Cookie-баннер по закону: как сделать правильно

В российском законодательстве нет статьи «сайт обязан показывать cookie-баннер». Но есть статья 9 152-ФЗ про согласие и требование локализации данных — и именно из них следует, когда баннер нужен, каким он должен быть и почему иностранные счётчики стали проблемой.

Когда cookie — это персональные данные

Cookie сам по себе — это просто строка, которую сайт сохраняет в браузере. Персональными данными он становится, когда по нему (в связке с IP-адресом и данными об устройстве) можно выделять и узнавать конкретного посетителя и накапливать историю его поведения. Именно так работают счётчики аналитики, рекламные пиксели и системы ретаргетинга. Роскомнадзор относит такие cookie к персональным данным, а их установку — к обработке, на которую нужно согласие по статье 9 152-ФЗ, полученное до того, как cookie поставлены. Поправки 2025 года (в том числе усиление требований к согласию на трекеры с 1 сентября 2025 года) эту позицию закрепили.

Технические, аналитические, рекламные: в чём разница

Технические (строго необходимые) cookie — сессия авторизации, корзина, выбор языка, токен защиты от подделки запросов, запоминание выбора в самом баннере. Без них сайт не работает. Согласия не требуют. Если на сайте только такие cookie, баннер с кнопкой отказа не нужен — достаточно упоминания об использовании cookie в политике.

Аналитические cookie — Яндекс Метрика, счётчики посещаемости, тепловые карты, продуктовая аналитика. Помогают понять поведение аудитории, но идентифицируют посетителя. Требуют согласия и возможности отказаться.

Рекламные cookie — пиксели ретаргетинга, конверсионные теги (VK Реклама, myTarget, а также иностранные Meta Pixel, Google Ads). К ним и практика, и Роскомнадзор относятся строже всего: это профилирование в интересах третьих лиц. Без явного согласия и реальной возможности отказа их установка — обработка без согласия.

Каким должен быть баннер

• Реальный выбор. Кнопки «Принять все» и «Только необходимые» (или «Отклонить») равнозначны по виду и доступности — отказ не спрятан и не сложнее принятия.
• Ничего не ставится заранее. Пока пользователь не согласился, аналитические и рекламные скрипты не загружаются и cookie не устанавливаются.
• Понятный текст. Что за cookie, для каких целей, ссылка на политику обработки персональных данных.
• Категории по возможности. Отдельно «аналитика», отдельно «реклама» — чтобы пользователь мог согласиться только на часть.
• Возможность передумать. Ссылка «Настройки cookie», доступная после закрытия баннера.
• Запоминание выбора. Решение сохраняется, баннер не показывается на каждой странице.

Иностранные счётчики и трансграничная передача

Отдельная и часто недооценённая проблема. Любой иностранный счётчик или пиксель, загружаясь на странице, получает IP-адрес посетителя, данные о браузере и устройстве и ставит свои идентификаторы — то есть данные фактически уходят за границу до того, как они записаны в российскую базу. Это нарушение требования о локализации (ч. 5 ст. 18 152-ФЗ), а сам факт трансграничной передачи нужно раскрыть в политике и уведомить о нём Роскомнадзор (ст. 12 152-ФЗ). Согласие в баннере эту проблему не снимает. Практический вывод: для типового сайта безопаснее российская аналитика (Яндекс Метрика), российский хостинг и CRM.

Частые ошибки

• Баннер только с кнопкой «Принять». Нет равнозначного отказа — нет свободного согласия.
• Счётчик грузится сразу, баннер — для вида. Cookie уже стоят до того, как пользователь что-то нажал: согласие получено после факта обработки, то есть не получено.
• «Продолжая пользоваться сайтом, вы соглашаетесь». Продолжение просмотра — не осознанное согласие.
• Отказ ничего не меняет. Кнопка «Отклонить» есть, но скрипты всё равно работают.
• Баннер не объясняет, что это про cookie — просто «Мы заботимся о вас, ОК». Согласие не информированное.
• Иностранный счётчик + баннер — согласие не закрывает нарушение локализации и трансграничной передачи.

Как проверить свой баннер за 2 минуты

Откройте сайт в режиме инкогнито и посмотрите в инструментах разработчика (F12), вкладки Application → Cookies и Network, что появляется до нажатия «Принять». Если там уже есть _ga, _ym_uid, _fbp или запросы к google-analytics.com, mc.yandex.ru/watch, top-fwz1.mail.ru — баннер не блокирует скрипты и настроен неправильно. Автоматическую проверку по этим признакам, вместе с проверкой политики, согласий и записи в реестре, делает бесплатный сканер ПДн.Риск.

Частые вопросы

Связанные требования

Cookie-баннер — часть более широкой картины: нужны также политика обработки персональных данных, согласие в формах и уведомление в Роскомнадзор. Общий обзор: 152-ФЗ простыми словами.

Материал носит информационный характер и не является юридической консультацией. Автор: Андронов Юрий, руководитель ПДн.Риск. Первоисточник: ст. 9, 12, 18 152-ФЗ на pravo.gov.ru.