Персональные данные

Согласие на cookies: нужно ли оно по 152-ФЗ и как оформить

Редактор ФТИ 6 октября 2026 8 мин чтения

Коротко

Слова «cookie» в 152-ФЗ нет, а критерий один: можно ли определить человека. Разбираем, когда нужно согласие, какие есть другие основания, как оформить баннер и что хранить как доказательство.

Коротко: слова «cookie» в сверенных нами статьях 152-ФЗ нет, и прямого требования ставить баннер в них тоже нет. Решает другой вопрос: можно ли по данным, которые собирает cookie или счётчик, определить человека (п. 1 ст. 3). Если можно, это персональные данные, и нужно основание обработки по ст. 6: согласие или другое. Если согласие нужно, оформляйте его по ст. 9: конкретное, информированное, однозначное и отдельно от других документов.

Формы и согласия, политика, счётчики и сервисы, место хранения базы · если нарушений нет, так и напишем

Аудит сайта на 152-ФЗ — 4 900 ₽, отчёт за 3 рабочих дня

Проверить мой сайт →

Главное про cookie и 152-ФЗ

Закон не называет cookie. Критерий один: определяется ли человек (п. 1 ст. 3).
Согласие — не единственное основание. Есть договор (п. 5 ч. 1 ст. 6) и другие основания из ст. 6.
Если согласие нужно, оно отдельное и однозначное (ч. 1 ст. 9).
Доказывать получение должен оператор (ч. 3 ст. 9): храните дату, текст и выбор человека.
Баннер и кнопки — практика, а не норма. Мы помечаем такие советы как рекомендацию.
Сайт и политика должны совпадать: что написано в политике, то и работает на сайте.

Что закон говорит про cookie

Cookie — небольшой файл, который сайт сохраняет в браузере. В статьях 152-ФЗ, которые мы сверяли (1, 3, 5–23 и 25), слова «cookie» нет. Обязанности показывать баннер там тоже нет. Закон работает с другим понятием: персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (п. 1 ст. 3).

Поэтому вопрос звучит так: что вы узнаёте с помощью cookie и можно ли связать это с конкретным человеком. Если cookie хранит номер сессии в корзине, а в корзине лежит заказ с телефоном, связь есть. Если счётчик считает визиты и не соединяется ни с формой, ни с кабинетом, ответ зависит от настроек конкретного сервиса. Общего ответа для всех счётчиков в законе нет, и мы его не придумываем.

Какие cookie бывают и что решать по каждой группе

Деление ниже наше, для удобства. В законе такой классификации нет.

Группа	Пример	Что решить
Технические	Сессия, корзина, вход в кабинет	Основание часто договор (п. 5 ч. 1 ст. 6). Отдельная галочка, по нашему прочтению, не обязательна
Аналитика	Счётчик посещаемости	Связывается ли с человеком, кто получает данные, где они хранятся
Реклама и ретаргетинг	Рекламные пиксели, сторонние сети	Основание и получатели. Для них мы советуем отдельное согласие
Сторонние виджеты	Чат, карты, видео	Нет ли передачи за границу (п. 11 ст. 3, ст. 12) и базы за границей (ч. 5 ст. 18)

Нужно ли согласие или хватит другого основания

Согласие — одно из оснований обработки (п. 1 ч. 1 ст. 6). Есть и другие: исполнение договора с человеком (п. 5), осуществление прав и законных интересов оператора или третьих лиц, если при этом не нарушаются права и свободы человека (п. 7), и другие пункты части 1 статьи 6. Какое подходит, зависит от цели.

Cookie, без которых сайт не работает (корзина, вход): цель — исполнить заказ или договор. По нашему прочтению, отдельное согласие здесь не обязательно, но цель нужно описать в политике.
Аналитика и реклама: договора с человеком для этого нет. Если данные позволяют определить человека, надёжное основание — согласие. Это наша рекомендация, прямой нормы про такие cookie в законе нет.
Сторонний сервис обрабатывает данные для вас: это поручение обработки (ч. 3 ст. 6). Оно допускается с согласия человека, если иное не установлено федеральным законом, и на основании договора с перечнем данных и действий.

