Согласие на cookies по ФЗ-152: как сделать правильно и не отпугнуть посетителей

Cookies и персональные данные: когда одно становится другим

Cookie-файлы сами по себе - это небольшие текстовые файлы, которые веб-сервер сохраняет в браузере пользователя для поддержания сессии, хранения настроек или сбора статистики. С точки зрения ФЗ-152, cookie становятся персональными данными тогда, когда содержат или позволяют получить идентификатор, который связан с конкретным физическим лицом или позволяет его идентифицировать.

Аналитические cookie-файлы (например, от Яндекс.Метрики или Google Analytics) присваивают браузеру уникальный идентификатор и отслеживают его поведение на сайте и между сессиями. Рекламные cookie и пиксели социальных сетей передают данные о поведении пользователя третьим лицам для таргетирования рекламы. В обоих случаях формируется профиль, который при наличии дополнительных данных (IP-адрес, история браузера) позволяет идентифицировать конкретное физическое лицо. Следовательно, такие cookie подпадают под действие ФЗ-152 как персональные данные.

Технические cookie, которые нужны только для функционирования сайта (например, хранение товаров в корзине или языковых настроек), как правило, не создают идентифицирующего профиля и не требуют согласия. Но и здесь важна конкретная реализация: если техническая cookie содержит идентификатор авторизованного пользователя из базы данных, она тоже попадает под действие ФЗ-152.

Классификация cookies и требования к согласию

Технические и функциональные cookies

К этой категории относятся файлы, без которых сайт не может нормально работать: сессионные токены для поддержания авторизации, содержимое корзины интернет-магазина, языковые и региональные настройки пользователя, CSRF-токены для защиты форм от подделки запросов. Они не позволяют идентифицировать конкретного человека вне контекста сессии и не передаются третьим лицам в маркетинговых целях. Согласия на их использование не требуется - они являются технически необходимыми для работы сервиса. Такие cookie допускается устанавливать до получения согласия пользователя.

Аналитические cookies

Яндекс.Метрика (_ym_uid), Google Analytics (_ga, _gid), Hotjar, Mixpanel и аналогичные инструменты присваивают браузеру уникальный идентификатор и отслеживают пути пользователя по сайту, источники трафика, время на странице, выполненные действия. Эти данные передаются на серверы аналитических платформ, часть из которых расположена за рубежом - это трансграничная передача ПДн. Поскольку идентификатор браузера при наличии дополнительных данных позволяет установить личность пользователя, аналитические cookie являются персональными данными и требуют согласия.

Маркетинговые cookies и пиксели

Пиксели Facebook (Meta) (_fbp), пиксели ВКонтакте, Google Ads remarketing tags, пиксели MyTarget и других рекламных платформ - это инструменты отслеживания, которые передают данные о поведении пользователя на сайте в рекламные системы третьих лиц для ретаргетинга и таргетирования. Это наиболее чувствительная категория: данные передаются за рубеж, третьим лицам, для целей, напрямую не связанных с предоставлением основной услуги сайта. Обязательно требуют явного согласия - и это согласие должно быть получено до загрузки пикселя, а не после.

Таблица: типы cookies, статус ПДн и необходимость согласия

Тип cookie Примеры Персональные данные? Нужно согласие?
Сессионные технические PHPSESSID, CSRF-token, корзина Нет Нет
Функциональные Языковые настройки, тема оформления, регион Нет Нет
Аналитические _ym_uid (Яндекс.Метрика), _ga и _gid (Google Analytics) Да (идентификатор браузера) Да
Маркетинговые и ретаргетинг _fbp (Facebook/Meta), VK Pixel, Google Ads, MyTarget Да (профиль поведения) Да
Социальные кнопки Cookie от кнопок поделиться ВКонтакте, Одноклассники Да при авторизованном пользователе Желательно
Чат-виджеты JivoChat, Callibri, Bitrix24 чат Зависит от реализации Как правило, да

