Cookie-баннер для сайта: требования 152-ФЗ без мифов

Почему cookie касаются закона о персональных данных

Cookie — небольшие записи, которые сайт или сторонний сервис сохраняет в браузере. Одни нужны для работы сайта: корзина, вход в личный кабинет, защита форм. Другие присваивают посетителю идентификатор, по которому аналитика и реклама узнают его при следующих визитах.

Сами по себе cookie — техническая деталь. Но идентификатор из cookie и IP-адрес в связке с другими данными могут считаться персональными данными: по ним можно выделить конкретного человека. Отсюда вывод, на котором строится вся тема:

• для аналитических и рекламных cookie нужно согласие посетителя;
• для технически необходимых cookie согласие не требуется — без них сайт просто не работает.

Специальной статьи «о cookie» в 152-ФЗ нет. Требования к баннеру выводятся из общих правил о согласии — ст. 6 и 9 закона.

Нужен ли баннер, если на сайте только Метрика

Частый вопрос: «У меня нет рекламы, только Яндекс Метрика — баннер нужен?» Да. Метрика — аналитический сервис: она ставит в браузер собственные идентификаторы (например, _ym_uid) и передаёт данные о визите в Яндекс. Это ровно та обработка, для которой нужно согласие.

То, что Метрика российская, снимает вопрос локализации, но не вопрос основания. Сервер в России не заменяет согласие посетителя.

Баннер не нужен, только если на сайте вообще нет аналитики, пикселей и сторонних виджетов, которые ставят свои cookie, — остались лишь технические. Таких сайтов немного: карта, видео или чат из стороннего сервиса тоже приносят свои cookie. Но даже тогда стоит описать cookie в политике, чтобы посетитель понимал, что хранится в его браузере.

Уведомление и согласие: в чём разница

Путаница между этими двумя словами — главная причина бесполезных баннеров.

Уведомление годится для технических cookie: о них достаточно рассказать. Для аналитики и рекламы нужно согласие — конкретное, информированное и однозначное (ч. 1 ст. 9 152-ФЗ). С 1 сентября 2025 года согласие ещё и оформляется отдельно от иных документов (ч. 4 ст. 9 в редакции 156-ФЗ), поэтому фраза в пользовательском соглашении «вы согласны на cookie» его не заменяет.

Требования к cookie баннеру для сайта по 152-ФЗ

Закон не утверждает макет баннера. Требования ниже следуют из того, каким должно быть согласие, и из здравого смысла: если человек не может отказаться, согласие нельзя назвать сознательным.

Равнозначный отказ

Кнопки «Принять» и «Отказаться» — одного размера, одного уровня заметности, на первом экране баннера. Отказ не прячется в настройки на третьем шаге.

Нет согласия прокруткой, бездействием или закрытием

Согласие не может быть получено прокруткой страницы, бездействием или закрытием баннера крестиком. Пока посетитель не нажал «Принять», считается, что согласия нет.

Категории без предотметок

Хороший баннер делит cookie минимум на три группы: необходимые (всегда включены), аналитика, реклама. Переключатели необязательных категорий по умолчанию выключены.

Ссылка на политику cookie

Из баннера ведёт ссылка на документ, где перечислены cookie, сервисы, которые их ставят, цели и сроки хранения. Согласие без этой информации сложно назвать информированным. Составить документ по списку сервисов поможет конструктор политики cookie.

Возможность изменить выбор

Согласие можно отозвать (ч. 2 ст. 9 152-ФЗ). Для сайта это значит: в подвале есть ссылка «Настройки cookie», которая снова открывает окно выбора. После отзыва счётчики перестают запускаться.

Журнал согласий

Согласие должно даваться в форме, позволяющей подтвердить факт его получения (ч. 1 ст. 9). Для баннера это журнал: когда посетитель сделал выбор, какой именно и какую версию текста видел. IP-адрес в таком журнале разумно хранить усечённым — полный адрес для доказательства не нужен.

Про общие правила согласия — отдельный материал о согласии на обработку персональных данных.

Какие cookie к какой категории относить

Разложить сервисы по группам проще всего по вопросу «сломается ли сайт, если это выключить».

С виджетами удобно поступать так же, как со счётчиками: показывать заглушку «Карта загрузится после согласия» и подгружать сервис только после выбора посетителя.

Что написать в тексте баннера

Текст баннера — не место для юридических формулировок. Две-три фразы, которые человек успеет прочитать за пять секунд:

Мы используем cookie. Необходимые нужны для работы сайта. Аналитические и рекламные включим, только если вы разрешите: они помогают понять, какие страницы полезны. Подробнее — в [политике cookie]. Выбор можно изменить в любой момент.

