Cookies и персональные данные: что должно быть на сайте по закону

Cookies на сайте — это не просто техническая функция браузера, а полноценная обработка персональных данных, которая регулируется 152-ФЗ. IP-адрес, идентификаторы устройств, история действий на сайте — всё это попадает под закон о персональных данных. И если раньше можно было «забыть» описать cookies в политике конфиденциальности, то в 2026 году это прямой путь к штрафу до 60 000 рублей за отсутствие описания cookies в политике (ч. 3 ст. 13.11 КоАП) и до 700 000 рублей за обработку без согласия (ч. 2 ст. 13.11 КоАП).

В этой статье вы узнаете: какие cookies обязательно описывать в документах, когда нужен cookie-баннер и как его правильно настроить, как различать технические cookies (которые можно ставить без согласия) и аналитические (для которых нужно информирование), что писать про Яндекс.Метрику, Google Analytics и рекламные пиксели. Разберём реальные примеры текстов для политики и баннеров, таблицу самых популярных cookies и пошаговую настройку условной загрузки скриптов.

Если на вашем сайте есть Яндекс.Метрика, формы обратной связи, онлайн-чаты или любая другая аналитика — эта инструкция поможет привести всё в соответствие с законом. Вы поймёте, как не переборщить с требованиями (не всем нужен сложный баннер с отказом) и как защититься от претензий Роскомнадзора при проверках.

Что такое cookies и почему они попадают под 152-ФЗ

Cookies (куки) — это небольшие текстовые файлы, которые сайт сохраняет в браузере пользователя для запоминания информации: сессии, настроек, истории действий, идентификаторов.

С точки зрения 152-ФЗ cookies попадают под персональные данные, потому что позволяют прямо или косвенно идентифицировать конкретного пользователя. Даже если вы не знаете имя и фамилию человека, но можете отследить его действия на сайте через уникальный идентификатор — это уже обработка персональных данных.

Какие данные из cookies являются персональными

Позиция Роскомнадзора

Роскомнадзор в разъяснениях и на практике проверок придерживается позиции:

• Cookies, которые собирают IP-адрес или создают уникальный идентификатор пользователя — это обработка персональных данных;
• Сайт обязан информировать пользователей об использовании cookies в политике конфиденциальности;
• Для аналитических и рекламных cookies желательно получать согласие или как минимум информировать через cookie-баннер;
• Технические cookies (необходимые для работы сайта) можно устанавливать без отдельного согласия, но информирование обязательно;
• Отсутствие информации о cookies в политике — основание для претензий при проверке.

Типы cookies: какие можно ставить без согласия, а для каких нужно информирование

Не все cookies одинаковы с точки зрения требований закона. Существует классификация, которая определяет, нужно ли спрашивать согласие пользователя или достаточно информирования.

Классификация cookies

Детальное описание типов

Технические cookies — единственный тип, который можно устанавливать без согласия пользователя. Они необходимы для базовой работы сайта:

• Идентификатор сессии — чтобы сайт «помнил» пользователя между запросами;
• CSRF-токен — для защиты от подделки межсайтовых запросов;
• Корзина покупок — чтобы товары не пропадали при переходе между страницами;
• Авторизация — чтобы пользователь оставался залогиненным;
• Load balancing — для распределения нагрузки между серверами.

Функциональные cookies улучшают опыт пользователя, но не критичны для работы сайта:

• Сохранение выбранного языка интерфейса;
• Запоминание валюты (для интернет-магазинов);
• Тёмная/светлая тема оформления;
• Размер шрифта для людей с ограниченными возможностями;
• Свёрнутые/развёрнутые разделы меню.

Аналитические cookies собирают обезличенную статистику для улучшения сайта:

• Яндекс.Метрика — самый популярный инструмент аналитики в РФ (серверы в России);
• Google Analytics — использование ограничено из-за передачи данных в США;
• Рейтинг Mail.ru — российский счётчик;
• Собственная аналитика на основе логов сервера.

Рекламные cookies отслеживают пользователей для показа персонализированной рекламы:

• Пиксели ВКонтакте, MyTarget — для ретаргетинга в российских соцсетях;
• Яндекс.Директ — пиксель для отслеживания конверсий;
• Facebook Pixel (Meta) — ограничен в РФ, но некоторые всё ещё используют.

