Cookie на сайте компании: нужен ли баннер, что писать в уведомлении и в политике

Короткий ответ: почти каждый сайт компании ставит cookie — свои технические, Яндекс Метрики и сторонних виджетов. Если по ним вместе с другими данными можно определить человека, это персональные данные по 152-ФЗ, и посетителю нужно об этом сообщить: короткой плашкой при первом визите и разделом в политике. Для сайта с одной Метрикой обычно хватает информирования, для сайта с Вебвизором, пикселями рекламы и коллтрекингом разумнее спрашивать согласие и запускать эти скрипты только после него.

Ниже — как разобраться, что ставит ваш сайт, что написать в баннере и политике и как не потерять статистику. Это взгляд разработчика, а не юридическая консультация: тексты документов и оценку рисков стоит отдать юристу, а вот список сервисов и cookie для него соберёт тот, кто поддерживает сайт.

Что такое cookie и какие ставит сайт компании?

Cookie — небольшая запись, которую сайт или сторонний сервис сохраняет в браузере посетителя: идентификатор, дата визита, содержимое корзины. При следующем запросе браузер отправляет её обратно, и сервер «узнаёт» посетителя. Обычный сайт компании ставит три вида таких записей.

• Технические. Ставит сам сайт: сессия в личном кабинете, корзина, защита формы от подделки запроса, выбранный город. Без них сайт ломается.
• Аналитические. Ставит счётчик Метрики: различает посетителей, считает повторные визиты, записывает сессии для Вебвизора.
• Сторонние. Ставят виджеты, встроенные в страницу: онлайн-чат, обратный звонок, карта, видео, пиксели рекламных кабинетов, коллтрекинг.

Важная деталь: за сторонние cookie часто отвечает не тот, кто делал сайт. Чат подключил маркетолог, пиксель — рекламное агентство, коллтрекинг — отдел продаж. Поэтому первое, что нужно, — инвентаризация: что реально загружается на страницах сейчас, а не что было в ТЗ три года назад.

Считаются ли cookie персональными данными?

Слова «cookie» в 152-ФЗ нет. Закон определяет персональные данные как любую информацию, относящуюся к прямо или косвенно определённому или определяемому человеку. Идентификатор в cookie, связанный с заявкой, телефоном, IP-адресом или историей визитов, под это определение подпадает.

Опорные точки, которые можно проверить по первоисточникам:

• Определение — п. 1 ст. 3 152-ФЗ.
• Яндекс в условиях использования Метрики (редакция от 07.08.2026) прямо называет владельца сайта оператором персональных данных посетителей, а себя — лицом, которое обрабатывает их по поручению. Там же сказано, что владелец обязан сообщать посетителям об обработке данных и получать согласия, если этого требует закон.
• Управление Роскомнадзора по Архангельской области и НАО в итогах проверок за I квартал 2023 года назвало среди типичных нарушений на сайтах отсутствие информирования пользователей об использовании файлов cookies.

Отдельного нормативного документа Роскомнадзора о том, как именно оформлять cookie-баннер, на октябрь 2026 года мы не нашли. Поэтому практичная позиция такая: технические cookie без связи с человеком — не главный риск, а идентификаторы аналитики, Вебвизора и рекламы считайте персональными данными и оформляйте их обработку так же аккуратно, как форму заявки.

	Информирование	Согласие с выбором
Как выглядит	Плашка «Сайт использует cookie» со ссылкой на политику и кнопкой «Понятно»	Окно с кнопками «Принять все», «Только необходимые» и настройками по группам
Когда грузится аналитика	Сразу при открытии страницы	Только после согласия на аналитику
Влияние на статистику	Почти не влияет	Часть визитов выпадает из Метрики — те, кто отказался или закрыл окно
Сложность	Пара часов работы	Нужно разделить скрипты по группам и проверить, что до согласия они не загружаются
Кому подходит	Сайту-визитке и лендингу с одной Метрикой без Вебвизора	Сайтам с Вебвизором, пикселями рекламы, коллтрекингом, сторонними чатами, посетителям из ЕС

Нужен ли баннер или хватит строки в политике?

