Спокуха! › Блог › Уведомление о cookie на сайте: что требует закон, а что — нет

Уведомление о cookie на сайте: что требует закон, а что — нет

2026-09-24 · 4 мин чтения

Вокруг cookie-баннеров много мифов, привезённых из европейского GDPR. Разберём, что из этого действительно требует российский закон.

Что считается персональными данными

Идентификаторы cookie, IP‑адрес и данные о поведении посетителя, которые собирают счётчики и рекламные пиксели, Роскомнадзор относит к персональным данным (ст. 3 п. 1 152‑ФЗ — «любая информация, относящаяся к прямо или косвенно определённому физическому лицу»). Суды с этим согласны: в деле № 12‑559/2024 Таганский районный суд Москвы подтвердил штраф за сбор данных через счётчики без согласия. Значит, к счётчикам применяются те же правила, что и к формам: посетитель должен быть проинформирован, а согласие — получено.

Какие cookie бывают и что из этого требует согласия

Технически cookie сессии появляются раньше, чем посетитель увидит хоть один баннер, — это нормально и закону не противоречит. Классификация, которую используют платформы управления согласиями и регуляторы:

Категория	Примеры	Согласие
Технические (необходимые)	сессия, корзина, защита форм от подделки, выбор языка	не требуется
Функциональные	онлайн-чат, капча, карты, видео	не требуется; иностранные сервисы лучше заменить российскими
Аналитические	Яндекс Метрика, Top.Mail.Ru	информирование обязательно; запуск после нажатия кнопки — рекомендация
Рекламные	VK Пиксель, Google Ads, Meta Pixel	информирование и согласие; иностранные — нарушение ст. 18 ч. 5

Вопрос закона — только последние две строки. Ответственность за них лежит на владельце сайта, который поставил код счётчика, а не на Яндексе или Google: предписания Роскомнадзора адресованы владельцам сайтов.

Что закон требует на самом деле

Информирование. Посетитель должен знать, что сайт собирает cookie и данные о поведении и зачем. Это можно сделать разделом в политике обработки персональных данных и уведомлением на сайте.
Согласие явным действием (ст. 9 ч. 1 152‑ФЗ — «конкретное, предметное, информированное, сознательное и однозначное»). Формулировка «продолжая пользоваться сайтом, вы соглашаетесь» без кнопки — молчаливое согласие, которое Роскомнадзор не признаёт.
Никакой иностранной аналитики. С 1 июля 2025 года ст. 18 ч. 5 152‑ФЗ прямо запрещает запись и хранение данных россиян с использованием баз данных за рубежом. Google Analytics и Meta Pixel отправляют данные посетителей в иностранные базы — это нарушение с крупным штрафом (ст. 13.11 ч. 8 КоАП: от 1 до 6 миллионов рублей для юрлица).

Чего закон не требует

Кнопки «Отклонить». Ни в ст. 9, ни в ст. 18 152‑ФЗ нет требования дать возможность отказаться в самом баннере. «Равнозначность кнопок» — норма европейского права. Кнопка отказа — хорошая практика, мы её рекомендуем, но её отсутствие не нарушение.
Блокировки счётчиков до клика. Буквально из ст. 9 следует, что сбор должен идти после согласия, но инструкции всех сервисов аналитики говорят «вставьте код на сайт», а практики штрафов именно за момент запуска счётчика мы не нашли. Роскомнадзор в предписаниях формулирует нарушение как «сбор метрических данных без информирования и согласия» — то есть когда уведомления нет вообще, а в политике про cookie ни слова. Отложенный запуск счётчиков после нажатия кнопки — рекомендация.
Самого баннера, если счётчиков нет. Технические cookie сессии и корзины согласия не требуют. Сайт без аналитики может обойтись без уведомления.

Как сделать правильно

В политике обработки персональных данных — раздел про cookie и аналитику: какие сервисы, зачем, как отключить.
Уведомление при первом визите на любую страницу (не только на главной): «Мы используем cookie и Яндекс Метрику, чтобы…», ссылка на политику и кнопка согласия. Хотите — кнопка «Только необходимые».
Российские счётчики: Яндекс Метрика, VK Пиксель, Top.Mail.Ru. Google Analytics и Meta Pixel — убрать или уведомить Роскомнадзор о трансграничной передаче и описать её в политике.
После нажатия кнопки уведомление исчезает и не показывается снова.

Вопросы и ответы

Обязателен ли cookie-баннер по закону?

Прямой нормы «разместите баннер» нет. Есть обязанность информировать посетителя и получить явное согласие на сбор данных счётчиками (ст. 9 ч. 1, ст. 18 ч. 1 152‑ФЗ). Уведомление с кнопкой — самый простой способ это выполнить. Если счётчиков и пикселей нет, уведомление не нужно.

Нужна ли кнопка «Отклонить»?

Закон её не требует. Это рекомендация: с ней выбор посетителя очевиден, а претензий меньше.

Можно ли использовать Google Analytics?

Данные посетителей уходят в иностранную базу — это нарушение ст. 18 ч. 5 152‑ФЗ. Замените на Яндекс Метрику или уведомите Роскомнадзор о трансграничной передаче и опишите её в политике.

Какой штраф за счётчики без согласия?

Ст. 13.11 ч. 1 КоАП: 150 000–300 000 рублей для юрлица, 50 000–100 000 для ИП (как для должностного лица). Иностранная аналитика — ст. 13.11 ч. 8: от 1 до 6 миллионов рублей.

Пункты протокола по теме

3.1Есть ли на сайте уведомление о cookie?требование закона
3.3Даётся ли согласие на cookie кнопкой, а не по умолчанию?требование закона
3.6Есть ли кнопка отказа от cookie?рекомендация
3.7Запускаются ли счётчики только после согласия?рекомендация
3.9Не используются ли иностранные системы аналитики и рекламы?требование закона
1.12Описаны ли в политике cookie и сервисы аналитики?требование закона