Полоска «Мы используем cookie» внизу страницы есть почти на каждом сайте, и почти везде она ничего не решает: счётчик Яндекс Метрики уже отправил данные о посетителе, пока он читал текст. В 2025 году Роскомнадзор проанализировал 22 896 сайтов и нашёл нарушения на 17 058 из них, а мировые судьи начали выносить постановления именно за Метрику без согласия: 10 000 ₽ руководителю ИТ-отдела, предупреждение аэропорту, 300 000 ₽ двум ИП за повторное нарушение. Разбираем, когда cookie становятся персональными данными, какое согласие примет РКН, нужна ли кнопка «Отклонить» и как это настроить на Тильде, Битриксе и WordPress.
Cookie — это персональные данные?
Отдельного закона о cookie в России нет, и слова «cookie» нет в 152-ФЗ. Есть определение: персональные данные — любая информация о прямо или косвенно определённом или определяемом человеке (п. 1 ст. 3). Сам по себе файл cookie с выбранным языком интерфейса человека не определяет. Но cookie счётчика хранит уникальный идентификатор посетителя, к нему привязываются IP-адрес, устройство, история страниц и клики, а если человек заполнил форму — ещё имя и телефон. Это уже «косвенно определяемый» человек.
Официальный документ, где Роскомнадзор объяснял бы это словами, найти не удалось. Зато позиция видна в его собственных формах и делах. В форме уведомления об обработке на портале pd.rkn.gov.ru «сведения, собираемые посредством метрических программ» стоят отдельной категорией персональных данных, а «посетители сайта» — отдельной категорией субъектов. Региональные управления РКН с 2022 года выносят требования за Метрику без согласия, а суды в 2025 году используют одну и ту же формулу.
…программные средства Яндекс.Метрика и Google Analytics <…>, позволяющие определять уникального посетителя сайта, формировать сведения о его предпочтениях и поведении на сайте, что указывает на обработку его персональных данных.Постановление мирового судьи судебного участка № 6 Калининского района Тюмени от 22.04.2025 по делу № 5-280/2025
Довод «Метрика — не персональные данные» в найденных жалобах не сработал ни разу. Обратная сторона: один email или номер телефона без привязки к человеку суды персональными данными не считают, и Верховный суд это подтверждал в 2023 году. Поэтому вопрос не в том, «cookie или не cookie», а в том, что именно собирается и можно ли по этому узнать человека.
| Что ставит сайт | Персональные данные? | Нужно согласие? |
|---|---|---|
| Cookie сессии, корзины, CSRF-токен, выбранный язык | нет или нужны для работы сайта | нет, достаточно описать в политике |
| Cookie самого баннера (запомнить выбор) | нет | нет |
Яндекс Метрика (_ym_uid на год, Вебвизор, карта кликов) | да, по практике РКН и судов | да, до загрузки счётчика |
| Пиксели VK, Яндекс Директа, ретаргетинг | да | да |
| Google Analytics, GTM, зарубежные heatmap-сервисы | да, плюс трансграничная передача | да, плюс уведомление РКН о трансграничной передаче и вопрос локализации |
| Онлайн-чат, виджет обратного звонка | да, если собирает контакты и идентификаторы | да |
Кого это касается, а кого нет
Не касается сайта, который ничего не считает и ничего не собирает: визитка на Тильде без Метрики ставит только технические cookie защиты от DDoS, и баннер согласия ей не нужен, достаточно упомянуть такие cookie в политике. Не нужен баннер и для серверной аналитики по логам без идентификаторов посетителя.
Касается всех, у кого стоит хотя бы один счётчик, пиксель, чат или виджет, который присваивает посетителю идентификатор: интернет-магазина с Метрикой и ретаргетингом, клиники с онлайн-записью, онлайн-школы с пикселем VK, студии с Google Analytics. Размер и форма бизнеса не важны: в делах 2025 года рядом стоят аэропорт, юридическая фирма, ломбард, косметологическая клиника и ИП с сайтом о треске. Госучреждениям стоит быть внимательнее вдвойне: по их сайтам дела возбуждает прокуратура, и штраф получает конкретный сотрудник.
Какое согласие на cookie примет Роскомнадзор
Письменной формы закон не требует: согласие даётся «в любой позволяющей подтвердить факт его получения форме» (ч. 1 ст. 9 152-ФЗ). Требования к содержанию в той же части.
Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. <…> Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных.ч. 1 ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ (последнее предложение действует с 1 сентября 2025 года)
Отсюда три практических вывода.
