На сайте появилась плашка «Мы используем cookies» с кнопкой «Понятно». Значит ли это, что вопрос с персональными данными решён? Не обязательно. Баннер может закрываться после нажатия, а аналитика — собирать сведения с первой секунды посещения независимо от выбора пользователя.
Для владельца сайта важно проверить три связанные вещи: какие данные получают сайт и подключённые сервисы, на каком основании они обрабатываются и что действительно происходит после согласия или отказа посетителя.
Разберём, когда cookies связаны с персональными данными, как подойти к оформлению согласия и какие задачи передать разработчику. Статья посвящена российским требованиям; при работе на иностранных рынках применимые правила нужно оценивать дополнительно.
Что такое cookies и зачем они нужны сайту
Cookies — небольшие фрагменты данных, которые сайт сохраняет в браузере посетителя и использует при последующих обращениях. Они помогают поддерживать авторизацию, сохранять корзину и настройки, узнавать повторные посещения, анализировать действия и оценивать рекламу.
С точки зрения юридической работы полезно различать их назначение.
| Назначение | Примеры | Что нужно выяснить |
|---|---|---|
| Работа функций сайта | Авторизация, корзина, сохранение выбранных настроек | Какие сведения используются и необходимы ли они для запрошенной пользователем функции |
| Аналитика | Повторные посещения, источники переходов, действия на страницах | Какие идентификаторы и события получает сервис, для чего и на каком основании |
| Реклама | Оценка рекламных переходов, создание аудиторий, ретаргетинг | Как данные связываются с посетителем и кому передаются |
Название «технические» или «необходимые» само по себе не освобождает от требований закона. Нужно проверить фактическое назначение и состав обработки. Аналогично маркировка «анонимная статистика» ещё не подтверждает, что данные действительно обезличены.
Кроме cookies сайт может использовать локальное хранилище браузера, серверные журналы и другие технологии. Поэтому проверка только списка cookie-файлов не всегда даёт полную картину.
Когда cookies относятся к персональным данным
По закону № 152-ФЗ персональные данные — это информация, относящаяся к прямо или косвенно определённому либо определяемому человеку.
Cookie-файл не становится персональными данными только из-за своего названия. Но идентификатор в сочетании с IP-адресом, сведениями об устройстве, аккаунтом или историей действий может позволять определить пользователя. В такой ситуации необходимо оценивать обработку с учётом требований к персональным данным.
Например, сайт может не спрашивать имя, но присваивать посетителю идентификатор, связывать с ним просмотры страниц и покупки, а затем передавать сведения рекламному сервису. Отсутствие имени в форме не означает, что обработка не затрагивает персональные данные.
При этом юридическую оценку нельзя свести к одному признаку «используем cookies». Важно рассмотреть весь набор сведений, цели и возможности участников обработки.
Всегда ли нужно согласие на cookies
В российском законодательстве нет универсального правила, которое предписывает каждому сайту одинаковый cookie-баннер с определённым количеством кнопок. Обязанности зависят от того, обрабатываются ли персональные данные и какое основание применяется.
Согласие — одно из оснований, предусмотренных статьёй 6 закона № 152-ФЗ. В отдельных ситуациях обработка может осуществляться на другом основании, например когда она необходима для исполнения договора с пользователем. Однако нельзя распространить такое основание на любую аналитику или рекламу только потому, что у сайта есть пользовательское соглашение.
Для статистических и исследовательских целей закон также предусматривает специальное основание с обязательным обезличиванием. Подключение счётчика и слово «статистика» в политике сами по себе не подтверждают выполнение этого условия.
Для необязательной аналитики и рекламных инструментов, обрабатывающих персональные данные, практическое решение часто строится на предварительном согласии посетителя. До внедрения определяем, какие именно операции оно охватывает, а затем согласуем документы и работу сайта.
Не следует автоматически применять к российскому сайту все правила европейских баннеров или считать, что любой зарубежный плагин уже обеспечивает соблюдение 152-ФЗ.
Как должен работать баннер, если обработка основана на согласии
Баннер — это интерфейс, через который посетитель получает информацию и выражает выбор. Его содержание и поведение нужно рассматривать вместе.
Понятно объяснять обработку
Посетителю должно быть понятно, для чего используются соответствующие инструменты: например, для анализа посещений или рекламы. Подробности можно раскрыть по доступной ссылке.
