Коротко: Согласие на обработку cookie должно быть активным: пользователь сам кликает «Согласен» или ставит галочку. Нужно разделять технические, аналитические и рекламные cookie, а при отзыве согласия уничтожить данные в течение 30 дней.
Согласие на обработку cookie – это тема, в которой владельцы сайтов чаще всего допускают ошибки, даже не подозревая об этом. Cookie могут быть персональными данными, если по ним можно определить человека (п. 1 ст. 3 152-ФЗ), а за обработку данных без законного основания, в том числе без согласия там, где оно нужно, организации грозит штраф 150–300 тысяч рублей, ИП – 50–100 тысяч (ч. 1 ст. 13.11 КоАП), за повторное нарушение организации – до 500 тысяч. При этом единой прямой нормы, которая бы описывала, как именно должен выглядеть cookie-баннер, в 152-ФЗ до сих пор нет – практика только формируется. Разбираемся, как оформить согласие на обработку cookie так, чтобы не подставиться под штрафы и претензии Роскомнадзора.
Когда cookie становятся персональными данными
Долгое время считалось, что cookie – это технический мусор, который не подпадает под закон о персональных данных. Но cookie-файлы могут идентифицировать пользователя, а значит, быть персональными данными. Единой судебной позиции «cookie – всегда ПДн» нет: вывод зависит от того, связаны ли cookie с конкретным человеком. С 30 мая 2025 года действует 420-ФЗ, который ужесточил ответственность за утечки персональных данных.
Сайт, который собирает cookie без надлежащего основания обработки, рискует получить штраф до 300 тысяч рублей (ч. 1 ст. 13.11 КоАП), а при повторном нарушении – до 500 тысяч.
Что говорит закон о cookie и согласии на их обработку
152-ФЗ и его требования
Основной закон, который регулирует работу с персональными данными, – это 152-ФЗ «О персональных данных» от 27.07.2006. Статья 9 этого закона – общий случай, который описывает, как должно выглядеть согласие на обработку. Если коротко, то согласие должно быть:
- конкретным;
- предметным;
- информированным;
- сознательным;
- однозначным.
То есть нельзя просто поставить галочку «я согласен» в углу страницы и надеяться, что этого достаточно. Пользователь должен понимать, какие именно данные собираются, зачем и кому они будут передаваться.
Особенности cookie-файлов
С cookie ситуация особая. С одной стороны, они не всегда содержат прямую идентификацию (имя, фамилию, адрес). С другой – в совокупности с другими данными (IP-адрес, устройство, браузер) они позволяют идентифицировать пользователя. Именно поэтому cookie могут быть признаны персональными данными.
Не все cookie одинаково опасны с точки зрения закона. Технические cookie (например, те, что обеспечивают работу корзины в интернет-магазине) – это необходимость, без них сайт просто не будет работать. А вот аналитические и рекламные cookie – это уже совсем другая история. Именно они передаются третьим лицам (Google Analytics, Яндекс.Метрика, рекламные сети) и именно на них рекомендуем получать отдельное согласие.
Как правильно оформить согласие на обработку cookie
Активное согласие вместо молчаливого
Главное правило, которое сейчас формируется в практике: согласие на обработку cookie должно быть активным. Это значит, что пользователь должен сознательно кликнуть на кнопку «Согласен» или поставить галочку в чек-боксе. Молчаливое согласие (когда пользователь просто продолжил пользоваться сайтом, а ему показывают баннер «Продолжая использовать сайт, вы соглашаетесь с политикой конфиденциальности») – это риск.
Особенно это касается случаев, когда cookie передаются рекламным партнёрам. Здесь практика рекомендует именно активное согласие – галочку, а не просто уведомление. Если вы передаёте данные в рекламные сети (Яндекс.Директ, Google Ads, VK Реклама), то лучше перестраховаться и сделать так, чтобы пользователь явно подтвердил своё согласие.
Что должно быть в согласии
Согласие на обработку cookie должно содержать:
- Цель обработки – зачем вы собираете данные (например, для аналитики посещаемости или показа рекламы).
- Перечень собираемых данных – какие именно cookie и какие данные они содержат.
- Сведения об операторе – кто именно собирает данные (название компании, ИНН, контакты).
- Права субъекта – как пользователь может отозвать согласие.
- Срок действия согласия – на какой срок вы собираете данные.
Разделение согласий
Закон требует оформлять согласие отдельно от иных документов и информации (оферты, политики) и чтобы оно было конкретным и однозначным (ч. 1 ст. 9 152-ФЗ). Дробить согласия по видам данных закон не требует, но надёжнее разделить типы cookie и дать кнопку отказа. Если вы собираете не только cookie, но и другие данные (например, имя и телефон в форме обратной связи), для каждой цели обработки рекомендуем отдельный чекбокс.