Письменная форма для cookie нам в законе не встретилась: ч. 4 ст. 9 требует её только в случаях, предусмотренных федеральным законом. Поэтому согласие на cookie может быть дано любым способом, который позволяет подтвердить факт получения (ч. 1 ст. 9).

Как оформить согласие на cookie

Если вы выбрали согласие как основание, у него должны быть признаки из ч. 1 ст. 9: оно конкретное, предметное, информированное, сознательное и однозначное. С 1 сентября 2025 года его оформляют отдельно от иных информации и документов, которые человек подтверждает или подписывает (ФЗ № 156 от 24.06.2025).

Кнопки «Принять» и «Настроить» или «Отклонить». Наша рекомендация: действие человека легко доказать.
Рекламные и аналитические cookie выключены, пока человек не выбрал. Наша рекомендация.
Текст по делу: какие сервисы, зачем, ссылка на политику. Без этого согласие трудно назвать информированным.
Не вшивать в другой документ: ни в пользовательское соглашение, ни в оферту.
Ссылка «Настройки cookie» в подвале, чтобы человек мог изменить выбор: согласие можно отозвать (ч. 2 ст. 9).
Журнал: дата, версия текста, что выбрал человек. Доказательство получения согласия лежит на операторе (ч. 3 ст. 9).

Фраза «продолжая пользоваться сайтом, вы соглашаетесь» слабее. По нашему прочтению, она плохо сочетается со словами «сознательное» и «однозначное»: человек мог просто не заметить текст. Норма о том, что молчание не согласие, есть в ч. 8 ст. 10.1, но она касается распространения. Для обычного согласия проще доказать нажатие кнопки.

Баннер не заменяет согласие в форме

Согласие на cookie касается данных, которые сайт собирает через cookie. Заявка, регистрация и подписка — отдельные точки сбора, и согласие там оформляется отдельно. Как это сделать для форм, мы разбирали в статье о согласии на сайте, для рассылок — в статье о согласии на рекламную рассылку. Общую картину обязанностей владельца сайта даёт статья о персональных данных на сайте, а схему всех согласий — хаб о согласии на обработку.

Если подключён зарубежный сервис, добавляется ещё один вопрос: передача данных за границу и место хранения базы. Порядок описан в статье об уведомлении о трансграничной передаче.

Чем рискуете

Обработка персональных данных в случаях, не предусмотренных законом, — часть 1 статьи 13.11 КоАП: граждане 10–15 тыс. ₽, должностные лица 50–100 тыс. ₽, организации 150–300 тыс. ₽. У ИП в части 1 своей строки нет, он отвечает как должностное лицо (примечание к ст. 2.4). Верхняя граница диапазона — не фиксированная сумма. Часть 2, с суммами 300–700 тыс. ₽ для организаций, касается письменного согласия там, где закон его требует. Для cookie такого случая мы не нашли.

Что именно применять к cookie-практике, закон прямо не говорит: это наше прочтение общих норм. Сравнение всех частей ст. 13.11 по субъектам — в статье о штрафах за персональные данные. Что проверять на сайте заранее — в статье о подготовке сайта к проверке.

Как мы помогаем

ФТИ — учебный центр, персональными данными мы занимаемся для себя каждый день. Услуги ведёт юрист, работаем дистанционно по всей России.

Аудит сайта на 152-ФЗ — 4 900 ₽. Смотрим счётчики и сервисы: куда уходят данные и что из этого зарубежное. Проверяем формы и согласия, политику, место хранения базы. Доступ в админку не нужен. Отчёт за 3 рабочих дня: нарушения с нормой, приоритеты, план правок для вашего вебмастера. Если нарушений нет, так и напишем.
Документы для сайта — 3 900 ₽: политика, согласия для форм и уведомление об использовании cookie. Тексты готовы к публикации. Сам баннер на сайт подключает ваш вебмастер.
Устранение нарушений — от 9 900 ₽: правки форм, согласий и ссылок, публикация политики, повторная проверка. Цену называем после аудита, до начала работ.

