Являются ли cookie персональными данными по 152-ФЗ

Владелец сайта ставит счётчик аналитики и даже не задумывается, что этим уже запускает обработку персональных данных. Зря: ответ на вопрос «являются ли cookie персональными данными» решает, нужен ли на сайте баннер согласия вообще. В этой статье разберём, что говорит закон о персональных данных применительно к cookie, чем технические cookie отличаются от аналитических, и когда посетителю действительно нужно давать согласие.

Что закон считает персональными данными

Персональные данные по пункту 1 статьи 3 152-ФЗ - это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Слово «cookie» в законе не упоминается вообще: это технический термин, а не юридическая категория. Поэтому точнее говорить не «закон называет cookie персональными данными», а «cookie подпадают под определение персональных данных, если позволяют идентифицировать посетителя».

Определение построено вокруг одного критерия - возможности идентификации, прямой или косвенной, а не вокруг конкретного вида данных вроде имени или телефона. Если cookie-файл или связанный с ним идентификатор устройства и браузера в совокупности с другими данными позволяет выделить конкретного посетителя среди прочих, то есть сделать его «определяемым», такой идентификатор подпадает под определение из статьи 3.

На практике это касается прежде всего уникальных идентификаторов: ClientID Яндекс.Метрики, идентификатор рекламного пикселя, значение сессионной cookie, привязанное к конкретному браузеру. Регулятор и сложившаяся практика относят такие сетевые идентификаторы к персональным данным, если они позволяют узнавать или отличать конкретного посетителя между визитами, даже без имени и телефона в явном виде. Официального разъяснения именно про cookie с номером документа найти не удалось, так что вывод остаётся применением общей нормы к конкретной технологии, а не отдельной статьёй закона про cookie.

Здесь важно не путать статус cookie с вопросом о том, куда данные передаются дальше. Если аналитика хранит и обрабатывает эти идентификаторы на зарубежных серверах, речь уже об отдельной теме трансграничной передачи и локализации, а не о том, персональные ли это данные как таковые.

Чем технические cookie отличаются от аналитических?

Не любой cookie требует согласия посетителя - здесь важно разделять два типа. Строго необходимые cookie (сессия, авторизация, корзина) работают без согласия, потому что обработка нужна для того, за чем посетитель сам пришёл на сайт. Аналитические и рекламные cookie требуют согласия, потому что их цель не вытекает напрямую из действия посетителя.

Основание для любой обработки персональных данных берётся из части 1 статьи 6 152-ФЗ. Закон перечисляет несколько вариантов, среди которых согласие субъекта и обработка, необходимая для исполнения договора или по инициативе самого субъекта.

Строго необходимые cookie попадают во вторую категорию. Сессия, которая держит пользователя авторизованным, корзина, которая помнит выбранные товары, балансировка нагрузки между серверами - без этого сайт технически не может отдать посетителю то, за чем он пришёл. Отдельное согласие для таких cookie не требуется. Но это не значит, что закон их не видит: раскрыть их в политике обработки всё равно нужно, просто основанием служит не согласие, а сама природа услуги.

Аналитические, рекламные и прочие необязательные cookie устроены иначе. Счётчик посещаемости, рекламный пиксель, виджет соцсетей собирают данные не потому, что без них не откроется страница, а в интересах владельца сайта: посчитать конверсии, настроить ремаркетинг, показать персонализированный баннер. Такая цель не вытекает из того, зачем человек зашёл на сайт, поэтому единственным подходящим основанием остаётся согласие.

Разбор того, какие именно элементы должен содержать баннер, чтобы это согласие считалось полученным, а не имитацией, отдельная тема - подробно она разобрана в статье о правильном cookie-баннере.

Как должно быть оформлено согласие на аналитические cookie?

С 1 сентября 2025 года согласие на обработку персональных данных даётся в любой форме, позволяющей подтвердить факт его получения, но обязано быть оформлено отдельно от иных документов и информации. Эту редакцию в часть 1 статьи 9 152-ФЗ внёс Федеральный закон от 24.06.2025 № 156-ФЗ.

