Когда cookie-баннер обязателен по закону
Баннер нужен, если cookie собирают персональные данные: идентификаторы пользователя, IP-адреса, данные сеанса. Закон о персональных данных требует согласия субъекта до начала обработки, когда она не ограничена технической необходимостью — работой корзины, авторизации или защиты от ботов.
Аналитика, ретаргетинг, пиксели соцсетей и сторонние виджеты обрабатывают персональные данные для маркетинга и статистики. Это законные цели, но они требуют согласия. Без него обработка может квалифицироваться как нарушение оснований и целей сбора данных.
Технические cookie, которые нужны только для работы сайта — сессия, язык интерфейса, выбор региона, — согласия не требуют. Но если эти данные передаются третьим лицам или используются для профилирования, ситуация меняется, и баннер становится обязательным.
Что может стать предметом претензий в cookie-баннере
Если трекеры и запросы стартуют до взаимодействия посетителя с баннером, это создаёт риск квалификации как обработка без согласия. Яндекс.Метрика, Google Analytics или пиксель соцсети, которые начинают работу до клика на «Принять», фиксируются при осмотре публичных страниц.
Второй момент — равнозначность отказа. Если согласие оформлено кнопкой «ОК» или «Принять всё», то отказ должен быть столь же прост: кнопка «Отклонить» или «Только необходимые» на том же уровне, а не ссылка в настройках или политике.
Третье — информация о категориях cookie и возможность выбора. Баннер может не давать детальных настроек, но если сайт использует маркетинговые, аналитические и технические cookie одновременно, отсутствие выбора может усилить претензии при проверке.
Как на практике трекеры обходят баннер
Код аналитики часто размещается в шаблоне сайта и запускается при загрузке страницы, до того как посетитель увидел баннер. Скрипт может быть встроен в тег head или подключён через диспетчер тегов, который стартует автоматически.
Некоторые конструкторы баннеров блокируют только установку cookie, но не останавливают сетевые запросы к серверам аналитики. В результате данные о посещении и IP-адрес уходят на сервер счётчика до согласия, а формальное отсутствие cookie в браузере не меняет факта передачи персональных данных.
Ещё один сценарий — баннер показывается только при первом визите, а при повторных заходах аналитика работает по умолчанию, считая молчание согласием. Закон такой логики не предусматривает: отсутствие отказа не равно согласию.
Как проверить, что cookie-баннер работает правильно
Откройте сайт в режиме инкогнито или с очищенными cookie — так вы увидите баннер глазами нового посетителя. Не нажимайте кнопок и откройте инструменты разработчика браузера: вкладка Network покажет, какие запросы ушли на серверы аналитики и трекеров до вашего взаимодействия с баннером.
Проверьте, есть ли кнопка отказа и где она расположена. Если «Принять» — это кнопка, а отказ оформлен ссылкой «Настроить» или спрятан в политике конфиденциальности, это создаёт риск претензий о неравнозначности выбора.
Посмотрите политику конфиденциальности: описаны ли там категории cookie, цели их использования, куда уходят данные и как отозвать согласие. Если информации нет или она формальная, это сигнал для доработки документа.
- Откройте сайт в режиме инкогнито и проверьте вкладку Network до клика на баннер
- Убедитесь, что кнопка отказа оформлена так же заметно, как кнопка согласия
- Проверьте, описаны ли cookie в политике конфиденциальности и указаны ли сроки хранения
Что покажет проверка сайта и как это исправить
Dobrolex открывает сайт с чистой сессии и фиксирует, какие трекеры и сервисы стартуют до взаимодействия с баннером. В отчёте — снимок экрана, время фиксации и список запросов, которые ушли до согласия. Если среди них аналитика или маркетинговые пиксели, это обстоятельство связывается с нормой закона и получает приоритет исправления.
Второй блок — проверка интерфейса баннера: есть ли кнопка отказа, можно ли настроить категории cookie, соответствует ли текст баннера реальному поведению сайта. Если баннер обещает выбор, а код запускает всё сразу, это несоответствие фиксируется.
Третий блок — политика конфиденциальности и документы: описаны ли цели обработки cookie, указаны ли иностранные сервисы-получатели данных, есть ли информация о трансграничной передаче. План действий к отчёту даёт решения для кода, настроек диспетчера тегов и текста документов.
Проверьте cookie-баннер прямо сейчас
- 01Откройте сайт в режиме инкогнито. Очистите cookie или используйте приватное окно — так вы увидите баннер глазами нового посетителя.
- 02Проверьте запросы до клика. Откройте вкладку Network в инструментах разработчика и посмотрите, уходят ли запросы на серверы аналитики до взаимодействия с баннером.
- 03Найдите кнопку отказа. Убедитесь, что отказ от cookie оформлен так же заметно, как согласие, — кнопкой, а не ссылкой в настройках.
- 04Проверьте политику конфиденциальности. Описаны ли категории cookie, цели их использования, куда уходят данные и как отозвать согласие.
- 05Посмотрите, куда уходят данные. Если используете Google Analytics, зарубежные рекламные пиксели или другие иностранные сервисы, проверьте, указана ли трансграничная передача в политике.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Обязателен ли cookie-баннер, если сайт использует только Яндекс.Метрику?
Да, если Метрика собирает идентификаторы пользователей и данные сеанса для аналитики. Это обработка персональных данных, которая требует согласия по 152-ФЗ.
Достаточно ли одной кнопки «Принять» на баннере?
Нет. Закон требует, чтобы отказ был столь же прост, как согласие. Если «Принять» — это кнопка, то и «Отклонить» должна быть кнопкой на том же уровне.
Как проверить, что аналитика не запускается до согласия?
Откройте сайт в режиме инкогнито и посмотрите вкладку Network в инструментах разработчика до клика на баннер. Запросы к серверам счётчиков до взаимодействия — сигнал проблемы.
Нужно ли уведомлять Роскомнадзор, если cookie передаются в Google Analytics?
Передача данных за рубеж регулируется законом о персональных данных и может потребовать уведомления Роскомнадзора до начала передачи, а также согласия субъекта.
Что будет, если баннер есть, но работает неправильно?
Формальное наличие баннера не защищает, если трекеры стартуют до согласия или отказ не равнозначен согласию. Это может квалифицироваться как обработка без законных оснований.
Можно ли считать молчание посетителя согласием?
Нет. Согласие должно быть явным — кликом на кнопку или галочкой. Отсутствие отказа не равно согласию по закону.
Нужна ли отдельная политика cookie или достаточно политики конфиденциальности?
Отдельный документ не обязателен, но информация о cookie должна быть: какие используются, зачем, куда уходят данные и как отозвать согласие. Можно включить раздел в политику конфиденциальности.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.