Оговорка, без которой дальше нельзя
Мы маркетологи, а не юристы. Ниже — разбор того, что мы регулярно видим на сайтах клиентов, и список того, что стоит проверить у себя. Это не юридическая консультация.
Отдельно: законодательство о персональных данных заметно менялось в 2025 году, включая размеры ответственности. Конкретных сумм штрафов мы здесь не называем — любая цифра в статье устаревает быстрее, чем статья. Актуальные смотрите в действующей редакции статьи 13.11 КоАП РФ.
Откуда взялся баннер, который есть у всех
Полоска «мы используем файлы cookie, нажимая ОК вы соглашаетесь» приехала из европейского регулирования, где статус cookie-файлов и требование явного согласия прописаны прямо.
Российское регулирование устроено иначе: оно говорит не про cookies как таковые, а про персональные данные — сведения, относящиеся к определённому или определяемому человеку. Вопрос, когда именно идентификатор в браузере становится персональными данными, у нас не решён одной строкой закона, и специалисты отвечают на него по-разному.
Практический вывод не «баннер не нужен», а другой: баннер сам по себе не закрывает ни одной из трёх настоящих обязанностей. Владелец, который поставил полоску и успокоился, обычно не сделал ничего из того, что действительно требуется.
Три обязанности обычного сайта
Речь про самый обычный случай: сайт компании, на нём Яндекс Метрика и форма обратной связи с полями «имя» и «телефон».
1. Уведомление в Роскомнадзор
Форма обратной связи — это сбор персональных данных, а сбор — это обработка. По действующим правилам уведомление о намерении обрабатывать персональные данные подаётся до начала обработки, через портал регулятора.
Исключения, на которые владельцы ссылались раньше — «у нас только визитка», «мы обрабатываем данные только своих работников», — после изменений 2025 года почти не осталось. Это самый частый пропущенный пункт из трёх: политику худо-бедно вешают все, уведомление подаёт меньшинство.
2. Политика обработки персональных данных
Документ должен быть опубликован и доступен — на практике ссылкой в подвале с каждой страницы. Требование именно к доступности: политика, лежащая где-то в глубине сайта без ссылок, считается неопубликованной.
И отдельно: политика должна описывать вашу реальную обработку. Скачанный шаблон, в котором остались чужое название, чужие цели и чужой перечень данных, хуже, чем никакой, — он документирует несоответствие.
3. Согласие человека
Согласие должно быть конкретным, информированным и сознательным. На сайте это проверяется глазами:
- отметка о согласии стоит у каждой формы;
- она не проставлена заранее — человек ставит её сам;
- рядом есть ссылка на политику, и она открывается;
- текст рядом с формой говорит, кто обрабатывает данные и зачем.
Заранее проставленная галочка — самая распространённая ошибка и самая дешёвая в исправлении.
Отдельно про Метрику
Счётчик означает, что данные о посетителях обрабатывает не только ваша компания, и это должно быть отражено в политике: какие сервисы вы используете и с какой целью.
Второй пункт, о котором вспоминают реже: если помимо Метрики на сайте стоят зарубежные сервисы — сторонние карты, шрифты, чаты, видеохостинги, — данные уходят за пределы страны, и трансграничная передача требует отдельного отражения в уведомлении.
Проверяется не по памяти, а по коду страницы: откройте исходный код и посмотрите, к каким внешним адресам обращается сайт. Владельцы регулярно обнаруживают там сервисы, которые подключил три года назад предыдущий подрядчик.
Полоска про cookies — самое видимое и наименее значимое, что вы можете сделать. Уведомление, честная политика и непроставленная галочка не видны посетителю вовсе, и именно их спрашивают.
Проверка за полчаса
- Открывается ли политика ссылкой из подвала любой страницы?
- В политике указано ваше настоящее название, ваши цели и ваш перечень данных — или чужие?
- У каждой формы есть отметка о согласии, и она снята по умолчанию?
- Подавалось ли уведомление в Роскомнадзор? Если не знаете — значит нет.
- Какие внешние сервисы подключены к сайту? Смотреть в исходном коде.
- Есть ли среди них зарубежные?
Шесть ответов — готовое задание разработчику или юристу. Первые три пункта чинятся за час, четвёртый — процедура, пятый и шестой требуют решения, которое стоит принимать осознанно.
Что делать с самим баннером
Если он есть — пусть остаётся, вреда нет. Но проверьте две вещи: не закрывает ли он половину экрана на телефоне и не набран ли текст мелким кеглем. Полоска, которую видят все посетители, влияет на поведение сильнее, чем принято думать, и на мобильных часто перекрывает кнопку.
Мы наступили на это у себя: полоса согласия была набрана четырнадцатым кеглем, и на некоторых страницах именно она становилась доминирующим размером текста. Исправили на шестнадцатый.
Если баннера нет — само по себе его отсутствие не нарушает трёх обязанностей выше. Начинать надо с них.