«Продолжая пользоваться сайтом, вы соглашаетесь» — не согласие. Официального разъяснения РКН именно по этой фразе нет, но закон сходится с трёх сторон: согласие должно быть «однозначным» и «сознательным», договор не может ставить условием бездействие человека (п. 5 ч. 1 ст. 6), а для согласия на распространение закон прямо говорит, что молчание и бездействие согласием не считаются «ни при каких обстоятельствах» (ч. 8 ст. 10.1). Прочитал полоску внизу и пролистал дальше — это бездействие. Именно такую формулу использует штатный виджет Битрикс24 Сайтов. В саратовском деле 2025 года у компании было «уведомление о метрических системах и cookie», но протокол она всё равно получила — за неответ на запрос РКН, а достаточность самого уведомления суд даже не оценивал.
Предотмеченные галочки не работают. Если в настройках баннера категории «аналитика» и «реклама» включены заранее, человек ничего «сознательно» не выбирал. Это ещё и классический тёмный паттерн, о которых мы писали в статье про манипулятивные интерфейсы. Признаемся: на этой неделе мы нашли предотмеченные категории в панели настроек собственного баннера и исправили.
Согласие на cookie живёт отдельно. С 1 сентября 2025 года его нельзя спрятать в оферту или пользовательское соглашение, и оно не заменяется галочкой «согласен на обработку персональных данных» под формой заказа: у той галочки другая цель. Как устроено согласие по ст. 9 в целом — в статье про согласие на обработку данных.
И последнее: доказывать, что согласие было, обязан оператор (ч. 3 ст. 9). Значит, баннер должен не только показываться, но и записывать выбор: дату, категории, версию текста. Человек вправе отозвать согласие в любой момент (ч. 2 ст. 9), поэтому ссылка «Настройки cookie» в подвале — не украшение, а механизм отзыва.
Нужна ли кнопка «Отклонить» и что такое «необходимые» cookie
Нормы «на баннере должна быть кнопка „Отклонить“» нет, и официальной позиции РКН тоже. Есть два аргумента в её пользу. Первый: согласие даётся «свободно, своей волей» (ч. 1 ст. 9), а свобода без возможности сказать «нет» на том же экране выглядит сомнительно. Второй: закон о защите прав потребителей прямо запрещает продавцу отказывать покупателю в договоре из-за отказа предоставить персональные данные, кроме тех, что нужны по закону или для исполнения договора (п. 4 ст. 16 ЗоЗПП), с санкцией по ч. 7 ст. 14.8 КоАП: 30 000–50 000 ₽ для юрлиц. «Cookie-wall», когда без клика «Принять всё» сайт не открывается, — ровно такой отказ. Применяли ли эту норму к баннерам, мы не нашли, но рисковать первым смысла нет: кнопка «Только необходимые» рядом с «Принять», той же заметности, закрывает вопрос.
Понятия «необходимые cookie» в 152-ФЗ тоже нет. Оно выводится из оснований обработки: для cookie сессии, корзины и защиты от ботов основание — исполнение договора с посетителем (п. 5 ч. 1 ст. 6) или законные интересы оператора (п. 7). Позиции РКН о том, что именно сюда входит, нет, поэтому держитесь буквального смысла: без этих cookie сайт не работает. Счётчики, пиксели, Вебвизор и A/B-тесты под «необходимые» не попадают ни в одной классификации, включая классификации самих Яндекса, Тильды и Google.
Яндекс Метрика, пиксели и Google Analytics до согласия
Что делает Метрика. По справке Яндекса счётчик ставит на домен сайта _ym_uid на год, чтобы различать посетителей, _ym_d с датой первого визита, cookie Вебвизора и ещё около десяти служебных, а на доменах Яндекса — yandexuid и i, которые ваш сайт удалить не может. Режима согласия, как у Google, у Метрики нет. Единственный документированный механизм — флаг disableYaCounterXXXXXXXX = true, выставленный до инициализации счётчика: он блокирует и cookie, и отправку данных. Правильная схема проще: не вставлять код счётчика в HTML вообще, а подгружать его скриптом после клика «Принять». И убрать из стандартного кода блок <noscript> с картинкой-пикселем: он отправляет запрос в Яндекс независимо от любого согласия.
Google Analytics и другие зарубежные сервисы. Прямого запрета Google Analytics в законе нет, что бы ни писали в блогах. Проблем две. Данные уходят на серверы за границей, а о трансграничной передаче нужно уведомить РКН до её начала (ч. 3 ст. 12 152-ФЗ): в Самаре в ноябре 2025 года компания получила 3 000 ₽ по ст. 19.7 именно потому, что из-за метрических систем «усматриваются признаки трансграничной передачи», а уведомления не было. И с 1 июля 2025 года запись и хранение данных россиян в базах за пределами РФ запрещены (ч. 5 ст. 18), подробнее — в статье про локализацию персональных данных. Если GA всё же нужен, включайте Consent Mode в базовом режиме: теги не загружаются, пока человек не нажал на баннере.