Особенно это актуально для данных, которые разрешены для распространения. Статья 10.1 152-ФЗ (добавлена 519-ФЗ от 30.12.2020, действует с 1 марта 2021) требует, чтобы согласие на распространение данных оформлялось отдельно от согласия на обработку. Причём у человека есть право указать условия или запреты на распространение своих данных.
Согласие на обработку cookie должно включать пять обязательных элементов.
| Элемент согласия | Что указать |
|---|---|
| Цель обработки | Зачем собираются данные (аналитика, реклама) |
| Перечень данных | Какие именно cookie и какие данные они содержат |
| Сведения об операторе | Название компании, ИНН, контакты |
| Права субъекта | Как пользователь может отозвать согласие |
| Срок действия | На какой срок собираются данные |
Как отзыв согласия влияет на хранение данных
Сроки уничтожения данных
Если пользователь отозвал согласие на обработку cookie, вы обязаны уничтожить его данные. Согласно ч. 5 ст. 21 152-ФЗ, на это есть 30 дней, если нет другого законного основания хранить данные. Если уничтожить данные за 30 дней невозможно, их блокируют и уничтожают не позднее чем через 6 месяцев (ч. 6 ст. 21 152-ФЗ).
Сроки хранения документов
А вот документы, подтверждающие согласие, хранить нужно дольше. Согласие на обработку персональных данных как документ хранится 3 года с момента истечения или отзыва (перечень, приказ Росархива № 236). Это значит, что даже если пользователь отозвал согласие, вы должны хранить сам факт того, что оно было дано, – на случай проверки.
Что будет, если не оформить согласие на обработку cookie
Штрафы по КоАП
Штрафы за нарушения в сфере персональных данных существенно выросли к 2024-2025 годам. Статья 13.11 КоАП содержит множество частей, и размеры наказаний различаются в зависимости от конкретного нарушения. Точные суммы лучше уточнять на момент обращения, но можно сказать, что речь идёт о серьёзных деньгах – уточняйте актуальный размер на момент обращения.
Практические рекомендации для владельцев сайтов
Настройте cookie-баннер правильно
Ваш cookie-баннер должен:
- Появляться при первом заходе на сайт.
- Содержать кнопку «Согласен» – активное действие.
- Содержать кнопку «Настроить» или «Отклонить» – у пользователя должна быть возможность отказаться.
- Ссылаться на политику обработки cookie.
Разделите типы cookie
Настройте ваш баннер так, чтобы пользователь мог выбрать, какие типы cookie разрешить:
- Технические – обязательные, от них нельзя отказаться.
- Аналитические – для сбора статистики.
- Рекламные – для показа таргетированной рекламы.
Обновите политику обработки cookie
Убедитесь, что ваша политика обработки cookie соответствует требованиям закона. Она должна быть написана понятным языком, без канцелярита, и содержать всю необходимую информацию.
Проверьте передачу данных третьим лицам
Если вы используете Google Analytics или зарубежные рекламные кабинеты, помните: передача данных в эти сервисы – это трансграничная передача. Перечень стран с «адекватной защитой персональных данных» утверждён приказом РКН от 16.09.2026 № 253 (действует с 30.10.2026); США в нём нет. Яндекс.Метрика – российский сервис, передача в неё не является трансграничной. Передача в Google и другие зарубежные сервисы трансграничная: до её начала нужно уведомить РКН, а если страны нет в перечне, – подождать 10 рабочих дней после уведомления.
Частые ошибки при оформлении согласия на обработку cookie
Ошибка 1: Согласие «по умолчанию»
Когда галочка уже стоит, а пользователь просто нажимает «ОК» – это рискованно: согласие должно быть однозначным (ч. 1 ст. 9 152-ФЗ). Надёжнее активное действие, а не пассивным согласием с уже проставленными галочками.
Ошибка 2: Нет разделения на типы cookie
Если вы собираете и технические, и рекламные cookie, а в баннере написано просто «мы используем cookie» – согласие может быть признано недостаточно конкретным и информированным (ч. 1 ст. 9 152-ФЗ). Пользователь должен понимать, на что именно он соглашается.
Ошибка 3: Нет ссылки на политику
Баннер должен содержать ссылку на полный текст политики обработки cookie. Если ссылки нет, пользователю сложнее получить информацию об обработке (ч. 2 ст. 18.1 152-ФЗ требует опубликовать политику на страницах, где собираются данные).
