Cookie на сайте и закон, нужно ли согласие пользователя

Отдельного закона о cookie на сайте в России нет, поэтому владелец сайта руководствуется Законом о персональных данных № 152-ФЗ. Если cookie вместе с другими сведениями позволяют определить посетителя, это персональные данные, и для аналитики и рекламы нужно согласие. Технические cookie, без которых сайт не работает, обычно не требуют согласия, но их всё равно описывают в политике обработки данных.

Кратко

• Персональными данными считается любая информация о прямо или косвенно определённом или определяемом человеке (п. 1 ст. 3 Закона № 152-ФЗ), специальной нормы о cookie закон не содержит.
• По ч. 1 ст. 9 Закона № 152-ФЗ согласие должно быть конкретным, информированным и однозначным, а с 1 сентября 2025 года его оформляют самостоятельным документом.
• Сайт, который собирает данные, публикует политику обработки персональных данных, этого требует Закон № 152-ФЗ в ч. 2 ст. 18.1.
• Если метрическая программа передаёт данные на зарубежные серверы, нужно соблюсти правила о локализации и трансграничной передаче (ч. 5 ст. 18, ст. 12 Закона № 152-ФЗ).
• Штраф для компании по ч. 2 ст. 13.11 КоАП РФ за обработку без согласия доходит до 700 000 ₽, по ч. 3 за отсутствие политики до 60 000 ₽.

Содержание

• Cookie на сайте и закон о персональных данных
• Метрические программы на сайте
• Баннер согласия на cookie, как сделать правильно
• Политика обработки персональных данных и cookie
• Что грозит за cookie без согласия
• Когда нужен юрист
• Частые вопросы

Cookie на сайте и закон о персональных данных

Cookie представляют собой небольшие файлы, которые сайт сохраняет в браузере посетителя. В них хранят, например, содержимое корзины, выбранный язык, признак входа в личный кабинет или идентификатор для аналитики. Сам по себе файл с набором символов ещё не говорит, кто сидит за компьютером. Вопрос в том, что с ним делает владелец сайта.

Закон о персональных данных называет персональными данными любую информацию, которая относится к прямо или косвенно определённому или определяемому человеку (п. 1 ст. 3 Федерального закона № 152-ФЗ, далее Закон № 152-ФЗ). Главное слово здесь «определяемому». Если идентификатор из cookie связывают с IP-адресом, историей заказов, номером телефона из формы или учётной записью, по совокупности сведений можно установить конкретного человека.

Специальной статьи о cookie в законе нет. Поэтому однозначного ответа «cookie это персональные данные» или «не персональные данные» закон не даёт. Ответ зависит от того, какие cookie вы используете и с чем их сопоставляете. На практике безопаснее исходить из того, что аналитические и рекламные cookie вместе с IP-адресом и данными устройства подпадают под Закон № 152-ФЗ.

Метрические программы на сайте

Счётчики посещений и сервисы веб-аналитики собирают больше, чем кажется. Обычно это IP-адрес, данные браузера и устройства, адреса посещённых страниц, клики и источник перехода. Часть сервисов записывает движения мыши и заполнение форм. Владелец сайта выбирает, какой счётчик поставить и зачем, поэтому именно он отвечает за эту обработку как оператор.

Сам сервис аналитики получает данные посетителей вашего сайта. В зависимости от условий сервиса он может обрабатывать их по вашему поручению или в своих целях. Если обработку поручают другому лицу, на это нужно согласие человека, если иное не предусмотрено законом, а перед посетителем за действия сервиса отвечает владелец сайта (ч. 3, 5 ст. 6 Закона № 152-ФЗ). Поэтому прочитайте условия сервиса перед подключением и укажите сервис в политике обработки данных.

Сайт на конструкторе или от подрядчика

Многие владельцы сайтов не знают, какие счётчики стоят у них на страницах. Конструктор сайтов или веб-студия могли подключить аналитику, виджет чата, карту или кнопки соцсетей, и каждый такой элемент может ставить свои cookie. Отвечает за это владелец сайта, а не студия. Попросите подрядчика перечислить все подключённые сервисы или проверьте сайт сами через инструменты разработчика в браузере. Список сервисов понадобится и для баннера, и для политики, и для уведомления в Роскомнадзор.

Зарубежные счётчики

Если метрическая программа хранит данные за рубежом, возникают две дополнительные обязанности. Первая касается локализации. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан России с использованием баз данных за пределами России при сборе данных, в том числе через интернет, не допускаются, кроме случаев, указанных в ч. 5 ст. 18 Закона № 152-ФЗ. Вторая касается трансграничной передачи. До её начала нужно подать в Роскомнадзор отдельное уведомление (ч. 3 ст. 12 Закона № 152-ФЗ).

За нарушение правил локализации ч. 8 ст. 13.11 КоАП РФ предусматривает для компании штраф от 1 до 6 млн ₽, а ч. 9 за повторное нарушение от 6 до 18 млн ₽. Это самая дорогая ошибка в теме cookie. Подробнее о передаче данных за границу читайте в статье о трансграничной передаче персональных данных.

Баннер согласия на cookie, как сделать правильно

Закон требует, чтобы согласие было свободным, конкретным, предметным, информированным, сознательным и однозначным. Форма согласия может быть любой, лишь бы факт его получения можно было подтвердить. С 1 сентября 2025 года по ч. 1 ст. 9 Закона № 152-ФЗ согласие нельзя смешивать с другими текстами, которые подписывает или принимает посетитель, его оформляют самостоятельным документом.