Требования к баннеру согласия на cookies

Обязательные элементы баннера

Баннер согласия на cookie должен отвечать тем же требованиям, что и любое другое согласие по ФЗ-152: быть активным, осознанным и добровольным. Это означает конкретный набор обязательных элементов:

  • Кнопка принятия: явная кнопка для дачи согласия на использование всех cookie или с разбивкой по категориям.
  • Кнопка отклонения: обязательна. Согласие не может быть добровольным без реальной возможности отказаться. Кнопки принятия и отклонения должны быть визуально сопоставимы по размеру и заметности.
  • Ссылка на политику cookie или на раздел политики конфиденциальности с полным описанием используемых cookie.
  • Отсутствие предустановленных чек-боксов: если предусмотрен гранулярный выбор по категориям, все чек-боксы (кроме обязательных технических) должны быть изначально в положении выключено.
  • Запоминание выбора: если пользователь отклонил cookie, баннер не должен появляться при каждом визите. Выбор пользователя должен запоминаться (через технически необходимую cookie) и уважаться.

Типичные нарушения в реализации cookie-баннеров

Роскомнадзор при мониторинге сайтов фиксирует следующие распространенные нарушения:

  • Только одна кнопка принятия без возможности отклонить cookie - нарушение принципа добровольности
  • Кнопка отклонения скрыта или имеет размер в несколько раз меньше кнопки принятия - манипулятивный интерфейс
  • Аналитические скрипты загружаются до нажатия кнопки принятия - обработка данных без согласия
  • Баннер исчезает при прокрутке страницы без явного выбора пользователя - недопустимо
  • Нет ссылки на политику или описание cookie - нарушение принципа информированности

Позиция Роскомнадзора (разъяснения 2022 года): использование аналитических и рекламных cookie-файлов без получения предварительного согласия пользователя является нарушением требований ФЗ-152, поскольку такие файлы позволяют формировать профиль поведения пользователя, что квалифицируется как обработка персональных данных.

Готовые решения (CMP)

Consent Management Platform (CMP) - это специализированные сервисы для управления согласиями пользователей на использование cookie и других технологий отслеживания. Такие решения автоматически блокируют загрузку аналитических и маркетинговых скриптов до получения согласия и хранят доказательства согласий. На российском рынке доступны как локальные, так и международные решения: некоторые международные CMP-платформы (Cookiebot, OneTrust) также совместимы с требованиями ФЗ-152, хотя изначально разрабатывались для GDPR.

Собственная реализация

При самостоятельной реализации cookie-баннера необходимо обеспечить: блокировку аналитических и рекламных скриптов по умолчанию до дачи согласия, корректную обработку выбора пользователя с сохранением в localStorage или технической cookie, возможность отозвать согласие в любой момент через ссылку в footer сайта или в настройках профиля. Техническая реализация должна логировать дату и время получения согласия, версию текста баннера и IP-адрес пользователя для формирования доказательной базы.

Яндекс.Метрика и согласие

Яндекс.Метрика предоставляет функциональность анонимизации пользователей и отключения отдельных методов отслеживания. Минимально допустимый вариант для случаев, когда согласие не получено: отключение функций Вебвизора, хеширование IP-адресов и отказ от межсайтового отслеживания. Однако наилучшим решением остается полное отключение счетчика до получения согласия - именно этот подход соответствует духу закона и позиции Роскомнадзора.

Помимо раздела о cookie в политике конфиденциальности, рекомендуется создать отдельный документ - политику использования файлов cookie. Это особенно актуально для сайтов с большим количеством разнообразных технологий отслеживания. Такой документ должен содержать полный перечень используемых cookie с указанием: имени cookie, типа (технический, аналитический, маркетинговый), оператора (первой или третьей стороны), срока действия, цели установки. Ссылка на этот документ размещается в баннере согласия и в подвале сайта.

