Cookie баннер с выбором cookie: как проверить, что он работает по закону

Почему баннер на сайте не всегда означает согласие по закону

Закон требует информированного и добровольного согласия на обработку персональных данных. Если cookie содержат идентификаторы посетителя или передаются сторонним сервисам, они попадают под 152-ФЗ. Баннер — это интерфейс для получения согласия, но сам по себе текст на экране ничего не гарантирует.

Главная проблема: аналитика и трекеры часто запускаются раньше, чем посетитель нажал кнопку. Скрипты Google Analytics, Яндекс Метрики или зарубежных рекламных пикселей начинают работу при загрузке страницы, а баннер появляется позже — формально для галочки. Такая ситуация создаёт риск: согласие не получено, а обработка уже началась.

Второй риск — неравнозначный выбор. Если кнопка «Принять всё» яркая и большая, а отказ спрятан мелким шрифтом в настройках, это может квалифицироваться как давление на посетителя. Закон требует, чтобы отказ был таким же доступным, как и согласие.

Что проверять в cookie-баннере с точки зрения 152-ФЗ

Первое — реальное поведение кода. Баннер должен блокировать запуск трекеров до того, как посетитель дал согласие. Это проверяется не на словах, а технически: какие сетевые запросы ушли с чистой сессии, до любого клика. Если Google Analytics или другой сервис уже получил данные — это признак нарушения.

Второе — равнозначность кнопок. Интерфейс баннера не должен подталкивать к согласию: кнопки «Принять» и «Отказаться» должны быть одинаково заметны. Если отказ требует нескольких кликов или спрятан в меню настроек, это может быть расценено как недобровольное согласие.

Третье — возможность выбора категорий. Посетитель должен иметь возможность принять только необходимые cookie (например, для работы корзины) и отказаться от аналитических или рекламных. Баннер «всё или ничего» не даёт реального контроля и создаёт правовой риск.

• Трекеры и аналитика не запускаются до согласия посетителя
• Кнопки согласия и отказа равнозначны по размеру и заметности
• Посетитель может выбрать категории cookie, а не только принять всё или отказаться от всего
• Баннер связан с политикой обработки персональных данных, опубликованной на сайте

Как устроена работа cookie и трекеров на практике

Cookie — это небольшие файлы, которые сайт сохраняет в браузере посетителя. Технические cookie нужны для работы сайта: например, чтобы помнить содержимое корзины или язык интерфейса. Для них согласие не требуется, если они не передаются третьим лицам и не содержат идентификаторов.

Аналитические и рекламные cookie — другая история. Они собирают данные о поведении посетителя: какие страницы открыл, сколько времени провёл, откуда пришёл. Эти данные часто передаются сторонним сервисам — Google, Яндекс, иностранным соцсетям — и могут идентифицировать конкретного человека. Для таких cookie согласие обязательно.

Трекеры стартуют через скрипты, встроенные в код страницы. Если скрипт загружается сразу при открытии сайта, а баннер появляется с задержкой — согласие формальное. Правильная реализация: скрипты трекеров загружаются только после того, как посетитель нажал «Принять».

Как проверить, что баннер работает корректно

Проверка начинается с чистой сессии — так, как сайт видит новый посетитель. Открываете сайт в режиме инкогнито или с очищенными cookie и смотрите: какие запросы ушли до того, как вы нажали любую кнопку. Если в сетевом трафике появились запросы к Google Analytics, Яндекс Метрике или другим трекерам — они стартовали без согласия.

Следующий шаг — оценка интерфейса баннера. Откройте сайт и посмотрите: можно ли отказаться от cookie так же легко, как и согласиться? Есть ли кнопка «Отказаться» рядом с «Принять всё» или нужно искать ссылку внизу мелким шрифтом? Есть ли возможность выбрать категории cookie, а не только принять всё или отклонить всё?

Третий момент — связь баннера с документами. Баннер должен ссылаться на политику обработки персональных данных, и эта политика должна быть опубликована на сайте. Если политики нет, устарела или не описывает сторонние сервисы, которые реально получают данные, — это риск.

Что делать, если баннер не блокирует трекеры

Если трекеры запускаются до согласия, нужно изменить код сайта. Скрипты аналитики и рекламы должны загружаться условно — только после того, как посетитель дал согласие. Большинство современных систем управления согласием (Consent Management Platform, CMP) умеют это делать, но требуют правильной настройки.

Если вы используете готовый плагин или сервис для баннера, проверьте его настройки: включена ли блокировка скриптов до согласия, добавлены ли все трекеры в список блокируемых. Некоторые плагины по умолчанию только показывают баннер, но не блокируют код — это нужно настраивать вручную.

Если данные передаются на иностранные серверы — Google, иностранные соцсети, другие зарубежные сервисы — это трансграничная передача персональных данных. По закону требуется уведомить Роскомнадзор до начала такой передачи. Отсутствие уведомления создаёт отдельный риск штрафа.