Каким должен быть cookie-баннер по российским требованиям

Cookie-баннер давно перестал быть формальностью, которую ставят «чтобы было как у всех». С 1 сентября 2025 года требования к нему ужесточились, и привычная плашка «продолжая пользоваться сайтом, вы соглашаетесь» уже не закрывает вопрос. Разберём, зачем баннер вообще нужен, какие элементы в нём обязательны и какие ошибки встречаются чаще всего.

Зачем сайту cookie-баннер

Большинство сайтов собирают данные о посетителях ещё до того, как человек что-то ввёл в форму. Системы аналитики, рекламные пиксели, чат-виджеты — всё это пишет cookies и идентификаторы, по которым посетителя можно отличить от других и проследить его поведение. Часть таких данных закон относит к персональным.

Раз есть обработка персональных данных, у неё должно быть законное основание. Для аналитических и рекламных cookies таким основанием обычно служит согласие посетителя. Статья 9 Федерального закона «О персональных данных» (152-ФЗ) требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным. То есть человек должен понимать, на что соглашается, и иметь реальную возможность не соглашаться. Баннер — это интерфейс, через который сайт получает такое согласие и одновременно информирует посетителя о том, что и зачем собирается.

Отдельно стоит держать в голове политику обработки персональных данных. Её отсутствие в открытом доступе — это самостоятельное нарушение по части 3 статьи 13.11 КоАП РФ, и баннер на эту обязанность не влияет: документ должен быть, и ссылка на него должна вести из баннера.

Что в баннере обязательно

Корректный баннер решает две задачи: информирует и даёт выбор. Из этого вытекают элементы, без которых он считается недоделанным.

Информирование. Текст должен прямо сообщать, что сайт использует cookies, для чего именно (работа сайта, аналитика, реклама) и куда обращаться за подробностями. Размытое «мы заботимся о вашем удобстве» информированием не считается.

Ссылка на политику. Из баннера должна вести видимая ссылка на политику обработки персональных данных или отдельную политику в отношении cookies. Прятать её в мелкий нечитаемый текст не стоит — посетитель должен суметь дойти до документа.

Реальная возможность отказа. Это ключевой момент, на котором спотыкается большинство сайтов. Отказаться от необязательных cookies должно быть не сложнее, чем согласиться. Если кнопка «Принять» крупная и яркая, а отказ спрятан в настройках или вовсе отсутствует — выбор нельзя считать свободным.

Запуск трекеров после согласия. Аналитику, рекламные пиксели и прочие необязательные скрипты сайт должен подключать только после того, как посетитель нажал «Принять». Если счётчики срабатывают в момент загрузки страницы, согласие превращается в фикцию: данные уже собраны.

Возможность передумать. У человека должна остаться точка входа, чтобы изменить решение позже: например, ссылка на управление cookies в подвале сайта.

Частые ошибки

Баннер без кнопки отказа. Самый распространённый случай: единственная кнопка «Принять» или «Хорошо», а альтернативы нет. Такой баннер не даёт выбора, а значит не фиксирует согласие в том виде, в каком его понимает закон.

Предзаполненные галочки. Чекбоксы согласия на аналитику и рекламу, которые уже стоят отмеченными по умолчанию, — устаревшая практика. Согласие должно быть активным действием посетителя, а не тем, что он забыл снять. Молчание и заранее проставленная галочка согласием не являются.

«Продолжая пользоваться сайтом, вы соглашаетесь». Эта формулировка предполагает, что согласие даётся самим фактом просмотра. Но просмотр страницы не выражает осознанного выбора, поэтому такая конструкция не работает как основание для аналитических и рекламных cookies.

Согласие, спрятанное в пользовательском соглашении. С 1 сентября 2025 года согласие на обработку персональных данных должно быть оформлено отдельно от иных документов — его нельзя «зашить» в текст оферты, правил или пользовательского соглашения и считать полученным заодно. Это требование ввёл Федеральный закон от 24.06.2025 № 156-ФЗ, дополнивший статью 9 152-ФЗ. Если согласие на аналитические и рекламные cookies подаётся не как отдельное действие, а растворено в общем «принимаю условия», это нарушение порядка получения согласия — его могут квалифицировать по части 2 статьи 13.11 КоАП РФ.

Отказ сложнее согласия. Когда «Принять» — это один клик, а «Отклонить» требует пройти через три экрана настроек, баланс нарушен. Закон исходит из того, что отказаться должно быть так же просто, как согласиться.

Как привести баннер в порядок

Начать стоит с инвентаризации: какие сервисы на сайте пишут cookies и в какой момент они запускаются. Дальше проверьте баннер по простому набору вопросов. Есть ли явное информирование о сборе данных. Ведёт ли ссылка на действующую политику. Можно ли отказаться так же легко, как согласиться. Не срабатывают ли трекеры до клика. Не стоят ли галочки заранее отмеченными.

Если хотя бы на один вопрос ответ отрицательный, баннер нужно дорабатывать. Чаще всего правки касаются не дизайна, а логики: порядок загрузки скриптов, равнозначность кнопок, разделение согласий.

Проверить свой баннер и остальные расхождения по 152-ФЗ можно автоматически: сервис sitelaw разбирает сайт и показывает, чего не хватает. Запустить проверку, посмотреть чек-лист требований и пример корректной реализации можно на странице про cookie-баннер.

Cookie-баннер — это не плашка для галочки, а способ законно получить согласие и честно сообщить посетителю, что происходит с его данными. Минимум, который должен быть: понятный текст об обработке, видимая ссылка на политику, равнозначные кнопки «Принять» и «Отклонить», запуск трекеров только после согласия и возможность передумать. Если этот минимум выдержан, баннер делает свою работу.