Из этих требований вытекают практические правила для баннера:

• баннер показывается до того, как сайт включает аналитические и рекламные cookie, а не после;
• в баннере коротко сказано, какие cookie и для чего используются, и есть ссылка на политику;
• у посетителя есть понятный выбор, например кнопки «Принять» и «Только необходимые», или настройки по видам cookie;
• согласие на cookie не спрятано в пользовательском соглашении или оферте, а оформлено отдельно;
• сайт сохраняет запись о том, что и когда посетитель выбрал, чтобы подтвердить согласие.

Формулировка «Продолжая пользоваться сайтом, вы соглашаетесь на использование cookie» популярна, но рискованна. Закон требует однозначного согласия, а простое продолжение просмотра трудно считать однозначным выражением воли. Безопаснее, когда посетитель сам нажимает кнопку.

Согласие можно отозвать (ч. 2 ст. 9 Закона № 152-ФЗ). Оставьте посетителю способ изменить выбор, например ссылку «Настройки cookie» в подвале сайта.

Политика обработки персональных данных и cookie

Оператор, который собирает данные через интернет, по правилам ст. 18.1 Закона № 152-ФЗ публикует на своём сайте политику обработки персональных данных и сведения о реализуемых требованиях к защите. Политика нужна, даже если на сайте нет форм и он только ставит аналитические cookie.

В разделе о cookie укажите:

• какие виды cookie использует сайт и для каких целей;
• какие метрические программы и рекламные сервисы подключены;
• какие данные они собирают, например IP-адрес, сведения о браузере и устройстве, действия на сайте;
• правовое основание обработки для каждой цели;
• сроки хранения и способ отказаться от необязательных cookie;
• передаются ли данные за границу и в какие страны.

Политика, баннер, согласие и уведомление Роскомнадзора должны говорить одно и то же. Если в баннере две цели, а в политике пять, при проверке это станет нарушением. Обработку данных посетителей отражают и в уведомлении об обработке персональных данных, о нём читайте в статье об уведомлении Роскомнадзора. Как связать политику с офертой и пользовательским соглашением, мы рассказали в статье о публичной оферте для сайта.

Что грозит за cookie без согласия

Кроме штрафа, посетитель вправе требовать прекратить обработку его данных и компенсировать моральный вред (ч. 2 ст. 24 Закона № 152-ФЗ). Отдельные жалобы посетителей редко заканчиваются крупными суммами, но часто становятся поводом для проверки всего сайта.

Пример (условные цифры). Интернет-магазин поставил два счётчика аналитики, один из которых хранит данные за рубежом, и пиксель рекламной сети. Политика на сайте старая и не упоминает cookie, баннер сообщает только «Мы используем cookie». При проверке магазину грозят штрафы по ч. 2 и ч. 8 ст. 13.11 КоАП РФ. Чтобы снизить риск, магазин настраивает баннер с выбором, обновляет политику, проверяет условия иностранного сервиса и решает, нужен ли он вообще.

Когда нужен юрист

Сайт-визитку с одним российским счётчиком владелец часто приводит в порядок сам по шаблону политики и баннера. Юрист нужен, если на сайте много сервисов аналитики и рекламы, если данные уходят за рубеж, если сайт собирает данные о здоровье или детях, или если пришёл запрос Роскомнадзора.

Мы проведём аудит сайта, составим политику, текст баннера и согласий и проверим условия подключённых сервисов. Подробнее о сопровождении по персональным данным → Если нужен подробный разбор с документами, запишитесь на онлайн-консультацию с партнёром.

Частые вопросы

Обязателен ли баннер cookie на сайте по закону
Прямо закон баннер не требует. Но если аналитические и рекламные cookie позволяют определить посетителя, для их использования нужно согласие (п. 1 ч. 1 ст. 6, ч. 1 ст. 9 Закона № 152-ФЗ), и баннер служит самым удобным способом его получить.

Считаются ли cookie персональными данными
Специальной нормы нет. Cookie становятся персональными данными, если вместе с другими сведениями, например IP-адресом или учётной записью, позволяют определить человека (п. 1 ст. 3 Закона № 152-ФЗ).

Нужно ли согласие на технические cookie
Как правило, нет, если они нужны только для работы сайта и не используются для определения личности посетителя в других целях. Их всё равно описывают в политике обработки данных.

Какой штраф за cookie без согласия
За обработку персональных данных без согласия, когда оно нужно, компанию штрафуют на 300 000-700 000 ₽, за повторное нарушение на 1-1,5 млн ₽ (ч. 2, 2.1 ст. 13.11 КоАП РФ).

Можно ли использовать зарубежную аналитику на российском сайте
Только с соблюдением правил локализации и трансграничной передачи (ч. 5 ст. 18, ст. 12 Закона № 152-ФЗ). За нарушение локализации компании грозит штраф от 1 до 6 млн ₽ (ч. 8 ст. 13.11 КоАП РФ).

Правовая база

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 3, 6, 9, 12, ч. 5 ст. 18, ч. 2 ст. 18.1, ст. 24
• Кодекс РФ об административных правонарушениях, ч. 2, 2.1, 3, 8, 9 ст. 13.11

Статья носит информационный характер и актуальна на дату обновления. Для решения вашей ситуации обратитесь к юристу.