Строки в политике мало: посетитель её не открывает, а аналитика начинает работать с первой секунды. Нужен короткий баннер при первом визите со ссылкой на раздел политики о cookie. Вопрос только в том, информирует он или спрашивает согласие и даёт выбор.

Политику публиковать обязательно в любом случае: по ч. 2 ст. 18.1 152-ФЗ оператор, который собирает данные через интернет, размещает документ о своей политике на страницах, где идёт сбор, и даёт к нему доступ. Cookie собираются на каждой странице, поэтому ссылка на политику должна быть видна везде — обычно в подвале.

Выбор между вариантами упирается в основание обработки. Закон в ч. 1 ст. 6 допускает обработку не только с согласия (п. 1), но и, например, когда она нужна для договора по инициативе человека (п. 5) или для законных интересов оператора, если не нарушаются права человека (п. 7). Технические cookie корзины и кабинета обычно укладываются в первые два случая без отдельного выбора. Запись сессий, рекламные идентификаторы и передача данных сторонним сервисам — то место, где юристы чаще советуют спрашивать согласие.

Если выбираете согласие, помните о ч. 1 ст. 9: с 1 сентября 2025 года согласие оформляется отдельно от других документов, которые человек подтверждает. Значит, кнопка «Принять» в баннере cookie не должна заодно означать согласие с офертой или рассылкой.

Что написать в уведомлении о cookie?

Баннер — две-три строки: что сайт использует cookie, зачем, ссылка на подробности и понятные кнопки. Подробности — в разделе политики: какие сервисы, какие цели, сколько хранятся данные, кто ещё их получает и как отказаться.

Пример текста баннера для сайта с Метрикой и онлайн-чатом:

«Мы используем cookie, чтобы сайт работал, а также для статистики посещений (Яндекс Метрика) и онлайн-чата. Подробнее — в разделе «Файлы cookie» политики обработки персональных данных.» Кнопки: «Принять все» и «Только необходимые», плюс ссылка «Настроить», если групп больше двух.

Раздел о cookie в политике обычно содержит:

1. Что такое cookie — одним предложением, без лекции.
2. Группы: необходимые, аналитические, сторонние сервисы — и что в каждую входит на вашем сайте.
3. По каждому сервису: название, компания, цель, ссылка на его политику.
4. Сроки: сессионные удаляются при закрытии браузера, аналитические живут дольше — например, основные идентификаторы Метрики хранятся год.
5. Как отказаться: кнопка «Настроить» в баннере, настройки браузера, для Метрики — расширение «Блокировщик Яндекс.Метрики».
6. Дату редакции раздела — чтобы было видно, когда список сервисов обновляли.

Пункт про блокировщик — не формальность: в п. 5.8 условий Метрики прямо сказано, что владелец сайта обязан сообщить посетителям о возможности им воспользоваться.

Не надо копировать политику с чужого сайта целиком. В ней окажутся сервисы, которых у вас нет, и не окажется ваших. Любой, кто откроет инструменты разработчика, сравнит текст с тем, что реально загружается на странице, — расхождение видно за минуту.

Что на сайте	Какие cookie появляются	Что указать в уведомлении и политике
Сам сайт: корзина, вход в кабинет, защита форм	Сессионные и служебные cookie вашего домена: идентификатор сессии, защита от подделки запросов, выбранный язык или город	Что это технические cookie, без них сайт не работает; отключить их нельзя, но можно не хранить дольше сессии
Яндекс Метрика	_ym_uid и _ym_d (год), _ym_isad, _ym_visorc_* для Вебвизора, yandexuid и другие — полный список в справке Метрики	Название сервиса, цель — статистика посещений, что Яндекс обрабатывает данные по поручению владельца сайта, как отказаться (настройки браузера, «Блокировщик Яндекс.Метрики»)
Онлайн-чат, обратный звонок, квиз	Cookie сервиса виджета: идентификатор посетителя, чтобы чат «узнал» его при следующем визите	Название сервиса, цель — связь с посетителем, что сервис получает переписку и контакты; ссылку на его политику
Карта, видео, кнопки соцсетей	Cookie сервиса карты или видеоплатформы, если блок загружается сразу при открытии страницы	Что сторонний сервис может ставить свои cookie; такой блок разумно грузить по клику
Пиксели рекламы и коллтрекинг	Идентификаторы для подсчёта конверсий и подмены номера телефона	Название сервиса и цель — оценка рекламы; это первые кандидаты на отключение до согласия

