Политика использования cookie - документ, который объясняет посетителю сайта, какие файлы cookie ставятся в его браузере, для чего они нужны и как от них отказаться. Прямого требования оформлять именно такой документ в 152-ФЗ нет: закон говорит о персональных данных, а не о конкретной технологии. Но как только браузерный идентификатор помогает опознать конкретного человека - в связке с IP-адресом, телефоном из формы заявки или профилем в личном кабинете - Роскомнадзор рассматривает такие данные как персональные, и правила закона распространяются и на cookie тоже. Вопрос практический вдвойне: разбираться с cookie заставляет не только Роскомнадзор, но и сами рекламные площадки - Яндекс.Директ и VK Реклама при верификации сайта рекламодателя проверяют ссылку на политику конфиденциальности, и без внятного документа кампанию иногда не пропускают уже на модерации.
Ниже разберем, когда достаточно раздела в политике конфиденциальности, а когда лучше завести отдельный документ, что в нем обязательно описать, как связать его с баннером согласия на сайте и что делать с cookie от сторонних сервисов - Яндекс.Метрики, рекламных сетей, CRM-виджетов.
Нужен ли по закону отдельный документ о cookie
В тексте 152-ФЗ слово cookie не встречается вообще. Статья 3 закона определяет персональные данные как любую информацию, которая прямо или косвенно относится к определенному или определяемому физическому лицу. Формально идентификатор cookie сам по себе - просто строка символов в браузере, она не привязана к имени и фамилии. Проблема в том, что на практике cookie почти всегда работает не сама по себе, а в связке: с историей заказов в интернет-магазине, с номером телефона из формы записи на прием, с логином в личном кабинете. Именно эта связка и позволяет опознать конкретного посетителя.
Статья 18.1 закона обязывает оператора опубликовать документ, определяющий его политику в отношении обработки персональных данных - это и есть привычная политика конфиденциальности на сайте. Отдельного пункта про cookie в законе нет. Требование описывать cookie отдельно приходит с другой стороны: из практики Роскомнадзора и из правил самих рекламных сетей и аналитических сервисов, которые требуют от сайтов-партнеров прозрачно рассказывать о трекинге. Жесткого штрафа именно за отсутствие cookie-документа как отдельной бумаги в КоАП нет, но отсутствие внятного описания cookie легко становится дополнительным пунктом в акте проверки, если инспектор уже нашел другие нарушения.
Для сравнения: в Евросоюзе есть отдельное регулирование именно cookie - директива об электронной конфиденциальности, которая требует получить согласие посетителя еще до того, как cookie поставится в браузер. В российском законодательстве такой специальной нормы нет, поэтому ориентируются на общие правила 152-ФЗ и на разъяснения Роскомнадзора, а не на отдельную статью про cookie. Это не значит, что тема менее серьезная - просто аргументация строится иначе: не «cookie требуют документа по прямой норме», а «cookie в связке с другими данными подпадают под общее регулирование персональных данных».
Почему Роскомнадзор считает cookie персональными данными
Случайный идентификатор не обязательно является обезличенными данными. Если он связан с определяемым человеком через другие сведения, применяются требования ФЗ-152. Для оценки нужна фактическая схема обработки; отсутствие ФИО внутри cookie само по себе не решает вопрос.
Корзина и ретаргетинг могут использовать разные идентификаторы с разными сроками. Сессионная cookie обычно связана с сессией браузера, а не обязательно одной вкладкой. При связи с заказом или учетной записью даже техническую cookie проверяют как часть обработки персональных данных.
Пример с онлайн-школой
Онлайн-школа запускает рекламную кампанию на курс для подростков. Cookie ретаргетинга фиксирует, что посетитель смотрел страницу курса, а форма заявки получает имя родителя и телефон ребенка. Если в компании нет ни строчки про то, куда уходит эта cookie и кто ее получает, при проверке это выглядит как обработка данных без документа, который такую обработку описывает.
Пример с кадровым агентством
У кадрового агентства похожая история: соискатель заполняет анкету с паспортными данными и опытом работы, а следом видит рекламу других вакансий того же агентства - сработала cookie ретаргетинга. Сама по себе эта cookie не хранит паспортные данные, но она связывает рекламный профиль браузера с уже собранной анкетой, а значит, тоже становится частью цепочки персональных данных, которую нужно описать в документах компании.
Что обязательно описать в политике использования cookie
Универсального перечня пунктов в законе нет, поэтому за основу берут практику, которая уже прижилась на большинстве российских сайтов, и адаптируют ее под свой набор сервисов. В документе - будь то отдельный файл или раздел политики конфиденциальности - должны быть закрыты несколько вопросов.
- Какие cookie использует сайт и зачем - по каждой категории отдельно, а не одним общим предложением.
