Проверка cookie на сайте: какие трекеры считаются нарушением

Коротко: Cookie и идентификаторы аналитики считаются персональными данными, если вместе с IP и другими данными позволяют определить посетителя, поэтому на их сбор и обработку распространяются требования 152-ФЗ. Все cookie, кроме строго необходимых, требуют согласия пользователя, а для рекламных трекеров нужно активное согласие.

Владельцы сайтов часто не задумываются, что обычные cookie-файлы могут стать причиной серьёзных штрафов. Поскольку cookie могут быть признаны персональными данными, проверка cookies – необходимая процедура для любого сайта, работающего с российской аудиторией. Разбираемся, какие именно трекеры и сценарии их использования попадают под регулирование 152-ФЗ и как отличить законную аналитику от нарушения.

Что изменилось: cookie – это персональные данные

Долгое время существовала серая зона: считалось, что cookie – это просто технические метки, не относящиеся к персональным данным. Однако cookie и идентификаторы аналитики – это персональные данные, если вместе с IP и другими данными позволяют прямо или косвенно определить человека (ст. 3 152-ФЗ). Тогда на их сбор и обработку распространяются все требования 152-ФЗ «О персональных данных» (от 27.07.2006).

За обработку данных без согласия – в том числе за сбор cookie – организации грозит штраф 150–300 тысяч рублей, ИП – 50–100 тысяч (ч. 1 ст. 13.11 КоАП), за повторное нарушение организации – до 500 тысяч. Поэтому проверка cookies на сайте перестала быть опциональной рекомендацией и стала юридической необходимостью.

Какие cookie считаются персональными данными

Не все cookie одинаковы с точки зрения закона. Чтобы понять, какие трекеры требуют согласия, нужно разделить их на категории.

Технические (строго необходимые) cookie

Это cookie, без которых сайт физически не может работать: корзина интернет-магазина, сессия авторизации, балансировка нагрузки. Они не собирают информацию о пользователе за пределами текущей сессии и не передаются третьим лицам.

Статус: обычно не требуют отдельного согласия, если их использование строго ограничено технической необходимостью. Однако факт их использования всё равно должен быть раскрыт в политике обработки персональных данных.

Аналитические cookie (Яндекс.Метрика, Google Analytics)

Сюда входят cookie от систем веб-аналитики, которые собирают статистику посещений, поведение пользователя на сайте, источники трафика.

Статус: требуют согласия пользователя. Даже если вы не передаёте данные рекламным партнёрам, сам факт сбора информации о поведении пользователя (какие страницы он смотрел, сколько времени провёл) – это обработка персональных данных. Для таких cookie рекомендуется активное согласие (галочка, которую пользователь ставит сам), а не молчаливое (пресет «всё включено»).

Рекламные/таргетированные cookie (третьи лица)

Это cookie от рекламных сетей (Яндекс.Директ, myTarget, Google Ads), ретаргетинговых платформ, пиксели соцсетей (VK, Facebook/Instagram*). Они передают данные о поведении пользователя третьим лицам для показа таргетированной рекламы.

Статус: требуют явного, активного согласия. Единой прямой нормы про формат cookie-баннера в 152-ФЗ нет – практика ещё формируется. Однако для чувствительных случаев (передача данных рекламным партнёрам) юристы советуют именно активное согласие (галочка), а не молчаливое. Если пользователь не дал согласия – такие cookie не должны устанавливаться.

Cookie, собирающие специальные категории данных

Особо опасный случай – если через cookie собираются данные, относящиеся к специальным категориям (ст. 10 152-ФЗ): состояние здоровья, национальность, религиозные убеждения, политические взгляды, судимость. Например, сайт медицинской тематики, который через cookie передаёт информацию о просмотренных заболеваниях рекламной сети.

Статус: обработка допускается только с согласия в письменной форме или по иным основаниям, перечисленным в ч. 2 ст. 10 152-ФЗ. Для таких данных требуется согласие в письменной форме – на бумаге или электронным документом, подписанным электронной подписью в соответствии с законом (ч. 1 ст. 10 152-ФЗ). На практике большинство сайтов просто не должны собирать такие данные через cookie вообще.

Категории cookie различаются по статусу и требованиям к согласию.

Какие трекеры считаются нарушением

Проверка cookies должна выявить следующие проблемные сценарии:

Установка cookie без согласия пользователя

Самое очевидное нарушение. Если сайт устанавливает любые cookie, кроме строго необходимых, до того как пользователь дал согласие – это нарушение. Многие сайты до сих пор используют модель «молчаливого согласия» (всё включено по умолчанию, пользователь может отключить). После признания cookie персональными данными такая модель рискованна.

