Штраф за cookie без согласия: сколько и за что

Коротко: За сбор cookie без согласия штраф для организаций составляет 150–300 тысяч рублей, для ИП и должностных лиц – 50–100 тысяч, для граждан – 10–15 тысяч. При повторном нарушении организация может получить до 500 тысяч рублей.

В 2024-2025 годах тема cookie в российском праве перестала быть «серой зоной». Cookie считаются персональными данными, если по ним можно прямо или косвенно определить человека, а за обработку данных без согласия (в том числе за сбор cookie) организации грозит штраф 150–300 тысяч рублей, ИП – 50–100 тысяч (ч. 1 ст. 13.11 КоАП), за повторное нарушение организации – до 500 тысяч. Если ваш сайт собирает cookie без согласия пользователя или использует неправильный баннер – вы рискуете получить штраф за cookie.

В этой статье разберём, за что именно штрафуют, какие суммы грозят, как избежать наказания и что делать, если ваш cookie-баннер уже не соответствует закону.

Почему cookie стали персональными данными

Долгое время в России не было единого подхода: одни эксперты считали cookie технической информацией, другие – персональными данными. Сегодня подход такой: в конкретных случаях cookie признают персональными данными (в том числе в судебной практике). По общему правилу персональными данными может быть информация, которая позволяет прямо или косвенно установить человека, – например, IP-адрес, идентификатор устройства или поведенческий профиль, если по ним пользователя можно определить.

Решение опирается на общую логику 152-ФЗ «О персональных данных»: персональные данные – любая информация, относящаяся к определённому или определяемому физическому лицу. Поэтому сайт, который использует cookie для аналитики, рекламы или персонализации, рекомендуем вести так, как если бы они были персональными данными: получать согласие, информировать пользователя, обеспечивать возможность отзыва согласия.

За что именно штрафуют: основные нарушения

Отсутствие согласия на сбор cookie

Самое распространённое нарушение – сайт собирает cookie без какого-либо уведомления или согласия. Пользователь заходит на страницу, а его данные уже передаются третьим сервисам (Яндекс.Метрика, Google Analytics, рекламные сети). По 152-ФЗ это незаконная обработка персональных данных.

Неправильный cookie-баннер

Даже если баннер есть, он может не соответствовать требованиям. Типичные ошибки:

• Согласие «по умолчанию» (галочки уже стоят, пользователь должен сам их убирать).
• Отсутствие кнопки «Отказаться» или её скрытие.
• Невозможность настроить cookie (только «Принять всё» или «Покинуть сайт»).
• Отсутствие информации о том, какие именно cookie собираются и кому передаются.

Передача cookie третьим лицам без отдельного согласия

Если вы передаёте данные пользователей рекламным партнёрам (например, через пиксели соцсетей или ретаргетинговые платформы), это требует отдельного информированного согласия. Просто «галочка в общем баннере» может не подойти – практика склоняется к активному согласию (пользователь сам ставит галочку, а не убирает её).

Отсутствие возможности отозвать согласие

Пользователь должен иметь возможность в любой момент отозвать согласие на обработку cookie. Если на сайте нет такой опции или она спрятана – это нарушение. По ст. 21 152-ФЗ после отзыва согласия оператор обязан уничтожить данные в течение 30 дней.

Несоблюдение срока хранения согласия

Согласие на обработку персональных данных как документ должно храниться 3 года с момента истечения или отзыва (согласно перечню, утверждённому приказом Росархива № 236). Храните подтверждения согласий не меньше 3 лет (по перечню Росархива): без них вы не докажете согласие (ч. 3 ст. 9 152-ФЗ).

Размеры штрафов за cookie в 2025 году

С мая 2025 года, после вступления в силу 420-ФЗ, штрафы за нарушения в сфере персональных данных существенно выросли. Точные суммы по каждой части ст. 13.11 КоАП РФ могут различаться в зависимости от конкретного нарушения и категории субъектов (должностное лицо, ИП, юрлицо).

Общий диапазон: штраф за cookie без согласия для юридических лиц – 150–300 тысяч рублей (ч. 1 ст. 13.11 КоАП), при повторном нарушении – 300–500 тысяч; для ИП и должностных лиц – 50–100 тысяч, для граждан – 10–15 тысяч. Часть 2 той же статьи (300–700 тысяч) – про случаи, когда закон требует согласия в письменной форме, а для cookie письменная форма не нужна.

Штраф может быть наложен не только за сам факт сбора cookie без согласия, но и за неправильное оформление согласия, отсутствие политики обработки персональных данных, нарушение сроков уничтожения данных после отзыва согласия.

Суммы штрафов по ст. 13.11 КоАП РФ различаются в зависимости от категории нарушителя и повторности.

Какой cookie-баннер нужен, чтобы избежать штрафа

Общие требования к баннеру

Cookie-баннер должен быть:

• Заметным – не скрытым в подвале страницы, а появляющимся при первом заходе.
• Понятным – с объяснением, какие cookie собираются и зачем.
• С возможностью выбора – кнопки «Принять все», «Отказаться от всех» и «Настроить».
• С активным согласием – галочки не должны быть предустановлены. Пользователь сам должен отметить, на что согласен.