Что обязательно должно быть в политике конфиденциальности про cookies

Политика конфиденциальности — основной документ, где описывается использование cookies. Отсутствие информации о cookies в политике — типичная ошибка, которая выявляется при проверках РКН.

Обязательные элементы раздела про cookies

1. Определение cookies — что это такое простыми словами;
2. Цели использования cookies — зачем вы их используете;
3. Типы используемых cookies — технические, аналитические, функциональные, рекламные;
4. Перечень конкретных cookies — таблица с названиями, назначением, сроками хранения;
5. Третьи стороны — кто ещё устанавливает cookies (Яндекс, Google, социальные сети);
6. Сроки хранения — как долго cookies остаются в браузере;
7. Способы управления cookies — как пользователь может отключить или удалить cookies;
8. Последствия отключения — что произойдёт, если отключить cookies.

Пример раздела про cookies в политике конфиденциальности

Использование файлов cookies

Cookies — это небольшие текстовые файлы, которые сайт сохраняет на вашем устройстве для запоминания информации о ваших действиях и предпочтениях. Мы используем cookies для обеспечения работы сайта, анализа посещаемости и улучшения пользовательского опыта.

Типы используемых cookies:

• Технические cookies — необходимы для базовой работы сайта (авторизация, корзина, безопасность). Срок: до конца сессии или 30 дней. Эти cookies устанавливаются автоматически и не требуют вашего согласия;
• Аналитические cookies — используются для сбора статистики посещений и анализа эффективности сайта через Яндекс.Метрику. Срок: 1 год. Данные обрабатываются в обезличенном виде;
• Функциональные cookies — запоминают ваши настройки (язык, регион, тема оформления). Срок: 1 год;
• Рекламные cookies — используются для показа персонализированной рекламы и ретаргетинга через ВКонтакте и Яндекс.Директ. Срок: 6 месяцев.

Третьи стороны, устанавливающие cookies на нашем сайте:

• ООО «Яндекс» (Яндекс.Метрика) — веб-аналитика, серверы в РФ;
• ООО «ВКонтакте» — рекламный пиксель для ретаргетинга, серверы в РФ;
• Jivosite (онлайн-чат) — для связи с посетителями.

Управление cookies:

Вы можете управлять cookies через настройки вашего браузера:

• Google Chrome: Настройки → Конфиденциальность и безопасность → Файлы cookie;
• Mozilla Firefox: Настройки → Приватность и защита → Куки и данные сайтов;
• Safari: Настройки → Конфиденциальность → Управление данными веб-сайтов;
• Yandex Browser: Настройки → Сайты → Расширенные настройки сайтов → Cookie-файлы.

Вы также можете изменить свои предпочтения по cookies через настройки cookie-баннера на нашем сайте (ссылка в подвале сайта).

Последствия отключения cookies:

Если вы отключите технические cookies, некоторые функции сайта могут работать некорректно: не будет сохраняться корзина, не будет работать авторизация. Отключение аналитических и рекламных cookies не повлияет на работу сайта, но мы не сможем улучшать его на основе статистики.

Подробный список cookies представлен в таблице ниже.

Таблица cookies для политики конфиденциальности

Добавьте в политику таблицу со всеми используемыми cookies:

Важно: таблица должна содержать только те cookies, которые реально используются на вашем сайте. Проверить это можно через инструменты разработчика в браузере (F12 → Application → Cookies).

Cookie-баннер: когда он нужен и как правильно настроить

Cookie-баннер (cookie consent banner) — всплывающее уведомление, которое информирует пользователя об использовании cookies и, в зависимости от типа cookies, запрашивает согласие.

Когда cookie-баннер обязателен

Типы cookie-баннеров

1. Информационный баннер (без выбора)

Минимальный вариант для сайтов с Яндекс.Метрикой и техническими cookies:

🍪 Мы используем cookies

Мы используем cookies для обеспечения работы сайта и анализа посещаемости. Подробнее об используемых cookies читайте в нашей политике конфиденциальности.

[Понятно]

2. Баннер с выбором (Accept/Reject)

Для сайтов с рекламными cookies или Google Analytics:

🍪 Этот сайт использует cookies

Мы используем cookies для обеспечения работы сайта, аналитики и показа персонализированной рекламы. Вы можете принять все cookies или настроить их использование.

