Отдельной нормы о cookie в законе № 152-ФЗ нет. Но если cookie и данные веб-аналитики позволяют определить посетителя, к ним применяются общие правила о персональных данных: нужно законное основание обработки и описание в политике. Для необходимых cookie основанием служит работа сайта, а для аналитических и рекламных обычно нужно согласие на обработку cookies, которое удобно получать через баннер с кнопками «принять» и «отклонить».
Что такое cookie на сайтах
Cookie (куки) — небольшие текстовые файлы, которые сайт или сторонний сервис сохраняет в браузере посетителя. При следующих запросах браузер отправляет их обратно, и сайт «узнаёт» устройство: помнит авторизацию, товары в корзине, выбранный город, а счётчики аналитики — что это тот же посетитель, что и вчера.
Cookie различают по нескольким признакам:
- по сроку жизни — сессионные (удаляются при закрытии браузера) и постоянные (хранятся дни, месяцы);
- по источнику — собственные (ставит ваш сайт) и сторонние (ставят Метрика, рекламные сети, встроенные виджеты и видео);
- по назначению — необходимые, функциональные, аналитические, маркетинговые.
Для закона важна именно последняя классификация: от назначения зависит основание обработки.
«На сайте используются cookies» — что это значит
Сообщение «на сайте используются cookies» — это уведомление об использовании cookies на сайте. Владелец сайта сообщает, что ставит в браузер файлы и, возможно, передаёт сведения о визите сервисам аналитики. Хорошее уведомление о сборе cookie на сайте отвечает на четыре вопроса: какие cookie ставятся, зачем, кто ещё получает данные и как отказаться. Простой текст «Мы используем cookie» с одной кнопкой «ОК» выбора не даёт — это информирование, а не согласие.
Когда cookie — это персональные данные
Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (п. 1 ст. 3 152-ФЗ). Сам по себе случайный идентификатор в cookie человека не называет. Но распространённая позиция практиков такая: если cookie вместе с другими сведениями — IP-адресом, историей посещений, данными из формы заявки или личного кабинета — позволяют определить человека или построить его профиль, их рассматривают как персональные данные.
На большинстве коммерческих сайтов это условие выполняется: посетитель, который оставил телефон в форме, связывается с идентификатором аналитики. Поэтому безопаснее исходить из того, что аналитические и рекламные cookie — персональные данные.
Нужно ли согласие на обработку cookies
Ответ зависит от категории cookie. Обработка законна, только если есть одно из оснований ст. 6 152-ФЗ:
| Категория | Примеры | Обычное основание | Нужно ли согласие |
|---|---|---|---|
| Необходимые | Сессия, авторизация, корзина, защита форм, сохранённый выбор в баннере | Работа сайта, исполнение договора (п. 5 ч. 1 ст. 6) | Нет |
| Функциональные | Язык, город, тема оформления | Зависит от того, связаны ли с личностью | Часто достаточно информирования |
| Аналитические | Яндекс Метрика, Вебвизор, другие счётчики | Согласие (п. 1 ч. 1 ст. 6) | Да |
| Маркетинговые | Ретаргетинг, рекламные пиксели | Согласие | Да |
Согласие должно быть конкретным, информированным, сознательным и однозначным (ч. 1 ст. 9 152-ФЗ), а с 01.09.2025 — оформлено отдельно от иных документов, которые подтверждает посетитель. Поэтому формулировка «продолжая пользоваться сайтом, вы соглашаетесь» спорна: из неё сложно вывести однозначное согласие. Надёжнее явное действие — нажатие кнопки «Принять» при доступной кнопке «Отклонить». Когда согласие нужно в целом, разобрано в статье нужно ли согласие на обработку персональных данных.
Яндекс Метрика, аналитика и локализация
С Метрикой и другими счётчиками связаны три вопроса.
- Основание. Счётчик собирает идентификатор, IP-адрес, сведения об устройстве и поведении — для этого нужно согласие. Технически это значит: код счётчика не должен загружаться до выбора посетителя.
- Передача сервису. Данные о визите получает владелец сервиса. Это нужно отразить в политике: кому передаются данные и для чего.
- Локализация. При сборе данных граждан России, в том числе через интернет, оператор обязан использовать базы данных, находящиеся на территории РФ (ч. 5 ст. 18 152-ФЗ). Зарубежные счётчики и виджеты, которые первыми получают данные посетителей, создают риск нарушения этого требования; штраф за нарушение локализации для организаций — 1–6 млн ₽ (ч. 8 ст. 13.11 КоАП).