Передача данных третьим лицам без уведомления

Даже если пользователь согласился на cookie, он должен знать, кому именно передаются его данные. Если в политике конфиденциальности не указано, что данные передаются, например, Яндекс.Метрике или рекламной сети – это нарушение ст. 6 152-ФЗ (условия обработки).

Использование трекеров из стран без адекватной защиты

Перечень стран с «адекватной защитой ПДн» утверждён приказом РКН от 16.09.2026 № 253 (действует с 30.10.2026, заменил приказ № 128). В перечень входят, в частности, все страны Евросоюза, Беларусь, Казахстан, Киргизия, Китай, Индия, Австралия, Канада, Республика Корея; США и Украины в нём нет. Поэтому в американские сервисы (Google и др.) данные можно передавать только после уведомления РКН и по истечении 10 рабочих дней, если он не запретит передачу (ст. 12 152-ФЗ). Передача без уведомления – нарушение. Кроме того, сбор ПДн граждан РФ сразу в зарубежную базу запрещён (ч. 5 ст. 18 152-ФЗ в ред. 23-ФЗ): уведомление этого не исправляет, поэтому Google Analytics и подобные сервисы без российской первичной базы использовать рискованно.

Сбор избыточных данных

Cookie не должны собирать больше информации, чем необходимо для заявленной цели. Например, если вы используете аналитический трекер, который собирает не только статистику посещений, но и историю просмотров конкретных товаров, а затем передаёт эти данные рекламной сети – это избыточный сбор. Пользователь должен понимать, какие именно данные собираются и зачем.

Неудаление данных после отзыва согласия

После отзыва согласия оператор обязан уничтожить данные в течение 30 дней (ст. 21 152-ФЗ). Если сайт продолжает хранить cookie-идентификаторы пользователя после того, как он отозвал согласие – это нарушение.

Как должна выглядеть законная работа с cookie

Cookie-баннер: что должно быть

Прямой нормы про формат cookie-баннера в 152-ФЗ нет: закон требует согласия до запуска аналитики и рекламы (ч. 1 ст. 9). Мы рекомендуем (это не норма закона, а хорошая практика) следующее:

• Разделение на категории: рекомендуем, чтобы пользователь видел, какие типы cookie используются (технические, аналитические, рекламные) и иметь возможность согласиться на каждую категорию отдельно.
• Активное согласие для рекламных/третьих лиц: для передачи данных рекламным партнёрам – галочка, а не предустановленное согласие.
• Возможность отказаться: рекомендуем кнопку «Отклонить все» той же заметности, что и «Принять все».
• Ссылка на политику конфиденциальности: политика должна быть доступна на страницах, где собираются данные (ч. 2 ст. 18.1); удобно дать ссылку в баннере, чтобы пользователь мог прочитать, какие именно данные собираются и кому передаются.

Политика обработки cookie

Рекомендуем завести отдельную страницу или раздел в политике конфиденциальности, где описано:

• Какие cookie используются (с перечислением всех трекеров и их назначением)
• Какие данные собираются через каждый трекер
• Кому и в какие страны передаются данные
• Как пользователь может отозвать согласие
• Срок хранения данных (после отзыва – 30 дней)

Техническая реализация

• Cookie не должны устанавливаться до получения согласия (кроме строго необходимых)
• При отзыве согласия все ранее установленные cookie должны быть удалены или деактивированы
• Должна быть возможность изменить выбор в любой момент (не только при первом заходе)

Что грозит за нарушения

Административные штрафы

Штрафы по КоАП 13.11 (множественные части) существенно выросли к 2024-2025 годам. Точные суммы зависят от конкретного нарушения: например, за сбор cookie без согласия организации грозит 150–300 тысяч рублей, ИП – 50–100 тысяч (ч. 1 ст. 13.11 КоАП), а за утечки данных с 30 мая 2025 года (420-ФЗ) штрафуют на миллионы рублей. Перед расчётом рисков сверяйтесь с актуальной редакцией КоАП.

Оборотные штрафы за утечки

Если нарушение правил работы с cookie привело к утечке персональных данных (например, через скомпрометированный трекер третьего лица), применяются штрафы за утечку. За первую утечку – фиксированный штраф от 3 до 15 млн ₽ (за биометрию – 15–20 млн ₽; ч. 12–14, 17 ст. 13.11 КоАП). При повторной утечке – 1–3% годовой выручки, но не менее 20 млн и не более 500 млн ₽ (ч. 15 ст. 13.11 КоАП).

Уголовная ответственность

В особо тяжёлых случаях (незаконный сбор/распространение сведений о частной жизни) может применяться ст. 137 УК. С 11.12.2024 действует новая ст. 272.1 УК – за незаконное использование/передачу/сбор/хранение компьютерной информации с ПДн, полученной незаконным путём: штраф до 300 000 ₽, принудительные работы или лишение свободы до 4 лет (ч.1).

