Нужен ли cookie-баннер на сайте и что будет, если его нет

Открываете свой сайт — и видите плашку «Мы используем cookie». Кажется, что это формальность для галочки. Но если на странице стоит Яндекс.Метрика, форма заявки или онлайн-чат, закон считает, что вы собираете данные посетителей. И простая кнопка «ОК» в углу экрана в большинстве случаев не спасает от претензий Роскомнадзора.

Мы в студии Bearded Fox регулярно проводим аудиты сайтов по 152-ФЗ — из Пензы и по всей России, удалённо. На практике вижу одну и ту же картину: владелец уверен, что «баннер же есть», а при проверке выясняется, что Метрика загрузилась ещё до того, как человек что-то нажал. Именно за это чаще всего приходят предписания.

В этой статье разберём простым языком: когда cookie-баннер вообще нужен, чем он отличается от уведомления «продолжая пользоваться сайтом», и что будет, если ничего не делать. Без юридического жаргона — для владельца бизнеса, который хочет спать спокойно.

Что такое cookie и при чём тут 152-ФЗ

Cookie — это небольшой файл, который браузер сохраняет на устройстве посетителя. Если по нему можно понять, что это один и тот же человек зашёл второй раз — это уже персональные данные по федеральному закону № 152-ФЗ. Не обязательно знать имя: достаточно уникального идентификатора в cookie или IP-адреса в связке с поведением на сайте.

Яндекс.Метрика, Google Analytics, пиксель ВКонтакте, виджет Jivo — все они ставят cookie или собирают технические данные. Форма «оставить заявку» собирает имя и телефон напрямую. Онлайн-запись к мастеру — тоже. Каждый такой инструмент нужно либо согласовать с посетителем, либо обосновать как «строго необходимый» для работы сайта — а аналитика к этому не относится.

Когда баннер нужен, а когда нет

Ситуация на сайте	Нужен cookie-баннер?	Комментарий
Только текст и телефон, без форм и счётчиков	Обычно нет	Простая визитка «о компании»
Яндекс.Метрика или другая аналитика	Да	Даже если смотрите статистику раз в месяц
Форма заявки, запись, корзина	Да	Плюс галочка согласия на форме
Онлайн-чат (Jivo, Carrot quest)	Да	Чат тоже собирает данные
Встроенная карта Google / Яндекс	Часто да	Карта может ставить свои cookie

Самый частый случай в нашей практике: поставили Метрику «чтобы видеть, откуда люди приходят», включили стандартный баннер Tilda или WordPress — и считают вопрос закрытым. На проверке выясняется, что счётчик mc.yandex.ru уже отработал в первую секунду загрузки страницы.

Почему кнопка «ОК» и «продолжая пользоваться» не работают

Посетитель должен иметь реальный выбор: согласиться на аналитику и маркетинговые cookie или отказаться. Если кнопка одна, Метрика грузится сразу, а «отказ» спрятан мелкой ссылкой — это нарушение требований к согласию. Роскомнадзор смотрит не на красоту баннера, а на порядок загрузки скриптов.

Типичные ошибки, которые мы находим на аудите:

• баннер сам исчезает через несколько секунд — согласия не было;
• кнопка «Принять» большая и яркая, «Только необходимые» — еле заметная ссылка;
• после нажатия «Отклонить» Метрика всё равно работает — проверяется в коде страницы;
• нет ссылок на политику персональных данных и политику cookie;
• баннер есть только на главной, а Метрика стоит на всех страницах.

Правильный баннер блокирует аналитику до выбора. После «Принять» — подгружаются Метрика, пиксели, чаты. После «Только необходимые» — работает только то, без чего сайт не откроется (например, сессия корзины, если она нужна технически).

Как должно быть правильно: пошагово

1. Человек заходит на сайт — скриптов аналитики в коде ещё нет или они заблокированы.
2. Показывается баннер с двумя равнозначными кнопками: «Принять все» и «Только необходимые».
3. В баннере — ссылки на политику ПДн и политику cookie, кратко — зачем вы собираете данные.
4. После согласия — подгружается Яндекс.Метрика; выбор сохраняется в cookie на срок из политики.
5. На формах заявок — отдельная галочка «согласен на обработку ПДн»; галочка не включена заранее.
6. Вы подали уведомление в Роскомнадзор, если вы оператор ПДн — см. статью про уведомление в РКН.

