласие не сохраняется: пользователь отказался от необязательных cookie, но при следующем визите баннер не появляется повторно, а трекеры продолжают работать - фактически согласие подменено.
- Политика обработки данных не соответствует реальности: в документе перечислены одни сервисы, а фактически на сайте работают другие счётчики и виджеты, не упомянутые в согласии.
Что проверить у себя на сайте
- Баннер согласия показывается при первом заходе на сайт и не закрывается «по умолчанию» без действия пользователя.
- Аналитика (Яндекс.Метрика, Google Analytics и подобные сервисы) не запускается до получения согласия - это можно проверить в панели разработчика браузера по сетевым запросам.
- Рекламные пиксели и виджеты (VK, MyTarget и т.п.) также не запускаются до согласия.
- У пользователя есть реальная возможность отказаться от необязательных cookie, а не только принять их все.
- Выбор пользователя запоминается при повторных визитах и не сбрасывается произвольно.
- Политика обработки персональных данных на сайте актуальна и соответствует реально используемым сервисам и cookie.
Частые вопросы
Cookie-стена - это тоже нарушение? Может считаться нарушением принципа добровольности согласия, если у пользователя фактически нет выбора кроме как согласиться.
Штрафуют ли за отсутствие баннера физлиц? Да, если физлицо - оператор персональных данных (например, ИП с собственным сайтом), штраф ниже, чем для юрлица, но предусмотрен той же статьёй.
Можно ли получить штраф без предварительного предписания? На практике чаще сначала выдаётся предписание, но при повторном или явном нарушении возможно и прямое привлечение к ответственности.
Достаточно ли просто установить баннер, чтобы избежать штрафа? Нет - важно, чтобы баннер реально блокировал запуск необязательных cookie до согласия пользователя, а не просто присутствовал на странице формально.
Проверить, запускаются ли у вас скрипты до согласия и есть ли риск штрафа по ст. 13.11 КоАП, можно бесплатно на странице проверки сайта. Там же можно проверить, актуальны ли ваши документы по обработке персональных данных.