Особенности для разных типов cookie

• Технические cookie (необходимые для работы сайта) – на них согласие не требуется; информировать о них в политике рекомендуем.
• Аналитические cookie (Яндекс.Метрика, Google Analytics) – нужно согласие; продолжение просмотра сайта – слабое доказательство согласия, надёжнее кнопка «Принять» до запуска счётчика.
• Рекламные/таргетированные cookie (передача рекламным партнёрам) – обязательно активное согласие (галочка, а не просто продолжение просмотра).

Что должно быть в политике обработки cookie

На сайте должна быть отдельная страница или раздел в политике конфиденциальности, где подробно описано:

• Какие cookie используются (названия, срок хранения, назначение).
• Какие третьи лица получают доступ к данным.
• Как пользователь может отозвать согласие.
• Контакты для вопросов.

Пошаговый план проверки сайта на соответствие

Шаг 1. Аудит текущего состояния

Проверьте, какие cookie реально собирает ваш сайт. Используйте инструменты разработчика браузера или специализированные сервисы. Составьте список: какие cookie технические, какие аналитические, какие рекламные.

Шаг 2. Проверка баннера

Убедитесь, что баннер:

• Появляется при первом визите.
• Не исчезает, пока пользователь не сделает выбор.
• Предлагает как минимум три варианта: «Принять все», «Отказаться», «Настроить».
• Не имеет предустановленных галочек для необязательных cookie.

Шаг 3. Настройка механизма отзыва согласия

Добавьте на сайт кнопку или ссылку «Настройки cookie» (обычно в подвале или в личном кабинете). При нажатии должен снова появляться баннер с возможностью изменить выбор.

Шаг 4. Проверка передачи данных третьим лицам

Если вы используете рекламные пиксели (VK, Facebook, Яндекс.Директ), скрипты ретаргетинга или передаёте данные в зарубежные сервисы – проверьте, есть ли на это отдельное согласие.

Отдельно проверьте трансграничную передачу. Уведомить РКН нужно до начала передачи в любую страну, и это уведомление подаётся отдельно от уведомления об обработке персональных данных. До подачи уведомления получите от получателя сведения о принимаемых им мерах защиты данных. Если данные передаются в страны из перечня РКН с «адекватной защитой» (приказ РКН от 16.09.2026 № 253, действует с 30.10.2026), начать передачу можно сразу после уведомления; если страна в перечень не входит – придётся подождать, пока РКН рассмотрит уведомление (10 рабочих дней), и передача возможна, только если регулятор её не запретил. Исключение – случаи, когда передача необходима для защиты жизни или здоровья человека. Согласие субъекта как основание для трансграничной передачи законом не предусмотрено. Важно: сервисы, которые сразу пишут данные в зарубежную базу (например, Google Analytics, пиксели соцсетей), нарушают ч. 5 ст. 18 152-ФЗ независимо от уведомления: первичная база с данными россиян должна быть в России.

Шаг 5. Документирование согласий

Настройте систему хранения записей о согласиях пользователей. Эти данные нужно хранить минимум 3 года. Убедитесь, что при отзыве согласия данные уничтожаются в течение 30 дней.

Что делать, если уже пришёл штраф

Первые шаги

1. Не игнорируйте предписание – это только усугубит ситуацию.
2. Проверьте законность требований – убедитесь, что штраф выписан за реальное нарушение, а не по ошибке.
3. Соберите доказательства – скриншоты баннера, логи согласий, политику конфиденциальности на момент проверки.

Возможные действия

• Устраните нарушение – приведите сайт в соответствие до рассмотрения дела. Это может смягчить наказание.
• Обжалуйте штраф – если вы считаете, что нарушения не было или оно незначительно. Срок обжалования – 10 дней с момента получения постановления.
• Попросите суд учесть смягчающие обстоятельства – устранение нарушения (ст. 4.2 КоАП), малозначительность (ст. 2.9), а для малого и среднего бизнеса при первом нарушении – замену штрафа предупреждением (ст. 4.1.1). Дела по ст. 13.11 рассматривает суд; мирового соглашения в таких делах нет.

Профилактика повторных штрафов

После первого штрафа Роскомнадзор может провести внеплановую проверку. Убедитесь, что все нарушения исправлены, и ведите журнал изменений на сайте. Регулярно (раз в квартал) проводите аудит cookie – законы и практика меняются быстро.

Частые вопросы о штрафах за cookie

Что запомнить

Штраф за cookie – реальность 2025 года. После признания cookie персональными данными и ужесточения штрафов по 420-ФЗ любой сайт, собирающий cookie без правильного согласия, рискует получить штраф до 300 тысяч рублей, а при повторном нарушении – до 500 тысяч. Чтобы избежать штрафа, необходимо:

• Установить корректный cookie-баннер с активным согласием.
• Обеспечить возможность отзыва согласия.
• Чётко разделять технические, аналитические и рекламные cookie.
• Хранить записи о согласиях минимум 3 года.
• Регулярно проводить аудит сайта на соответствие 152-ФЗ.

Не откладывайте проверку: суммы штрафов по ст. 13.11 КоАП существенно выросли с 30.05.2025.

На что опираемся

• КоАП РФ – ст. 13.11 (штрафы за нарушения в сфере персональных данных)
• 420-ФЗ (ужесточение штрафов с мая 2025 года)
• приказ Росархива № 236 (срок хранения согласий 3 года)
• приказ РКН от 16.09.2026 № 253 (перечень стран с адекватной защитой)

Что сделать дальше

1. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
2. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
3. Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.