Из практики. К нам обратилась самозанятая косметолог из Казани — делала визитку на Tilda сама. Баннер на сайте был, Метрику подключила через настройки Tilda. После проверки пришёл штраф за Метрику без согласия. За один рабочий день мы перенастроили загрузку Метрики, обновили политику под её реквизиты и помогли с уведомлением в Роскомнадзор.

Cookie-баннер и другие документы

Баннер — не замена политике. Это механизм получения согласия. На сайте должны быть открытые страницы: политика обработки персональных данных и политика cookie. Подробный разбор — в материале про политику конфиденциальности.

На Tilda и WordPress есть шаблоны — их нельзя оставлять «как есть»: там чужие цели и нет вашего ИНН. Мы в студии всегда переписываем документы под конкретный сайт.

Если сайт на Tilda — загляните в статью про Tilda и 152-ФЗ. Полезен и блог Bearded Fox — пишем на темы, которые реально спрашивают клиенты из Пензы и других городов.

Что будет, если ничего не делать

Роскомнадзор может выписать предписание и штраф по ст. 13.11 КоАП РФ. Для ИП и самозанятых типичный диапазон — от 5 до 75 тысяч рублей. Даже у простого лендинга с одной формой и Метрикой.

Исправить баннер и политику обычно стоит дешевле одного штрафа; у нас аудит 152-ФЗ — от 1 200 ₽, полное приведение в порядок — от 9 200 ₽.

На практике вижу: владельцы откладывают настройку «до лучших времён», а жалоба приходит неожиданно — от конкурента, бывшего клиента или активиста. Проверка дистанционная, но последствия реальные.

Многие владельцы сайтов в Пензе и других городах спрашивают: «у конкурента нет баннера — почему у меня должен быть?» Ответ прост: ответственность персональная. То, что кто-то ещё не получил проверку, не отменяет требования закона. Мы в студии Bearded Fox рекомендуем настроить согласие до первой рекламной кампании.

Cookie-баннер должен быть одинаково доступен на всех страницах, где работает аналитика. Частая ошибка: баннер только на главной, а блог и посадочные без плашки — Метрика там всё равно активна. На практике вижу такие случаи при аудите магазинов и корпоративных сайтов.

Различайте технические cookie сессии и аналитические. Сессия корзины может быть необходима для работы магазина. Но _ym_uid от Яндекса к «строго необходимым» не относится. Смешивать их в одном тексте — значит вводить посетителя в заблуждение.

Срок хранения выбора пользователя — отдельный пункт политики cookie. Обычно 6–12 месяцев, после чего баннер показывается снова. Ссылка «Изменить настройки cookie» в подвале — признак зрелой реализации.

Если вы используете Google Tag Manager, настройте триггер Consent Initialization — иначе теги стартуют до баннера. Мы проверяем GTM на аудите: часто проблема в порядке firing тегов, а не в тексте плашки.

Для самозанятых cookie-баннер — не «корпоративная роскошь». Штрафы по ст. 13.11 КоАП применяются и к ИП. самозанятая из Казани — наглядный пример: визitka на Tilda, одна Мetrika, реальный штраф.

Баннер на английском при русскоязычной аудитории — риск при проверке. Основной текст согласия должен быть на языке субъекта данных. Английская версия — дополнение.

Проверьте мобильную версию: кнопка «Только необходимые» не должна уезжать за край экрана. Равнозначность выбора — визуальная и техническая.

VK Pixel, Top.Mail.Ru и другие пиксели — каждый в политике и загрузка после согласия. «Только Метрика» — а в коде ещё три скрипта от рекламного подрядчика.

Cookie-баннер не освобождает от уведомления в Роскомнадзор. Параллельные требования 152-ФЗ — см. материал про уведомление на pd.rkn.gov.ru.

Вебвизор — отдельный уровень чувствительности. Запись сессий без маскирования полей — двойной риск. Отключите или настройте согласие.

При переезде на новый домен баннер проверьте заново. Redirect не всегда сохраняет настройки, особенно при смене CMS.

Локальные виджеты 2GIS и YClients тоже могут ставить cookie. Перечисляйте их в политике, не только Яндекс и Google.

Тест в incognito: без клика «Принять» в Network не должно быть mc.yandex.ru. Повторите на внутренних страницах.

Landing под одну кампанию — баннер обязателен при Мetrike. «Страница живёт неделю» — не аргумент для РКН.

Логируйте согласия форм: дата, IP, версия политики. При запросе РКН это доказательная база.

Bearded Fox из Пензы делает аудит cookie удалённо — достаточно ссылки. Исправление лендинга — один рабочий день.

Подрядчик «поставил Мetriku» без баннера — ответственность на вас как операторе. Проверяйте сайт перед приёмкой работ.

