Почти каждый сайт в рунете встречает вас окном: «Мы используем cookie. Принять / Отклонить». Люди привыкли жать «Принять», не читая. Владельцы сайтов ставят такое окно, потому что «у всех есть» и «вроде по закону надо».
Надо — но не то и не так. Окно с кнопкой «Принять» — это европейское требование. В российском законе его нет. Мы разобрали, что на самом деле обязан делать сайт в России, где проходит граница дозволенного и почему копирование европейских правил не защищает, а иногда вредит.
Коротко. В России нет отдельного закона о cookie. Есть закон о персональных данных, и согласие пользователя — лишь один из одиннадцати способов законно обрабатывать данные. Для обычной статистики посещаемости подходит другой способ — законный интерес. Он не требует спрашивать разрешения, но требует честно сказать, что вы считаете, и дать возможность отказаться.
Откуда взялось окно «Принять / Отклонить»
Оно родилось в Европе и держится на двух документах.
Директива ePrivacy (2002 год, поправки 2009-го) — это специальный закон именно про cookie и подобные технологии. Он говорит прямо: прежде чем записать что-то в браузер пользователя, нужно получить его согласие. Исключение — только технические файлы, без которых сайт не работает: корзина в магазине, вход в личный кабинет.
GDPR (2018 год) — общий регламент о персональных данных. Он добавил требования к самому согласию: оно должно быть добровольным, конкретным, осознанным и однозначным. И, что важно, статья 7 пункт 3 требует, чтобы отозвать согласие было так же просто, как его дать.
Из этих двух документов и выросла привычная конструкция: аналитика не запускается, пока не нажата кнопка; кнопки «Принять» и «Отклонить» одинаково заметные; есть настройки с категориями cookie.
Европейский совет по защите данных отдельно разъяснял: если кнопка «Принять» яркая и крупная, а «Отклонить» спрятана в настройках — согласие не считается добровольным. Отсюда и требование равнозначных кнопок.
Что в России
Здесь работает 152-ФЗ «О персональных данных». И в нём нет ни слова про cookie-баннеры. Нет требования показывать всплывающее окно. Нет требования равнозначных кнопок. Нет категорий cookie и «центра настроек приватности».
Устроено иначе. Закон говорит: обрабатывать персональные данные можно, если у вас есть основание. Оснований одиннадцать, они перечислены в части 1 статьи 6. Согласие человека — самое известное, но это лишь первое из одиннадцати.
Для веб-аналитики подходит седьмое: обработка нужна для законных интересов того, кто ведёт сайт, при условии что не нарушаются права человека. Владельцу сайта действительно нужно знать, сколько людей пришло, откуда и где сайт сломался. Спрашивать на это разрешение закон не требует.
| Вопрос | Европа | Россия |
|---|---|---|
| Отдельный закон про cookie | Есть — ePrivacy | Нет |
| Согласие до запуска аналитики | Обязательно | Не требуется, если есть другое основание |
| Кнопка «Отклонить» наравне с «Принять» | Обязательно | Требования нет |
| Категории cookie и центр настроек | Фактически обязательны | Требования нет |
| Опубликованная политика обработки данных | Обязательна | Обязательна |
| Право возражать против обработки | Есть | Есть — статья 14 |
| Уведомление регулятора о работе с данными | В отдельных случаях | Обязательно — статья 22 |
Почему это важно понимать
Казалось бы: ну поставили европейский баннер, хуже же не будет. Будет — по трём причинам.
Первая: вы теряете данные и не знаете об этом. Когда счётчик не запускается до нажатия кнопки, вы видите только тех, кто её нажал. На нашем сайте такой режим показывал 38 визитов из 336 реальных — одиннадцать процентов. Владелец при этом думает, что смотрит на посещаемость, а смотрит на посещаемость самых терпеливых.
Вторая: кнопка «Принять» может обернуться против вас. Если вы собираете согласие, вы обязаны доказать, что получили его правильно. С 1 сентября 2025 года согласие оформляется отдельно от других документов — формулировка «продолжая пользоваться сайтом, вы соглашаетесь» согласием больше не является. Получается ловушка: вы заявили основание «согласие», а доказать его не можете. Проще было опереться на законный интерес, для которого доказывать нужно только сам факт наличия основания.
Третья, самая частая: политика обещает одно, а сайт делает другое. Текст на странице «Политика конфиденциальности» пишется по шаблону из интернета — там про кнопку «Принять» и про то, что без согласия аналитика не грузится. А на сайте счётчик стоит в коде и работает всегда.
Это худшая из ошибок. Расхождение между политикой и реальностью видно без всякой экспертизы: достаточно открыть страницу и сравнить с кодом. Более того — вы сами письменно зафиксировали, что считаете согласие обязательным, и сами же от этого отступили. Пока такое расхождение есть, спорный режим сбора данных куда опаснее, чем был бы без него.
Что в России действительно обязательно
Часть 2 статьи 18.1 — прямая обязанность. Документ должен быть доступен с любой страницы, где идёт сбор данных. Это единственное требование, которое нельзя ослабить ничем.
Форма не установлена законом. Всплывающее окно не обязательно — важно, чтобы информация была доступна, а состав данных раскрыт в политике.
