Cookie-баннер по 152-ФЗ: как сделать законно, а не для галочки

Почти на каждом втором российском сайте сейчас висит полоска «Мы используем cookies» с одной кнопкой «Хорошо». Владелец сайта считает, что закрыл вопрос. На деле такой баннер не даёт ничего: данные посетителя уходят в аналитику ещё до того, как он успел что-то нажать, а сам факт согласия нигде не сохраняется.

Почему cookies — это персональные данные

Идентификатор в cookie позволяет узнавать одного и того же посетителя между визитами. Вместе с IP-адресом и данными браузера он относится к сведениям, по которым человека можно определить, а значит подпадает под 152-ФЗ. Практика Роскомнадзора и суды в последние годы исходят именно из этого: если счётчик ставит постоянный идентификатор, обработка персональных данных уже идёт.

Из этого следует главное требование статьи 9: согласие должно быть конкретным, предметным, информированным, сознательным и — что чаще всего игнорируют — данным до начала обработки, а не после.

Что должно быть в баннере

1. Явное действие согласия. Кнопка «Принять» или «Согласен». Молчание, закрытие баннера крестиком и скролл страницы согласием не считаются.
2. Возможность отказаться. Либо кнопка «Отклонить» / «Только необходимые», либо настройки категорий. Если отказаться нельзя, согласие не свободное — то есть недействительное.
3. Ссылка на политику обработки персональных данных прямо в баннере, а не где-то в подвале.
4. Понятный перечень: какие категории cookies вы ставите и зачем. Достаточно коротко: необходимые, аналитика, реклама.
5. Техническая блокировка. До нажатия кнопки код счётчиков не должен выполняться вообще.
6. Фиксация согласия: дата, время, что именно показывали человеку, какие категории он выбрал.

Как проверить свой сайт за минуту

Проверка делается в браузере, без доступа к коду сайта. Откройте сайт в режиме инкогнито и, ничего не нажимая, посмотрите инструменты разработчика:

1. Вкладка Network, фильтр по слову yandex или google — если запросы к mc.yandex.ru или google-analytics.com уже прошли, значит аналитика сработала до согласия.
2. Вкладка Application → Cookies — если там уже лежат _ym_uid, _ga, _fbp и подобные, идентификаторы записаны без согласия.
3. Проверьте, есть ли в баннере кнопка отказа и ссылка на политику.

Автоматическая проверка на этой странице делает то же самое: открывает сайт в реальном браузере, снимает список запросов и cookies до любого клика, затем нажимает «Принять» и сравнивает состояния. В отчёте видно конкретные имена cookies и конкретные хосты, куда ушли данные.

Как сделать правильно технически

Рабочая схема одна: код счётчиков не выполняется, пока не получено согласие на соответствующую категорию. Скрипты подключаются динамически после нажатия кнопки.

// счётчик подключаем только после согласия на аналитику
if (consent.analytics) {
  const s = document.createElement('script');
  s.src = 'https://mc.yandex.ru/metrika/tag.js';
  document.head.appendChild(s);
}

Если используете Google Tag Manager, помните: сам контейнер GTM тоже сторонний скрипт. Его загрузку нужно ставить в зависимость от согласия или использовать встроенный режим согласия.

Чем это грозит

Обработка персональных данных без согласия — состав из статьи 13.11 КоАП РФ. Суммы зависят от части статьи, от того, организация вы или предприниматель, и от повторности: разброс идёт от десятков тысяч рублей за отсутствие опубликованной политики до сотен тысяч за обработку без согласия. Конкретную сумму всегда сверяйте с действующей редакцией кодекса — она менялась несколько раз за последние два года.

Практический риск выше формального: жалоба одного посетителя в Роскомнадзор запускает проверку, в ходе которой смотрят не только баннер, но и политику, уведомление в реестре операторов и формы на сайте. Поэтому баннер имеет смысл приводить в порядок вместе с остальным.

Короткий чек-лист

• До нажатия кнопки не выполняется ни один сторонний счётчик
• В баннере есть и согласие, и отказ
• Есть ссылка на политику обработки персональных данных
• Категории cookies перечислены понятным языком
• Согласие сохраняется с датой и составом на момент выдачи
• Выбор посетителя запоминается и его можно изменить позже