Настройки cookie-баннера по требованиям РФ: чек-лист
У российских сайтов, где cookie-баннер уже есть, картина часто одна и та же. Баннер поставлен из готового шаблона под GDPR, половина элементов в нем лишняя, а того, что требует 152-ФЗ, не хватает. Я собрал чек-лист по пунктам, которые проверяют на практике, от текста первого экрана до поведения при повторном визите. Отдельно в нем есть описание cookie, без которого баннер остается просто плашкой.
Чем российские требования отличаются от европейских
Шаблоны баннеров, которые чаще всего ставят, написаны под GDPR. Оттуда берутся шесть категорий, ссылка на «Data Protection Officer» и формулировки про «законный интерес». В России регулирование устроено иначе. 152-ФЗ интерфейс баннера не описывает совсем, он задает свойства согласия. Поэтому проверяют четыре свойства. Согласие получают до обработки, оно свободно, информировано, и его можно отозвать.
Закон не задает число категорий, цвет и размер кнопок и не знает «Legitimate interest». Отдельного требования вести серверный журнал согласий тоже нет, хотя при споре доказать получение согласия должен оператор (ч. 3 ст. 9 152-ФЗ). Переносить лишние элементы из GDPR-шаблонов не нужно, они усложняют интерфейс и защищенности не добавляют.
Первый экран баннера
| Что проверить | Как должно быть |
|---|---|
| Момент появления | До загрузки аналитических и рекламных скриптов, а не одновременно с ними |
| Кнопка согласия | «Принять все», явное действие. Закрытие по скроллу согласием не считается |
| Кнопка отказа | «Только необходимые» на том же экране, сопоставимая по размеру и контрасту |
| Переход к настройкам | «Настроить» открывает выбор по категориям и может быть менее заметной |
| Ссылка на документ | На политику использования cookie, открывается и не ведет в 404 |
| Текст | Сказано, что собирается и зачем, без «продолжая пользоваться сайтом, вы соглашаетесь» |
| Закрытие крестиком | Если крестик есть, он равен отказу, а не согласию |
Формулировка «продолжая пользоваться сайтом, вы соглашаетесь» до сих пор встречается часто. Согласием она не считается. Это уведомление о том, что согласие будет считаться полученным без действия пользователя. Такое «согласие» не конкретное и не однозначное (ч. 1 ст. 9 152-ФЗ), а с 1 сентября 2025 года еще и не оформлено отдельно (ФЗ-156).
Экран настроек
- Переключатели аналитики и рекламы по умолчанию выключены.
- Технически необходимые cookie показаны в списке без переключателя, с пояснением, почему их нельзя отключить.
- Категории названы понятно, например «Аналитика посещаемости» и «Реклама и ретаргетинг» вместо «Statistics» и «Marketing».
- У каждой категории указано, какие счетчики в нее входят. Посетитель должен видеть, что разрешает Яндекс Метрику, а не абстрактную «статистику».
- Кнопка «Сохранить выбор» применяет решение сразу, без дополнительного «Принять все».
Поведение после выбора
| Сценарий | Ожидаемое поведение |
|---|---|
| Повторный визит после согласия | Баннер не показывается, трекеры работают в полном режиме |
| Повторный визит после отказа | Баннер не показывается, трекеры не ставят идентификаторы |
| Изменение состава трекеров | Баннер показывается снова, прежнее согласие новый счетчик не покрывает |
| Прошло 12 месяцев | Разумно переспросить, жесткого срока в законе нет |
| Отзыв согласия | Доступен всегда, ссылка «Настройки cookie» в подвале открывает тот же экран |
На возможности передумать ломаются даже аккуратно сделанные баннеры. Выбор сохраняется, а изменить его потом можно только очисткой браузера. При этом отозвать согласие посетитель вправе в любой момент (ч. 2 ст. 9 152-ФЗ).
Техническая проверка
- Откройте приватное окно и не трогайте баннер. В DevTools на вкладке Application в разделе Cookies идентификаторов аналитики быть не должно.
- На вкладке Network до согласия нет запросов к сторонним счетчикам, у которых нет анонимного режима.
- Нажмите «Только необходимые» и перезагрузите страницу. Идентификаторы не должны появиться.
- Нажмите «Принять все». Идентификаторы появились, счетчик работает полностью.
- Проверьте, что ссылка на политику cookie отдает 200, а не 404.
Какой параметр инициализации Метрики отвечает за идентификатор, почему повторный вызов init режим не переключает и какой код работает, описано в статье «Как отключить Яндекс Метрику до согласия на cookie».
Документы
Баннер сам по себе требования не закрывает. За ним должно стоять описание обработки:
- Политика использования cookie с перечнем файлов и счетчиков, назначением каждой группы, сроками хранения и порядком отзыва согласия. Закон не требует именно отдельного документа, но отдельную политику cookie проще держать в актуальном виде, чем абзац в политике конфиденциальности.
- Политика конфиденциальности, в которой упомянута передача данных операторам счетчиков как обработчикам и стоят ваши реальные реквизиты. Что в нее входит, описано в статье «Политика конфиденциальности для сайта».
В политике cookie перечислены три счетчика, а на сайте работает пять. Бывает и наоборот, документ скопирован с чужого сайта и упоминает трекеры, которых у вас нет. Такое расхождение видно снаружи за минуту, и оба документа теряют ценность.
Что бывает за несоответствие
Отдельной статьи «за отсутствие cookie-баннера» в КоАП нет. Нарушение квалифицируют как обработку персональных данных без законного основания по ч. 1 ст. 13.11, потому что аналитика и реклама работают именно на согласии. Составы и суммы подробно описаны в статье «Штрафы за нарушение 152-ФЗ». Риск обычно приходит с жалобой, а не с плановой проверкой РКН. Посетитель замечает трекинг без согласия, пишет обращение, и оно становится поводом.
Пройдите чек-лист автоматически
Бесплатный аудит смотрит на сайт снаружи. Он проверяет, есть ли cookie-баннер и кнопка отказа в нем и какие счетчики подключены в коде страницы. Первые находки видны сразу.
Проверить сайт бесплатноЧасто задаваемые вопросы
Баннер должен появляться до загрузки аналитических и рекламных скриптов. В нем нужны явная кнопка согласия, такой же доступный отказ на том же экране и ссылка на политику использования cookie. Переключатели аналитики и рекламы по умолчанию выключены.
Нет. Это уведомление о том, что согласие считается полученным без действия пользователя, и согласием оно не считается. Оно не конкретное и не однозначное, как требует ч. 1 ст. 9 152-ФЗ. А с 1 сентября 2025 года (ФЗ-156) согласие еще и оформляют отдельно от других документов, строка в подвале этому тоже не отвечает.
Прямого требования вести такой журнал для cookie в законе нет. Обычно выбор хранят в браузере и дают возможность его изменить. Учтите только, что при споре доказать получение согласия должен оператор (ч. 3 ст. 9 152-ФЗ).
Закон не требует именно отдельного документа. Посетитель должен иметь возможность прочитать перечень cookie и счетчиков, назначение каждой группы, сроки хранения и порядок отзыва согласия. Удобнее вынести это в отдельную политику cookie, ее проще обновлять при смене счетчиков. Политика конфиденциальности при этом должна упоминать передачу данных операторам счетчиков как обработчикам.