Когда согласие на cookie обязательно
Закон о персональных данных требует согласия, если cookie позволяет идентифицировать человека или собирает информацию о его поведении. Счётчик посещений, который фиксирует только общую статистику без привязки к конкретному посетителю, может не требовать согласия. Но как только подключается Яндекс Метрика с вебвизором, Google Analytics с User ID или рекламные пиксели — данные становятся персональными.
Трекеры собирают уникальные идентификаторы браузера, историю переходов, клики и прокрутки. Эти данные позволяют построить профиль посетителя и связать его действия на разных сайтах. Если такой сбор идёт без согласия, возникает риск квалификации как обработка персональных данных без законного основания.
Проблема в том, что визуально баннер может быть на месте, но технически скрипты уже запустились и отправили данные. Посетитель видит предложение принять cookie, а трекер уже зафиксировал его IP, разрешение экрана и время на странице.
Что проверить на своём сайте прямо сейчас
Откройте сайт в режиме инкогнито — так вы увидите его глазами нового посетителя, без сохранённых cookie. Посмотрите на баннер: есть ли кнопка отказа, равноценная кнопке согласия? Если отказ спрятан в настройках или его вообще нет, это первый сигнал риска.
Откройте инструменты разработчика браузера, вкладку Network, и перезагрузите страницу. Если до клика на баннер уже ушли запросы к Яндексу, Google, зарубежным рекламным пикселям или другим сервисам — трекеры стартовали без согласия. Это распространённая ошибка при использовании плагинов для cookie-баннеров: плагин показывает окно, но не блокирует выполнение скриптов.
Проверьте политику конфиденциальности: перечислены ли в ней все сервисы, которые реально подключены к сайту? Если в коде есть пиксель TikTok, а в политике он не упомянут, это создаёт дополнительный риск при проверке.
Как технически блокировать cookie до согласия
Баннер должен не просто информировать, а физически останавливать загрузку трекеров до получения согласия. Для этого скрипты аналитики и рекламы оборачиваются в условие: они выполняются только после того, как посетитель дал согласие на соответствующую категорию.
Категории обычно делят на необходимые, аналитические, маркетинговые и функциональные. Необходимые cookie, без которых сайт не работает, могут устанавливаться без согласия. Все остальные — только после явного действия посетителя. Менеджер согласий сохраняет выбор и контролирует, какие скрипты загружать.
На практике это значит: код Метрики, Analytics или пикселя оборачивается проверкой, и если согласия нет — скрипт не выполняется. Техническая реализация зависит от платформы: для WordPress существуют плагины, для самописных сайтов — библиотеки или кастомный код.
Что делать, если данные уходят за рубеж
Многие сервисы аналитики и рекламы отправляют данные на серверы за пределами России. Если среди этих данных есть персональные — например, идентификатор пользователя или информация о его действиях, — это трансграничная передача. Закон требует, чтобы такая передача была указана в политике конфиденциальности, а в ряде случаев — чтобы оператор уведомил Роскомнадзор.
Проверить, куда уходят данные, можно через сетевой трафик браузера: если запросы идут на домены с адресами серверов в других странах, это сигнал. Но сам факт запроса — это технический признак, а не доказательство нарушения. Юридическая квалификация зависит от того, что именно передаётся, в какую страну и на каком основании.
Если обнаружили трансграничную передачу, добавьте информацию о ней в политику конфиденциальности: какие данные, какому сервису и с какой целью. В некоторых случаях потребуется отдельное согласие или уведомление регулятора — это зависит от страны получателя и характера данных.
Как убедиться, что настройка работает
После внесения изменений снова откройте сайт в режиме инкогнито и проверьте сетевой трафик. До клика на баннер не должно быть запросов к сторонним сервисам аналитики и рекламы. После согласия — трекеры запускаются, после отказа — остаются заблокированы.
Проверьте сценарий отказа: если посетитель отклонил аналитические cookie, Метрика и Analytics не должны загружаться вообще. Если он принял только необходимые и отклонил маркетинговые — рекламные пиксели остаются выключены, а счётчики работают.
Техническая проверка показывает, что код работает правильно, но не отвечает на вопрос, достаточно ли этого с точки зрения закона. Полная картина рисков видна только при сопоставлении технических фактов с требованиями норм.
Чек-лист: проверьте cookie на своём сайте
- 01Баннер с равноценным отказом. Откройте сайт в режиме инкогнито — есть ли кнопка отказа, такая же заметная, как кнопка согласия?
- 02Трекеры не стартуют до согласия. Откройте Network в инструментах разработчика, перезагрузите страницу — нет ли запросов к Яндексу, Google или рекламным сетям до клика?
- 03Категории cookie в баннере. Может ли посетитель выбрать, какие типы cookie разрешить, а какие — запретить?
- 04Политика конфиденциальности актуальна. Перечислены ли в политике все сервисы аналитики и рекламы, которые реально подключены?
- 05Трансграничная передача указана. Если данные уходят за рубеж — есть ли об этом информация в политике, названы ли страны и сервисы?
- 06Сценарий отказа работает. Откажитесь от аналитических cookie через баннер и проверьте Network — трекеры действительно не загрузились?
- 07Согласие можно отозвать. Есть ли на сайте понятный способ изменить или отозвать согласие после того, как оно было дано?
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли согласие на cookie, если у меня только счётчик посещений?
Зависит от того, какие данные собирает счётчик. Если он фиксирует только общее число визитов без идентификации посетителей — согласие не требуется. Но если счётчик записывает уникальные идентификаторы, IP-адреса или поведение конкретного человека, это уже персональные данные, и согласие нужно.
Как понять, запускаются ли трекеры до согласия?
Откройте сайт в режиме инкогнито, зайдите во вкладку Network инструментов разработчика браузера и перезагрузите страницу. Если до клика на баннер появились запросы к Яндексу, Google, зарубежным рекламным пикселям или другим сервисам — трекеры стартовали без согласия.
Что делать, если данные уходят на серверы Google или Яндекса за границу?
Укажите в политике конфиденциальности, какие данные передаются, какому сервису и в какую страну. В зависимости от характера данных и страны получателя может потребоваться отдельное согласие или уведомление Роскомнадзора.
Достаточно ли установить плагин для cookie-баннера?
Не всегда. Многие плагины показывают баннер, но не блокируют выполнение скриптов до получения согласия. Проверьте в Network, что трекеры действительно не загружаются до клика на «Принять».
Как настроить категории cookie — аналитические, маркетинговые?
Разделите скрипты на группы: необходимые для работы сайта, аналитические, маркетинговые. Оберните код каждой категории в проверку согласия: скрипт выполняется, только если посетитель разрешил эту категорию. Используйте менеджер согласий или кастомный код.
Какой штраф грозит за cookie без согласия?
Это может квалифицироваться как обработка персональных данных без законного основания или без согласия, когда оно обязательно. Размер санкций зависит от конкретной нормы и обстоятельств. Диапазон штрафов для организаций — от десятков тысяч до нескольких миллионов рублей.
Нужен ли мне юрист для настройки cookie?
Для базовой настройки можно обойтись самостоятельно: установить менеджер согласий, обновить политику конфиденциальности, проверить запуск трекеров. Юрист потребуется, если есть трансграничная передача, сложная архитектура обработки данных или вы хотите получить документы с юридической проработкой.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.