Cookie-баннер по закону: чем рабочее согласие отличается от заглушки

Почти на каждом российском сайте внизу висит плашка про cookie. В большинстве случаев это заглушка: она ничего не спрашивает, ничего не запоминает и появляется уже после того, как счётчики отработали. Разберём, что здесь требует закон, а что нет.

Отдельного закона о cookie в России нет

Начнём с того, чего нет. В российском праве нет нормы, которая обязывала бы показывать cookie-баннер как таковой. Нет и списка «технических» и «нетехнических» cookie, знакомого по европейской практике. Поэтому рассуждать про баннер имеет смысл только через общий вопрос: обрабатываете ли вы персональные данные.

Определение даёт пункт 1 статьи 3 Федерального закона № 152-ФЗ: персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.

Ключевое слово здесь — «косвенно». Сам по себе идентификатор в браузере фамилии не содержит. Но если к нему привязана история просмотров, город, устройство, а на сайте есть форма, через которую человек оставляет имя и телефон, — совокупность позволяет соотнести поведение с конкретным лицом. Именно в этот момент разговор про cookie превращается в разговор про персональные данные.

Косвенно об этом же говорит и законодатель: в примечании 4 к статье 13.11 КоАП РФ появилось определение идентификатора — уникального обозначения сведений о физическом лице, содержащегося в информационной системе оператора и относящегося к такому лицу. Идентификаторы там считают отдельно от субъектов, когда измеряют масштаб утечки.

Что закон требует от согласия

Если обработка идёт на основании согласия, к нему предъявляются вполне конкретные требования. Часть 1 статьи 9 152-ФЗ формулирует их так: субъект принимает решение свободно, своей волей и в своём интересе; согласие должно быть конкретным, предметным, информированным, сознательным и однозначным; оно может быть дано в любой форме, позволяющей подтвердить факт его получения.

А с 2025 года в той же части появилось требование, которое ломает самую распространённую практику: согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект. Эта формулировка введена Федеральным законом от 24 июня 2025 года № 156-ФЗ.

Есть ещё две нормы, которые часто забывают.

Часть 3 статьи 9: обязанность предоставить доказательство получения согласия лежит на операторе. Не на пользователе, который «должен был прочитать», а на владельце сайта, который должен показать, что согласие было и в каком виде.

Часть 2 статьи 9: согласие может быть отозвано. Значит, у отзыва должен быть работающий механизм, а не абстрактная фраза в политике.

Признаки заглушки

Из требований закона легко вывести, что именно не работает в типичном баннере.

• Плашка только информирует. «Мы используем cookie» с единственной кнопкой «Хорошо» — это уведомление, а не согласие: у пользователя нет выбора, а согласие должно быть свободным и однозначным.
• Аналитика стартует до решения. Если счётчик с записью поведения загружается в момент открытия страницы, согласие спрашивают задним числом — обработка уже идёт.
• Согласие склеено с другими документами. Формулировка «нажимая кнопку, вы соглашаетесь с политикой, офертой и получением рассылки» прямо расходится с требованием оформить согласие отдельно от иных информации и документов.
• Отказ не отличается от согласия по последствиям. Если после «Отклонить» сайт ведёт себя ровно так же, выбор был декоративным.
• Выбор не сохраняется. Баннер, который показывается заново на каждой странице, доказательством получения согласия не является.
• Нет отзыва. Дать согласие можно в один клик, а отозвать — нельзя никак.

Что делать с аналитикой

Самый практичный вопрос обычно звучит так: если счётчик нельзя запускать до согласия, аналитика умирает?

Нет, но требует решения. Развилок здесь три, и выбирать приходится осознанно.

Первый вариант — жёсткий. Никаких счётчиков до нажатия. Данные становятся неполными: часть визитов теряется, отчёты по источникам искажаются. Зато поведение сайта строго совпадает с текстом политики.

Второй вариант — гибридный. Счётчик стартует сразу, но в урезанном режиме: без записи сессий, без карты кликов, без отслеживания внешних ссылок — то есть без детальной фиксации поведения конкретного посетителя. Полный набор включается только после согласия, а при отказе счётчик не подключается вовсе. Такой режим сохраняет базовую статистику и заметно снижает объём обрабатываемых сведений.

Третий вариант — отказ от внешней аналитики в пользу серверных логов, где нет привязки к профилю пользователя. Подходит редко, но для сайтов с чувствительной аудиторией иногда оказывается самым чистым решением.

У каждого варианта своя цена в данных. Важно, что выбор нужно сделать явно и затем отразить в политике: расхождение между тем, что написано в документе, и тем, что реально делает страница, — это и есть основной риск.

