Нужен ли баннер про cookie и каким он должен быть
Отдельного закона о cookie в России нет — разбираем, откуда тогда берутся требования, когда файлы становятся персональными данными и почему «продолжая пользоваться сайтом» согласием не считается.
Закон баннера не требует
Начнём с того, чего вы не найдёте на страницах, продающих готовые виджеты. Отдельного закона о cookie в России нет. Нет и нормы, которая обязывала бы показывать баннер. Европейский регламент, из которого эта привычка выросла, на российские сайты не распространяется.
Требования возникают косвенно, и вот здесь начинается содержательная часть. Если файлы позволяют отнести данные к конкретному человеку, это обработка персональных данных — а на неё уже работают общие правила: нужно согласие, нужно информирование, нужна опубликованная политика.
«Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)».
Ключевое слово — «косвенно». Идентификатор посетителя сам по себе имени не называет, но вместе с прочими сведениями позволяет узнать человека между визитами. Этого достаточно, чтобы вопрос возник.
Отсюда практический вывод: баннер — не обязанность, а самый простой способ выполнить настоящие обязанности видимым образом. И доказывать, что вы их выполнили, придётся вам.
Какие файлы считаются, а какие нет
Сваливать все файлы в одну кучу — ошибка, из которой растут остальные. Их два класса, и обращаться с ними надо по-разному.
Технически необходимые. Помнят, что корзина не пуста, что вы вошли в личный кабинет, какой язык выбран. Без них сайт не работает, никого они не идентифицируют, и спрашивать на них разрешение не требуется — как не требуется спрашивать разрешение на то, чтобы страница открылась.
Аналитические и рекламные. Счётчики посещаемости, пиксели рекламных систем, всё, что узнаёт посетителя между визитами и накапливает его поведение. Вот они и есть тот случай, ради которого баннер появляется.
Практический признак: если файл нужен, чтобы отличить этого посетителя от другого и запомнить его, — он во второй группе. Если нужен, чтобы страница работала, — в первой.
Пять вещей, без которых баннер — украшение
Требований к содержанию баннера закон не устанавливает — их задаёт то, ради чего он ставится: получить согласие, отвечающее части 1 статьи 9. Отсюда и список.
Не «мы используем файлы cookie», а какие именно: нужные для работы сайта и чужие — счётчики, рекламные системы. Чужие стоит назвать поимённо.
Для каждой группы своя цель: запомнить сессию, посчитать посещаемость, показать рекламу. Одна общая формулировка на всё — то же самое, что ничего.
Отказаться должно быть так же легко, как согласиться. Кнопка «Принять» без кнопки «Отклонить» — это не выбор.
Человек должен успеть прочитать, на что соглашается, ДО того как соглашается. Ссылка в баннере, а не после.
Согласие можно отозвать. Если отозвать нельзя нигде, кроме настроек браузера, — скажите об этом прямо.
Шесть ошибок, которые встречаются чаще всего
«Продолжая пользоваться сайтом, вы соглашаетесь»
Самая частая формулировка и самая уязвимая. Согласие по закону должно быть конкретным, сознательным и однозначным — то есть отдельным действием человека. Продолжение просмотра страницы действием не является: человек мог не заметить надпись и не понять, что он сейчас что-то подписал.
Одна кнопка «Принять»
Если отказаться нельзя, выбора нет, а согласие должно быть свободным. Такой баннер сообщает, а не спрашивает, и его честнее так и называть — уведомление.
Галочки проставлены заранее
Отметка, которую поставили за человека, не подтверждает ни сознательности, ни однозначности. Это ровно та же ошибка, что и в формах обратной связи.
Счётчики запускаются до ответа
Баннер висит, а аналитика уже работает. Тогда он украшение: данные собраны до того, как человек что-то решил.
Баннер есть, а в политике про cookie ни слова
Два документа противоречат друг другу: на экране спрашивают согласие, в политике этих данных нет. Проверяющий заметит расхождение быстрее посетителя.
Отозвать согласие невозможно
Нажали «Принять» — и всё, повторно баннер не появляется, ссылки на настройки нет. Право отозвать есть у любого согласия, и оно должно быть исполнимым.
Проверьте свой баннер за две минуты
Открывать надо в окне, где вы на сайте ещё не были: если согласие уже дано, баннер не покажется, и вы решите, что его нет.