[Принять все] [Настроить] [Только необходимые]

Подробнее о cookies

3. Баннер с детальными настройками

Для крупных проектов с множеством интеграций:

🍪 Настройки cookies

Мы используем разные типы cookies для различных целей. Вы можете настроить, какие cookies разрешить.

☑ Технические cookies (обязательные)
Необходимы для работы сайта. Нельзя отключить.

☐ Аналитические cookies
Помогают нам понять, как вы используете сайт, для его улучшения.

☐ Рекламные cookies
Используются для показа вам релевантной рекламы.

☐ Функциональные cookies
Запоминают ваши настройки и предпочтения.

[Сохранить настройки] [Принять все] [Отклонить необязательные]

Требования к cookie-баннеру

• Показывать при первом визите — баннер должен появляться сразу при первом заходе на сайт;
• Не должен мешать контенту — пользователь должен видеть основной контент сайта (не полноэкранный блок);
• Понятный текст — без юридического жаргона, простыми словами;
• Ссылка на политику — обязательна ссылка на полное описание cookies;
• Запоминание выбора — после принятия/отклонения баннер не должен показываться снова (сохранить в cookie);
• Возможность отозвать согласие — по ст. 9 152-ФЗ субъект вправе отозвать согласие в любой момент. Для удобства рекомендуется добавить в футер ссылку «Настройки cookies» (это не обязательное требование закона, но делает отзыв согласия доступным);
• Кнопки должны быть понятными — «Принять», «Отклонить», «Настроить» вместо «ОК», «Закрыть»;
• Кнопки визуально равнозначны — это требование GDPR, в российском праве прямой нормы нет, но соблюдение принципа добросовестности (ст. 6 152-ФЗ) не позволяет намеренно скрывать отказ от обработки;

Когда блокировать скрипты до согласия и как это сделать

152-ФЗ не содержит прямого требования блокировать аналитику до согласия пользователя — это практика из европейского GDPR. В России ситуация зависит от выбранного правового основания:

• если основание — законный интерес (ст. 6 ч. 1 п. 5 152-ФЗ) — достаточно информирования через плашку, блокировать скрипты не обязательно;
• если основание — согласие (ст. 9 152-ФЗ) — тогда обработка до его получения незаконна, и скрипты логично блокировать.

Для Яндекс.Метрики большинство операторов обоснованно применяют законный интерес — блокировки не требуется. Для рекламных пикселей (ретаргетинг, профилирование) согласие является стандартным основанием, и блокировка до согласия оправдана. Ниже — реализация для случая, когда вы выбрали согласие как основание.

Условная загрузка скриптов — это техника, когда аналитика и реклама загружаются только после получения согласия пользователя через cookie-баннер. Это ключевой момент для соответствия требованиям о персональных данных.

Пошаговая настройка для Яндекс.Метрики

Шаг 1: Не загружайте скрипт Метрики сразу

Вместо прямой вставки кода Яндекс.Метрики в head, сохраните код в переменную или отдельный файл.

Шаг 2: Проверяйте наличие согласия

При загрузке страницы проверяйте cookie с согласием:

// Проверка согласия на аналитику
function hasAnalyticsConsent() {
    return document.cookie.indexOf('analytics_consent=true') !== -1;
}

// Загрузка Яндекс.Метрики при наличии согласия
if (hasAnalyticsConsent()) {
    loadYandexMetrika();
}

Шаг 3: Загружайте Метрику после согласия

function loadYandexMetrika() {
    (function(m,e,t,r,i,k,a){
        m[i]=m[i]||function(){(m[i].a=m[i].a||[]).push(arguments)};
        m[i].l=1*new Date();
        k=e.createElement(t),a=e.getElementsByTagName(t)[0],
        k.async=1,k.src=r,a.parentNode.insertBefore(k,a)
    })
    (window, document, "script", "https://mc.yandex.ru/metrika/tag.js", "ym");

    ym(ВАШ_НОМЕР_СЧЕТЧИКА, "init", {
        clickmap:true,
        trackLinks:true,
        accurateTrackBounce:true,
        webvisor:true
    });
}

Шаг 4: Обработка выбора в cookie-баннере

// При нажатии "Принять все"
function acceptAllCookies() {
    document.cookie = "analytics_consent=true; path=/; max-age=31536000"; // 1 год
    document.cookie = "advertising_consent=true; path=/; max-age=31536000";
    hideCookieBanner();
    loadYandexMetrika();
    loadAdvertisingScripts();
}

