Сам по себе идентификатор куки не привязан к имени, но в связке с IP-адресом, историей посещений или данными из форм на сайте он позволяет узнать конкретного посетителя - рекламные сети и системы аналитики именно так и работают. Поэтому куки нужно оформлять как обычную обработку персональных данных: закрепить цели в политике конфиденциальности, получить согласие до того, как в браузере запустятся необязательные счетчики, и дать посетителю возможность отказаться.
На практике куки делят на две группы. Технически необходимые - сессия, корзина, авторизация - обеспечивают работу сайта и не требуют отдельного согласия, без них сайт просто не будет функционировать. Аналитические и рекламные - Метрика, пиксели соцсетей, партнерские сети - собирают данные о поведении для маркетинга, и здесь без явного согласия посетителя не обойтись. Правильная реализация - когда такие скрипты не подгружаются до клика по кнопке «Принять» в баннере, а не просто показывают баннер поверх уже работающих счетчиков.
В политике конфиденциальности стоит перечислить, какие именно сервисы получают данные через куки, и отметить, есть ли среди них иностранные площадки - это уже вопрос трансграничной передачи, который требует отдельного упоминания. Внутри компании назначьте ответственного за организацию обработки персональных данных приказом, даже если сайт небольшой - эта должность обязательна для любого оператора. Если баннера и раздельного согласия на сайте пока нет, у нас в услугах есть готовое решение под ключ за пару дней - но и своими силами это реализуется, если следовать описанному порядку.