Cookie-баннер без иллюзий: частые ошибки и как их исправить

Что требует закон и чего он не уточняет

Отдельного закона о cookie в России нет. Работают общие правила 152‑ФЗ: cookie вместе с IP-адресом и данными о поведении могут относиться к персональным данным (ПДн), если позволяют отличить конкретного посетителя. Если основание обработки — согласие, оно должно быть конкретным, информированным, сознательным и однозначным, а доказывать его получение обязан оператор (ст. 9).

Закон не задаёт формат баннера и набор кнопок. Юристы расходятся во мнениях, обязательна ли кнопка «Отказаться». Безопасный подход исходит из требований к согласию: выбор, который нельзя не сделать, однозначным не назовёшь. Поэтому на практике баннер дают с равнозначным отказом, а необязательные счётчики откладывают до решения посетителя. Общий разбор темы — в статье cookie и 152‑ФЗ.

Технические cookie — сессия, корзина, авторизация, сохранённый выбор в баннере — нужны для работы сайта. Их обычно описывают в политике и работают с ними без выбора в баннере.

Ошибки, из-за которых баннер не работает

Счётчики загружаются до выбора

Самая частая ошибка: код Метрики или пикселя стоит в шаблоне сайта и срабатывает при открытии страницы. Баннер появляется, но данные уже ушли. Исправление — отложенная загрузка: скрипт счётчика подключается только после согласия, а при повторном визите — если согласие сохранено. Яндекс описывает такой способ в справке Метрики. Не забудьте про блок noscript с пикселем: он тоже передаёт данные. В Google Tag Manager и других менеджерах тегов теги ставят на триггер согласия.

Отказаться нельзя или отказ спрятан

Варианты одной ошибки: единственная кнопка «Хорошо»; фраза «Продолжая пользоваться сайтом, вы соглашаетесь»; отказ в виде мелкой ссылки внутри текста или на третьем экране настроек. Исправление: кнопки «Принять» и «Отказаться» одного размера и на одном экране, рядом — «Настроить» для выбора по категориям.

Одна галочка на все цели

Аналитика и реклама — разные цели. Посетитель может согласиться на статистику и отказаться от ретаргетинга. Разделите хотя бы аналитические и рекламные cookie, а в настройках включайте их только по действию посетителя.

Не сказано, какие сервисы и зачем

Баннер из одной строки «Мы используем cookie» не информирует. Назовите цели, дайте ссылку на политику, а в ней перечислите сервисы, данные и сроки. Набор в документе должен совпадать с тем, что реально грузится на сайте: после подключения нового пикселя обновляйте и политику.

Выбор не запоминается и его нельзя изменить

Если баннер появляется на каждой странице, посетитель нажимает что угодно, лишь бы его закрыть. Сохраняйте выбор и повторно спрашивайте только при изменении набора сервисов. Согласие можно отозвать, поэтому оставьте в подвале ссылку «Настройки cookie», которая снова открывает выбор.

Нет доказательств согласия

Бремя доказывания на операторе. Записывайте дату и время, выбор по категориям, версию текста баннера и идентификатор устройства. Без этого журнала на вопрос «где согласие» ответить нечем.

Баннер скопирован с зарубежного шаблона

Готовые GDPR-плагины часто ссылаются на европейский регламент, показывают текст на английском и сами грузят скрипты с зарубежных серверов. Проверьте, куда отправляет запросы сам баннер, и переведите тексты под российские требования.

Баннер есть не на всех страницах

Отдельные лендинги, поддомены, страницы оплаты и квизы на сторонних конструкторах нередко остаются без баннера, хотя счётчики на них стоят. Проверяйте каждую точку входа рекламного трафика.

Вебвизор записывает поля форм

Запись сессий в Метрике может сохранить введённые телефоны и email. Скройте поля форм от записи в настройках счётчика или отключите Вебвизор там, где он не нужен. Подробнее — в статье Яндекс Метрика и 152‑ФЗ.

Какие cookie разделять в баннере

Google Analytics, reCAPTCHA и Google Fonts передают данные за рубеж независимо от баннера. Для них нужна замена или уведомление о трансграничной передаче — подробности в статье Google Analytics, reCAPTCHA и Google Fonts.

Пример текста баннера

«Мы используем cookie, чтобы сайт работал, а с вашего согласия — чтобы считать посещения через Яндекс Метрику и показывать рекламу через VK Пиксель. Подробнее — в Политике обработки персональных данных». Кнопки: «Принять все», «Только необходимые», «Настроить».

Собрать текст и код с отложенной загрузкой счётчиков можно в генераторе cookie-баннера. Пошаговая настройка — в статье как сделать cookie-баннер.

Как проверить баннер за десять минут

1. Откройте сайт в окне инкогнито без расширений и включите инструменты разработчика (F12).
2. Во вкладке Network включите Preserve log и перезагрузите страницу, не трогая баннер. Запросов к mc.yandex.ru, top-fwz1.mail.ru, googletagmanager.com быть не должно.
3. Во вкладке Application → Cookies проверьте, что аналитических cookie, например _ym_uid, ещё нет.
4. Нажмите «Отказаться» и перезагрузите страницу: счётчики по-прежнему не грузятся.
5. В новом окне инкогнито нажмите «Принять»: счётчики появились, выбор сохранился при переходе на другую страницу.
6. Откройте ссылку «Настройки cookie» в подвале и смените решение.
7. Повторите для лендингов и страниц с формами.

Быстро увидеть, какие счётчики и зарубежные сервисы подключены в коде страницы, поможет бесплатная проверка сайта.

Если баннер уже стоит: порядок исправлений

1. Перенесите необязательные счётчики на загрузку после согласия.
2. Добавьте равнозначную кнопку отказа и ссылку на настройки в подвале.
3. Сверьте политику с фактическим набором сервисов.
4. Включите запись выбора посетителя.
5. Замените или задекларируйте зарубежные сервисы.

После отложенной загрузки часть посетителей пропадёт из статистики. Это ожидаемо: отчёты строятся по тем, кто согласился. Сравнивайте тренды и конверсии внутри этой выборки.