Формулировка звучит гибко: клик по кнопке в баннере годится как подтверждение факта получения согласия, жёсткого требования к конкретному техническому механизму нет. Проблема возникает в другом месте - в требовании отдельности. До 156-ФЗ согласие на cookie нередко «зашивали» в пользовательское соглашение или в общее «продолжая пользоваться сайтом, вы соглашаетесь». После вступления поправки в силу так делать нельзя: согласие на обработку персональных данных должно быть самостоятельным действием посетителя именно по cookie, а не побочным следствием принятия оферты или правил сайта.

Само согласие также должно оставаться конкретным, предметным, информированным, сознательным и однозначным - это требование сохраняется в той же части 1 статьи 9 и действовало ещё до правки 156-ФЗ. На практике это значит: посетитель понимает, для чего именно собираются данные, и совершает осознанное действие, а не просто продолжает листать страницу.

Какой штраф грозит за cookie без согласия?

Если аналитические или рекламные cookie обрабатывают данные посетителя без законного основания, это может квалифицироваться по части 1 статьи 13.11 КоАП РФ - обработка персональных данных в случаях, не предусмотренных законодательством. Для юридических лиц вилка составляет от 150 000 до 300 000 рублей (часть 1 статьи 13.11 КоАП РФ), при повторном нарушении - от 300 000 до 500 000 рублей (часть 1.1 статьи 13.11 КоАП РФ).

Важно не путать этот состав с другой частью той же статьи. Часть 2 статьи 13.11 КоАП РФ касается отсутствия согласия именно в письменной форме там, где закон требует такую форму отдельно - это специальный случай для узких ситуаций вроде обработки специальных категорий данных, а не обычное согласие через клик в cookie-баннере. Дефект в оформлении согласия на аналитические cookie - это часть 1 статьи 13.11, а не часть 2, и суммы этих двух частей заметно различаются.

Есть и второй, отдельный состав, о котором часто забывают: если на сайте вообще нет опубликованной политики обработки персональных данных, это нарушение части 2 статьи 18.1 152-ФЗ, обязывающей оператора опубликовать такой документ и обеспечить к нему неограниченный доступ. За это предусмотрен отдельный штраф по части 3 статьи 13.11 КоАП РФ: для юридических лиц от 30 000 до 60 000 рублей. Один только факт работы счётчика на сайте уже делает его владельца оператором персональных данных и включает эту обязанность, независимо от того, есть ли на сайте формы сбора контактов.

Это вилка по КоАП, не юридическое заключение: точный размер и квалификацию определяет орган с учётом конкретных обстоятельств. Цель этого раздела не напугать, а показать порядок цифр, из-за которых стоит один раз внимательно настроить баннер и политику.

Как проверить, являются ли cookie на вашем сайте персональными данными без согласия?

Проверка не требует доступа к коду и занимает несколько минут. Откройте сайт в режиме инкогнито, откройте инструменты разработчика и вкладку «Сеть», затем обновите страницу, не нажимая ничего в баннере. Если в списке запросов уже есть обращения к счётчикам аналитики или рекламным сервисам, они грузятся раньше согласия - именно это и есть нарушение, о котором шла речь выше.

Дальше стоит проверить сам баннер: различает ли он технически необходимые и необязательные cookie, есть ли у посетителя реальный выбор, не стоят ли галочки согласия отмеченными заранее. Отдельно проверьте, есть ли на сайте опубликованная политика обработки персональных данных со ссылкой из баннера.

Пройти такую проверку вручную по одной странице несложно, но сайт обычно состоит из десятков страниц, лендингов и поддоменов, и cookie на них могут вести себя по-разному. Обходить каждую страницу руками долго, поэтому удобнее сделать это разом и автоматически. На странице проверки cookie-баннера сканер находит на сайте счётчики и внешние сервисы и показывает, где cookie собираются без согласия или где не хватает ссылки на политику. Индивидуальные случаи это не заменит, но покажет, с чего начинать.

