Отдельного закона о cookie в России нет, но cookie-баннер нужен почти каждому сайту с аналитикой или рекламой. Роскомнадзор считает, что идентификаторы cookie вместе с IP-адресом и сведениями о браузере — персональные данные, а для их обработки в целях аналитики и рекламы нужно согласие посетителя. Баннер — самый удобный способ это согласие получить.
Когда баннер нужен
Всё зависит от того, какие cookie ставит сайт.
| Тип cookie | Примеры | Нужно ли согласие |
|---|---|---|
| Технические | сессия входа, корзина, выбор языка, защита от ботов | Нет, но о них нужно рассказать в политике cookie |
| Аналитические | Яндекс Метрика, Top.Mail.ru, Google Analytics | Да |
| Рекламные | VK Реклама, Яндекс Директ, пиксели соцсетей | Да |
| Функциональные сторонние | онлайн-чат, встроенные карты и видео | Зависит от сервиса: если он собирает данные посетителя, лучше спросить |
Технические cookie нужны, чтобы сайт вообще работал, поэтому для них хватает другого законного основания и согласие не требуется. Всё остальное посетитель должен разрешить сам.
Если на сайте нет ни аналитики, ни рекламы, ни сторонних виджетов, баннер можно не ставить. Но таких сайтов почти нет: даже простая визитка обычно подключает Метрику.
Почему «продолжая пользоваться сайтом» — плохая формулировка
Самый распространённый баннер выглядит так: «Мы используем cookie. Продолжая пользоваться сайтом, вы соглашаетесь с политикой». Кнопка одна — «ОК» или «Понятно».
Проблема в том, что по ч. 1 ст. 9 152-ФЗ согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Человек, который просто листает страницу, ничего сознательно не выбирает, а счётчики к этому моменту уже собрали его данные. Такой баннер информирует, но согласия не даёт.
Ещё хуже, если Метрика загружается раньше, чем баннер вообще появился на экране: тогда данные собраны без какого-либо выбора.
Как выглядит правильный баннер
- Две равноценные кнопки: «Принять все» и «Только необходимые». Кнопка отказа не должна быть спрятана, мелкой или серой.
- Настройки по категориям: посетитель может отдельно разрешить аналитику и отдельно рекламу.
- До выбора работают только технические cookie. Скрипты Метрики, пикселей и чатов загружаются только после согласия.
- Ссылка на политику cookie, где перечислены все cookie сайта, их назначение и срок хранения.
- Выбор запоминается и не спрашивается заново на каждой странице.
- Выбор можно изменить: в подвале сайта есть ссылка «Настройки cookie», которая снова открывает баннер.
- Согласие фиксируется: дата, версия текста и выбранные категории. Это ваше доказательство, если придёт проверка или жалоба.
Как отключить счётчики до согласия
Технически это сводится к одному правилу: код счётчика не должен выполняться, пока посетитель не нажал «Принять».
- Вставка вручную. Оберните код Метрики и пикселей в функцию и вызывайте её после согласия. Если согласие уже было дано раньше, вызывайте сразу при загрузке страницы.
- Конструкторы сайтов. На Тильде, в Битриксе и WordPress счётчики часто подключаются в настройках сайта и грузятся всегда. Их нужно убрать из настроек и подключать через баннер, который умеет управлять скриптами.
- Менеджеры тегов. Если счётчики подключены через менеджер тегов, настройте в нём условие запуска «есть согласие на аналитику».
Проверить результат просто: откройте сайт в режиме инкогнито и, ничего не нажимая, посмотрите список cookie в инструментах разработчика. До согласия там не должно быть _ym_uid, _ga, tmr_lvid и похожих.
Политика cookie
Вместе с баннером нужен документ, на который он ссылается. В политике cookie перечисляют:
- какие cookie ставит сайт — названия или хотя бы сервисы;
- для чего каждая категория нужна;
- сколько хранятся;
- каким сервисам передаются данные;
- как изменить выбор и как удалить cookie в браузере.
Политику cookie можно сделать разделом общей политики обработки данных или отдельной страницей.
Готовое решение
В PDGuard есть cookie-баннер, который подключается одной строкой кода: он показывает выбор по категориям, загружает счётчики только после согласия, запоминает выбор и ведёт журнал согласий. Политика cookie формируется автоматически по сервисам, которые проверка нашла на вашем сайте.
Частые вопросы
Обязателен ли cookie-баннер в России?
Прямой обязанности поставить баннер в законе нет. Но если сайт использует аналитику или рекламу, нужно согласие посетителя на обработку его данных, и баннер — самый практичный способ его получить и подтвердить.
Нужен ли баннер, если на сайте только Яндекс Метрика?
Да. Метрика ставит cookie с идентификатором посетителя и собирает IP-адрес, сведения о браузере и поведение на сайте. Это персональные данные, и для их обработки нужно согласие. Подробнее — в статье про Яндекс Метрику.
Можно ли просто уведомить о cookie без кнопки отказа?
Для технических cookie — да, достаточно рассказать о них в политике. Для аналитики и рекламы уведомления мало: у посетителя должен быть реальный выбор, и до согласия счётчики не должны работать.
Сколько хранить согласие на cookie?
Пока вы обрабатываете данные на его основании, и ещё какое-то время после — чтобы при проверке или споре можно было показать, когда и на что человек согласился. Срок стоит указать в политике cookie.
