Файлы cookie и персональные данные: когда сайту нужно согласие и баннер

Файл cookie сам по себе выглядит безобидно: строка из букв и цифр, которую сайт сохраняет в браузере. Имени и телефона в ней нет. Отсюда популярное мнение: cookie персональными данными не считаются, значит, и делать ничего не нужно.

Закон смотрит шире. Персональные данные — это любая информация, которая относится к человеку, определённому прямо или косвенно. Cookie как раз и нужен, чтобы отличить одного посетителя от другого. Счётчик связывает идентификатор с устройством, городом, страницами, которые человек открывал, и временем на сайте. А когда этот посетитель оставляет заявку, история визитов привязывается к имени и телефону.

Мы исходим из практичной позиции: если cookie используются для аналитики или рекламы, владелец сайта обрабатывает персональные данные и рассказывает об этом посетителю.

Спорить с этой позицией дороже, чем ей следовать. Раздел в политике и баннер делаются за день. Так было у онлайн-школы английского, которая пришла к нам без этих документов: пользовательское соглашение и согласие на использование cookie мы подготовили за один день.

В ноябре 2025 года Роскомнадзор проверил сайты pravo.ru и event.pravo.ru, которые ведёт ООО «Правовые новости». На них нашли формы регистрации и заявок и две системы аналитики: Яндекс Метрику и Google Analytics. Уведомления об обработке персональных данных в реестре операторов не было.

Арбитражный суд Москвы (дело № А40-342666/25, решение от 4 февраля 2026 года) согласился с Роскомнадзором по всем пунктам:

• сведения, которые сайт собирает формами и метрическими программами, — персональные данные по статье 3 закона № 152-ФЗ;
• владелец сайта — оператор, потому что сам решает, зачем и какие данные собирать;
• обработка с помощью счётчиков не подпадает под исключения из обязанности уведомлять Роскомнадзор (часть 2 статьи 22).

Компанию оштрафовали по части 10 статьи 13.11 КоАП на 50 000 ₽. Это половина минимального штрафа: суд учёл, что «Правовые новости» — малое предприятие. Замечание компании о том, что Роскомнадзор её не предупреждал, суд отклонил: обязанность уведомить лежит на самом операторе.

Вывод для владельца сайта простой. Счётчик аналитики — уже обработка персональных данных, даже если на сайте нет ни одной формы.

Когда вы ставите на сайт чужой код, данные посетителя получает не только ваш сайт, но и владелец этого кода. Для закона это передача данных третьему лицу, и за неё отвечает оператор, то есть вы.

• Яндекс Метрика. Собирает сведения о визитах, а с Вебвизором записывает действия на странице. Сервис российский, но назвать его в политике всё равно нужно.
• Рекламные пиксели. Передают рекламной системе сведения о том, что человек был на сайте и что он смотрел.
• Онлайн-чат и обратный звонок. Получают переписку и телефон.
• Зарубежные сервисы. Иностранная аналитика, шрифты и карты с зарубежных серверов означают, что данные уходят за границу. Это трансграничная передача, о ней уведомляют Роскомнадзор отдельно.

По нашему опыту, владелец обычно знает про Метрику и не помнит про пиксель, который маркетолог поставил два года назад. Поэтому начинать стоит с проверки.

Вторая проверка занимает ещё минуту: на вкладке Network обновите страницу и посмотрите, на какие адреса сайт отправляет запросы до того, как вы нажали кнопку в баннере. Всё, что ушло рекламным системам до вашего выбора, ушло без согласия.

Список, который получился, пригодится трижды: для баннера, для политики и для уведомления в Роскомнадзор.

1. Составьте список cookie и сервисов. Что стоит на сайте, зачем и кому уходят данные.
2. Опишите их в политике. Отдельный раздел: какие файлы используются, для чего, какие сервисы их ставят, как отключить cookie в браузере.
3. Напишите текст баннера. Одно-два предложения: сайт использует cookie и такой-то счётчик для такой-то цели, ссылка на подробности.
4. Поставьте две равные кнопки: «Принять» и «Отклонить». Отказаться должно быть так же просто, как согласиться.
5. Покажите баннер при первом визите. Он не должен закрывать содержимое страницы и мешать пользоваться сайтом.
6. Запомните выбор. Баннер не должен появляться на каждой странице заново. Если человек отказался, счётчики и пиксели для него не загружаются.

Текст баннера, который мы рекомендуем клиентам:

Мы используем обязательные cookie, необходимые для работы и защиты сайта. С вашего согласия мы также можем использовать аналитические cookie для оценки посещаемости и улучшения сайта. Подробнее — в Согласии на использование файлов cookie.
[Принять] [Отклонить]

Название документа в последней фразе делают ссылкой. Если на сайте есть реклама, в тексте упоминают и рекламные cookie.

Да, кроме технических.

• Технические работают всегда: без них не откроется корзина и не сохранится вход в кабинет.
• Аналитика, реклама и сторонние виджеты включаются после того, как человек нажал «Принять». Если он отказался, код Метрики и пикселей для него не загружается вовсе.

Технически это настраивает разработчик: код счётчиков и рекламных систем вызывается по нажатию «Принять», а выбор запоминается. В инструкции, которую мы передаём с документами, это расписано по шагам.

Готовые образцы мы не публикуем: чужой текст описывает чужой сайт. Свой удобнее проверить по списку.

В баннере:

• сказано, что сайт использует cookie;
• названы сервисы аналитики и рекламы;
• названа цель простыми словами;
• есть ссылка на раздел политики или на согласие;
• есть понятная кнопка, а при рекламных cookie — возможность отказаться.

В политике:

• какие данные собираются с помощью cookie;
• для каких целей;
• каким сервисам они передаются;
• как долго хранятся;
• как отключить cookie и что перестанет работать.

Можно не разбираться самому: проверим ваш сайт бесплатно за 1 день и напишем тексты.

• «Продолжая пользоваться сайтом, вы соглашаетесь». У человека нет выбора и нет действия, которым он выражает согласие.
• Есть только кнопка «Хорошо». Это уведомление, а не согласие: отказаться нельзя.
• В политике нет ни слова про cookie. Баннер есть, а ссылка ведёт на документ, где о счётчиках ничего не сказано.
• Политика скопирована с чужого сайта. В ней перечислены сервисы, которых у вас нет, и не названы ваши.
• Баннер закрывает полэкрана на телефоне. Посетитель уходит, не прочитав ни баннер, ни страницу.
• Забытые счётчики. Старый пиксель или иностранная аналитика продолжают работать, хотя ими давно никто не пользуется.

Сайт с аналитикой и формами обрабатывает персональные данные, а его владелец — оператор. Оператор подаёт уведомление в Роскомнадзор до начала обработки. Цели в уведомлении, в политике и на сайте должны совпадать.

Если уведомления нет вовсе, штраф для ООО и ИП — от 100 до 300 тыс. ₽ (часть 10 статьи 13.11 КоАП), как в деле «Правовых новостей». Остальные суммы собраны в таблице на странице о документах для сайта.

Чем заканчивается расхождение целей, мы видели на практике. Маркетинговое агентство получило требование Роскомнадзора: заявленные цели обработки не совпадали с тем, что происходило на деле. К нам агентство пришло на девятый день из десяти, отведённых на ответ. Мы подали заявление о дополнительных целях, поправили документы и форму на сайте и ответили на требование. Штрафа в 150 000 ₽ удалось избежать.

Подробности на странице про уведомление в Роскомнадзор. О том, что грозит за нарушения, рассказываем в статье о штрафах по 152-ФЗ.