Последствия нарушений и практика проверок

Использование аналитических или маркетинговых cookie без согласия квалифицируется по части 1 статьи 13.11 КоАП РФ. С 30 мая 2025 года штраф для юридических лиц составляет от 60 000 до 100 000 рублей за первое нарушение. При повторном нарушении - до 300 000 рублей. Роскомнадзор проводит как целевые проверки по жалобам, так и плановый мониторинг сайтов. Автоматизированные инструменты регулятора позволяют выявлять загрузку сторонних аналитических и рекламных скриптов без cookie-баннера или с ненадлежащим баннером.

Требования ФЗ-152 к информированности и добровольности согласия не означают, что баннер должен быть громоздким или агрессивным. Грамотно спроектированный баннер может одновременно соответствовать закону и не ухудшать пользовательский опыт. Ключевые принципы:

  • Краткость и ясность: текст баннера должен быть понятен обычному пользователю, а не юристу. Избегайте юридических формулировок там, где можно обойтись простым языком.
  • Минимальный размер: небольшой баннер в нижней части экрана менее навязчив, чем полноэкранное всплывающее окно. Детальные настройки выносятся в отдельный раздел по ссылке.
  • Запоминание выбора: после того как пользователь сделал выбор, баннер не должен появляться снова в течение срока действия технической cookie (обычно 6-12 месяцев).
  • Доступность настроек: возможность изменить свой выбор или отозвать согласие должна быть доступна в любое время - через ссылку в footer или в настройках аккаунта.
  • Гранулярность: предоставьте пользователям выбор категорий: принять только технические, принять аналитические, принять маркетинговые. Гранулярный выбор повышает доверие и соответствует принципу минимизации данных.

Большинство популярных аналитических и рекламных инструментов - Google Analytics, Google Ads, Facebook Pixel, Hotjar - передают данные на серверы, расположенные за пределами России. Это означает, что использование таких инструментов является не только вопросом cookie-согласия, но и трансграничной передачей персональных данных, регулируемой статьей 12 ФЗ-152. Оператор обязан: получить согласие на трансграничную передачу (оно может быть включено в cookie-согласие с явным указанием, что данные передаются в конкретные страны), уведомить Роскомнадзор о трансграничной передаче в страны с неадекватным уровнем защиты данных, заключить соответствующие соглашения с получателями данных за рубежом.

Игнорирование этого аспекта при реализации cookie-баннера - распространенная ошибка. Согласие только на использование cookie без явного указания на трансграничную передачу не является надлежащим согласием по смыслу статьи 12 ФЗ-152.

  1. Технические cookie устанавливаются без согласия, аналитические и маркетинговые - только после явного принятия
  2. Баннер отображается при первом визите до любого взаимодействия с аналитическими скриптами
  3. Кнопки принятия и отклонения визуально равнозначны - нет манипулятивного дизайна
  4. Все чек-боксы категорий изначально в положении выключено (кроме обязательных технических)
  5. Выбор пользователя сохраняется и не запрашивается повторно в течение установленного срока
  6. Предусмотрена возможность изменить или отозвать согласие в любое время
  7. Баннер содержит ссылку на подробную политику использования cookie
  8. В политике указаны страны, в которые передаются данные через cookie третьих сторон
  9. Факт получения согласия логируется с датой, временем и идентификатором пользователя

Яндекс.Метрика без согласия: риски и альтернативы

Яндекс.Метрика является самым распространенным инструментом веб-аналитики на российских сайтах. Её счетчик устанавливает cookie _ym_uid, присваивая уникальный идентификатор браузеру пользователя, а при активированном Вебвизоре - записывает сессии посещений. Все эти данные являются персональными данными по смыслу ФЗ-152. Передача данных происходит на серверы Яндекса. Несмотря на то, что Яндекс - российская компания, согласие на обработку данных для аналитических целей всё равно требуется.