Ошибка 4: Игнорирование отзыва согласия
Если пользователь отозвал согласие, вы обязаны прекратить обработку и уничтожить данные в течение 30 дней. Если вы этого не сделаете – это отдельное нарушение со своим штрафом.
Как проверить, что ваш сайт соответствует требованиям
Самостоятельная проверка
Вы можете провести аудит своего сайта:
- Проверьте, появляется ли баннер при первом заходе.
- Убедитесь, что в баннере есть кнопка «Согласен» и кнопка «Отклонить».
- Проверьте, разделены ли типы cookie.
- Убедитесь, что политика обработки cookie доступна по ссылке.
- Проверьте, как вы храните согласия (должны храниться 3 года).
Профессиональная проверка
Если вы не уверены в своих силах, лучше заказать профессиональный аудит. Это дешевле, чем платить штрафы за нарушения.
Что делать, если вы уже собираете cookie без согласия
Если вы обнаружили, что ваш сайт собирает cookie без надлежащего согласия, – не паникуйте. Вот алгоритм действий:
- Немедленно установите cookie-баннер с активным согласием.
- Обновите политику обработки cookie – приведите её в соответствие с требованиями.
- Проверьте, кому вы передаёте данные – если третьим лицам, убедитесь, что передача законна.
- Прекратите обработку и уничтожьте данные, собранные без основания: прекратить неправомерную обработку нужно в течение 3 рабочих дней с даты выявления, уничтожить данные – в течение 10 рабочих дней (ч. 3 ст. 21 152-ФЗ).
- Проконсультируйтесь с юристом, если ситуация сложная.
Что запомнить
Если cookie позволяют определить человека, для их обработки нужно законное основание, чаще всего согласие (ст. 6, 9 152-ФЗ). Игнорировать это – значит рисковать штрафом по ч. 1 ст. 13.11 КоАП.
Главные правила:
- Согласие должно быть активным – пользователь должен кликнуть на кнопку.
- Нужно разделять типы cookie – технические, аналитические, рекламные.
- Пользователь должен иметь возможность отозвать согласие.
- Документы о согласии нужно хранить 3 года.
- Передача данных третьим лицам (особенно зарубежным) требует отдельного внимания.
Если вы сомневаетесь, что ваш сайт соответствует требованиям, – проведите аудит. Лучше потратить время на настройку cookie-баннера сейчас, чем платить штрафы за нарушения. Помните: согласие на обработку cookie – это не то, на чём стоит экономить.
Частые вопросы
Достаточно ли баннера «Продолжая использовать сайт, вы соглашаетесь»?
Такое молчаливое согласие рискованно. Согласие должно быть активным: пользователь должен сознательно кликнуть на кнопку «Согласен» или поставить галочку в чек-боксе. Особенно это касается случаев, когда cookie передаются рекламным партнёрам.
Какие штрафы грозят за сбор cookie без согласия?
За обработку данных без согласия организации грозит штраф 150–300 тысяч рублей, ИП – 50–100 тысяч (ч. 1 ст. 13.11 КоАП). За повторное нарушение организации – до 500 тысяч.
Что будет, если пользователь отозвал согласие на обработку cookie?
Вы обязаны уничтожить его данные в течение 30 дней (ч. 5 ст. 21 152-ФЗ). Если уничтожить данные вовремя не получается, их блокируют и уничтожают не позднее чем через 6 месяцев (ч. 6 ст. 21 152-ФЗ).
Нужно ли разделять согласие на cookie и согласие на обработку персональных данных?
Закон требует оформлять согласие отдельно от иных документов (ч. 1 ст. 9 152-ФЗ), но дробить его по видам данных не требует; надёжнее разделить типы cookie и дать кнопку отказа. Если вы собираете не только cookie, но и другие данные (например, имя и телефон в форме обратной связи), для каждой цели рекомендуем отдельный чекбокс. Также согласие на распространение данных оформляется отдельно от согласия на обработку (ст. 10.1 152-ФЗ).
Как долго хранить документы, подтверждающие согласие на обработку cookie?
Согласие на обработку персональных данных как документ хранится 3 года с момента истечения или отзыва (перечень, приказ Росархива № 236). Это значит, что даже если пользователь отозвал согласие, вы должны хранить сам факт того, что оно было дано, – на случай проверки.
На что опираемся
- 152-ФЗ «О персональных данных» – ст. 9 (согласие на обработку)
- 152-ФЗ «О персональных данных» – ст. 10.1 (согласие на распространение)
- КоАП РФ – ст. 13.11 (штрафы за нарушения)
- приказ Росархива № 236 (сроки хранения документов)
- Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
- Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
- Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.