Как быть с Метрикой и сторонними виджетами?

Метрику не нужно убирать: достаточно описать её в политике и решить, запускать ли счётчик до согласия. Сторонние виджеты разумно грузить по действию: карту — по клику «Показать карту», чат — по нажатию на иконку, видео — по нажатию «Смотреть».

Список cookie Метрики с назначением и сроками опубликован в справке Метрики: например, _ym_uid различает посетителей и живёт год, _ym_d хранит дату первого визита, _ym_visorc_* нужен Вебвизору. Этот список и стоит взять за основу раздела политики, а не сочинять свой.

Три рабочих схемы для Метрики:

• Информирование. Счётчик работает сразу, баннер сообщает о нём. Статистика полная. Подходит, если нет Вебвизора, рекламных пикселей и сторонних чатов.
• Счётчик после согласия. Код Метрики подключается только после нажатия «Принять все» или выбора группы «Аналитика». Статистика неполная, зато вопрос согласия закрыт.
• Без Вебвизора до согласия. Базовую статистику собираем сразу, запись сессий включаем только после согласия. Компромисс для сайтов, где Вебвизор нужен на время исследования.

Если отложить счётчик, цели на заявки — те, что мы разбирали в статье о целях в Метрике, — у части посетителей перестанут срабатывать. Заявки при этом никуда не денутся, просто в отчётах их станет меньше, чем в CRM. Предупредите об этом того, кто ведёт рекламу.

Отдельная история — сервисы, которые хранят данные за рубежом. Про локализацию, уведомление Роскомнадзора и согласие в форме заявки мы подробно писали в статье о хранении данных с форм по 152-ФЗ; для виджетов логика та же — сначала выясните, где сервис хранит данные.

Как проверить, какие cookie ставит ваш сайт?

Откройте сайт в окне инкогнито, ничего не нажимая, и посмотрите список cookie в инструментах разработчика браузера. Затем примите баннер и сравните. Всё, что появилось до нажатия, сайт ставит без согласия — это и есть предмет решения.

1. Откройте главную в режиме инкогнито в Chrome или Яндекс Браузере.
2. Нажмите F12, вкладка «Application» (в русской версии — «Приложение»), слева раздел «Cookies»: там видно, какие записи и для каких доменов уже есть.
3. На вкладке «Network» («Сеть») посмотрите, к каким сторонним адресам уходят запросы: mc.yandex.ru — Метрика, остальное — виджеты и пиксели.
4. Нажмите «Только необходимые» и перезагрузите страницу. Аналитических и рекламных cookie быть не должно, если вы выбрали схему с согласием.
5. Повторите на страницах с картой, чатом, формой, корзиной — сторонние скрипты часто стоят не на главной.
6. Сверьте список со своей политикой: каждый сервис в браузере должен быть в тексте, и наоборот.

Проверку стоит повторять при каждом подключении нового сервиса. Это часть обычной гигиены сайта — вместе с формами, доступами и сертификатом она есть в нашем чек-листе самостоятельного аудита.

Типичные ошибки баннеров

Самая частая ошибка — баннер есть, но ни на что не влияет: кнопка «Отклонить» закрывает плашку, а Метрика и пиксели продолжают работать. Такой баннер хуже честного информирования, потому что обещает выбор, которого нет.