Уведомление в РКН. С 1 сентября 2022 года из ст. 22 152-ФЗ убрали почти все исключения, и оператор обязан уведомить Роскомнадзор до начала обработки. Сайт с Метрикой — оператор. За отсутствие уведомления с 30 мая 2025 года штрафуют по ч. 10 ст. 13.11: от 100 000 до 300 000 ₽ для юрлиц и ИП. В форме уведомления есть готовые пункты «посетители сайта» и «сведения, собираемые посредством метрических программ».
Что проверяет Роскомнадзор и сколько это стоит
Плановых проверок почти нет: мораторий продлён до 2030 года. Сайты проверяют «без взаимодействия» — сотрудник или система открывает сайт и смотрит политику, формы и счётчики. По официальному обзору РКН за 2025 год таких мероприятий было 4 296: проанализировано 22 896 сайтов, нарушения нашли на 17 058, направлено 16 692 требования об устранении, и 89 % операторов их исполнили. За год составлено 2 303 протокола, из них 705 по ст. 13.11 и 1 579 по ст. 19.7. В августе 2026 года замглавы ведомства говорил уже о 159 тысячах проверенных сайтов и о том, что система находит признаки нарушений «почти в 90 % случаев».
Цепочка по текстам судебных актов одна и та же: мониторинг, справка о результатах, запрос-требование с десятью рабочими днями на ответ, и только потом протокол. Чаще всего по ст. 19.7 — за то, что на запрос не ответили. Отсюда главное практическое правило: письмо от РКН нельзя класть в папку «потом».
| Нарушение | Норма | ИП и должностные лица | Юрлица | Что было в делах 2025 года |
|---|---|---|---|---|
| Метрика или формы без согласия | ч. 1 ст. 13.11 КоАП | 50 000–100 000 ₽ | 150 000–300 000 ₽ | 10 000 ₽ должностному лицу (Тюмень), предупреждение аэропорту и клинике РЖД, 2 000 ₽ администратору сайта (Санкт-Петербург) |
| То же повторно | ч. 1.1 | ИП — как юрлицо | 300 000–500 000 ₽ | по 300 000 ₽ двум ИП (Москва, август 2025) |
| Нет политики на сайте | ч. 3 | 10 000–20 000 ₽ | 30 000–60 000 ₽ | предупреждение ИП (Красноярск), 1 500 ₽ администратору (Екатеринбург) |
| Не подано уведомление в РКН | ч. 10 | ИП — как юрлицо | 100 000–300 000 ₽ | дел по сайтам не нашли |
| Не ответили на запрос РКН | ст. 19.7 | 300–500 ₽ | 3 000–5 000 ₽ | предупреждения ИП и ООО, 3 000 ₽ (Саратов, Самара) |
Честный итог по суммам: штрафа в 150–300 тысяч юрлицу или ИП за первое нарушение на сайте в найденной практике нет. За первое нарушение малый бизнес обычно получает предупреждение (ст. 4.1.1 КоАП это прямо позволяет), а реальные деньги начинаются со второго раза. Как Роскомнадзор считает штрафы в других ситуациях — в разборе штрафов РКН.
Как это выглядит на практике: три сценария
Салон красоты на Тильде
На сайте стоит штатный блок Тильды «Уведомление об использовании cookie» и Метрика, подключённая через настройки сайта. Владелец уверен, что всё в порядке: баннер же есть. Но блоки T657, T886 и T887 — это именно уведомление, посетитель ничего не может настроить или отключить, а счётчик загружается сразу. Приходит запрос РКН с просьбой описать «механизм информирования посетителей об обработке данных метрическими программами с возможностью выразить согласие». Описывать нечего.
Как надо: заменить уведомление на блок T972 «Cookies consent settings». Он сам не передаёт данные в Метрику, Google Analytics и пиксели из настроек сайта, пока посетитель не решил, и умеет показывать кнопки «принять все», «отклонить все» и «настроить». Код счётчика, вставленный вручную, помечается type="text/plain" и атрибутом категории, а блок noscript удаляется.
Интернет-магазин на 1С-Битрикс с пикселем VK
Магазин крутит ретаргетинг во ВКонтакте и Директе, пиксель и Метрика вшиты в шаблон. В коробочном Битриксе готового cookie-баннера нет, только «Соглашения» для форм, и разработчик поставил из Маркетплейса первый попавшийся модуль-полоску без блокировки скриптов. Покупатель, недовольный навязчивой рекламой, жалуется в РКН: жалобы — приоритет для мониторинга.