Фраза «для улучшения работы сайта» слишком общая, если фактически создаются рекламные аудитории и сведения передаются внешним сервисам. Содержание согласия должно соответствовать обработке, а согласие — оформляться отдельно от другой подтверждаемой пользователем информации и документов.
Давать возможность выразить выбор
Рекомендуем предусмотреть понятные действия для согласия и отказа от необязательной обработки. Для сайта с несколькими различающимися целями может быть полезна настройка категорий.
Конкретное число кнопок не является самостоятельным критерием законности. Важно, чтобы пользователь понимал последствия действий и мог выразить свободный, конкретный и однозначный выбор. Продолжение просмотра, молчание или простое закрытие окна не стоит автоматически считать достаточным согласием на любую обработку.
Учитывать выбор в работе счётчиков
Если для обработки необходимо предварительное согласие, соответствующие инструменты должны запускаться с учётом этого требования. Недостаточно показывать плашку поверх уже работающей аналитики.
Пример: посетитель нажал «Отказаться», баннер исчез, но запросы аналитического сервиса продолжают отправляться. Внешне выбор есть, фактически он не реализован.
Разработчику нужно проверить загрузку и работу соответствующих скриптов, передачу данных и иные способы подключения сервиса, включая инструменты управления тегами. Отключение только сохранения cookie-файлов не всегда означает прекращение обработки данных.
Подтверждать получение и учитывать отзыв согласия
Оператор должен иметь возможность подтвердить получение согласия. Для этого определяют, как фиксируются выбор, время и версия соответствующего текста. При этом не следует собирать лишние данные только ради журнала согласий.
Также нужно продумать, как посетитель изменит выбор или отзовёт согласие и как сайт учтёт это действие. Для необязательной аналитики удобным решением может быть постоянная ссылка на настройки cookies.
Отзыв согласия не означает автоматически, что любые ранее полученные сведения подлежат немедленному удалению: необходимо учитывать цели, основания и применимые сроки. Но дальнейшая обработка не должна продолжаться по отозванному согласию без другого законного основания.
Нужна ли отдельная политика cookies
Закон не устанавливает универсальной обязанности иметь отдельный документ именно с названием «Политика cookies». Важно раскрыть соответствующую обработку и обеспечить надлежащее оформление согласия, когда оно требуется.
Описание можно включить в основную политику обработки персональных данных или вынести в отдельный документ. Второй вариант бывает удобнее для сайта с несколькими счётчиками и рекламными инструментами.
В документах нужно отразить реальные сведения:
- какие технологии и сервисы используются;
- какие данные и для каких целей обрабатываются;
- кто участвует в обработке;
- как определяются сроки обработки и хранения;
- как пользователь может изменить выбор или обратиться по поводу своих данных.
Не стоит копировать таблицу cookies с чужого сайта: названия, сроки, настройки и получатели могут отличаться. Сведения для документа собираем вместе с владельцем сайта и техническим специалистом.
Содержание основного документа подробнее разобрано в статье о политике конфиденциальности для сайта.
Яндекс Метрика: российский сервис тоже нужно правильно оформить
Выбор российского инструмента аналитики не отменяет обязанности разобраться с обработкой данных.
В условиях Яндекс Метрики владелец сайта назван оператором персональных данных, а Яндекс — лицом, действующим по его поручению в предусмотренном условиями объёме. Условия возлагают на пользователя сервиса обеспечение правомерности обработки и надлежащее информирование посетителей. Отдельные настройки и связанные сервисы также могут влиять на использование данных.
Поэтому при подключении Метрики проверяем:
- Какие функции счётчика включены и какие сведения передаются.
- Не попадают ли в адреса страниц, события и параметры данные из форм и личных кабинетов.
- На каком основании осуществляется соответствующая обработка.
- Как сервис описан в документах сайта.
- Соответствует ли запуск и дальнейшая работа счётчика выбранной модели согласия.
У Яндекса есть документация об уведомлении посетителей и отложенной загрузке. Пример технической реализации не заменяет юридической оценки: сам Яндекс рекомендует согласовать текст уведомления с юристом.
Зарубежная аналитика: согласие не заменяет локализацию
Использование Google Analytics для обработки персональных данных посетителей сайта является трансграничной передачей персональных данных. Это прямо указано в письме Минцифры России от 12.05.2025 № П25-44929: такая обработка подпадает под статью 12 закона № 152-ФЗ.
