Почему одного баннера недостаточно
Баннер — это только интерфейс, который показывается посетителю. Закон о персональных данных оценивает не текст на экране, а реальное поведение сайта: что происходит в браузере до того, как человек нажал кнопку, какие данные собираются и куда они отправляются.
Частая ситуация: баннер есть, в нём написано про согласие, но скрипты аналитики и рекламы уже запустились в момент загрузки страницы. Формально согласия ещё нет, а данные посетителя уже ушли на сторонние серверы. Такое расхождение между заявлением и фактом создаёт правовой риск.
Другая проблема — отсутствие равнозначного отказа. Если кнопка «Принять» крупная и заметная, а отклонить можно только через мелкую ссылку или настройки, согласие может быть признано вынужденным, а не добровольным.
Что проверяется на практике
Проверка начинается с чистой сессии — так, как сайт видит новый посетитель, который ещё ничего не принял и не отклонил. Фиксируется, какие скрипты загружаются, какие cookie устанавливаются и к каким внешним сервисам идут запросы.
Одновременно проверяется сам баннер: есть ли явная кнопка отказа, можно ли настроить категории cookie, соответствует ли текст согласия тому, что описано в политике конфиденциальности. Политика сравнивается с реальным поведением сайта — какие сервисы названы в документе и какие фактически получают данные.
Если обнаруживаются запросы к иностранным доменам (серверы аналитики, рекламы, авторизации), это фиксируется как риск трансграничной передачи персональных данных. Такая передача требует уведомления Роскомнадзора и дополнительных условий в политике.
Как читать результат проверки
Заключение содержит снимки экрана с временем фиксации, дословные цитаты из политики конфиденциальности и описание того, что происходило в браузере. Каждый эпизод с признаками нарушения связан с конкретной нормой закона и получает оценку серьёзности.
Важно понимать границы проверки: она охватывает только публичные страницы, без входа в личный кабинет и без отправки форм. Сетевые запросы фиксируются как технический сигнал, а не как доказательство нарушения — окончательную квалификацию даёт юрист.
Если эпизодов не найдено, это значит, что на осмотренных страницах признаков нарушений нет. Это не гарантия полного соответствия закону — серверная часть, закрытые разделы и внутренние процессы остаются за рамками проверки.
Что исправлять в первую очередь
Если трекеры запускаются до согласия, первый шаг — настроить отложенную загрузку скриптов. Это техническая задача: код аналитики и рекламы должен стартовать только после того, как посетитель явно согласился.
Баннер должен предоставлять равнозначный выбор: кнопка отказа по размеру и заметности не должна уступать кнопке согласия. Если используются несколько категорий cookie (обязательные, аналитические, рекламные), нужна возможность настройки.
Политика конфиденциальности должна перечислять все сервисы, которые получают данные, и описывать цели обработки. Если данные передаются за рубеж, это должно быть явно указано, а уведомление Роскомнадзора подано до начала передачи.
Чек-лист: проверьте cookie-баннер самостоятельно
- 01Откройте сайт в режиме инкогнито. Посмотрите, появляется ли баннер, есть ли кнопка отказа и насколько она заметна по сравнению с кнопкой согласия.
- 02Проверьте политику конфиденциальности. Убедитесь, что в ней перечислены все сервисы аналитики и рекламы, которые вы используете, и описаны цели обработки данных.
- 03Попросите разработчика проверить момент запуска трекеров. Скрипты аналитики и рекламы должны загружаться только после того, как посетитель нажал «Принять», а не при открытии страницы.
- 04Уточните, куда уходят данные. Если используются иностранные сервисы (Google Analytics, Facebook Pixel и подобные), проверьте, подано ли уведомление Роскомнадзору.
- 05Проверьте текст согласия. Он должен быть конкретным: какие данные собираются, для чего и кому передаются. Общие фразы «для улучшения сервиса» создают риск.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Достаточно ли установить готовый плагин для cookie-баннера?
Плагин решает только часть задачи — показывает баннер и сохраняет выбор. Но если трекеры запускаются до согласия или политика не описывает реальную обработку данных, риск остаётся. Нужна техническая настройка и проверка документов.
Как понять, запускаются ли трекеры до согласия?
Откройте сайт в режиме инкогнито и посмотрите в инструментах разработчика (вкладка Network), какие запросы идут до того, как вы нажали на баннер. Если видите домены аналитики или рекламы — трекеры стартовали раньше времени.
Нужно ли уведомлять Роскомнадзор, если используется Google Analytics?
Если данные россиян передаются на серверы за рубежом, уведомление обязательно. Google Analytics по умолчанию отправляет данные в США, и это создаёт риск. Нужно проверить настройки и при необходимости подать уведомление.
Можно ли обойтись без кнопки «Отклонить»?
Нет. Согласие должно быть добровольным, а это значит, что отказ должен быть таким же простым и заметным, как и принятие. Если кнопки отказа нет или она спрятана, согласие может быть признано вынужденным.
Что делать, если проверка выявила нарушения?
В отчёте будет указано, какие эпизоды создают риск, и даны рекомендации: что исправить в коде, как изменить баннер и какие разделы политики переписать. Можно передать это разработчику или подключить юриста для сопровождения.
Гарантирует ли отчёт, что штрафа не будет?
Отчёт показывает, что проверено и какие риски найдены на публичных страницах. Он не заменяет юридическую консультацию и не гарантирует отсутствие претензий регулятора — закрытые разделы и серверная часть остаются за рамками проверки.
Как часто нужно проверять cookie-баннер и политику?
Проверяйте после каждого изменения: добавили новый трекер, изменили баннер, подключили сервис авторизации. Закон оценивает текущее состояние сайта, и то, что было в порядке месяц назад, может стать риском после обновления.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.