Статья 14 даёт человеку право потребовать прекратить обработку. Если вы опираетесь на законный интерес, эта возможность должна реально работать, а не быть упомянутой на бумаге.
Статья 22. Про этот пункт забывают чаще всего, а штраф за него отдельный.
Статья 18 часть 5. Для Яндекс.Метрики это выполняется само: российская компания, серверы в стране.
Чем шире сбор, тем труднее обосновать законный интерес. Запись экрана и того, что человек печатает в форме, — уже за гранью: тут нужно именно согласие.
Красные черты
Границу дозволенного проще описать через то, чего делать нельзя.
Изображать согласие, которого нет. Фразы «продолжая пользоваться сайтом, вы соглашаетесь», «закрывая это окно, вы даёте согласие» — это не согласие. Хуже: они заявляют основание, которое вы не сможете подтвердить.
Делать отказ недостижимым или односторонним. Если отказ ничего не выключает, требует письма и ожидания ответа или его нельзя отменить — право не реализовано, а значит и законный интерес не работает.
Убирать политику. Всплывающее окно убрать можно. Публикацию — нельзя.
Расширять сбор одновременно с сокращением информирования. Двигать оба рычага в одну сторону — вернейший способ провалить проверку на баланс интересов. Упрощать текст можно только при неизменном или уменьшающемся объёме сбора.
Записывать сессии без согласия. Инструменты вроде Вебвизора пишут то, что человек набирает в форме, до нажатия кнопки «Отправить» — то есть до того, как он поставил галочку согласия. На медицинских, юридических, финансовых сайтах это данные особой категории, и требования там жёстче.
Сколько стоит ошибка
С 30 мая 2025 года штрафы выросли и скидки в 50% по этой статье больше нет.
Плановых проверок сейчас почти нет — действует мораторий. Основной канал — автоматический мониторинг сайтов: робот открывает страницу, видит наличие политики, факт загрузки счётчика и текст уведомления. Именно поэтому расхождение политики с реальностью опаснее всего: оно как раз машиночитаемо.
Как мы это сделали у себя
Мы разбирали вопрос для собственной сети сайтов и клиентских проектов. Сначала описали, что вообще делает уведомление с точки зрения права.
Оказалось, важно различать три вещи. Публикация политики — прямая обязанность, её нельзя ослабить. Уведомление на входе — доказательство того, что вы играете честно. Работающий отказ — подтверждение, что права человека не нарушены. Первое трогать нельзя вообще. Второе и третье можно делать компактнее, но только пока они выполняют свою роль.
Дальше мы собрали варианты и посмотрели на них живьём. Ниже — тот же макет, что мы использовали сами: переключайте варианты и смотрите, как это выглядит на странице.
Услуги и цены
Мы выбрали второй вариант — узкую полосу внизу экрана. Она не перекрывает содержимое, не требует от человека никаких действий и при этом называет и предмет обработки, и правовое основание. Подробный состав данных, сроки хранения и переключатель отказа — на странице политики, куда ведёт ссылка из полосы.
Вместе с этим мы сделали две вещи, без которых такое решение было бы нечестным:
Выключили Вебвизор на всей сети. Записи сессий были самым чувствительным из того, что мы собирали, и для задачи «понимать посещаемость» они не нужны вовсе. Объём сбора уменьшился.
Сделали отказ доступнее, чем он был. Раньше отказаться можно было только в момент показа уведомления. Теперь постоянная ссылка есть в подвале каждой страницы, а в политике — переключатель, который показывает текущее состояние и работает в обе стороны: отключить и включить обратно.
Логика простая: мы сократили количество текста на экране у посетителя, а не объём его прав. Прав стало больше, данных мы собираем меньше, а уведомление перестало закрывать содержимое сайта.
Что делать владельцу сайта
Минимальная программа, если у вас стоит европейский баннер, а сайт российский и аудитория российская:
Сверьте политику с реальностью. Откройте свою страницу «Политика конфиденциальности» и прочитайте, что там написано про аналитику. Если сказано «загружается только после согласия», а счётчик работает всегда — это надо чинить в первую очередь, независимо от всего остального.
Проверьте, включена ли запись сессий. В настройках счётчика и в коде. Если она вам не нужна для дела — выключите, это самое дешёвое снижение риска.
Убедитесь, что уведомление подано в Роскомнадзор. Реестр операторов открытый, найти себя можно за минуту.
Проверьте, что отказ работает. Нажмите свою же кнопку отказа и посмотрите, перестал ли грузиться счётчик. Очень часто выясняется, что кнопка есть, а эффекта у неё нет.
Посмотрите, сколько данных вы теряете. Если у вас стоит настоящий гейт, сравните число визитов в Метрике с числом кликов из поиска в Вебмастере. Разрыв обычно неприятно удивляет.
Материал носит информационный характер и не является юридической консультацией. Правоприменительная практика по форме уведомлений в России на момент публикации не сформирована: актов регулятора и судебных решений именно по этому вопросу мы не нашли. Это означает не безопасность, а неопределённость — решение по своему сайту принимайте с учётом собственных рисков.