// При нажатии "Только необходимые"
function acceptEssentialOnly() {
    document.cookie = "analytics_consent=false; path=/; max-age=31536000";
    document.cookie = "advertising_consent=false; path=/; max-age=31536000";
    hideCookieBanner();
}

Готовые решения для cookie-баннеров

Если не хотите писать код с нуля, используйте готовые библиотеки:

Пример простого cookie-баннера на чистом HTML/CSS/JS

HTML:

<div id="cookie-banner" class="cookie-banner">
    <div class="cookie-content">
        <p>🍪 Мы используем cookies для улучшения работы сайта и аналитики. 
        <a href="/politika-konfidentsialnosti/">Подробнее</a></p>
        <div class="cookie-buttons">
            <button onclick="acceptCookies()">Принять все</button>
            <button onclick="rejectCookies()">Только необходимые</button>
        </div>
    </div>
</div>

CSS:

.cookie-banner {
    position: fixed;
    bottom: 0;
    left: 0;
    right: 0;
    background: #2c3e50;
    color: #fff;
    padding: 20px;
    z-index: 9999;
    display: none;
}
.cookie-content {
    max-width: 1200px;
    margin: 0 auto;
    display: flex;
    justify-content: space-between;
    align-items: center;
}
.cookie-buttons button {
    margin-left: 10px;
    padding: 10px 20px;
    cursor: pointer;
}

JavaScript:

// Показываем баннер при первом визите
window.addEventListener('load', function() {
    if (!getCookie('cookie_consent')) {
        document.getElementById('cookie-banner').style.display = 'block';
    } else if (getCookie('cookie_consent') === 'accepted') {
        loadAnalytics();
    }
});

function acceptCookies() {
    setCookie('cookie_consent', 'accepted', 365);
    document.getElementById('cookie-banner').style.display = 'none';
    loadAnalytics();
}

function rejectCookies() {
    setCookie('cookie_consent', 'rejected', 365);
    document.getElementById('cookie-banner').style.display = 'none';
}

function loadAnalytics() {
    // Загрузка Яндекс.Метрики или других скриптов
    console.log('Аналитика загружена');
}

function setCookie(name, value, days) {
    const date = new Date();
    date.setTime(date.getTime() + (days * 24 * 60 * 60 * 1000));
    document.cookie = name + "=" + value + "; expires=" + date.toUTCString() + "; path=/";
}

function getCookie(name) {
    const value = "; " + document.cookie;
    const parts = value.split("; " + name + "=");
    if (parts.length === 2) return parts.pop().split(";").shift();
}

Особенности описания популярных сервисов в политике

Яндекс.Метрика

Что писать в политике:

Мы используем сервис веб-аналитики Яндекс.Метрика (ООО «Яндекс», ИНН 7736207543) для анализа посещаемости сайта и поведения пользователей. Яндекс.Метрика собирает следующие данные: IP-адрес, информация о браузере и операционной системе, разрешение экрана, просмотренные страницы, время на сайте, источник перехода, поисковые запросы.

Данные обрабатываются в обезличенном виде и хранятся на серверах ООО «Яндекс» на территории Российской Федерации. Срок хранения cookies: 1 год (_ym_uid), 1 год (_ym_d). Яндекс.Метрика не передаёт данные за границу.

Вы можете отключить передачу данных в Яндекс.Метрику, установив браузерное расширение для блокировки аналитики или отключив cookies в настройках браузера.

Политика конфиденциальности Яндекс.Метрики: https://yandex.ru/legal/confidential/

Google Analytics (с оговорками про трансграничную передачу)

Что писать в политике:

Мы используем сервис Google Analytics (Google LLC, США) для анализа посещаемости сайта. Google Analytics собирает данные о ваших действиях на сайте (просмотренные страницы, время, клики) и техническую информацию (IP-адрес, тип устройства, браузер).

Трансграничная передача данных: Данные передаются и обрабатываются на серверах Google LLC, расположенных в США и других странах. Первичный сбор персональных данных граждан РФ осуществляется на серверах в Российской Федерации, после чего данные в обезличенном виде могут передаваться в Google.

