Куки-файлы на сайте и 152-ФЗ: нужно ли согласие пользователя в 2026 году

В 2026 году вопрос, требуется ли согласие на использование cookie, по‑прежнему решается не формально, а исходя из целей обработки и состава данных. Для бизнеса это про деньги и риски: от корректной настройки сборов зависят маркетинг и аналитика, а неверная конструкция согласия на использование cookie ведет к претензиям Роскомнадзора, штрафам и сбоям в работе сайта после срочных правок.

Когда требуется согласие на использование cookie по 152‑ФЗ

Ключевая норма находится в статье 6 Федерального закона № 152‑ФЗ «О персональных данных». Персональные данные можно обрабатывать либо на основании закона, либо при наличии добровольного, конкретного и информированного волеизъявления субъекта. Для интернет‑ресурсов это означает, что согласие на использование cookie нужно, если файлы применяются не только для технического предоставления запрошенной пользователем услуги, но и для аналитики, профилирования и рекламы.

Ситуации делятся на две группы. Если cookie обеспечивают работу корзины, авторизацию, балансировку нагрузки, безопасность сессии, то обработка обоснована договором об использовании сайта или подготовкой к нему. В иных случаях, когда собираются уникальные онлайн‑идентификаторы и строятся профили для таргетинга или расширенной статистики, необходимо согласие на использование cookie.

На практике это различие выглядит так:

• строго необходимые session‑cookie для авторизации и корзины — обычно без отдельного согласия, при условии корректной политики и ограничения целей;
• cookie предпочтений и персонализации интерфейса — допустимы без выраженного согласия, если они прямо служат запрошенному функционалу и не передаются третьим сторонам;
• аналитические идентификаторы, позволяющие отслеживать поведение пользователей между страницами и визитами — требуется согласие на использование cookie с четко указанными целями и сроками;
• маркетинговые и рекламные идентификаторы, в том числе сторонние пиксели и теги — требуется согласие на использование cookie до загрузки таких скриптов.

Важно учесть, что обезличивание в виде псевдонимизации не отменяет статус персональных данных. Если по совокупности признаков можно отличить одного пользователя от другого и привязать его действия к устройству или аккаунту, Роскомнадзор рассматривает такие данные как персональные. Это означает, что согласие на использование cookie будет основным правовым основанием, за исключением узких технических сценариев.

Куки и персональные данные: где проходит граница

152‑ФЗ определяет персональные данные как любую информацию, относящуюся к прямо или косвенно определенному лицу. В веб‑контексте это онлайн‑идентификаторы, рекламные ID, IP‑адреса в сочетании с характеристиками устройства, логами посещений. Когда применяются куки как персональные данные, оператор обязан выполнить требования закона: определить цели, минимизировать набор обрабатываемых сведений, обеспечить безопасность и правомерность передачи третьим лицам.

Если метрики агрегируются без возможности выделить пользователя и восстановить к нему доступ, такие сведения могут перестать быть персональными. Но это именно результат корректной анонимизации, а не просто замены имени на уникальный код. Псевдоним, как правило, сохраняет возможность обратной идентификации и не снимает обязанностей оператора.

Релевантны и нормы статьи 12 152‑ФЗ о трансграничной передаче. Передача идентификаторов и связанных сессий за рубеж без достаточных гарантий защиты требует отдельной оценки и, при необходимости, письменного согласия субъекта персональных данных. Использование зарубежных аналитических или рекламных сервисов автоматически поднимает этот вопрос.

Как оформить согласие на использование cookie и что в нем указать

Статья 9 152‑ФЗ предъявляет к согласию четкие требования. Электронная форма допускается, однако содержание и доказуемость остаются теми же: конкретные цели, перечень действий с данными, категории получателей, сроки хранения, право на отзыв. Правильно составленное согласие на использование cookie уменьшает риски претензий и позволяет легитимно применять аналитику и рекламу.

Содержательно согласие на использование cookie обычно охватывает идентификаторы сессий, данные о взаимодействии с сайтом, параметры устройства и браузера, адрес узла сети, а также передачу третьим лицам, если подключены внешние теги. Недостаточно общей фразы об улучшении сервиса. Необходимо соотнести каждую категорию cookie с конкретной целью и указать срок обработки с привязкой к реальным ретеншн‑периодам.

