Уведомление или согласие: какую модель выбрать
Согласие — одно из нескольких оснований обработки по ст. 6 152‑ФЗ. Технические cookie можно обосновать исполнением договора с посетителем (корзина, личный кабинет) или законным интересом оператора, если права посетителя при этом не страдают. Для аналитики и рекламы такие основания подходят плохо: сайт работает и без них, поэтому основанием остаётся согласие.
Информационная модель
Баннер сообщает, что сайт использует cookie, и даёт ссылку на политику. Продолжение работы с сайтом считается согласием, счётчики грузятся сразу. Модель распространена, но слабая: по ст. 9 152‑ФЗ согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, а молчание посетителя однозначным выражением воли считать трудно. Подходит для сайтов, где кроме технических cookie почти ничего нет.
Модель активного выбора
Необязательные cookie включаются только после нажатия «Принять». Посетитель может отказаться или выбрать категории. Выбор сохраняется вместе с датой и версией настроек: бремя доказывания согласия по ст. 9 лежит на операторе, и запись о выборе — ваше доказательство. Эта модель надёжнее, её стоит выбирать, если на сайте есть аналитика или реклама.
С 1 сентября 2025 года согласие на обработку ПДн оформляется отдельно от других документов, которые подписывает или подтверждает посетитель (Федеральный закон от 24.06.2025 № 156‑ФЗ). Для cookie это значит: согласие на аналитику не стоит прятать в пользовательское соглашение или в общую галочку «Принимаю условия». Подробнее — в статье об отдельном согласии с 1 сентября 2025 года.
Метрика загрузится только после согласия, а отказаться так же просто, как согласиться.
Ошибки, из-за которых баннер не защищает
- Баннер висит поверх страницы, а Метрика и пиксели уже загрузились: выбор посетителя ни на что не влияет.
- В баннере одна кнопка «Ок» или «Понятно»: отказаться невозможно, согласие трудно назвать сознательным.
- Закрытие крестиком включает все счётчики.
- Политика не упоминает cookie или перечисляет сервисы, которых на сайте давно нет, и наоборот.
- Выбор не сохраняется: баннер всплывает на каждой странице, посетители нажимают «Принять», лишь бы он исчез.
- Нет способа изменить решение позже: ссылки «Настройки cookie» в подвале нет.
- Забыты сторонние виджеты: видео, карты и чат ставят cookie независимо от баннера.
Почему баннер-формальность не работает, разобрано в статье «Cookie-баннер без иллюзий».
Чем грозит аналитика без согласия
Отдельного штрафа за отсутствие cookie-баннера в КоАП нет. Если cookie признают персональными данными, нарушение квалифицируют по общим составам ст. 13.11 КоАП в редакции Федерального закона от 30.11.2024 № 420‑ФЗ, которая действует с 30 мая 2025 года.
| Нарушение | Часть ст. 13.11 | Штраф | Повторно |
|---|---|---|---|
| Обработка без согласия, когда оно требуется | ч. 2 | 300–700 тыс. ₽ | 1–1,5 млн ₽ |
| Обработка без законного основания или с несовместимой целью | ч. 1 | 150–300 тыс. ₽ | 300–500 тыс. ₽ |
| Нет опубликованной политики или доступа к ней | ч. 3 | 30–60 тыс. ₽ | — |
| Первичный сбор данных граждан РФ в базы за рубежом | ч. 8 | 1–6 млн ₽ | 6–18 млн ₽ |
Иностранные счётчики добавляют ещё два риска: трансграничную передачу без уведомления РКН по ст. 12 152‑ФЗ и нарушение требования о локализации по ч. 5 ст. 18. На практике претензии чаще возникают из-за общей картины: формы без согласия, нет политики, стоит Google Analytics. Полная таблица штрафов — в статье о штрафах по ст. 13.11 КоАП.
Частые вопросы
Нужно ли согласие на технические cookie?
Обычно нет. Cookie сессии, корзины и авторизации нужны для работы сайта и оказания услуги, их основанием служит исполнение договора или законный интерес оператора. Достаточно описать их в политике обработки персональных данных.
Можно ли считать согласием продолжение работы с сайтом?
Такую модель используют многие сайты, но она уязвима: согласие по ст. 9 152‑ФЗ должно быть однозначным, а продолжение просмотра трудно считать явным выражением воли. Для аналитики и рекламы надёжнее кнопка «Принять» и загрузка счётчиков только после нажатия.
Нужно ли подавать уведомление в Роскомнадзор из-за cookie?
Отдельного уведомления про cookie нет. Но если сайт собирает ПДн посетителей через счётчики и формы, оператор подаёт общее уведомление о намерении обрабатывать ПДн, а при иностранных сервисах — ещё и уведомление о трансграничной передаче. Порядок описан в статье об уведомлении РКН.
Сколько хранить выбор посетителя в cookie-баннере?
Закон срок не устанавливает. На практике выбор хранят от нескольких месяцев до года, а баннер показывают снова, когда добавляется новый сервис или категория cookie. Вместе с выбором сохраняйте дату и версию настроек.
Что делать, если у сайта есть посетители из Евросоюза?
Европейский регламент GDPR и правила ePrivacy строже российских: необязательные cookie там включаются только после явного согласия, а отказаться должно быть так же просто, как согласиться. Если сайт ориентирован на аудиторию из ЕС, настраивайте баннер по этим правилам — он подойдёт и для России.
Является ли cookie-баннер согласием на обработку ПДн из формы заявки?
Нет, это разные согласия с разными целями. Согласие на cookie касается аналитики и рекламы, данные из формы обрабатываются по своему согласию, которое оформляется отдельно. Как его сделать, рассказано в статье о чекбоксе согласия в форме.
Материал носит информационный характер. Для оценки конкретной ситуации обратитесь к профильному специалисту.