Альтернативные подходы к аналитике без нарушения закона: полная блокировка счетчика до получения согласия (рекомендуемый вариант), использование анонимизированной аналитики с отключенным Вебвизором и хешированием IP-адресов, переход на серверную аналитику (без передачи данных браузера), использование инструментов анализа обезличенных логов сервера. Отсутствие аналитики - лучше, чем штраф от Роскомнадзора.

Роскомнадзор планомерно наращивает правоприменительную активность в части cookie-нарушений. В 2024-2025 годах зафиксированы проверки крупных и средних сайтов, в ходе которых выявлялось использование аналитических и рекламных cookie без надлежащего согласия. По результатам проверок операторам выносились предписания и составлялись протоколы об административных правонарушениях по статье 13.11 КоАП РФ.

С 30 мая 2025 года штрафы по статье 13.11 КоАП РФ существенно выросли в связи с принятием Федерального закона от 30.11.2024 N 420-ФЗ. Для юридических лиц базовый штраф за первичное нарушение составляет от 60 000 до 100 000 рублей, при повторном нарушении - до 300 000 рублей. При масштабных нарушениях, затрагивающих данные большого количества субъектов, возможно возбуждение нескольких дел об административных правонарушениях, что кратно увеличивает совокупный размер штрафов. Инвестиции в правильную реализацию cookie-согласия многократно окупаются по сравнению с возможными санкциями.

Интернет-магазины имеют особую специфику: они, как правило, используют наибольший набор cookie - аналитику, рекламные пиксели для ретаргетинга, виджеты отзывов, чат-боты, системы рекомендаций товаров. Каждый из этих инструментов потенциально обрабатывает персональные данные и требует согласия. При этом интернет-магазин должен строго разграничивать: технические cookie корзины и сессии авторизации (не требуют согласия), аналитические и рекламные cookie (требуют согласия). Особая ситуация - рекомендательные алгоритмы: если они строят профиль поведения конкретного пользователя на основе cookie, это обработка персональных данных, требующая согласия. Практическая рекомендация для интернет-магазинов: провести полный аудит всех устанавливаемых cookie и сторонних скриптов, прежде чем разрабатывать баннер согласия.

Перед разработкой баннера согласия необходимо точно знать, какие cookie устанавливает ваш сайт. Существует несколько способов проверки. Инструменты разработчика браузера (Chrome DevTools, вкладка Application - Cookies) позволяют просмотреть все установленные cookie для текущей страницы. Специализированные инструменты сканирования cookie (Cookie Scanner от Cookiebot, Screaming Frog с плагином для cookie) автоматически обходят весь сайт и составляют реестр всех используемых cookie. Анализ подключенных сторонних скриптов: каждый сторонний JavaScript-файл потенциально устанавливает cookie - их нужно выявить и классифицировать.

По результатам аудита составляется реестр cookie - документ, в котором для каждой cookie указывается: имя, тип, срок действия, оператор (первая или третья сторона), цель, является ли персональными данными, нужно ли согласие. Этот реестр становится основой для политики использования cookie и баннера согласия. Аудит рекомендуется проводить не реже раза в полгода, поскольку подключение новых плагинов или скриптов может добавить новые cookie без ведома владельца сайта.

Специалисты 152fzpro.ru помогут правильно реализовать cookie-баннер и привести сайт в соответствие требованиям ФЗ-152. Работа включает аудит cookie вашего сайта с классификацией всех используемых технологий, разработку политики использования cookie и текста баннера, технические рекомендации по настройке блокировки скриптов до получения согласия, настройку логирования согласий для создания доказательной базы. Оставьте заявку на сайте - первичная консультация бесплатна. Также мы подготовим полный пакет документов: политику конфиденциальности с разделом о cookie, текст баннера согласия, регламент уничтожения данных cookie по истечении срока хранения. Каждое решение тестируется на соответствие требованиям ФЗ-152 и актуальным позициям Роскомнадзора, чтобы вы были уверены в правовой корректности реализации.