[Принять] [Отказаться] [Настроить]

В тексте нет слов «продолжая», «оставаясь на сайте» и «вы соглашаетесь» — их место заняли понятные кнопки. Название оператора и полный перечень сервисов уходят в политику cookie, ссылка на которую есть в баннере.

Почему баннер без блокировки счётчиков бесполезен

Представим типичный сайт: код Метрики вставлен в шапку шаблона, а баннер подключён плагином. Посетитель открывает страницу. Браузер читает шапку, Метрика стартует, ставит идентификатор и отправляет первый визит. Через полсекунды появляется баннер.

Что бы человек ни нажал дальше, данные уже ушли. Кнопка «Отказаться» в такой схеме ничего не меняет, а баннер лишь создаёт впечатление порядка. С точки зрения проверки это тот же признак риска, что и сайт вовсе без баннера: обработка началась без согласия.

Рабочая схема обратная: код счётчиков не выполняется, пока нет согласия. Баннер — не вывеска, а выключатель.

Как проверить свой cookie-баннер за 5 минут

Понадобится Chrome, Яндекс Браузер или любой браузер с инструментами разработчика.

1. Откройте окно инкогнито. Так в браузере не будет старых cookie и сохранённого выбора.
2. Откройте инструменты разработчика (F12 или Ctrl+Shift+I, на Mac — Cmd+Option+I) и перейдите на вкладку Network. Поставьте галочку Preserve log, чтобы запросы не пропадали при переходах.
3. Введите адрес сайта и не трогайте баннер. Подождите 10–15 секунд.
4. Найдите запросы счётчиков. В поле фильтра по очереди введите mc.yandex, top-fwz1.mail.ru, vk.com, google. Любой найденный запрос до вашего выбора — признак того, что счётчик стартует без согласия.
5. Загляните в хранилище. Вкладка Application → Storage → Cookies → адрес сайта. Посмотрите, есть ли там идентификаторы аналитики, например _ym_uid, _ym_d, _ga.
6. Нажмите «Отказаться» и обновите страницу. Запросов к счётчикам и их cookie по-прежнему быть не должно.
7. Очистите данные сайта (Application → Storage → Clear site data), обновите страницу и нажмите «Принять». Теперь запросы к счётчикам должны появиться — значит, после согласия статистика работает.
8. Проверьте, можно ли изменить выбор. Найдите в подвале ссылку на настройки cookie и отзовите согласие.

Если на шаге 4 или 5 что-то нашлось — баннер не блокирует счётчики. Автоматическая проверка сайта проходит те же три сценария — без выбора, с отказом и с согласием — на двадцати страницах сразу.

Типовые ошибки в cookie-баннерах

Возможная ответственность здесь — по общим составам ст. 13.11 КоАП, в первую очередь по ч. 1 (обработка без законного основания: для организаций 150–300 тыс. рублей). Отдельного состава «за cookie-баннер» в КоАП нет, а устоявшейся практики штрафов Роскомнадзора именно за cookie в официальных источниках мы не нашли. Это не повод откладывать исправление: счётчик до согласия виден любому посетителю.

Как не потерять статистику и UTM-метки

Главный страх маркетолога: «Если Метрика ждёт согласия, мы потеряем источники трафика». Опасение справедливое, и у него есть простая причина.

Посетитель приходит по рекламной ссылке вида site.ru/?utm_source=yandex&utm_campaign=autumn. Пока он читает баннер, он может перейти на другую страницу — и метка из адреса исчезнет. Если Метрика запустится только теперь, визит засчитается как внутренний переход, без источника. Реклама в отчётах «проседает», хотя люди пришли.

Решение — отложенный запуск с передачей точки входа:

1. При первом открытии страницы скрипт согласий запоминает в браузере адрес входа с UTM-метками и источник перехода. Никуда он их не отправляет.
2. Пока выбора нет, счётчики не запускаются, данные не уходят.
3. Если посетитель нажал «Принять» — скрипт запускает Метрику и передаёт ей исходный адрес и источник. Визит засчитывается с правильной меткой, даже если согласие дано на третьей странице.
4. Если посетитель отказался — сохранённые сведения удаляются, счётчик не запускается.

Так работает наш скрипт согласий: баннер, блокировка счётчиков до согласия, передача точки входа и журнал согласий подключаются одной строкой кода.

Честная оговорка: посетители, которые отказались, в статистику не попадут. Это цена законной аналитики. Зато данные тех, кто согласился, будут полными, с источниками и метками.

Источники

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 6 и 9
• Федеральный закон от 24.06.2025 № 156-ФЗ (согласие оформляется отдельно)
• Кодекс РФ об административных правонарушениях, ст. 13.11
• Портал персональных данных Роскомнадзора