• «Отклонить» спрятано. «Принять» — яркая кнопка, отказ — серая ссылка мелким шрифтом в настройках. Делайте кнопки равными по заметности.
• Галочки уже стоят. Группы «Аналитика» и «Реклама» включены по умолчанию. Согласие должно быть действием человека.
• Баннер закрывает пол-экрана на телефоне. Перекрывает кнопку заявки и номер телефона, крестик уходит за край. Проверяйте на реальном смартфоне.
• Выбор не запоминается. Баннер появляется на каждой странице, и посетитель уходит. Выбор сохраняют и не спрашивают повторно до изменения списка сервисов.
• Нельзя передумать. Нет ссылки «Настройки cookie» в подвале, чтобы отозвать согласие.
• Согласие на всё сразу. Одна кнопка «Принимаю условия обработки данных, оферту и рассылку». Это противоречит требованию об отдельном согласии.
• Политика не совпадает с сайтом. В тексте нет чата и коллтрекинга, которые стоят на сайте, зато есть сервисы, удалённые год назад.
• Сторонний «готовый» баннер тянет свои скрипты. Сервис cookie-баннеров сам ставит cookie и отправляет данные на свои серверы — его тоже придётся описать в политике.

Когда это вам не нужно?

Сложное окно с настройками по группам не нужно сайту без аналитики, чатов и рекламы: если на нём только технические cookie, хватит раздела в политике и короткой плашки. И не нужен самописный механизм согласия, если на сайте один счётчик без Вебвизора — достаточно информирования.

Обратная ситуация — сайт работает и с посетителями из Евросоюза. Для них действуют свои правила, и вопрос стоит сразу отдать юристу, знакомому с европейским регулированием: российской схемы «только информирование» там может не хватить.

Сколько стоит навести порядок с cookie?

Обычно это несколько разовых задач: инвентаризация скриптов, баннер с сохранением выбора, отложенная загрузка аналитики и виджетов, список сервисов для юриста. Их можно сделать в рамках поддержки сайта — абонентка от 7 900 ₽ в месяц или разово по задаче; точный объём считаем после того, как посмотрим сайт.

Если сайт старый и скрипты вшиты в шаблон так, что их не разделить по группам, иногда честнее совместить наведение порядка с обновлением дизайна: редизайн по прайсу — от 29 000 ₽. Тексты политики и согласия готовит юрист; от нас — технический список сервисов, cookie и сроков, по которому этот текст пишется, и проверка, что сайт ведёт себя так, как в нём написано.

Короткие ответы на частые вопросы

Обязателен ли баннер cookie на сайте в России?

Прямой нормы «повесьте баннер» в 152-ФЗ нет. Но если cookie вместе с другими данными позволяют определить человека, это персональные данные, и посетителя нужно проинформировать об обработке, а для части целей — получить согласие. Баннер — самый понятный способ это сделать.

Можно ли просто написать про cookie в политике конфиденциальности?

Раздел о cookie в политике нужен в любом случае, но сам по себе он слабый: до политики посетитель не доходит. Короткая плашка при первом визите со ссылкой на этот раздел закрывает вопрос информирования.

Пропадёт ли статистика Метрики, если включить согласие на cookie?

Если счётчик запускается только после согласия, визиты отказавшихся и тех, кто проигнорировал окно, в отчёты не попадут. Поэтому сравните данные за пару недель до и после и учитывайте разрыв при оценке рекламы.

Нужно ли согласие на технические cookie?

Cookie, без которых не работают корзина, вход в кабинет и защита форм, обычно ставят без отдельного выбора, потому что без них сайт не выполнит то, о чём просит сам посетитель. О них всё равно стоит рассказать в политике.

Кто отвечает за cookie Метрики — владелец сайта или Яндекс?

По условиям использования Метрики оператором персональных данных посетителей выступает владелец сайта, а Яндекс обрабатывает их по его поручению. Информировать посетителей и при необходимости получать согласие должен владелец.

Услуги и кейсы по теме: поддержка сайта от 7 900 ₽/мес · цены и сроки