Когда нужно согласие на установку cookies
Согласие посетителя обязательно, если cookie собирают персональные данные или помогают идентифицировать человека. Это аналитика с передачей IP-адреса и параметров браузера, поведенческая реклама, авторизация через соцсети, чаты и виджеты с передачей данных третьим лицам.
Технические cookie для работы сайта — корзина, язык интерфейса, сессия — не требуют согласия, если они не идентифицируют посетителя и не передаются третьим лицам. Но граница размыта: если cookie с «техническим» назначением попадает в аналитику стороннего сервиса, это уже обработка персональных данных.
Главный риск — трекеры стартуют до того, как посетитель кликнул на баннер. Браузер отправляет запросы к аналитике, рекламным сетям и зарубежным CDN в момент открытия страницы. Формально это обработка без согласия, и если данные ушли за рубеж — ещё и риск трансграничной передачи.
Что проверяет Роскомнадзор и какие штрафы грозят
Роскомнадзор может прийти с плановой проверкой или по жалобе посетителя. Проверяющие смотрят, есть ли баннер cookie, какие данные собираются до согласия, куда они передаются, соответствует ли текст политики конфиденциальности фактическим cookie.
Обработка персональных данных без согласия, когда оно обязательно, квалифицируется по КоАП РФ. Нарушение требований к согласию или его отсутствие — одна из самых частых причин штрафов. Если данные граждан России передаются за рубеж без уведомления Роскомнадзора, это может создавать риск по нормам закона.
Практика показывает: владельцы сайтов узнают о нарушениях, когда уже получили предписание или протокол. Проверка до визита регулятора даёт время исправить баннер, настроить задержку запуска трекеров и актуализировать политику конфиденциальности.
Как работает баннер cookie и где возникают риски
Баннер cookie — это интерфейс, через который посетитель даёт или отказывает в согласии. Закон требует равнозначности: отказаться должно быть так же просто, как согласиться. Если на баннере только кнопка «Принять» или «ОК», а отказ спрятан в настройках или мелком тексте — это может квалифицироваться как нарушение требований к согласию.
Второй момент — момент запуска трекеров. Баннер может быть на странице, но скрипты аналитики, рекламы и виджетов загружаются сразу при открытии, до клика. Технически посетитель ещё не дал согласие, а его данные уже собираются и передаются.
Третий риск — несоответствие политики конфиденциальности и фактических cookie. В политике описаны только Яндекс Метрика и Google Analytics, но на сайте работают пиксели соцсетей, чаты, рекламные сети. Роскомнадзор сравнивает документы с реальностью — расхождение создаёт риск.
Как проверить согласие на cookies и что сайт делает на самом деле
Самостоятельная проверка через инструменты браузера показывает список cookie и сетевые запросы, но не даёт правовой оценки. Вы видите, что данные ушли к стороннему сервису, но не знаете, создаёт ли это риск по закону и что исправить в первую очередь.
Dobrolex открывает сайт с чистой сессии — как новый посетитель, до любого клика на баннер. Проверка фиксирует, какие трекеры стартовали до согласия, какие данные и куда передаются, как выглядит интерфейс баннера. Каждый технический факт связывается с нормой закона.
В отчёте — снимки экрана с временем фиксации, цитаты из политики конфиденциальности, список сетевых запросов к внешним сервисам. По каждому эпизоду — правовая квалификация, серьёзность риска и рекомендация, что исправить. Сетевые запросы — технический сигнал для дополнительной проверки, а не готовое обвинение.
Что исправить, чтобы баннер соответствовал закону
Первое — убедитесь, что трекеры не стартуют до согласия. Скрипты аналитики, рекламы и виджетов должны загружаться только после клика на «Принять». Это настраивается через систему управления согласиями или вручную в коде.
Второе — проверьте интерфейс баннера. Кнопка отказа должна быть равнозначна кнопке согласия: тот же размер, цвет, видимость. Если сайт собирает данные для разных целей — аналитика, реклама, функциональность — посетитель должен иметь возможность настроить категории.
Третье — актуализируйте политику конфиденциальности. Опишите все cookie, которые фактически устанавливаются, цели обработки, получателей данных. Если данные передаются за рубеж — укажите страны и основания передачи. Политика должна соответствовать тому, что сайт делает на самом деле.
Проверьте баннер cookie на своём сайте
- 01Откройте сайт в режиме инкогнито. Проверьте, появляется ли баннер cookie при первом визите и какие кнопки на нём есть.
- 02Посмотрите сетевые запросы до клика на баннер. Откройте инструменты разработчика (F12), вкладка Network, обновите страницу — уходят ли запросы к аналитике и сторонним сервисам до согласия.
- 03Проверьте равнозначность кнопок. Кнопка «Отказаться» должна быть так же заметна, как «Принять» — без мелкого шрифта и скрытых ссылок.
- 04Сравните политику конфиденциальности с фактическими cookie. Откройте Application → Cookies в инструментах браузера, сверьте список доменов с текстом политики.
- 05Проверьте, есть ли настройки категорий. Если сайт использует аналитику, рекламу и функциональные cookie — посетитель должен иметь возможность выбрать категории.
- 06Уточните, передаются ли данные за рубеж. Посмотрите домены в сетевых запросах — если это иностранные сервисы, проверьте, подано ли уведомление Роскомнадзору.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточникч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли согласие на cookies, если на сайте только Яндекс Метрика?
Да, если Метрика собирает IP-адреса и параметры браузера — это персональные данные. Согласие обязательно, если посетитель идентифицируется.
Можно ли на баннере оставить только кнопку «Принять»?
Нет, закон требует равнозначности выбора. Отказаться должно быть так же просто, как согласиться — кнопка того же размера и видимости.
Что будет, если аналитика запускается до клика на баннер?
Это может квалифицироваться как обработка персональных данных без согласия — риск штрафа. Трекеры должны стартовать только после согласия.
Нужно ли уведомлять Роскомнадзор, если cookie передаются Google Analytics?
Если данные граждан России уходят за рубеж — это может создавать риск по закону. Конкретная процедура и правовая оценка требуют консультации юриста.
Что проверяет Роскомнадзор при проверке сайта на согласие на cookies?
Наличие баннера, момент запуска трекеров, равнозначность кнопок, соответствие политики конфиденциальности фактическим cookie, передачу данных за рубеж.
Можно ли обойтись без баннера, если все cookie технические?
Да, если cookie только для работы сайта (корзина, сессия) и не передаются третьим лицам — баннер не нужен. Но аналитика и виджеты — это уже не технические cookie.
Как понять, какие данные уходят за рубеж через сторонние скрипты?
Проверка фиксирует сетевые запросы к иностранным сервисам и указывает на риск трансграничной передачи — с доменами и временем запроса.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.