- Кто получает данные из cookie кроме владельца сайта - аналитика, рекламные сети, CRM, чат-виджет.
- Сколько cookie хранится в браузере - конкретный срок, а не формулировка «необходимое время».
- Как посетитель может отказаться от необязательных cookie или удалить уже сохраненные.
- Дата, с которой действует документ, и куда обращаться, если появились вопросы.
Готовая политика cookie образец обычно у разработчика типовая, и ее все равно приходится собирать под конкретный сайт: документ, скопированный у конкурента, не подойдет, если у него другой набор рекламных сетей и другие сроки хранения. Политика файлов cookie для сайта должна отражать реальную техническую картину: что показывает отчет Яндекс.Метрики про cookie, то и должно быть в документе, а не наоборот. Если документ пишет подрядчик, который сайт не открывал, стоит попросить у него не общий шаблон, а версию, собранную после того, как он реально посмотрел код страниц и список подключенных скриптов - иначе в тексте окажутся сервисы, которых на сайте никогда не было, и наоборот, пропадут те, что стоят прямо сейчас.
Классификация cookie: технические, аналитические, рекламные
Прежде чем описывать cookie в документе, их стоит разложить по типам - от этого зависит и срок хранения, и то, нужно ли явное согласие посетителя.
| Тип cookie | Для чего используется | Типичный срок хранения | Нужно ли явное согласие |
|---|---|---|---|
| Технические (сессионные) | Работа корзины, авторизация, защита форм от накрутки | От сессии до 30 дней | Обычно нет, но описать в документе нужно всегда |
| Функциональные | Запоминание региона, языка интерфейса, темы оформления | От 30 дней до 12 месяцев | Как правило нет, если данные не уходят третьим лицам |
| Аналитические | Счетчики посещаемости, карты кликов, воронки конверсии | От 30 дней до 2 лет | Желательно получить согласие через баннер |
| Рекламные | Ретаргетинг, персонализация объявлений, look-alike аудитории | От 90 дней до 24 месяцев | Да, согласие нужно до того, как cookie сработала |
Cookie первого лица и cookie третьих лиц
Отдельно стоит различать, кто именно ставит cookie. Cookie первого лица ставит сам сайт для собственных нужд - например, чтобы запомнить содержимое корзины. Cookie третьих лиц ставит подключенный скрипт или виджет - счетчик аналитики, рекламный пиксель, виджет обратного звонка, - и данные из такой cookie уходят на сервер стороннего сервиса, а не только владельцу сайта. В документе имеет смысл прямо указывать, чьи это cookie, а не сваливать все в один общий список технических файлов: читателю документа важно понимать, куда именно уходят данные о нем.
Деление условное: у сервисов свои названия категорий, а у некоторых виджетов один и тот же файл одновременно и функциональный, и аналитический. Задача не в том, чтобы точно попасть в чужую терминологию, а в том, чтобы читатель документа понимал логику - зачем именно эта cookie здесь стоит и что произойдет, если ее отключить.
Когда хватает раздела в политике конфиденциальности, а когда нужен отдельный документ
Если сайт - визитка самозанятого с одной формой заявки и счетчиком Яндекс.Метрики, отдельный документ обычно избыточен. Достаточно раздела в политике конфиденциальности на пару абзацев: какие cookie ставятся, что они технические и аналитические, как их отключить в настройках браузера.
Другая ситуация у интернет-магазина с пятью рекламными кабинетами, ретаргетингом и партнерской программой, у онлайн-школы с несколькими лендингами под разные рекламные кампании, у клиники с записью через агрегатор. Список получателей данных длинный, он меняется чаще, чем формулировки основной политики, и переписывать из-за одного нового рекламного пикселя весь документ на десять страниц неудобно. Логичнее вынести cookie в отдельный файл со своей датой обновления: подключили новую рекламную сеть - обновили только этот документ, а политика конфиденциальности осталась прежней.
Практический ориентир простой: список сторонних сервисов, работающих с cookie, умещается в три-четыре строки - достаточно раздела. Список регулярно меняется и в нем больше пяти сервисов - отдельный документ проще поддерживать в актуальном виде. Если сомневаетесь, к какой группе относится ваш сайт, выбирайте отдельный документ: лишним он не будет, а при добавлении нового сервиса его проще обновить одной строкой, не трогая остальной текст политики конфиденциальности.
Cookie-баннер и согласие: как связаны два документа
Баннер и документ решают разные задачи. Баннер - это механизм, через который посетитель дает или не дает согласие прямо на сайте. Документ - это текст, который объясняет, на что именно он соглашается. Без документа баннер превращается в кнопку без содержания: пользователь кликает «принять», не понимая, что происходит с его данными дальше.