Все услуги ФТИ собраны на одной странице. Пакет «Старт» — уведомление в Роскомнадзор, документы по 152-ФЗ и документы для сайта — стоит 14 900 ₽ вместо 18 700 ₽. Если данные уходят за границу, есть уведомление о трансграничной передаче за 6 900 ₽.

Фиксированная цена, доплат нет · отчёт с нормой и приоритетом по каждому пункту

Узнайте, какие счётчики и сервисы собирают данные на вашем сайте

Заказать аудит →

Частые ошибки

Ждать закона про баннеры. Его в сверенных нами статьях нет, а обязанность иметь основание обработки есть.
Поставить баннер и забыть про сервисы. Счётчик грузится до того, как человек нажал кнопку.
Предзаполненная галочка или «Принять» как единственная кнопка. Наша оценка: слабый довод в споре.
Баннер пообещал одно, политика другое. Расхождения сайта с уведомлением и политикой видны снаружи.
Согласие в форме «заодно» с cookie. Это разные точки сбора.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Нужно ли согласие на cookie по закону?

Закон прямо про cookie не говорит. Нужно основание обработки, если по данным можно определить человека (п. 1 ст. 3, ст. 6 152-ФЗ). Для аналитики и рекламы надёжное основание — согласие. Для cookie, без которых не работает корзина или кабинет, основанием может быть договор.

Есть ли в 152-ФЗ слово «cookie»?

В статьях 152-ФЗ, которые мы сверяли (1, 3, 5–23 и 25), такого слова нет. Требований к баннеру там тоже нет. Закон оценивает данные по критерию: можно ли определить человека.

Достаточно ли баннера «продолжая пользоваться сайтом, вы соглашаетесь»?

Согласие должно быть сознательным и однозначным (ч. 1 ст. 9). По нашему прочтению, такая фраза слабее кнопки «Принять»: доказать, что человек увидел и понял текст, сложнее. Доказательство лежит на операторе (ч. 3 ст. 9).

Нужно ли согласие на технические cookie?

Если cookie нужны, чтобы исполнить заказ или договор, основанием может быть п. 5 ч. 1 ст. 6, а не согласие. Это наше прочтение, отдельной нормы про технические cookie нет. Цель в любом случае опишите в политике.

Яндекс Метрика и другие счётчики — это персональные данные?

Зависит от того, что собирает конкретный счётчик и связывается ли это с человеком. Общего ответа в законе нет. Поэтому мы смотрим настройки и получателей данных, а не ставим один ответ на все счётчики.

Можно ли поставить галочку согласия по умолчанию?

Прямого запрета в тексте ст. 9 нет, но согласие должно быть сознательным и однозначным. Предзаполненный флажок плохо сочетается с этими словами. Мы рекомендуем не проставлять его заранее.

Как хранить подтверждение согласия на cookie?

Рекомендуем вести журнал: дата и время, версия текста баннера, выбор человека, идентификатор браузера или сессии. Закон требует, чтобы оператор мог доказать получение согласия (ч. 3 ст. 9), а форму хранения не устанавливает.

Какой штраф за обработку без основания?

Часть 1 ст. 13.11 КоАП: организации 150–300 тыс. ₽, должностные лица 50–100 тыс. ₽, граждане 10–15 тыс. ₽. ИП отвечает как должностное лицо. Это верхние и нижние границы диапазона, конкретную сумму определяет суд или орган.

Заменяет ли cookie-баннер согласие в форме заявки?

Нет. Заявка, регистрация и подписка — отдельные точки сбора данных, согласие там оформляется отдельным действием. Баннер касается данных, которые сайт собирает через cookie.

Сколько стоит проверка сайта на cookie и согласия у ФТИ?

Аудит сайта на 152-ФЗ — 4 900 ₽, отчёт за 3 рабочих дня. Проверяем формы и согласия, политику, счётчики и сервисы, место хранения базы. Документы для сайта, включая уведомление об использовании cookie, — 3 900 ₽, устранение нарушений — от 9 900 ₽.