Как надо: выбирать модуль, который действительно не даёт скриптам стартовать до согласия и ведёт серверный журнал (такие в Маркетплейсе есть), категории «аналитика» и «реклама» разнести, а cookie сессии и корзины (PHPSESSID, идентификатор корзины) описать в политике как необходимые.
Студия на WordPress с Google Analytics
Дизайн-студия годами собирает статистику в GA4 и смотрит тепловые карты в зарубежном сервисе. Баннер стоит, но с одной кнопкой «Ок». Уведомления о трансграничной передаче в РКН не подавали, потому что не знали, что это отдельная процедура. При проверке это сразу три пункта: согласие, трансграничная передача, локализация.
Как надо: плагин с блокировкой скриптов до согласия и кнопкой «Отклонить» (например, CookieYes умеет это в бесплатной версии), GA4 только через Consent Mode, уведомление о трансграничной передаче — или перейти на Метрику и российский heatmap-сервис и закрыть вопрос с границей вовсе.
Что обычно понимают неправильно
«В России нет закона о cookie, значит, можно ничего не делать». Закона о cookie нет, есть закон о персональных данных, и Метрика по практике РКН и судов — их обработка.
«Баннер есть, значит, всё в порядке». Баннер-уведомление без выбора и без блокировки скриптов фиксирует только то, что вы знали о проблеме. Проверка простая: откройте сайт в режиме инкогнито, не нажимайте ничего и посмотрите в инструментах разработчика, ушли ли запросы на mc.yandex.ru. Ушли — согласие не работает.
«Метрика российская, значит, 152-ФЗ не про неё». Российский сервис закрывает вопрос локализации и трансграничной передачи, но не вопрос согласия. Все дела 2025 года — именно про Метрику.
«Google Analytics запрещён». Прямого запрета нет. Есть обязанность уведомить о трансграничной передаче и запрет хранить данные россиян в зарубежных базах, и вместе они делают GA дорогим в сопровождении, а не незаконным сам по себе.
«Достаточно галочки про персональные данные под формой». Это согласие на обработку заявки, а не на слежение счётчиком за всеми посетителями, включая тех, кто форму не заполнял. У аналитики своя цель и своё согласие.
«Cookie-баннер нужен каждому сайту». Нет. Если на сайте нет ни счётчиков, ни пикселей, ни чатов, баннер только раздражает. Нужны политика и согласия в формах, о которых мы писали в статье про Метрику и 152-ФЗ и в общем чек-листе.
Что сделать сегодня
- Откройте свой сайт в режиме инкогнито, ничего не нажимайте и проверьте во вкладке Network, какие запросы ушли к mc.yandex.ru, google-analytics.com, top-mail.ru или vk.com. Это ваш реальный список трекеров до согласия.
- Решите, нужен ли баннер вообще. Нет трекеров и чатов — уберите полоску и опишите технические cookie в политике.
- Если трекеры есть, переведите их на загрузку после согласия: Tilda — блок T972, WordPress — плагин с блокировкой скриптов, Битрикс — модуль с блокировкой и журналом, свой код — загрузчик по событию клика. Удалите noscript-пиксель Метрики.
- На первом экране баннера оставьте две равнозначные кнопки: «Принять» и «Только необходимые», плюс «Настроить» с категориями без предотметки. Уберите из текста «продолжая пользоваться сайтом».
- Добавьте в подвал ссылку «Настройки cookie», которая открывает тот же баннер: это механизм отзыва согласия.
- Записывайте выбор: дата, категории, версия текста баннера. При изменении текста или набора сервисов спрашивайте заново.
- Проверьте политику конфиденциальности: в ней должны быть названы метрические сервисы, какие данные они собирают, с какой целью и как отозвать согласие.
- Проверьте, подано ли уведомление в РКН и указаны ли в нём «посетители сайта» и «сведения, собираемые посредством метрических программ». Если стоит зарубежный сервис — отдельное уведомление о трансграничной передаче.
Если из Роскомнадзора пришёл запрос, у вас десять рабочих дней. Ответьте по существу и в срок, даже если исправить всё сразу не успели: протоколов за неответ в 2025 году было вдвое больше, чем за сами нарушения.
Cookie-баннер — один из шести параметров нашей бесплатной проверки, но по статическому HTML видна только часть картины: баннер, добавленный скриптом, и скрипты, подгружаемые после клика, парсер не увидит. Остальные требования к сайту сверьте по полному чек-листу соответствия сайта законам.