Как исправить

Если проверка показала проблему, порядок действий такой:

• разделите cookie на две группы: строго необходимые (сессия, авторизация, корзина) и необязательные (аналитика, реклама, виджеты);
• отложите загрузку необязательных скриптов до момента, когда посетитель нажал «принять» в баннере;
• сделайте согласие на аналитические и рекламные cookie отдельным действием, а не частью общего согласия с пользовательским соглашением или офертой;
• уберите заранее проставленные галочки и дайте отказу такой же вес, как согласию;
• опубликуйте политику обработки персональных данных и разместите на неё видимую ссылку из баннера и подвала сайта.

Как именно должен быть устроен сам баннер технически, какие кнопки и элементы в нём обязательны, подробно разобрано в статье о правильном cookie-баннере. А если баннер уже есть, но счётчики всё равно грузятся до клика, стоит посмотреть материал про тайминг загрузки счётчиков аналитики после согласия - там разобрано именно это.

Частые вопросы

Cookie это персональные данные или нет? Однозначного «да» или «нет» на все cookie сразу закон не даёт: ответ зависит от конкретного идентификатора. Cookie подпадает под определение персональных данных, если позволяет идентифицировать конкретного посетителя, прямо или косвенно. Уникальные идентификаторы аналитики и рекламы обычно такую возможность дают, поэтому их принято относить к персональным данным.

Нужно ли согласие на технические cookie сайта? Нет. Строго необходимые cookie - сессия, авторизация, корзина - работают без отдельного согласия, потому что обработка нужна для того, за чем посетитель сам пришёл на сайт. Это не освобождает их от упоминания в политике обработки.

Достаточно ли предзаполненного согласия в пользовательском соглашении? Нет, с 1 сентября 2025 года согласие на обработку персональных данных должно быть оформлено отдельно от иных документов. «Зашитое» в оферту или правила сайта согласие на аналитические cookie не соответствует этому требованию.

Считается ли IP-адрес персональными данными наравне с cookie? Да, по той же логике: если IP-адрес в сочетании с другими данными позволяет выделить конкретное устройство или пользователя, он подпадает под определение статьи 3. Часто IP и cookie-идентификатор обрабатываются вместе одним и тем же счётчиком: например, Яндекс.Метрика связывает ClientID браузера с IP-адресом посетителя в рамках одной сессии, и делить эту пару на «персональные» и «неперсональные» данные некорректно - оценивать нужно связку целиком.

Штрафуют ли за cookie без согласия так же, как за отсутствие политики? Нет, это два разных состава. Обработка cookie без согласия квалифицируется по части 1 статьи 13.11 КоАП, а отсутствие опубликованной политики - по части 3 той же статьи, и суммы штрафов у них разные.

Источники

• Федеральный закон от 27.07.2006 № 152-ФЗ, статья 3 - определение персональных данных.
• Федеральный закон от 27.07.2006 № 152-ФЗ, статья 6 - условия и основания обработки персональных данных.
• Федеральный закон от 27.07.2006 № 152-ФЗ, статья 9 - требования к согласию на обработку персональных данных.
• Федеральный закон от 27.07.2006 № 152-ФЗ, статья 18.1 - обязанность опубликовать политику обработки персональных данных.
• КоАП РФ, статья 13.11 - административная ответственность за нарушения при обработке персональных данных.

Коротко

Cookie не названы в законе прямо, но подпадают под определение персональных данных из статьи 3 152-ФЗ, если позволяют идентифицировать посетителя. Строго необходимые cookie - сессия, авторизация, корзина - работают без согласия, а аналитические и рекламные требуют согласия по части 1 статьи 6. С 1 сентября 2025 года это согласие должно быть оформлено отдельно от иных документов. Обработка cookie без основания квалифицируется по части 1 статьи 13.11 КоАП, отсутствие политики обработки - по части 3 той же статьи, и суммы штрафов там разные. Проверить, как cookie ведут себя на вашем сайте, можно за несколько минут во вкладке «Сеть» браузера или сразу по всем страницам автоматически.