Cookie-баннер на сайте: как оформить без нарушения закона

Cookie-баннер законен, если сайт не собирает данные до того, как посетитель дал согласие, предлагает настоящий выбор «принять» или «отклонить» без предвыбранных галочек и ссылается на политику обработки персональных данных по 152-ФЗ. Строчка мелким шрифтом «сайт использует cookies» без кнопок этому не соответствует и юридически баннером не считается.

Почему сайты нарушают закон при оформлении cookie-баннера

У московской компании, которая занимается коммерческими перевозками, на сайте стоит форма заявки и Яндекс Метрика с десятком целей. Заявки идут, реклама крутится, всё выглядит рабочим. Но за неделю до тендера юрист крупного заказчика открывает сайт на своём ноутбуке, смотрит консоль браузера и видит: счётчик аналитики и пиксель ретаргетинга стартуют в первую секунду, ещё до того как посетитель успел на что-либо кликнуть. Cookie-баннера на сайте нет — есть строчка мелким шрифтом в подвале про использование cookies, которая ничего не спрашивает и ни на что не влияет.

Дело не в том, что баннер оформлен криво, — баннера нет по существу: согласие сайт получает постфактум, а не до сбора данных. Так происходит годами, потому что 152-ФЗ читают верхнеуровнево: раз в подвале висит политика конфиденциальности, значит с персональными данными порядок. Но IP-адрес, идентификатор рекламного пикселя и файл cookie счётчика — тоже персональные данные с точки зрения обработки, поэтому закон требует согласия на их сбор так же, как на имя и телефон в форме заявки.

Ставка здесь не абстрактная. В примере выше юрист даёт компании три дня на устранение нарушения, иначе тендер закрывают — крупные заказчики в Москве всё чаще включают проверку сайта подрядчика в due diligence перед подписанием договора. Отдельно от тендеров есть риск проще: рекламные кабинеты Яндекса жёстче проверяют корректность согласия на cookies для персонализированной рекламы, и сайт без баннера рискует получить ограничение показов или блокировку кабинета.

Под ударом чаще всего сайты, где есть форма заявки, интеграция с CRM и хотя бы одна система аналитики или ретаргетинга — то есть почти любой сайт компании из сегмента среднего и малого бизнеса в Москве. Интернет-магазины и сервисы с личным кабинетом рискуют больше: там cookies завязаны ещё и на авторизацию, и ошибка в баннере может случайно заблокировать не только счётчики, но и саму корзину или вход.

Как оформить cookie-баннер, чтобы не нарушить 152-ФЗ

Закон не диктует конкретный дизайн баннера — требования 152-ФЗ сводятся к сути: сайт должен спросить разрешение до того, как начнёт собирать данные, а не после. Отсюда вытекают конкретные требования к самому баннеру.

Что обязательно должно быть в баннере

• ✓баннер показывается до загрузки скриптов аналитики и рекламы, а не одновременно с ними;
• ✓есть кнопка «отклонить» такого же размера и заметности, как «принять» — выбор без давления в одну сторону;
• ✓чекбоксы согласия на необязательные cookies (аналитика, реклама) по умолчанию не отмечены;
• ✓рядом есть ссылка на политику обработки персональных данных, где написано, какие cookies собираются и зачем;
• ✓отказ от необязательных cookies не блокирует доступ к контенту и форме заявки.

Не все cookies требуют согласия в равной мере. Технические файлы, без которых сайт физически не работает — например, cookie корзины интернет-магазина или сессии авторизации, — можно устанавливать без явного разрешения, потому что без них услугу нельзя оказать. А вот аналитика, реклама и персонализация — отдельная категория, для которой согласие обязательно и должно быть таким же явным, как согласие на обработку персональных данных в форме заявки.

На практике проверка этих пунктов занимает у специалиста 20-30 минут: открыть сайт в режиме инкогнито, посмотреть вкладку network браузера до и после клика по баннеру, сверить с политикой конфиденциальности. Юридическое соответствие сайта — одно из направлений аудита сайта по 9 направлениям: наряду с cookie-баннером там же смотрят политику конфиденциальности целиком, форму согласия в заявках и корректность хранения данных.

Что делать, если нарушение находят повторно после доработки

Баннер на сайте уже появился — компания заказала верстку у фрилансера, кнопки «принять» и «отклонить» есть, чекбоксы выключены. Но при повторной проверке нарушение всё равно фиксируют. Причина обычно не в самом баннере, а в том, что он ничего не блокирует: разработчик добавил визуальный элемент, но не связал его с загрузкой скриптов через диспетчер тегов — счётчик Метрики и пиксель как запускались при открытии страницы, так и запускаются, кнопка «отклонить» просто ничего не делает технически.

Вторая частая причина — согласие живёт слишком недолго: cookie с отметкой о согласии стирается через сессию или сутки, и баннер выскакивает заново при каждом визите постоянного клиента, что раздражает и выглядит как техническая недоработка, а не забота о законе. Третья — баннер перекрывает форму заявки на мобильных экранах, и часть посетителей уходит, не оставив контакт, потому что не может закрыть окно.

