Cookie-баннер по закону: почему «продолжая пользоваться сайтом» больше не работает

Полоска внизу сайта «Мы используем cookie. Продолжая пользоваться сайтом, вы соглашаетесь» стоит на половине российских сайтов. Проблема в том, что с точки зрения закона она ничего не даёт: согласия в ней нет. Разбираем, что Роскомнадзор считает согласием на cookie и как сделать баннер, который действительно защищает.

Почему cookie — это персональные данные

Сами по себе технические файлы cookie — просто строки в браузере. Но счётчики аналитики (Яндекс.Метрика, VK Пиксель, любые рекламные пиксели) присваивают посетителю уникальный идентификатор, записывают его вместе с IP-адресом, устройством, историей просмотров и передают на сторонний сервер. По позиции Роскомнадзора и судебной практике последних лет такая связка — персональные данные: она позволяет выделить конкретного человека среди других, даже если его имя неизвестно.

Отсюда следствие: запуск аналитических и рекламных счётчиков — это обработка персональных данных, для которой нужно законное основание. Для аналитики таким основанием может быть только согласие посетителя.

Что не считается согласием

Статья 9 закона № 152-ФЗ требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным. Под это не подходят:

• «Продолжая пользоваться сайтом, вы соглашаетесь» — молчаливое согласие, посетитель ничего не выбирал;
• баннер с единственной кнопкой «Принять» или «Понятно» — выбора нет;
• заранее отмеченный чекбокс;
• согласие, спрятанное в пользовательское соглашение;
• счётчик, который стартует до того, как посетитель что-то нажал, — согласие получено постфактум, а значит, не получено.

Как должен работать баннер

Хороший ориентир — сайты самого Яндекса. Схема такая:

1. При первом визите показывается баннер с коротким объяснением и тремя кнопками: «Разрешить все», «Разрешить обязательные», «Настроить».
2. «Настроить» открывает панель с категориями: технические cookie (всегда включены — без них не работают формы и авторизация), аналитические/маркетинговые, прочие (сторонние виджеты). У каждой категории — переключатель и понятное описание.
3. Пока посетитель не нажал кнопку, никакие счётчики и сторонние виджеты не загружаются. Совсем. Метрика включается только после «Разрешить все» или после явного включения аналитической категории.
4. Выбор сохраняется в браузере посетителя и не спрашивается заново при каждом переходе.
5. Из баннера ведёт ссылка на политику cookie или раздел о cookie в политике обработки персональных данных.

Технические cookie — сессия, защита форм от подделки, сохранение самого выбора по cookie — согласия не требуют: без них сайт не работает, и это законное основание.

Типичные ошибки

Баннер есть, а Метрика грузится сразу. Самая распространённая ситуация: код счётчика вставлен в шаблон как обычно, баннер — просто декорация. Проверить легко: откройте сайт в новом приватном окне, не нажимайте ничего и посмотрите в инструментах разработчика, есть ли запросы к mc.yandex.ru.

Кнопка «Отклонить» ничего не отключает. Посетитель отказался, а счётчик всё равно работает. Это хуже, чем отсутствие баннера: вы задокументировали отказ и нарушили его.

Согласие «на всё сразу». Один чекбокс на политику, cookie, рассылку и передачу партнёрам. Согласие должно быть конкретным — по каждой цели своё.

Зарубежные счётчики. Google Analytics и пиксели зарубежных соцсетей — это ещё и трансграничная передача, о которой отдельно уведомляют Роскомнадзор. Согласие посетителя этого не отменяет.

Что грозит

Обработка без законного основания — часть 1 статьи 13.11 КоАП: для должностных лиц 50–100 тысяч рублей, для организаций 150–300 тысяч, при повторном нарушении суммы выше. Роскомнадзор проверяет сайты дистанционно, и «продолжая пользоваться сайтом» видно с первого экрана.

Как сделать

На сайтах, которые мы разрабатываем, баннер по этой схеме стоит по умолчанию: три кнопки, панель категорий, ничего не грузится до согласия, выбор сохраняется. Если ваш сайт делали не мы, поставить такой баннер можно и на готовый проект — обычно это работа на несколько часов. А проверить текущее состояние можно нашим сервисом проверки сайта по 152-ФЗ: он найдёт и «молчаливое согласие», и баннер без выбора.