Cookie-баннер и раздельное согласие: как теперь оформлять сайт по 152-ФЗ
Разбираем, обязателен ли cookie-баннер и почему один чекбокс «согласен с офертой» больше не защищает сайт от штрафа.
В чём вопрос
Владельцы сайтов спрашивают одно и то же: нужен ли cookie-баннер, если в России нет отдельного «закона о cookies», как в ЕС, и можно ли по-прежнему прятать согласие на обработку персональных данных одной галочкой рядом с пользовательским соглашением. После того как в статью 9 152-ФЗ закрепили требование оформлять согласие отдельно от прочих документов, старые формы на большинстве сайтов формально перестали соответствовать закону — просто это заметили не все.
Действующая редакция закона — с изменениями от 26.07.2026, актуальный текст можно проверить в нашей базе по ссылке в конце статьи.
Что требует закон
Cookies, которые позволяют идентифицировать посетителя — IP-адрес, идентификатор устройства, история поведения на сайте — считаются персональными данными и подпадают под 152-ФЗ, даже без имени и телефона. Отдельного требования «показать баннер» в законе действительно нет, но раз сбор таких данных — это обработка, на неё нужно согласие, оформленное по правилам ст. 9.
Часть 1 ст. 9 152-ФЗ требует, чтобы согласие было конкретным, предметным, информированным, сознательным, однозначным и оформленным отдельно от иных информации и документов, которые подписывает пользователь. Отказ дать согласие не может быть условием заключения договора. На практике это значит: нельзя одним чекбоксом «Я согласен с условиями сайта» одновременно принимать оферту, соглашаться на рассылку, разрешать аналитику и рекламный ретаргетинг — под каждую цель обработки нужна отдельная форма согласия. При этом действует переходное правило: согласия, полученные до вступления поправок в силу, пересматривать не обязательно — требование касается форм, которые сайт использует сейчас, а не архива старых заявок.
Как проверить у себя
Откройте сайт в режиме инкогнито и посмотрите, что происходит до того, как вы на что-то нажали: если счётчики аналитики и рекламные пиксели уже отправляют данные — это обработка без согласия. Затем пройдите все формы на сайте — регистрацию, заявку, подписку на рассылку, обратную связь — и проверьте, один ли чекбокс покрывает сразу несколько целей и не встроено ли согласие в текст оферты или пользовательского соглашения. Отдельно откройте политику обработки персональных данных и посмотрите, упомянуты ли там cookies: какие используются, для чего и кому передаются данные — аналитическим сервисам, рекламным сетям, CRM. Полезно также проверить мобильную версию отдельно от десктопной: баннер нередко верстают только под один из вариантов, и на втором согласие фактически не запрашивается.
Как исправить
Разделите согласия по целям: отдельно — на обработку заявки, отдельно — на рассылку, отдельно — на аналитику и рекламу, каждое отдельным чекбоксом или отдельным блоком в форме. Добавьте баннер, который показывается при первом визите до запуска необязательных скриптов, с понятными кнопками «принять», «настроить» и возможностью отказаться от необязательных cookies без блокировки доступа к сайту. Обновите политику обработки: опишите категории cookies, сроки хранения и получателей данных. Уберите формулировку о согласии из текста оферты и пользовательского соглашения — она должна быть самостоятельным документом. И сохраняйте факт получения согласия — дату, IP, версию текста — на случай проверки Роскомнадзора. Если на сайте много разных скриптов и форм, проще не переписывать баннер вручную под каждый раздел, а подключить готовую платформу управления согласиями: она блокирует необязательные скрипты до ответа пользователя и сама ведёт журнал согласий.
Чем грозит бездействие
Обработка персональных данных без надлежащего согласия или с нарушением требований к его оформлению подпадает под ч. 2 ст. 13.11 КоАП: для юридических лиц — от 300 000 до 700 000 рублей, для ИП и должностных лиц — от 100 000 до 300 000 рублей. При повторном нарушении в течение года (ч. 2.1) суммы вырастают до 1 000 000–1 500 000 рублей для юрлиц и 500 000–1 000 000 рублей для ИП. Основанием для проверки обычно становится жалоба пользователя или плановый контроль Роскомнадзора — на сайте с интернет-магазином, формой заявки или счётчиками аналитики риск выше, чем на визитке без форм.
Бесплатная проверка на auditportal.ru за несколько минут покажет, какие формы согласия на вашем сайте нужно разделить и чего не хватает в cookie-баннере — на конкретных страницах, без общих формулировок.
Материал носит информационный характер и не является юридической консультацией. Суммы и нормы приведены на дату публикации; законодательство меняется — сверяйтесь с действующей редакцией.