С 1 сентября 2025 года действует правило 156-ФЗ: согласие на обработку персональных данных оформляется отдельным документом, а не растворяется внутри пользовательского соглашения или оферты. Формально это общее требование к согласию на обработку персональных данных, а не специальная норма про cookie, но логика та же: если баннер собирает согласие, которое по существу и есть согласие на обработку персональных данных через cookie, лучше не прятать его условия в длинном тексте оферты, а дать ссылку на отдельный понятный документ.
Частая ошибка - баннер с единственной кнопкой «принять» и без реальной возможности отказаться от необязательных cookie. Если посетитель может либо согласиться на все, либо закрыть вкладку и уйти с сайта, это не согласие в смысле закона, а навязанное условие доступа. Подробный разбор того, как оформить сам баннер и текст на кнопках, есть в статье про согласие на cookies по 152-ФЗ - здесь важнее его связь с документом, на который он ссылается.
Хорошая практика - не перекрывать баннером весь экран, оставив узкую полосу внизу с кнопками и ссылкой на документ. Полноэкранные баннеры, которые не дают ничего увидеть, пока не нажмешь «принять», вызывают у посетителей раздражение и не увеличивают осознанность выбора - они просто заставляют кликнуть не глядя, лишь бы попасть на сайт, а это противоречит самой идее информированного согласия.
Сторонние сервисы: аналитика, метрика и рекламные сети
Список получателей данных из cookie - самая живая часть документа, она меняется чаще остального текста. Яндекс.Метрика, VK Реклама, myTarget, чат-виджеты и CRM-интеграции - у каждого сервиса свой набор cookie и свой срок хранения, и в документе нужно указывать конкретные названия, а не общую фразу вроде «используем сервисы аналитики». Форма обратной связи или виджет обратного звонка тоже ставит свою cookie и передает данные на сервер стороннего разработчика - его нужно включить в список получателей точно так же, как рекламную сеть, а не ограничиваться только счетчиками аналитики. То же касается CRM, в которую попадает заявка с сайта: если она хранит cookie-идентификатор посетителя вместе с карточкой сделки, эта связка тоже часть общей картины, которую описывает документ.
После того как Google Analytics и Meta Pixel стали недоступны для многих российских сайтов без обхода блокировок, часть бизнеса перешла на местные аналоги, и в политике обработки cookie эти замены нужно отразить - актуальный список сервисов, а не тот, что стоял на сайте два года назад. Разбор того, какие альтернативы сейчас работают и как их подключить, есть в статье про Google Analytics и Meta Pixel в 2026.
Отдельная строка в документе нужна, если сервис хранит данные на серверах за пределами России - формально это уже вопрос трансграничной передачи, а не только cookie, и его тоже стоит закрыть отдельно, а не игнорировать из-за того, что речь вроде бы о простом счетчике посещений.
Смена сервиса - тоже повод заглянуть в документ. Если бизнес переезжает с одной CRM на другую, меняет виджет обратного звонка или подключает нового подрядчика по рекламе, старые названия в cookie-политике надо убрать, а не просто дописывать новые поверх - иначе документ через год-два превращается в список сервисов, половина которых уже не используется, а половина настоящих туда не попала.
Как оформить отказ от cookie для пользователя
Мало написать в документе, что отказаться можно в настройках браузера - это правда, но неудобно, и мало кто действительно пойдет искать нужный пункт в настройках. Рабочий вариант - виджет на баннере с тремя реальными состояниями: принять все, отклонить необязательные, настроить по категориям. Настройка по категориям опирается на ту же классификацию cookie, которая уже есть в документе - технические, аналитические, рекламные.
В самом документе стоит дать короткую инструкцию для тех, кто хочет отключить cookie на уровне браузера: где искать нужные настройки в Chrome, Firefox, Safari, и предупреждение, что часть функций сайта - например, работа корзины или сохранение заполненной формы - может перестать работать корректно без технических cookie. Это честнее, чем обещание, что отказ от cookie никак не повлияет на работу сайта: обычно влияет, и лучше сказать об этом заранее, чем получить жалобу от посетителя, у которого пропала корзина.
Стоит учитывать и ограничения самого механизма отказа. Заголовок браузера «не отслеживать» большинство сервисов аналитики и рекламы попросту игнорирует - это необязательная рекомендация, а не техническая блокировка, поэтому полагаться только на нее нельзя. Отказ также не переносится между устройствами: если человек отклонил cookie на компьютере, а потом зашел с телефона, баннер покажется заново, и это нормально, а не повод считать, что настройки сломаны.
