Cookie-баннер по 152-ФЗ: как проверить согласие и скрипты

Cookie становятся персональными данными, когда по ним можно прямо или косвенно определить пользователя. Например, рекламный идентификатор связывает посещения одного устройства и показывает, что человек делает на разных сайтах.

Для аналитики и рекламы обычно нужно согласие, а технические cookie могут работать по другому основанию — например, для исполнения договора с пользователем. Сам баннер не делает сайт законным: важны выбор, отказ, отзыв и порядок запуска скриптов.

Что такое cookie и когда они персональные данные

Cookie — это небольшие записи, которые сайт сохраняет в браузере пользователя. С их помощью сайт узнаёт посетителя в следующий раз: сохраняет вход, корзину, язык или настройки.

Сама запись не делает cookie персональными данными автоматически. Нужно смотреть, можно ли по ней определить конкретного человека напрямую или вместе с другими сведениями.

Примеры разных ситуаций:

• случайный номер сессии, который нужен только чтобы удержать товары в корзине;
• устойчивый идентификатор, по которому сервис узнаёт устройство и строит историю его действий;
• рекламный ID, который связывает поведение пользователя на разных сайтах.

Техническое назначение не исключает статус персональных данных: номер сессии тоже может быть связан с заказом или учётной записью человека. Для каждой категории отдельно проверяют возможность идентификации, цель и основание обработки.

Какие cookie бывают и как их разделить

Разделяйте cookie по назначению, а не по тому, как называется файл или сервис. Одна и та же аналитическая система может собирать разные данные.

Строго технические cookie тоже стоит описать. Но не объединяйте их с аналитикой и рекламой в одну кнопку «принять всё»: цели и выбор у пользователя разные.

Пункт 9 части 1 статьи 6 152-ФЗ предусматривает обработку в статистических и исследовательских целях при обязательном обезличивании и с установленными законом исключениями. Это не универсальное разрешение запускать любой счётчик: нужно проверить цель и весь путь данных, включая их сбор до обезличивания. Сохранение устойчивых идентификаторов не позволяет автоматически назвать статистику анонимной.

Когда нужно согласие и когда можно без него

Согласие — один из способов разрешить обработку, но не единственный. По статье 6 она также возможна для исполнения договора с пользователем, для законных интересов оператора и в других перечисленных законом случаях.

Практически это выглядит так:

• Корзина и авторизация. Сайт не может оказать выбранную услугу без этих cookie. Отдельная аналитика здесь ни при чём.
• Яндекс Метрика. Сервис сохраняет идентификаторы и поведение посетителей. Безопасный подход — получить согласие до запуска счётчика и описать его в документах.
• Рекламный пиксель. Пользователь должен понимать, что его действия используют для рекламы, и иметь возможность отказаться.
• Простая визитка без аналитики и виджетов. Если нет обработки идентификаторов для статистики или рекламы, интерактивный баннер может вообще не понадобиться.

Не ищите ответ в названии сервиса. Проверьте, что он записывает и что делает с этими записями. Это определяет, какое основание подходит.

Общие правила для небольшого бизнеса описаны в нашем гайде «152-ФЗ: персональные данные».

Как должен работать cookie-баннер

Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Это требования статьи 9 152-ФЗ. Баннер помогает выполнить их. При этом закон не устанавливает обязательный макет, три конкретные кнопки или перечень категорий cookie. Ниже — практическая схема для сайта, который использует согласие как основание необязательной обработки; это рекомендации по реализации требований, а не дословный интерфейс из закона. С 1 сентября 2025 года согласие оформляют отдельно от иных документов и информации, которые подтверждает или подписывает пользователь. Не включайте его в принятие оферты или политики одной общей галочкой.

Выбор появляется до скриптов. Те счётчики, пиксели и виджеты, для которых выбрано основание «согласие», не запускаются до утвердительного действия пользователя. Если запрос уже ушёл, баннер лишь констатирует обработку.

Категории разделены. Необходимые технические cookie с самостоятельным законным основанием объясняют отдельно. Для необязательной обработки пользователь должен понимать, на какие цели соглашается; в предлагаемой схеме аналитику и рекламу можно выбрать раздельно. Не ставьте галочки заранее.

Отказ не сложнее согласия. Действия «Принять», «Отклонить необязательные» и «Настроить» видны сразу. Не прячьте отказ в третьем экране.

Решение можно изменить. В подвале сайта или другом заметном месте есть постоянная ссылка на настройки cookie. После отзыва необязательные скрипты больше не запускаются.

Факт выбора фиксируется. Сохраняйте дату, версию текста баннера и состав выбранных категорий. По части 3 статьи 9 доказывать согласие должен оператор.

Не используйте само продолжение просмотра, скроллинг или закрытие баннера как доказательство согласия: оператору трудно подтвердить конкретный и однозначный выбор пользователя. Явное действие с понятным текстом надёжнее.

Пример текста cookie-баннера

Текст собирается под конкретный сайт. Укажите оператора, категории, цели, выбор и ссылку на документы.

Пример

ООО «Ромашка» использует cookie: технические — чтобы корзина и авторизация работали, аналитические — чтобы считать посещаемость, рекламные — чтобы измерять результат рекламных кампаний. Необязательные категории включаются только с вашего согласия. Изменить решение можно в любой момент в настройках cookie. Подробнее — в политике обработки персональных данных.

Дальше три действия: принять всё, отклонить необязательные, настроить. В настройках аналитика и реклама разделены. Если на сайте нет рекламных cookie, не выдумывайте эту категорию.