Поэтому владельцу сайта с Google Analytics нельзя ограничиться баннером и упоминанием счётчика в политике. Нужно выполнить применимые требования к трансграничной передаче, включая предварительное уведомление Роскомнадзора, и отдельно проверить соблюдение локализации.
Для других иностранных инструментов также выясняем состав передаваемых данных, получателей и фактическую схему обработки. Российский сервер самого сайта не подтверждает, что данные из браузера не направляются напрямую во внешнюю систему.
Важно разделять три вопроса:
- Основание обработки: почему оператор вправе использовать соответствующие данные.
- Локализация: соблюдены ли требования к базам данных, используемым при сборе персональных данных граждан России.
- Трансграничная передача: возникает ли она и выполнены ли применимые требования к ней.
Согласие пользователя не заменяет локализацию. Уведомление о трансграничной передаче не делает автоматически допустимой любую работу зарубежного счётчика. Если при сборе персональных данных граждан России используются зарубежные базы для операций, запрещённых частью 5 статьи 18, баннер и уведомление этот вопрос не решают.
В том же письме Минцифры отдельно разграничивает сбор данных и последующую трансграничную передачу сведений, ранее собранных с использованием российских баз. Поэтому ни формулировка «достаточно уведомить РКН», ни универсальное утверждение о запрете любой возможной модели использования Google Analytics не заменяют проверки конкретной реализации.
Если у проекта сложные интеграции или несколько получателей, полезно начать с проверки всей схемы обработки. Аналогичный подход к иностранным интеграциям рассматриваем в статье об использовании зарубежных нейросетей с учётом 152-ФЗ.
Что передать разработчику
После юридического разбора команде нужны конкретные задания. Например:
- определить перечень подключённых счётчиков, пикселей и других инструментов;
- согласовать, какие из них запускаются при каких условиях;
- разместить тексты и ссылки на документы;
- реализовать действия для согласия, отказа и изменения выбора;
- настроить фиксацию подтверждений в согласованном объёме;
- проверить работу на разных страницах и устройствах, включая повторные посещения;
- исключить незапланированную передачу данных через формы, адреса страниц и параметры событий.
Юрист определяет правовые требования и содержание документов. Разработчик реализует техническую часть и подтверждает фактическое поведение сайта. Участие юриста в согласовании внедрения и повторной проверке нужно закрепить в составе работы.
Готовый плагин может быть удобным инструментом, но его нужно настроить под конкретный сайт. Сам факт установки не подтверждает, что все способы загрузки аналитики учтены.
Чек-лист проверки cookies и баннера
| Что проверить | На что обратить внимание |
|---|---|
| Сервисы | Известны все счётчики, пиксели, виджеты и другие получатели данных |
| Цели и основания | Для каждого инструмента понятно, зачем и на каком основании обрабатываются сведения |
| Первый визит | Инструменты, требующие предварительного согласия, не начинают соответствующую обработку заранее |
| Отказ | Меняется фактическая работа инструментов, а не только видимость баннера |
| Согласие | Понятно, что подтвердил посетитель и как это можно доказать |
| Изменение выбора | Есть понятный способ его изменить, а сайт учитывает новое решение |
| Документы | Тексты описывают действующие сервисы, цели, данные и участников обработки |
| Другие обязанности | Отдельно проверены уведомление РКН, локализация и возможная трансграничная передача |
Часть пунктов можно проверить самостоятельно. Для оценки сетевых запросов и поведения скриптов может потребоваться разработчик. Автоматический сканер помогает собрать сведения, но не определяет за владельца сайта все правовые основания и обязанности.
Общий порядок работы с формами, рассылками и публикациями о людях раскрыт в статье о персональных данных и документах на сайте.
Как помогает «Софист»
Можно обратиться с конкретным вопросом о cookies, за подготовкой основных документов или за подробным разбором цифрового продукта. Отдельную услугу по программированию баннера мы не подменяем юридической консультацией: техническую реализацию выполняет владелец сайта или разработчик.
| Формат | Для какой задачи | Стоимость |
|---|---|---|
| Консультация по персональным данным | Разобрать конкретные вопросы об аналитике, согласии, документах и дальнейших действиях | 5 000 рублей за час |
| Базовый пакет по 152-ФЗ | Подготовить основные документы и уведомление РКН, провести правовую проверку сайта и локализации, дать рекомендации | 35 000 рублей |
| Юридический аудит сайта, сервиса или приложения | Подробно проверить обработку данных, интеграции, локализацию и возможную трансграничную передачу, определить нарушения и способы устранения | От 50 000 рублей |
Базовый пакет уже включает проверку сайта, но её объём отличается от самостоятельного аудита. Если задача выходит за пределы отдельных форм и документов, состав проверки определяем после знакомства с продуктом. Подробнее — о сопровождении по 152-ФЗ и юридическом аудите цифрового продукта.