Как cookie связаны с целями обработки и конфиденциальностью данных
Cookie-документ не существует отдельно от остальных документов сайта, он опирается на те же принципы, что и обработка персональных данных в целом. Формулировки целей - зачем сайту вообще нужны эти данные - должны совпадать в разных документах, а не противоречить друг другу: если в политике конфиденциальности цель одна, а в cookie-документе другая, при проверке это выглядит как нестыковка. У интернет-магазина, например, цель обработки в связи с заказом одна - выполнить договор купли-продажи, а цель обработки через рекламные cookie другая - продвижение товаров и повторные продажи. Обе цели законны, но их нужно перечислить раздельно, а не смешивать в одну общую формулировку вроде «обработка данных для улучшения сервиса». Как сформулировать цели так, чтобы не переписывать их при каждом изменении сайта, подробно разобрано в статье про цели обработки персональных данных.
Отдельно стоит требование о конфиденциальности: данные, полученные через cookie и связанные с конкретным человеком, нельзя просто передавать кому попало без основания. Это не специальная норма про cookie, а общее требование статьи 7 закона о конфиденциальности персональных данных, и оно распространяется на данные из cookie точно так же, как на данные из анкеты или формы обратной связи.
Структура документа и порядок внедрения
Рабочая структура документа, которая закрывает перечисленные выше пункты, обычно выглядит так.
- Что такое cookie и зачем сайт их использует - короткое объяснение простыми словами, без канцелярских формулировок.
- Категории cookie с указанием сроков хранения - таблица или список по типам, как в разделе выше.
- Сторонние сервисы, получающие данные из cookie - конкретные названия, а не общие формулировки про партнеров.
- Как cookie связаны с обработкой персональных данных - без дублирования текста политики конфиденциальности целиком.
- Как отказаться или настроить cookie - и через баннер на сайте, и через настройки браузера.
- Дата вступления документа в силу и контакт для вопросов посетителей.
Порядок внедрения на практике обычно такой: сначала аудит - какие cookie реально ставятся на сайте и через какие скрипты и виджеты, затем разбивка по категориям с фиксацией сроков хранения для каждой. После этого решают, нужен отдельный документ или хватит раздела в политике конфиденциальности - по ориентиру из раздела выше. Дальше пишут или обновляют текст, размещают ссылку в подвале сайта и на самом баннере, и настраивают баннер с реальным выбором, а не одной кнопкой «принять». Последний шаг - не разовый: документ пересматривают при подключении нового рекламного кабинета или аналитического сервиса, а не раз в год по календарю, иначе он снова расходится с тем, что реально стоит на сайте.
Кто в компании отвечает за актуальность документа
На практике документ обычно пишет вебмастер или подрядчик по сайту, а изменения в набор сервисов вносит маркетолог, который подключает новую рекламную сеть или меняет виджет обратной связи. Если эти двое не договорились, кто и когда сообщает об изменениях, документ устаревает первым: сайт уже собирает данные через новый сервис, а cookie-политика еще описывает прошлогодний набор. Проще всего закрепить простое правило - любое новое подключение сервиса с cookie сопровождается строкой в документе, а не откладывается до следующего большого обновления сайта.
Если на сайте уже скопилось несколько устаревших документов, а баннер стоит для вида, разумнее один раз привести это в порядок, чем закрывать по одному замечанию после очередной проверки. 152fzpro.ru занимается доработкой сайтов и документов под требования закона о персональных данных - от политики cookie до формы согласия на баннере, без обещаний того, чего сайт не делает, - только тексты и настройки, которые реально закрывают найденные пробелы.
Частые вопросы
Обязательно ли по закону заводить отдельный документ о cookie на сайте?
Нет, прямого требования в 152-ФЗ нет: закон обязывает опубликовать общую политику обработки персональных данных по статье 18.1, а не отдельный документ именно про cookie. Отдельный файл нужен на практике, если список сторонних сервисов с cookie большой и часто меняется - тогда его проще обновлять, не переписывая всю политику конфиденциальности целиком.
Почему Роскомнадзор считает cookie персональными данными, если это просто набор символов в браузере?
Отсутствие имени в cookie не означает обезличивание. Если идентификатор прямо или косвенно относится к определяемому человеку, применяют ФЗ-152. Проверяют связи с заказом, авторизацией и другими сведениями, а не только вид строки.
Достаточно ли написать в баннере cookie одну кнопку принять?
Нет, если у посетителя нет реальной возможности отказаться от необязательных cookie или закрыть баннер без согласия, это не согласие в смысле закона, а навязанное условие доступа к сайту. Рабочий вариант - три состояния на баннере: принять все, отклонить необязательные и настроить cookie по категориям отдельно.
Можно ли отказаться от cookie, включив в браузере функцию не отслеживать?
На практике нет: заголовок браузера "не отслеживать" большинство сервисов аналитики и рекламы просто игнорирует, это необязательная рекомендация, а не техническая блокировка. Надежнее использовать настройку по категориям в самом баннере сайта или отключать cookie в настройках браузера вручную, при этом выбор не переносится между устройствами.
