Cookie-баннер на сайте: нужен ли он и каким должен быть
Материал ПдПро
Каждый пятый сайт малого бизнеса вообще не предупреждает посетителя про cookie: по итогам нашей проверки 197 сайтов малого бизнеса (июль 2026) у каждого пятого не нашлось ни баннера, ни хотя бы упоминания cookie. Проверить свой сайт можно бесплатным чек-апом за минуту. При этом у большинства сайтов есть счётчик Яндекс.Метрики или форма заявки — а значит, сайт уже собирает данные о посетителе. Разберёмся, когда cookie-баннер обязателен, чем плоха формулировка «продолжая пользоваться сайтом, вы соглашаетесь», и что реально должно быть написано.
Cookie — это персональные данные или нет
152-ФЗ не содержит слова «cookie» — закон писали в 2006 году, когда веб-аналитики в нынешнем виде не было. Но определение персональных данных в законе сформулировано широко: «любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу» (ст. 3 п. 1). Cookie-идентификатор сам по себе — просто набор символов в браузере. Но как только счётчик аналитики или рекламная система связывает этот идентификатор с историей посещений, устройством, IP-адресом или, тем более, с именем и телефоном из формы на этом же сайте — человек становится определяемым. С точки зрения логики закона именно в этой связке — а не сами по себе — такие идентификаторы становятся персональными данными; так эту норму трактуют и юристы, готовящие документы для сайтов. Наш собственный пакет документов идёт от той же логики: раздел про cookie-идентификаторы — обязательная часть перечня обрабатываемых данных в политике, а не факультативная строчка.
Вывод простой и практичный: если на сайте стоит счётчик метрики, рекламный пиксель или сервис ретаргетинга — сайт обрабатывает данные посетителя, и это нужно показать так же честно, как форму с именем и телефоном.
Кстати, сама политика в отношении cookie — вместе с политикой обработки и согласиями — входит в комплект документов ПдПро: опрос по ИНН занимает 15 минут, и это 3 980 ₽ против штрафов до 300 тысяч за отсутствие опубликованной политики.
Когда баннер обязателен, а когда можно без него
Не любой сайт нуждается в баннере — обязанность возникает не из факта существования cookie в браузере, а из того, что именно эти cookie делают.
Баннер нужен, если на сайте есть:
- счётчик аналитики (Яндекс.Метрика, любой другой) — он строит историю посещений конкретного браузера;
- рекламные пиксели и системы ретаргетинга — они передают идентификатор рекламной сети;
- формы, где cookie связывает анонимного посетителя с оставленными контактами (например, напоминание о брошенной корзине письмом — система должна «узнать» посетителя по cookie, чтобы отправить письмо именно ему).
Можно обойтись без баннера технически чистому сайту-визитке: без счётчиков, форм и встроенных виджетов, где единственные cookie — служебные (сессия, язык интерфейса, содержимое корзины до оформления заказа). Такие cookie нужны для работы самого сайта, а не для сбора данных о человеке, и отдельного согласия не требуют. На практике такой сайт сегодня — редкость: у большинства проверенных нами сайтов какое-то уведомление о cookie уже стоит — счётчик аналитики почти всегда на месте.
| Ситуация на сайте | Баннер нужен | Почему |
|---|---|---|
| Только сайт-визитка, счётчиков нет | Нет | Cookie служебные, человека не идентифицируют |
| Стоит Яндекс.Метрика или другой счётчик | Да | Строится история посещений конкретного браузера |
| Есть форма заявки без счётчиков | Отдельное согласие на форме, баннер не обязателен | Данные собирает форма напрямую, а не cookie |
| Форма + счётчик + рекламный пиксель | Да, и баннер, и согласие на форме | Два разных канала сбора — нужны оба уведомления |
Обратите внимание: раз баннер завязан не на «есть cookie», а на «что эти cookie обрабатывают», прежде чем решать, нужен ли баннер, стоит свериться со списком счётчиков и виджетов на сайте — быстрее всего это сделать бесплатным чек-апом сайта: он открывает страницу и показывает, какие счётчики подключены и есть ли уже уведомление о cookie.
Почему «продолжая пользоваться сайтом» — слабая формулировка
Самый частый текст баннера на рунете — что-то вроде «Продолжая пользоваться сайтом, вы соглашаетесь с использованием файлов cookie». С точки зрения закона это шаткая конструкция. Статья 9 ч. 1 152-ФЗ описывает согласие так: субъект «принимает решение о предоставлении... персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе», и это согласие «должно быть конкретным, предметным, информированным, сознательным и однозначным». Простой заход на страницу не требует от человека никакого решения — он мог просто перейти по ссылке из поисковика, не читая баннер вообще. Приравнивать бездействие к осознанному «да» рискованно: закон явно требует однозначного действия, а не молчаливого допущения.