Проверить это своими силами можно за пять минут: открыть сайт в режиме инкогнито, до клика по баннеру открыть вкладку network в инструментах разработчика и посмотреть, какие запросы уже ушли на серверы аналитики. Если запросы к counter.yandex.ru или похожим доменам есть в списке ещё до клика — баннер декоративный, и претензия при повторной проверке почти гарантирована.

Исправляется это на уровне кода, а не дизайна: событие согласия нужно завести в диспетчер тегов как триггер, который разрешает запуск остальных скриптов, а не наоборот. Такую доработку делает разработчик или сисадмин, который сопровождает сайт, — по прайсу ukved.ru эта работа тарифицируется как сопровождение сайта, от 3800 руб/час, и на типовой сайт с формой заявки и одной-двумя системами аналитики уходит обычно 2-4 часа с проверкой на мобильной версии.

Сколько стоит устранить нарушение и кто этим занимается

Стоимость зависит от того, что уже есть на сайте. Если баннера нет вообще — нужна верстка блока, подключение диспетчера тегов и настройка триггеров, это ближе к верхней границе оценки в часах. Если баннер есть, но работает неправильно, обычно достаточно перенастроить триггеры и проверить хранение согласия, без переверстки.

Перед тем как платить за доработку, полезно понять, что именно не так: часто в компании находят баннер визуально, но не проверяют, что происходит в сети браузера до и после клика. Это и есть задача аудита — не просто сказать, что баннер нужен, а показать конкретные строчки в консоли, которые нарушают закон, и что именно поправить. Такую проверку можно заказать отдельно или как часть полного аудита сайта, где юридическое соответствие — один из девяти пунктов наряду с безопасностью и технической частью.

Если в компании нет своего разработчика, экономичнее не тратить время на самостоятельный разбор кода, а один раз получить точный список нарушений и передать его подрядчику, который сопровождает сайт — так правки делаются за один заход, а не в несколько итераций после каждой новой проверки.

Как предотвратить претензии из-за cookie-баннера

Разовая доработка баннера не защищает от повторного нарушения — при следующем редизайне сайта или смене системы аналитики баннер снова может перестать блокировать скрипты, если про это не вспомнить заранее.

Что проверять не реже раза в квартал

• ✓баннер по-прежнему блокирует скрипты аналитики и рекламы до согласия — проверка через вкладку network в режиме инкогнито;
• ✓ссылка на политику конфиденциальности рабочая, а текст в ней совпадает с реальным списком используемых cookies;
• ✓после любого обновления сайта или смены разработчика баннер протестирован заново, а не просто визуально на месте;
• ✓согласие корректно хранится и не запрашивается повторно у постоянных посетителей чаще, чем требует политика.

Отдельно стоит проверять баннер после смены хостинга или переезда сайта на новый сервер — иногда при переносе теряются настройки диспетчера тегов, и триггер согласия перестаёт срабатывать незаметно для команды, пока это не найдёт очередной юрист заказчика или сам Роскомнадзор.

Проще всего встроить эту проверку в плановый аудит сайта, который в любом случае стоит делать при смене подрядчика, перед крупным тендером или раз в квартал — тогда cookie-баннер проверяется заодно со скоростью загрузки, безопасностью и остальными техническими параметрами, а не превращается в отдельную головную боль.

❓ Частые вопросы

Нужен ли cookie-баннер, если данные из форм не попадают в CRM?

Да, если сайт технически собирает cookies — счётчик аналитики, пиксель рекламы, идентификатор в браузере, — согласие нужно независимо от того, попадают ли данные форм в CRM. Закон регулирует сам факт сбора и обработки данных браузера, а не то, куда их потом сохраняют внутри компании.

Достаточно ли просто текста «Мы используем cookies» без кнопок?

Нет. Текст без кнопок «принять» и «отклонить» не даёт посетителю возможности выбора, а значит не является согласием в смысле 152-ФЗ. Формально это информирование, а не запрос разрешения — сайт всё равно обязан получить явное действие пользователя до запуска аналитики и рекламных скриптов.

Что грозит сайту, если баннера нет вообще?

Прямых штрафов конкретно за отсутствие баннера в законе нет, но есть штрафы за нарушение порядка обработки персональных данных по статье 13.11 КоАП, под которую подпадает сбор cookies без согласия. На практике риск чаще проявляется через жалобы клиентов, проверки заказчиков перед тендером и ограничения в рекламных кабинетах.

Сколько времени занимает доработка баннера, если аудит нашёл нарушение?

Если баннер уже есть, но не блокирует скрипты, доработка обычно занимает 2-4 часа работы разработчика или сисадмина, сопровождающего сайт: перенастроить триггеры в диспетчере тегов и проверить на мобильной версии. Если баннера нет вообще, добавляется время на верстку блока, обычно ещё несколько часов.

Влияет ли cookie-баннер на позиции сайта в поиске?

Прямого влияния на позиции нет — Яндекс и Google не понижают сайт за отсутствие или неправильную работу cookie-баннера. Но косвенный эффект есть: неправильная работа согласия может ограничить сбор данных в самой Метрике, из-за чего аналитика для оптимизации сайта станет менее точной.