Правовое основание передачи: согласие субъекта персональных данных, полученное через cookie-баннер.

Срок хранения cookies: 2 года (_ga, _gid). Вы можете отключить Google Analytics, установив расширение Google Analytics Opt-out Browser Add-on или отказавшись от аналитических cookies в нашем cookie-баннере.

Политика конфиденциальности Google: https://policies.google.com/privacy

Важно: с 2023 года Роскомнадзор усилил контроль за использованием Google Analytics. Рекомендуется переходить на Яндекс.Метрику или другие российские аналоги.

Рекламные пиксели ВКонтакте и Яндекс.Директ

Что писать в политике:

Мы используем пиксель ВКонтакте (ООО «В Контакте», ИНН 7842349892) и пиксель Яндекс.Директ (ООО «Яндекс», ИНН 7736207543) для показа персонализированной рекламы и ретаргетинга. Эти сервисы устанавливают cookies на вашем устройстве и отслеживают ваши действия на сайте (просмотренные товары, добавление в корзину, оформление заказа) для показа релевантной рекламы в социальной сети ВКонтакте и в рекламной сети Яндекса.

Данные обрабатываются на серверах в Российской Федерации. Срок хранения cookies: 6 месяцев.

Правовое основание: согласие, полученное через cookie-баннер. Вы можете отказаться от рекламных cookies, выбрав «Только необходимые» в настройках cookies.

Политика конфиденциальности ВКонтакте: https://vk.com/privacy

Онлайн-чаты (Jivosite, Carrot quest)

Что писать в политике:

Мы используем онлайн-чат Jivosite для связи с посетителями сайта. При использовании чата собираются: ваше имя (если укажете), email, история переписки, IP-адрес, технические данные об устройстве. Данные хранятся на серверах Jivosite и используются для обработки ваших обращений.

Срок хранения: до удаления по вашему запросу или 3 года после последнего обращения.

Вы можете не использовать чат и связаться с нами по телефону или email.

Штрафы за нарушения требований про cookies

Отсутствие информации о cookies в политике конфиденциальности или использование cookies без информирования пользователей — это нарушение требований 152-ФЗ о прозрачности обработки персональных данных.

Размеры штрафов

Реальный кейс: штраф за отсутствие описания cookies

Интернет-магазин косметики, Москва, 2025

На сайте была установлена Яндекс.Метрика, рекламный пиксель ВКонтакте и онлайн-чат Jivosite. В политике конфиденциальности про cookies не было ни слова — только общие фразы про «обработку данных для улучшения сервиса». После жалобы пользователя на несогласованную рекламу РКН провёл проверку и выявил:

• Отсутствие описания используемых cookies в политике;
• Отсутствие cookie-баннера при наличии рекламных пикселей;
• Cookies устанавливались без информирования пользователей.

Штраф: 60 000 рублей для юрлица (ч. 3 ст. 13.11 — нарушение требований к политике) + 12 000 рублей директору как должностному лицу + предписание устранить нарушения.

Заключение

Cookies на сайте — это не просто техническая деталь, а полноценная обработка персональных данных, которая требует прозрачности и соответствия закону. Основные правила простые: всегда описывайте используемые cookies в политике конфиденциальности с указанием типов, целей и сроков хранения, используйте cookie-баннер для информирования пользователей (обязательно — при наличии рекламных cookies или Google Analytics), настройте условную загрузку аналитики и рекламы только после согласия.

Минимальный набор действий для соответствия: добавьте в политику конфиденциальности раздел про cookies с таблицей всех используемых файлов, установите информационный cookie-баннер (если используете Яндекс.Метрику) или баннер с выбором (если есть реклама или Google Analytics), если в качестве правового основания выбрано согласие (а не законный интерес) — настройте условную загрузку скриптов аналитики и рекламы только после его получения, добавьте в футер сайта ссылку «Настройки cookies» для повторного вызова баннера.

Не откладывайте: штраф за отсутствие описания cookies в политике достигает 60 000 рублей для компании (ч. 3 ст. 13.11 КоАП), а за обработку без согласия — до 700 000 рублей (ч. 2 ст. 13.11 КоАП). Потратьте 2-3 часа на настройку сейчас — и защитите бизнес от претензий регулятора и жалоб пользователей. Используйте примеры текстов и таблицу cookies из этой статьи для быстрого внедрения.