Практический вывод, а не теория: если сайт собирает контакты (форма, чат, звонок с сайта) и одновременно ставит счётчики, для формы согласие оформляется отдельным чекбоксом (ст. 9 ч. 1 — отдельно от других документов, которые подписывает человек), а cookie-уведомление лучше строить на информировании, а не на попытке выжать согласие из самого факта просмотра страницы. Разница практическая: баннер честно говорит «мы используем cookie для метрики, вот ссылка на политику», а не подменяет реальное согласие юридической фикцией. Особый случай — когда собранные через форму адреса идут в рассылку: там к согласию требования жёстче, а штрафы выше — этому посвящён отдельный разбор согласия на рассылку.
Что писать в баннере и в cookie-политике
Баннер и cookie-политика — два разных по объёму документа с одной целью: показать, что происходит с данными посетителя.
В самом баннере (короткий текст на экране):
- факт использования cookie и зачем — аналитика, реклама, работа сайта;
- ссылка на cookie-политику, где расписано подробнее;
- явная кнопка закрытия/согласия, а не автоматическое исчезновение через N секунд.
В cookie-политике (отдельный документ или раздел политики обработки ПД):
- какие категории cookie использует сайт (служебные, аналитические, рекламные);
- какие сервисы их устанавливают (Яндекс.Метрика, рекламные сети);
- как отключить cookie в браузере;
- ссылка на общую политику обработки персональных данных, где описаны цели обработки и права посетителя.
Обязанность информировать посетителя заложена и в самом законе: при сборе данных оператор по просьбе субъекта предоставляет сведения об обработке (ст. 18 ч. 1 152-ФЗ) — баннер со ссылкой на политику закрывает этот вопрос до того, как он вообще возникнет. Держать cookie-политику в связке с общей политикой, а не отдельным изолированным текстом, важно ещё и потому, что инспектор читает документ целиком: если на сайте есть счётчики, а политика их не упоминает, при проверке такая неполная политика рискует быть расценена как невыполнение обязанности по её опубликованию (ч. 3 ст. 13.11 КоАП, 30 000–60 000 ₽ юрлицу, 10 000–20 000 ₽ ИП; подробный разбор сумм — в таблице штрафов по 152-ФЗ).
Cookie-политика в комплекте документов
В конструкторе документ Cookie-политика добавляется в пакет автоматически, если при ответе на вопросы вы указали, что на сайте используется аналитика. Он идёт вместе с общей политикой обработки ПД и согласием для сайта (чекбокс формы) — три документа закрывают именно то, что инспектор смотрит на сайте: наличие политики, согласие в формах, честное информирование про cookie. Полный состав пакета — не только «сайтовые» документы — расписан в перечне документов по 152-ФЗ. Собрать пакет документов с готовыми формулировками под ваш сайт — 10–15 минут вместо самостоятельного поиска шаблона.
Частые вопросы
У меня Tilda/Bitrix со встроенным баннером cookie — этого достаточно? Готовый виджет решает техническую часть (показать баннер), но не юридическую: если в нём стандартный текст «продолжая пользоваться...», а на сайте есть формы и счётчики, слабое место остаётся то же самое — нет полноценной cookie-политики со списком сервисов и целей.
Cookie-баннер нужен только сайтам с оплатой на сайте? Нет, обязанность не связана с приёмом платежей. Она возникает из факта установки счётчиков и пикселей — это касается и сайта-визитки со встроенной Метрикой.
Можно ли не указывать конкретные сервисы аналитики, а написать общими словами «мы используем cookie»? Формально закрывает факт уведомления, но не факт полноты: если на сайте пять счётчиков, а в политике сказано «cookie» без деталей, документ не отражает реальную обработку — и при детальной проверке рискует быть расценён как невыполнение обязанности по опубликованию политики (ч. 3 ст. 13.11 КоАП).
Итог
Cookie-баннер нужен не каждому сайту, а тому, где есть счётчики, пиксели или формы, связанные с cookie-идентификатором, — то есть почти всем. «Продолжая пользоваться сайтом» — слабая формулировка: закон требует конкретного и однозначного согласия, а не молчаливого допущения. Рабочая связка — честный баннер с фактом и ссылкой плюс cookie-политика со списком сервисов, встроенная в общий пакет документов. Проверить, чего не хватает именно на вашем сайте, можно бесплатным чек-апом за минуту.