Cookie-баннер обязателен, если сайт с помощью cookie собирает данные, по которым можно прямо или косвенно определить пользователя, - а это делает практически любая система аналитики или рекламный пиксель. По ст. 3 152-ФЗ такие данные - персональные, и их обработка без согласия человека - нарушение закона, за которое предусмотрен штраф по ст. 13.11 КоАП.
Коротко
- Баннер обязателен технически, но закон не описывает его форму дословно - обязательна суть: согласие до начала обработки.
- Кнопка «Принять» обязательна. Отдельная кнопка «Отклонить» и настройки категорий - рекомендация Роскомнадзора, не прямая норма закона, но её отсутствие снижает доказуемость добровольного согласия.
- Cookie-стена (сайт недоступен без согласия) - плохая практика, риск претензии по добровольности согласия.
- Аналитика и реклама не должны запускаться до нажатия «Принять».
- Штраф за обработку персональных данных без надлежащего согласия - ч. 2 ст. 13.11 КоАП, для юрлиц до 300 000 ₽, при повторном нарушении - ч. 2.1, суммы выше.
Почему cookie - это персональные данные
Идентификатор cookie сам по себе может ничего не говорить о человеке, но в связке с IP-адресом, поведением на сайте и данными аналитической системы он позволяет косвенно идентифицировать пользователя. Именно поэтому 152-ФЗ распространяется на cookie-трекеры так же, как на форму с телефоном или почтой - нужно согласие субъекта до начала обработки (ст. 9 152-ФЗ).
Обязательные элементы баннера
| Элемент | Статус | Комментарий |
|---|---|---|
| Уведомление о сборе cookie | обязательно | показывается до начала сбора |
| Кнопка «Принять» | обязательно | явное действие пользователя = согласие |
| Ссылка на политику обработки cookie/ПД | обязательно | текст согласия должен на неё ссылаться |
| Кнопка «Отклонить» отдельно от «Принять» | рекомендация РКН | без неё согласие сложнее считать свободным |
| Настройка категорий cookie (аналитика/реклама отдельно) | рекомендация РКН | повышает прозрачность обработки |
| Cookie-стена (блокировка сайта без согласия) | не рекомендуется | риск претензии к добровольности согласия |
Категории cookie и блокировка скриптов до согласия
Технически cookie принято делить на строго необходимые (работа корзины, авторизация - без них сайт не работает и отдельное согласие не требуется), аналитические и рекламные. Частая ошибка, которую видно даже у сайтов с формально настроенным баннером, - согласие показывается, но скрипты аналитики и рекламы всё равно загружаются сразу, до нажатия «Принять». Формально баннер есть, а закон всё равно нарушен, потому что обработка началась до согласия. Решается это на уровне кода: аналитические и рекламные скрипты должны подключаться только после явного согласия, а не просто скрываться визуально баннером.
Периодичность показа и срок хранения согласия
Единого срока в законе нет. На практике баннер повторно показывают, если согласие не сохранено (например, очищены cookie браузера) или истёк срок хранения самого согласия, который сайт вправе установить самостоятельно и должен прописать в политике - обычно от 6 до 12 месяцев.
Требования для госсайтов и школ
Отдельных льгот по cookie для государственных и образовательных сайтов закон не делает - если на сайте школы или госоргана работает счётчик аналитики или сторонний виджет, требования те же: уведомление и согласие до начала сбора. Разница чаще в том, что такие сайты реже используют рекламные трекеры, поэтому объём обработки меньше, но не отсутствует.
Что проверить у себя на сайте
- Баннер показывается до того, как в браузере появляются cookie аналитики и рекламы
- Есть кнопка «Принять» и, желательно, отдельная «Отклонить»
- Баннер ссылается на актуальный текст политики cookie
- Сайт не блокируется полностью до согласия (нет cookie-стены)
- Аналитические скрипты технически подключаются только после согласия, а не просто визуально скрыты
- Согласие имеет срок хранения, прописанный в политике
Частые вопросы
Обязательна ли кнопка отказа от куки на сайте? Прямой нормы закона нет, это рекомендация Роскомнадзора. Но без неё сложнее доказать, что согласие было добровольным, а не навязанным.
С какой частотой должно появляться сообщение о куках? Закон срока не устанавливает - обычно баннер показывают заново, если согласие не сохранилось или истёк установленный сайтом срок.
Какой максимальный срок хранения у файлов куки на сайте? Технического максимума в 152-ФЗ нет, но срок должен быть указан в политике cookie и должен быть разумным для цели обработки.
Проверить, как cookie-баннер настроен на вашем сайте технически, - можно бесплатно и без регистрации на странице проверки, а готовые тексты уведомления о cookie и политики - в комплекте документов по 152-ФЗ.