Как сделать уведомление об использовании cookies
Требований к виду баннера закон не устанавливает. Практичный вариант, который позволяет показать согласие и доказать его:
- короткий текст: какие cookie и для чего, кому передаются данные;
- равнозначные кнопки «Принять» и «Только необходимые», при необходимости — «Настроить» по категориям;
- никаких заранее отмеченных галочек;
- ссылка на политику обработки персональных данных;
- сохранение выбора и возможность изменить его позже (ссылка «Настройки cookie» в подвале);
- аналитика запускается только после согласия.
Пример текста: «Мы используем необходимые cookie для работы сайта. С вашего согласия мы также используем аналитические cookie сервиса Яндекс Метрика, чтобы понимать, какие страницы полезны. Подробнее — в Политике обработки персональных данных. [Принять все] [Только необходимые]».
Помните, что бремя доказывания согласия лежит на операторе (ч. 3 ст. 9 152-ФЗ). Поэтому полезно фиксировать, какую версию текста баннера видел посетитель и когда он сделал выбор, а при смене сервисов или целей — менять версию и спрашивать заново. Согласие на cookie не заменяет согласие в формах заявки или подписки: это разные цели, и для каждой нужен свой понятный текст и своё действие посетителя.
Готовый баннер с такими кнопками, хранением выбора и отложенным запуском счётчиков можно собрать в генераторе cookie-баннера.
Что написать о cookie в политике
Политику обработки ПД обязан опубликовать каждый оператор, а при сборе данных через интернет — на страницах сайта, где данные собираются (ч. 2 ст. 18.1). В разделе о cookie обычно указывают:
- какие категории cookie используются и для каких целей;
- какие сервисы аналитики и рекламы подключены и что они получают;
- основание: для необходимых — работа сайта, для остальных — согласие;
- сроки хранения и как изменить выбор или отозвать согласие;
- где хранятся данные (локализация в РФ).
Раздел о cookie есть в генераторе политики. За отсутствие политики организациям грозит 30–60 тыс. ₽ (ч. 3 ст. 13.11 КоАП), за обработку без законного основания — 150–300 тыс. ₽ (ч. 1). Остальные составы — в статье штрафы за нарушение 152-ФЗ.
Как отказаться от cookies на сайте
Для посетителя есть несколько способов:
- нажать «Отклонить» или «Только необходимые» в баннере — сайт не будет запускать аналитику;
- изменить выбор позже по ссылке «Настройки cookie» (если сайт её даёт);
- удалить cookie в настройках браузера и запретить сторонние cookie;
- пользоваться приватным режимом: cookie удаляются после закрытия окна.
Для владельца сайта отказ означает, что счётчики и рекламные пиксели не должны срабатывать. Если посетитель ранее согласился и передумал, это отзыв согласия: обработку по этому основанию нужно прекратить (ч. 2 ст. 9, ч. 5 ст. 21 152-ФЗ).
Частые вопросы
Что такое cookie на сайтах простыми словами?
Это небольшие файлы, которые сайт сохраняет в браузере, чтобы узнавать устройство: помнить вход, корзину, настройки и считать посещения.
Обязательно ли уведомление об использовании cookies на сайте?
Прямой нормы нет. Но если сайт использует аналитические или рекламные cookie, нужно согласие посетителя, и баннер — самый удобный способ его получить и доказать.
Нужно ли согласие на необходимые cookie?
Как правило, нет: они нужны для работы сайта и оказания услуги. Но о них стоит сообщить в баннере и политике.
Достаточно ли фразы «продолжая пользоваться сайтом, вы соглашаетесь»?
Это рискованно: согласие должно быть однозначным и сознательным (ч. 1 ст. 9 152-ФЗ). Явная кнопка «Принять» рядом с кнопкой отказа надёжнее.
Как отказаться от cookies на сайте?
Нажмите «Отклонить» или «Только необходимые» в баннере, а при необходимости удалите cookie и запретите сторонние cookie в настройках браузера.
Есть ли штраф за отсутствие cookie-баннера?
Отдельного штрафа нет. Риски — обработка без законного основания (ч. 1 ст. 13.11 КоАП) и отсутствие политики на сайте (ч. 3 ст. 13.11).
Источники: 152-ФЗ «О персональных данных» (ред. от 26.07.2026): ст. 3, 6, 18, ст. 9 152-ФЗ, ст. 18.1 152-ФЗ, ст. 13.11 КоАП (ред. от 04.08.2026). Проверено 26.10.2026.