До начала работы согласовываем результат, необходимые материалы, сроки, стоимость и порядок доработок. Отдельно определяем объём предварительного изучения, письменных рекомендаций и повторной проверки. Один час консультации не следует автоматически считать полным аудитом сайта.
Уведомление об обработке персональных данных рассматриваем отдельно от настройки баннера: ни баннер, ни опубликованная политика не заменяют уведомление там, где оно требуется. Порядок разобран в материале об уведомлении Роскомнадзора.
Опыт и подход к работе
Юридическая практика «Софист» работает с 2016 года. Сопровождаем ИТ-компании, стартапы, предприятия Татарстана и проекты в сфере услуг и продаж. Работаем с персональными данными, договорами и устройством цифровых продуктов, поэтому рассматриваем тексты вместе с реальными процессами.
Проект ведёт Василий Кустов, юрист. Работаем в Казани и дистанционно по России. Наша задача — объяснить, какие риски выявлены, что нужно изменить в документах и какие действия передать технической команде.
Пример практики: документы и фактическая обработка
Для ИИ-стартапа, использовавшего зарубежный сервис, мы анализировали модель обработки, готовили документы по предварительному обезличиванию, обновляли политику и давали рекомендации по внедрению.
Этот проект не был настройкой cookie-баннера. Он показывает общий принцип работы: юридические документы должны соответствовать фактической обработке данных. Подробности — в кейсе об обезличивании для ИИ-стартапа. Другие задачи представлены в разделе кейсов.
Благодарственные письма
Сведения о практике и другие отзывы размещены на странице «О нас».
Результат работы и обязательства закрепляем в договоре. Соблюдаем согласованные условия конфиденциальности. При этом нельзя гарантировать отсутствие любых претензий регулятора независимо от реализации рекомендаций, изменения сервисов и дальнейшей работы сайта.
Частые вопросы
Нужен ли баннер, если на сайте нет форм заявок?
Отсутствие форм не исключает обработку через аналитику и другие инструменты. Нужно выяснить состав данных и основания обработки. Решение о баннере принимают после этого, а не только по наличию формы.
Достаточно ли кнопки «Понятно»?
Для простого информирования такая кнопка может выполнять свою функцию. Но если требуется согласие, нужно оценить, выражает ли действие однозначное согласие на конкретную обработку и как оно подтверждается. Скрытие плашки не заменяет управление работой инструментов.
Обязательны ли именно три кнопки: «Принять», «Отказаться», «Настроить»?
Единого российского правила о трёх кнопках для каждого сайта нет. Важно обеспечить надлежащее оформление выбранной модели обработки. Настройка категорий полезна, когда на сайте несколько целей и пользователь должен иметь возможность их разграничить.
Если отключить cookies в настройках аналитики, вопрос решён?
Не обязательно. Сервис может продолжать получать IP-адрес, сведения об устройстве и событиях. Нужно проверить фактический состав обработки после изменения настроек.
Можно ли пользоваться Яндекс Метрикой без юридических документов?
Выбор российского сервиса сам по себе не освобождает от обязанностей оператора. Нужно определить основание обработки, раскрыть необходимые сведения и проверить связанные обязанности. Набор документов и настроек зависит от использования сервиса.
Нужно ли заново спрашивать согласие при каждом посещении?
Не обязательно: выбранное решение может сохраняться. Но нужно учитывать содержание и срок согласия, изменения обработки и возможность его отзыва. Универсального срока повторного показа баннера для любого сайта нет.
Плагин обещает соответствие 152-ФЗ. Можно ли на этом остановиться?
Плагин реализует предусмотренные разработчиком функции. Он не всегда знает все цели бизнеса, условия внешних сервисов и способы обработки данных. Нужно проверить настройки, тексты и фактическую работу на вашем сайте.