- 1Откройте свой сайт в окне, где вы на нём ещё не были. Баннер появился?
- 2Прочитайте текст: названы ли конкретные файлы и цели, или там общая фраза?
- 3Есть ли кнопка отказа рядом с кнопкой согласия — и одинаково ли их легко нажать?
- 4Есть ли в баннере ссылка на политику, и открывается ли она?
- 5Откройте инструменты разработчика и посмотрите, запускается ли счётчик ДО нажатия кнопки.
- 6Найдите, как отозвать согласие. Если способа нет — это незакрытый пункт.
Первый пункт видно машине. Наша проверка открывает страницу и ищет признаки баннера — текст про файлы cookie вместе с кнопкой согласия, — а заодно смотрит, есть ли ссылка на политику и открывается ли она.
Проверить свой сайтПроверка видит, есть ли баннер, но не судит о его содержании и не знает, когда запускаются ваши счётчики. Остальные пять пунктов — только руками.
За что штрафуют на самом деле
Штрафа за отсутствие баннера нет — как нет и требования его показывать. Отвечать приходится за то, что за ним стоит.
Нет опубликованной политики. Часть 3 статьи 13.11 КоАП: на должностных лиц от шести до двенадцати тысяч рублей, на индивидуальных предпринимателей от десяти до двадцати тысяч, на юридических лиц от тридцати до шестидесяти тысяч.
Обработка без согласия там, где оно требуется. Часть 2 той же статьи, и суммы там другие: для юридических лиц от трёхсот до семисот тысяч рублей, при повторном нарушении — до полутора миллионов.
То есть баннер — это не про штраф за баннер. Это про то, сумеете ли вы показать, что согласие получено, а человек проинформирован.
Что ещё требуют от сайта
Баннер сам по себе ничего не закрывает, если рядом нет остального. Политика обработки данных должна описывать те же файлы, о которых спрашивает баннер, — иначе документы противоречат друг другу. Галочка согласия у формы — отдельная обязанность, к cookie отношения не имеющая. Уведомление в Роскомнадзор подаётся до начала обработки.
Частые вопросы о баннере cookie
Прямого требования показывать баннер в российском законодательстве нет — отдельного закона о cookie у нас не существует. Требования возникают косвенно: если файлы позволяют отнести данные к конкретному человеку, это обработка персональных данных, и тогда работают общие правила закона 152-ФЗ — согласие, информирование, публикация политики. Баннер — самый простой способ выполнить их видимым образом, а не единственно возможный.
Нет. Файл, который просто помнит, что корзина не пуста, никого не идентифицирует. А идентификатор посетителя, по которому счётчик узнаёт человека между визитами и накапливает его поведение, вместе с прочими сведениями уже позволяет отнести данные к конкретному лицу. Разделять их и есть содержательная часть работы: технически необходимые файлы от аналитических и рекламных.
Если счётчик собирает идентификаторы, то запускать его до ответа — значит начать обработку без согласия. Технически это решается отложенной загрузкой: код аналитики подключается после нажатия. Баннер, под которым аналитика уже работает, юридической ценности не имеет.
Эта формулировка не отвечает требованиям части 1 статьи 9 закона 152-ФЗ: согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Продолжение просмотра — не действие человека в отношении согласия, а обычное поведение на сайте. Однозначности в нём нет.
Штрафа именно за баннер нет, потому что нет и требования его показывать. Ответственность наступает за то, что за ним стоит: обработка без согласия там, где оно нужно, и отсутствие опубликованной политики. Второе — часть 3 статьи 13.11 КоАП, для юридических лиц от тридцати до шестидесяти тысяч рублей.
Метрика сохраняет идентификатор посетителя, то есть ровно тот случай, ради которого всё это и делается. Одного счётчика достаточно, чтобы вопрос возник. Другое дело, что решать его можно по-разному: баннером с выбором, отложенной загрузкой счётчика или отказом от части его возможностей.
Мы не юристы и не даём правовых консультаций. На странице приведены требования действующих актов со ссылками, чтобы их можно было проверить самостоятельно: Федеральный закон от 27.07.2006 № 152-ФЗ, пункт 1 статьи 3, часть 1 статьи 9, часть 2 статьи 18.1; Кодекс об административных правонарушениях, части 2 и 3 статьи 13.11. Тексты сверены 11 сентября 2026 года.