Отдельно про хранение решения. Согласие имеет смысл сохранять так, чтобы его можно было прочитать на сервере при формировании страницы. Иначе первый ответ сервера будет одинаковым для всех, а поведение скриптов начнёт расходиться с выбором пользователя до первой перезагрузки. Плюс это тот самый способ выполнить часть 3 статьи 9: показать, что согласие было получено.

Что должен уметь рабочий баннер

Требования закона переводятся в понятный набор технических свойств.

• До решения пользователя — только то, без чего сайт не работает. Всё, что связано с детальной записью поведения, ждёт согласия.
• Явные и равнозначные варианты: принять и отказаться. Не «Принять» крупной кнопкой и «настройки» мелким шрифтом в углу.
• Решение сохраняется и читается сервером, чтобы поведение сайта совпадало с выбором с первого же ответа, а не после перезагрузки.
• Согласие оформлено отдельно от политики, оферты и подписки на рассылку.
• Есть понятный способ изменить решение позже.
• Рядом с баннером — ссылка на опубликованную политику обработки персональных данных: это отдельная обязанность оператора по части 2 статьи 18.1 152-ФЗ.

Про ответственность

Здесь стоит быть аккуратным с цифрами, потому что в популярных пересказах их часто путают.

Обработка персональных данных в случаях, не предусмотренных законодательством, либо несовместимая с целями сбора, — это часть 1 статьи 13.11 КоАП РФ: на граждан от 10 000 до 15 000 рублей, на должностных лиц от 50 000 до 100 000 рублей, на юридических лиц от 150 000 до 300 000 рублей. Повторное нарушение по части 1.1 — до 500 000 рублей для юридических лиц.

Отдельно стоит часть 2 той же статьи — обработка без согласия в письменной форме в тех случаях, когда такое согласие должно быть получено по закону, а также нарушение требований к составу сведений в письменном согласии. Там суммы выше: для юридических лиц от 300 000 до 700 000 рублей. Но письменная форма требуется не всегда, поэтому автоматически переносить эти цифры на любой cookie-баннер неверно.

И третье: отсутствие опубликованной политики — это самостоятельный состав по части 3 статьи 13.11, от 30 000 до 60 000 рублей для юридических лиц.

Важнее сумм здесь другое: все три состава проверяются снаружи. Чтобы увидеть, что баннер не сохраняет решение, что счётчик стартует до согласия и что политика открывается не со всех страниц со сбором данных, доступ к вашей инфраструктуре не нужен — достаточно открыть сайт.

Частые возражения

«У нас нет форм, только счётчик». Обработка всё равно есть: сведения о посетителе собираются и хранятся. Вопрос лишь в основании и в объёме.

«Мы используем только российскую аналитику». Место обработки решает вопрос локализации баз данных по части 5 статьи 18 152-ФЗ, но не отменяет требований к основанию обработки и к согласию.

«Пользователь может отключить cookie в браузере». Это его возможность, а не выполнение вашей обязанности: закон адресует требования оператору, а не субъекту.

«У нас всё как у всех». Распространённость практики не входит в перечень обстоятельств, исключающих ответственность. Более того, однотипные баннеры проверяются быстрее — их видно по шаблону. Сколько стоит каждое из нарушений, мы разобрали в материале про штрафы по статье 13.11 КоАП.

Что делать дальше

Cookie-баннер — верхушка. Под ним лежат политика обработки, тексты согласий у форм, основания обработки, срок хранения и подача уведомления в Роскомнадзор. Собирать это по кускам дорого и бессмысленно: либо сайт соответствует закону целиком, либо нет. Этим направлением у нас занимается отдельный проект — приведение сайтов в соответствие 152-ФЗ.

Быстрый способ понять, где вы находитесь сейчас: проверить свой сайт бесплатно. Семнадцать проверок, оценка до 1000 баллов, результат сразу на экране, регистрация не нужна.

Частые вопросы

Обязателен ли cookie-баннер по российскому закону?

Отдельной нормы, требующей показывать баннер, в российском праве нет. Обязанность возникает не из-за баннера, а из-за обработки персональных данных: нужны законное основание, опубликованная политика и, если основание — согласие, само согласие.

Являются ли cookie персональными данными?

Закон не называет их так напрямую. Вопрос решается по определению из пункта 1 статьи 3: если сведения позволяют прямо или косвенно определить конкретного человека, это персональные данные.

Можно ли запускать счётчик аналитики до согласия?

Если счётчик ведёт детальную запись поведения, обработка начинается до решения пользователя. Практикуют три подхода: не запускать вовсе, запускать в урезанном режиме без записи сессий и карты кликов, либо отказаться от внешней аналитики. Выбор нужно отразить в политике.

Источники

• Статья 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»
• Статья 9 Федерального закона от 27.07.2006 № 152-ФЗ
• Статья 18.1 Федерального закона от 27.07.2006 № 152-ФЗ
• Статья 13.11 КоАП РФ