Dark mode и кастомные темы не освобождают от читаемости текста согласия. Конtrast текста баннера — часть UX и compliance.

A/B тесты landing не должны отключать баннер на варианте B. Консистентность compliance на всех версиях страницы.

Плашка согласия на cookie — это не украшение дизайна, а юридический механизм. Пока посетитель не выбрал категорию, аналитические скрипты не должны отправлять идентификаторы в Яндекс или Google. Владельцы из Пензы часто спрашивают, можно ли «просто написать, что мы используем cookie» без кнопок — нельзя: нужен активный выбор, и отказ должен быть не хуже принятия. Запишите результат проверки в чеклист запуска: дата, браузер, URL внутренней страницы. Запишите результат проверки в чеклист запуска: дата, браузер, URL внутренней страницы — так проще доказать добросовестность при запросе.

Проверка баннера начинается с режима инкогнито и вкладки Network. Откройте внутреннюю страницу блога, не нажимайте «Принять» и обновите экран. Если видите запросы к mc.yandex.ru или google-analytics.com — баннер не блокирует загрузку. В студии Bearded Fox такой тест входит в каждый аудит по ссылке beardedfox.ru/audit-152-fz/. Скриншот Network без mc.yandex.ru до согласия сохраните в инструкции для сотрудников, которые правят сайт.

Текст баннера должен отличать строго необходимые cookie от аналитических и маркетинговых. Корзина интернет-магазина и сессия авторизации — одна категория, счётчик Метрики — другая. Смешивать всё в одной фразе «для работы сайта» — значит вводить пользователя в заблуждение, а при проверке это замечают. В политике cookie отдельным списком назовите _ym_uid, _ga, пиксели — посетитель должен понимать, что именно включает кнопка «Принять». В политике cookie перечислите _ym_uid, _ga и рекламные пиксели — посетитель должен понимать, что включает «Принять».

Кнопки «Принять все» и «Только необходимые» должны быть одинаково заметны: одинаковый размер, контраст, доступность на смартфоне. Серую мелкую ссылку вместо полноценной кнопки отказа инспекторы считают давлением на согласие. На мобильной версии проверьте, что плашка не перекрывается чатом Jivo или виджетом обратного звонка. Тёмная тема сайта не снимает требования к контрасту текста на плашке: серый на сером — и UX-проблема, и претензия при проверке. Контраст текста на плашке важен и в тёмной теме: серый на сером — претензия при проверке.

Как проверить баннер за пять минут

Режим инкогнито, вкладка Network, фильтр yandex. Не нажимайте «Принять» — обновите страницу. Если mc.yandex.ru уже загрузился, баннер не блокирует Метрику. Повторите на внутренней странице, не только на главной.

Мы в Bearded Fox делаем такую проверку в каждом аудите 152-ФЗ по ссылке — без доступа к админке.

Частые вопросы

Можно ли обойтись без баннера, если Метрика «только для себя»?

Нет. Неважно, смотрите вы статистику раз в месяц или каждый день — факт сбора данных о посетителях остаётся. Закон регулирует обработку, а не ваш интерес к цифрам.

Достаточно ли текста «продолжая пользоваться сайтом, вы соглашаетесь с cookie»?

Нет. Нужен явный выбор до загрузки аналитики, а не уведомление после того, как cookie уже записаны. Согласие должно быть конкретным и отзываемым.

Нужен ли баннер, если форма отправляет данные только на email?

Если человек оставляет имя, телефон или email — это персональные данные. Плюс если есть Метрика — баннер нужен в любом случае. Отдельно на форме — галочка согласия.

Можно ли использовать бесплатный генератор cookie-баннера?

Можно как основу, но проверьте: блокирует ли он Метрику до клика, есть ли кнопка отказа, совпадает ли текст с вашими политиками. Многие «бесплатные» решения только рисуют плашку.

Сколько времени занимает правильная настройка?

На типовом лендинге — от 1 до 3 часов, если политики уже готовы. На WordPress с несколькими плагинами — дольше. Аудит по ссылке мы делаем за 24 часа.

Cookie-баннер нужен на сайте без посетителей из ЕС?

152-ФЗ не про Европу — он про Россию. GDPR — отдельная история. Для российского бизнеса ориентируйтесь на требования Роскомнадзора.

Кто отвечает — я или хостинг?

Оператор персональных данных — владелец сайта: ИП, самозанятый или компания. Хостинг и Tilda — обработчики, но ответственность за согласие и документы на вас.