Cookie-баннер по закону в 2026: обязателен ли, что в нём должно быть и штрафы

Cookie-баннер — это не «модная плашка ради красоты». В России нет отдельного закона о cookie, как GDPR в Европе, но есть кое-что важнее: cookie, по которым можно идентифицировать человека, считаются персональными данными. А раз так — на них распространяются 152-ФЗ и его штрафы (до 700 000 ₽ за обработку без согласия). Разберём честно: когда баннер действительно обязателен, что в нём должно быть и где проходит граница.

Практика 2025–2026 года однозначна: если сайт использует аналитику (Яндекс.Метрика), рекламные пиксели или сторонние сервисы со своими cookie — баннер при первом заходе нужен, как и возможность отказаться. Полностью игнорировать тему уже нельзя.

Cookie и закон: как это устроено в России

Прямого требования «показать cookie-баннер» в законе нет — в отличие от ЕС. Логика другая: cookie, которые позволяют выделить и узнать конкретного пользователя (идентификаторы, связки с аналитикой и рекламой), подпадают под определение персональных данных. А значит, работают общие правила 152-ФЗ: пользователя нужно проинформировать, описать использование cookie в политике конфиденциальности, а для аналитических и рекламных cookie — получить согласие и дать возможность отказаться.

Технические, аналитические и рекламные cookie

• Технические (необходимые) — без них сайт не работает (корзина, авторизация, язык). Их можно ставить без отдельного согласия, но проинформировать о них всё равно нужно.
• Аналитические — Яндекс.Метрика, счётчики посещаемости. Помогают идентифицировать поведение — нужны информирование и согласие.
• Рекламные / маркетинговые — пиксели, ретаргетинг, сторонние рекламные сети. Самые «чувствительные» — согласие и возможность отказа обязательны.

Сколько стоит ошибка

• Не описали cookie в политике — до 60 000 ₽ для юрлиц (ч. 3 ст. 13.11 КоАП).
• Обрабатываете данные без согласия (в т.ч. через аналитические/рекламные cookie) — до 700 000 ₽ для юрлиц (ч. 2 ст. 13.11).
• С учётом общего ужесточения 2025 года и оборотных штрафов за утечки риски выросли кратно.

Что должно быть в правильном cookie-баннере

• Появляется при первом заходе на сайт.
• Понятно сообщает, что сайт использует cookie, и для чего (аналитика, реклама, работа сайта).
• Содержит ссылку на политику конфиденциальности, где cookie описаны подробно.
• Даёт возможность отказаться (opt-out), а не только кнопку «Принять».
• В идеале — разделение по категориям (технические / аналитические / рекламные) с отдельным выбором.
• Согласие — осознанное действие пользователя, а не заранее проставленные галочки.

Cookie и Яндекс.Метрика

Яндекс.Метрика — самый частый источник cookie на российских сайтах. Её использование нужно отразить и в cookie-баннере, и в политике конфиденциальности: какие данные собираются, с какой целью (аналитика, улучшение сайта) и что пользователь может отключить cookie в браузере. Это тот минимум, который убирает большую часть претензий.

Как технически добавить баннер на сайт

Баннер — это небольшой скрипт, который показывает уведомление при первом визите и запоминает выбор пользователя. Вариантов несколько: готовые библиотеки cookie-баннеров (в том числе бесплатные), встроенное решение конструктора сайта, если он это умеет, или реализация разработчиком под ваши категории cookie. Но есть ключевой нюанс, который чаще всего делают неправильно: баннер должен реально управлять загрузкой аналитических и рекламных скриптов. До согласия Яндекс.Метрика и рекламные пиксели не должны срабатывать. Если баннер просто висит, а счётчики грузятся сразу при заходе, — формально согласие не получено, и толку от такого баннера мало.

Частые ошибки

• Баннер «для вида»: только кнопка «Принять», без возможности отказаться.
• Cookie не описаны в политике конфиденциальности.
• Аналитические и рекламные cookie ставятся ещё до согласия пользователя.
• Предзаполненные галочки согласия в баннере.
• Баннер есть, но согласия на формах сайта нет (это разные вещи, нужны обе).

Чек-лист: проверьте за 2 минуты

• Баннер появляется при первом заходе — да/нет?
• Есть кнопка отказа, а не только «Принять» — да/нет?
• В баннере есть ссылка на политику — да/нет?
• Cookie и Яндекс.Метрика описаны в политике — да/нет?
• Согласие не предзаполнено — да/нет?

Важно: это обзорный материал, а не юридическая консультация. Cookie-регулирование в России развивается, поэтому конкретную реализацию под ваш сайт стоит сверять с актуальными требованиями Роскомнадзора и при необходимости с юристом.

Как закрыть вопрос быстро

Cookie-баннер работает в связке с политикой конфиденциальности и согласиями на формах — нужны все три элемента. Политику можно собрать в конструкторе ниже, а полную настройку соответствия сайта 152-ФЗ возьмёт на себя наша студия.