Как провести проверку cookies на своём сайте

Шаг 1. Инвентаризация трекеров

Составьте полный список всех скриптов и трекеров, которые работают на сайте. Используйте инструменты вроде браузерных расширений (Ghostery, uBlock Origin) или специализированные сканеры. Запишите:

• Название сервиса (Яндекс.Метрика, Google Analytics, VK Pixel, Facebook Pixel* и т.д.)
• Какие данные он собирает
• Куда и в какие страны передаются данные
• Есть ли у вас договор с этим сервисом (оферта, публичный договор)

Шаг 2. Классификация по категориям

Разделите все трекеры на три группы:

1. Строго необходимые (без них сайт не работает)
2. Аналитические (статистика, поведение)
3. Рекламные/третьих лиц (передача данных партнёрам)

Шаг 3. Проверка соответствия закону

Для каждого трекера проверьте:

• Установлен ли он до получения согласия пользователя?
• Указано ли его использование в политике конфиденциальности?
• Есть ли у пользователя возможность отказаться от него отдельно?
• Если данные передаются за границу – входит ли страна получателя в перечень РКН?

Шаг 4. Внедрение правильного cookie-баннера

Если баннер не соответствует требованиям – замените его. Убедитесь, что:

• Есть разделение на категории
• Для рекламных трекеров – активное согласие (галочка)
• Есть кнопка «Отклонить все»
• Есть ссылка на политику с полным списком трекеров

Шаг 5. Документирование

Сохраните все версии политики конфиденциальности и cookie-баннера с датами. В случае проверки Роскомнадзора это поможет доказать, что вы предприняли необходимые меры.

Частые ошибки владельцев сайтов

Ошибка 1: «У меня маленький сайт, меня не тронут»

Штрафы не зависят от размера бизнеса. Роскомнадзор проводит плановые и внеплановые проверки, в том числе по жалобам пользователей. Один недовольный посетитель может инициировать проверку.

Ошибка 2: «Я использую только Яндекс.Метрику, это же российский сервис»

Даже если сервис российский, данные всё равно обрабатываются. Яндекс.Метрика собирает информацию о поведении пользователя – это обработка персональных данных, требующая согласия. Трансграничная передача возникает, когда используются зарубежные сервисы (Google и др.).

Ошибка 3: «У меня стоит галочка «Я согласен» по умолчанию»

Для аналитических cookie это спорно, для рекламных – почти наверняка нарушение. Согласие должно быть активным, то есть пользователь должен сам поставить галочку.

Ошибка 4: «Я удалил Google Analytics и всё настроил через российские сервисы»

Сам по себе переход на российские сервисы не снимает обязанность получать согласие. Cookie от российских аналитических систем – это те же персональные данные. Требования 152-ФЗ одинаковы для всех операторов.

Ошибка 5: «У меня нет cookie, я не собираю данные»

Даже если вы не используете cookie в явном виде, многие CMS и плагины устанавливают их автоматически. Кроме того, IP-адрес, User-Agent и другие технические данные тоже могут считаться персональными данными. Проверка cookies должна быть технической, а не формальной.

Коротко о главном

Проверка cookies на сайте – это регулярный процесс. После вступления в силу 420-ФЗ (май 2025) штрафы за нарушения при обработке ПДн существенно выросли. Главные правила:

1. Все cookie, кроме строго необходимых, требуют согласия пользователя.
2. Для рекламных трекеров и передачи данных третьим лицам – только активное согласие (галочка).
3. Политика конфиденциальности должна содержать полный список трекеров с указанием, какие данные они собирают и куда передаются.
4. После отзыва согласия данные должны быть уничтожены в течение 30 дней.
5. Использование западных сервисов (Google, Facebook, западные CDN) требует дополнительных мер – проверки, входит ли страна получателя в перечень РКН.

Если вы ещё не проводили проверку cookies на своём сайте – сделайте это как можно скорее. За cookie без согласия организации грозит до 300 тысяч рублей (повторно – до 500 тысяч), а в случае утечки – от 3 до 15 млн ₽ (биометрия – до 20 млн ₽), при повторной утечке – 1–3% годовой выручки (но не менее 20 млн ₽).

Частые вопросы

На что опираемся

• 152-ФЗ «О персональных данных» – ст. 10 (специальные категории персональных данных)
• КоАП РФ – ст. 13.11 (административные штрафы за нарушения обработки персональных данных)
• Приказ РКН от 16.09.2026 № 253 (перечень стран с адекватной защитой персональных данных)
• УК РФ – ст. 272.1 (незаконное использование компьютерной информации с персональными данными)

Что сделать дальше

1. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
2. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
3. Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.