В структурированном виде согласие на использование cookie должно описывать как минимум:

• оператора и контактные данные, включая уполномоченное лицо по вопросам обработки персональных данных;
• цели по каждой группе cookie: технические, аналитические, рекламные, персонализация;
• состав обрабатываемых данных, включая онлайн‑идентификаторы, параметры устройства и журнал событий;
• перечень получателей и исполнителей обработки, условия передачи и, при наличии, трансграничную передачу;
• сроки хранения и порядок отзыва согласия с простым механизмом отказа, действующим так же легко, как и принятие.

Для наглядности разница по категориям cookie и правовым основаниям часто представляется в публичной политике. Это помогает пользователю осмысленно принять согласие на использование cookie и облегчает проверку регулятором.

Категория cookie	Цель	Типичные данные	Правовое основание	Нужно ли согласие
Строго необходимые	Авторизация, корзина, безопасность сессии	Session ID, токен входа	Исполнение договора об использовании сайта	Как правило, нет
Предпочтения	Запоминание языка и настроек	Идентификатор профиля настроек	Договор, при условии отсутствия передачи третьим лицам	Чаще нет
Аналитика	Измерение трафика и путей пользователей	Client ID, события, IP в сокращенном виде	Согласие субъекта персональных данных	Да
Маркетинг	Профилирование и ретаргетинг	Advertising ID, рефереры, кросс‑сайт события	Согласие субъекта персональных данных	Да

Обычная практика — двухслойная конструкция: короткое уведомление об использовании cookie в баннере и подробная политика с таблицей провайдеров и сроками хранения. Такое решение повышает качество информирования и делает согласие на использование cookie действительно осознанным.

Cookie баннер и доказательства волеизъявления: что принимает Роскомнадзор

Cookie баннер на сайте — не просто интерфейсное украшение. Это способ зафиксировать момент и содержание волеизъявления, чтобы затем подтвердить законность обработки. Важно обеспечить явное действие пользователя: отдельную кнопку «Принять», равнозначную по доступности «Отклонить» и раздел «Настройки», где можно выбрать категории. «Продолжая пользоваться сайтом» без явного выбора чаще воспринимается как недостаточное подтверждение.

Регулятор оценивает не только дизайн, но и техническую реализацию: сценарии загрузки тегов до и после выбора, логи событий, соответствие первой и второй версии экрана. Если баннер показывает одно, а скрипты запускаются иначе, согласие на использование cookie не считается полученным. Нужна строгая последовательность: пока пользователь не дал согласие на cookie файлы, сторонние аналитические и рекламные скрипты не должны работать.

Минимальный набор фиксации согласия

Чтобы при проверке отстоять правомерность, мы рекомендуем хранить следующие элементы доказательств:

• журнал событий баннера с отметкой времени, идентификатором сеанса и версией текста согласия;
• слепок настроек на момент выбора: какие категории включены, какие вендоры активированы;
• историю отзывов и изменений настроек, включая путь пользователя к отказу;
• актуальную публичную редакцию политики с датой вступления в силу и архивом предыдущих версий;
• документацию по интеграции тег‑менеджера, из которой видно, что теги не запускаются до согласия на использование cookie.

Текст баннера и расширенное уведомление об использовании cookie должны совпадать по смыслу, а ссылки вести на рабочую политику. Пользователь должен в любой момент изменить свой выбор из подвала или профиля. Это требование вытекает из статьи 9 152‑ФЗ о праве на отзыв согласия и прекращение обработки, а также из общих принципов добросовестности оператора, закрепленных в законе № 149‑ФЗ «Об информации, информационных технологиях и о защите информации».

Трансграничная передача, аналитические сервисы и рекламные сети

Использование зарубежных аналитических сервисов и рекламных сетей порождает трансграничную передачу персональных данных. Статья 12 152‑ФЗ требует оценить уровень защиты в государстве получателя и обеспечить законность передачи. В ряде случаев понадобится отдельное письменное согласие субъекта персональных данных на трансграничную передачу, а также выполнение установленных процедур уведомления Роскомнадзора, если они предусмотрены подзаконными актами.