Не пишите «для улучшения сервиса» вместо целей. Лучше назвать их прямо: работа корзины, измерение посещаемости, показ рекламы.

Что включить в политику обработки cookie

Отдельная политика cookie необязательна. Описание можно включить разделом в общую политику обработки персональных данных или вынести на отдельную страницу. Главное — чтобы текст совпадал с реальными скриптами.

Проверьте наличие таких пунктов:

1. Категории cookie и цели. Технические, аналитические, рекламные и зачем каждая нужна.
2. Сервисы. Названия счётчиков, чатов, рекламных систем и других виджетов.
3. Данные. Что именно записывается: идентификаторы, устройство, браузер, страницы, действия.
4. Сроки. Укажите фактический срок каждой категории. Сессионные cookie обычно удаляются при завершении сессии, но восстановление сессии браузером может продлить их существование; постоянные действуют до своего срока или удаления.
5. Основания. Для необязательных категорий — согласие, для технических — соответствующее основание из статьи 6.
6. Отказ и отзыв. Где изменить настройки баннера, как удалить cookie в браузере и как отозвать согласие.

Общий юридический минимум для владельца сайта разобран в статье «Легальный сайт 2026». Если документов пока нет совсем, начните с него, а затем уточните часть cookie по этой инструкции.

Метрика и сторонние сервисы: кто отвечает

Владелец сайта остаётся оператором, даже если статистику обрабатывает внешний сервис. Если сервис действует по поручению владельца, такие отношения оформляют по части 3 статьи 6 152-ФЗ. В документах должно быть видно, кто определяет цели и состав обработки.

Поэтому недостаточно написать «Метрика что-то собирает, спросите у Яндекса». Вам нужно знать:

• какие данные уходят сервису;
• с какой целью;
• запускается ли он после согласия;
• указан ли он в документах;
• идут ли данные за пределы России.

Требования к такому поручению перечислены в части 3 статьи 6 152-ФЗ: действия, цели, конфиденциальность и защита данных.

Если сервис передаёт данные за рубеж, отдельно проверяйте правила трансграничной передачи. Она не должна выглядеть как незамеченная работа скрипта. Документы и реальные запросы должны совпадать.

Проверьте и другие рекомендательные системы на сайте: алгоритмы могут использовать поведение посетителей для подбора контента или рекламы. Об этом подробнее — в разборе рекомендательных технологий на сайте.

Как проверить cookie-баннер: четыре сценария

Откройте сайт в режиме инкогнито. Затем откройте инструменты разработчика на вкладке «Сеть» и обновите страницу. Посмотрите, какие запросы уходят до клика по баннеру.

Если счётчик или пиксель, для которого нужно согласие, уже сработал, исправьте порядок запуска. Такой скрипт должен ждать выбора. Отдельно проверьте обработку, для которой есть иное основание: само наличие запроса ещё не доказывает нарушение.

Проверяйте один и тот же сайт в четырёх состояниях. Для первого сценария нужна новая сессия без сохранённого выбора: иначе прошлое согласие исказит результат.

Эта таблица — проверка согласия и реального поведения скриптов. Общий комплект документов, уведомление Роскомнадзора и оферта относятся к отдельному чек-листу легального сайта.

Дальше проверьте список сервисов и документы:

• каждый сервис есть в политике;
• цели совпадают с реальными;
• отказ доступен так же легко, как согласие;
• настройки можно открыть повторно;
• после отзыва скрипты на основании согласия ждут выбора;
• версия баннера и выбор пользователя сохраняются.

Если пришло требование Роскомнадзора, используйте тот же список для ответа. Порядок исправления и комплект приложений разобран в статье «Требование Роскомнадзора».

Если хотите проверить свою логику и документы, передайте сайт на разбор в чате. Посмотрю баннер, скрипты и политику и подскажу, что именно менять.

Ошибки и FAQ

«Продолжая пользоваться сайтом, вы соглашаетесь». Это уведомление, а не явный выбор. Нужны понятные действия и возможность отказаться.

Одна кнопка «Принять всё». У пользователя нет отдельного решения по аналитике и рекламе. Разделите категории.

Скрипты грузятся раньше баннера. Такой баннер не подтверждает согласие: обработка уже началась.

Нет возврата к настройкам. Согласие можно отозвать, поэтому постоянная ссылка на настройки должна оставаться.

Политика не совпадает с сайтом. Сервисов больше, чем в документе. Сверьте список ещё раз после каждого нового виджета.

Обязателен ли cookie-баннер по 152-ФЗ?

Прямого требования поставить баннер нет. Но обработке нужно законное основание. Для аналитики и рекламы баннер — удобный способ получить и зафиксировать согласие.

Все ли cookie персональные данные?

Нет. Это зависит от того, можно ли по ним определить пользователя напрямую или вместе с другими сведениями.

Нужна ли отдельная политика cookie?

Нет. Описание можно включить в общую политику обработки персональных данных или вынести на отдельную страницу.

Можно ли просто отключить cookie в браузере?

Да, это один из способов управления. Но он не заменяет выбор и отзыв на стороне сайта, особенно если необязательные скрипты уже запущены.

Нужно ли согласие на Яндекс Метрику?

Если Метрика сохраняет идентификаторы и поведение пользователя, безопасный подход — запускать её после согласия и описывать в документах.

Может ли отказ от cookie сломать сайт?

Технические функции могут быть ограничены, если пользователь отключает их сам в браузере. Поэтому разделяйте необязательные категории и объясняйте последствия выбора без преувеличения.