Договоры с подрядчиками по обработке данных должны содержать цели, перечень действий, обязанности по безопасности и запрет на использование сведений вне указанных задач. Это требование следует из конструкции оператора и порученного обработчика, закрепленной в 152‑ФЗ. Если cookie‑идентификаторы уходят к третьим лицам, а в соглашениях нет ограничений и гарантий, согласие на использование cookie не спасет от претензий к самому построению обработки.

Для компаний, которым важно устойчивое соблюдение правил при постоянно меняющемся наборе инструментов маркетинга, практичным решением становится комплексное сопровождение. Под такие задачи подходит регулярное абонентское юридическое обслуживание: аудит интеграций, правки политики, обновление текстов согласий, проверка вендоров на предмет локализации и передачи данных.

Ответственность и типичные ошибки операторов

Статья 13.11 КоАП РФ предусматривает административную ответственность за нарушения в области персональных данных. Для организаций риск выражается в значительных штрафах и предписаниях, а в отдельных случаях — в ограничении доступа к странице, где идёт обработка. Особое внимание инспекторы уделяют прозрачности практик и технической дисциплине. Если политика и баннер есть, но скрипты запускаются до выбора, согласие на использование cookie считается отсутствующим.

Частые ошибки выглядят ожидаемо, но именно они приводят к претензиям:

• отсутствует равнозначная кнопка отказа, запуск сторонних тегов происходит до выбора пользователя;
• нет внятного перечня провайдеров и сроков хранения в политике, а уведомление об использовании cookie написано общими словами;
• не хранится журнал согласия, невозможно доказать содержание согласия на cookie файлы на конкретную дату;
• не учтена трансграничная передача при использовании зарубежных сервисов, нет договоров поручения обработки;
• в уведомлении в Роскомнадзор не отражены цели и категории данных, фактически собираемых через идентификаторы.

В случае предписаний или блокировки отдельных скриптов вопрос часто переходит в плоскость судебного оспаривания актов контроля. Для бизнеса важна скоординированная позиция и готовность к спору в арбитражном суде, когда речь идет о непропорциональных мерах. В подобных ситуациях может потребоваться сопровождение арбитражного спора с учетом главы 24 АПК РФ о проверке ненормативных актов и действий органов власти.

Как юридическая поддержка помогает внедрить согласие на использование cookie без лишних рисков

Правильная настройка баннера и документов начинается с инвентаризации скриптов и их реальных целей. Затем формируется матрица категорий и целей, пишется политика и текст согласия на использование cookie, настраиваются сценарии в тег‑менеджере. Параллельно готовятся договоры с подрядчиками по обработке данных и проводится проверка трансграничных маршрутов. Юрист контролирует, чтобы фактические потоки данных совпадали с тем, что описано в документах, а согласие на использование cookie фиксировалось и было доступно для отзыва.

Отдельная задача — обучение команды. Редактору и маркетологу важно понимать, что добавление нового пикселя без обновления политики и баннера создаёт расхождение с описанными целями. Владелец бизнеса осознаёт связь между прозрачностью практик, стоимостью привлечения клиента и рисками по 13.11 КоАП РФ. В этой связке согласие на использование cookie выполняет не формальную, а операционную роль: позволяет работать с данными предсказуемо и законно.

Когда компания масштабируется или активно экспериментирует с рекламными каналами, рационально закрепить регулярное сопровождение. В рамках такой модели мы помогаем поддерживать тексты, логи и настройки в актуальном состоянии, согласовываем договоры с новыми провайдерами и отслеживаем изменения в подзаконных актах. Это тот случай, когда постоянные юридические услуги для бизнеса экономят больше, чем разовые исправления после проверки.

Если предстоит запуск нового продукта или редизайн платформы, лучше заранее увязать архитектуру с требованиями 152‑ФЗ: договорная база с обработчиками, локализация ключевых сервисов, процедуры трансграничной передачи, публикация обновленной политики и настройка механизма отзывов. При таком подходе согласие на использование cookie не мешает маркетингу, а становится его легитимной основой.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.