Новые требования к cookies и Яндекс.Метрике: как не получить штраф

Яндекс.Метрика и персональные данные связаны напрямую, хотя владельцы сайтов часто этого не учитывают. Счетчик на сайте запускается сразу при заходе посетителя, до любого явного действия с его стороны. По закону требуется согласие на использование cookies — явное действие посетителя, а не сам факт, что он открыл страницу. С точки зрения действующего законодательства это юридический риск для владельца сайта как оператора персональных данных.

Роскомнадзор ужесточил контроль. Штраф на сайте приходит не только за утечку базы, но и за неправильно настроенную аналитику. Разобранный случай из практики: на корпоративном сайте счетчик Метрики инициализировался при первой загрузке страницы, а в подвале висела строка «используя сайт, вы соглашаетесь с обработкой cookie». Такой конструкции оказалось недостаточно, чтобы признать согласие полученным.

Разбираем, какие требования действуют сейчас, как настроить cookie на сайте по закону и кто отвечает за нарушение.

Раньше хватало уведомления внизу страницы. Считалось, что сам факт нахождения человека на сайте означает его согласие.

Статья 9 152-ФЗ требует иного. Согласие на обработку должно быть конкретным, информированным, сознательным и однозначным.
Позиция Роскомнадзора и ФАС, подтвержденная судебными решениями, прямо признает формулировки вида «продолжая пользоваться сайтом, вы соглашаетесь» недостаточными и не соответствующими закону. Строка cookie в подвале сайта не работает как правовое основание: она информирует, но не фиксирует волеизъявление.

Признаки действительного согласия:
●      Конкретность. Человек понимает, какие данные и с какой целью собираются.
●      Свобода волеизъявления. Нет принуждения, доступ к сайту не ставится в зависимость от согласия на аналитику.
●      Информированность. Есть ссылка на политику конфиденциальности сайта.
●      Явное действие. Нажатие кнопки. Прокрутка страницы, закрытие баннера крестиком и молчание согласием не считаются.

Cookie-идентификаторы, которые собирает Метрика, в сочетании с IP-адресом и данными браузера рассматриваются по 152-ФЗ cookie как персональные данные, поскольку позволяют косвенно идентифицировать пользователя.

Счетчик передает:
●      IP-адрес посетителя.
●      Версию браузера и операционной системы.
●      Cookie-идентификатор устройства.
●      Геолокацию, определенную по IP.
●      Поведенческие данные: клики, скролл, вебвизор, цели.

Совокупность этих данных позволяет выделить конкретного человека среди остальных. Считается ли IP-адрес персональными данными? Да, в надзорной и судебной практике это подтверждается. Обезличенным такой набор становится только после агрегации в отчетах, а не в момент сбора.

Частая ошибка — блокировать все cookie до нажатия кнопки. Это ломает работу сайта: не сохраняется корзина, не работает авторизация, слетает сессия в личном кабинете.
Данные нужно разделить на две категории.

• Технически необходимые. Обеспечивают базовую работу сайта: сессионные cookie, защита от CSRF, сохранение корзины, запоминание выбранных параметров интерфейса. Они обрабатываются без согласия как данные, необходимые для предоставления услуги пользователю.
• Аналитические и рекламные. Cookie Метрики, пиксели рекламных систем, ретаргетинг, сервисы звонков и чатов. Именно они требуют явного согласия.

Такой подход дает соответствие требованиям законодательства без избыточных ограничений для пользователей. Сайт продолжает работать у того, кто нажал «Отклонить», просто по нему не собирается статистика.

Самый частый технический промах — скрипт метрики загружается до согласия. Баннер при этом может выглядеть корректно, но нарушение уже произошло в момент загрузки страницы.
Счетчик должен инициализироваться только после того, как пользователь нажал «Принять». На практике это решается отложенной загрузкой: код счетчика не вставляется в шаблон напрямую, а подгружается по событию согласия.

Требования к баннеру:
●      Понятная формулировка. Не «Мы используем cookie», а «Мы используем файлы cookie для сбора статистики и улучшения сайта. Аналитические cookie включаются только после вашего согласия».
●      Явная кнопка согласия: «Принять».
●      Явная кнопка отказа: «Отклонить» или «Настроить». Отказ должен быть доступен в один клик, тем же по размеру элементом, что и согласие.
●      Ссылка на политику конфиденциальности сайта.
●      Отсутствие предзаполненных галочек. Предзаполненные галочки — это нарушение: согласие должно быть активным действием пользователя.

Юридически грамотный баннер cookie готовит юрист по персональным данным. Разработчик реализует его технически.

При отказе параметры передаются со значением false. При отзыве согласия статус обновляется, счетчик перестает собирать данные.

Получить согласие мало. Нужно уметь показать регулятору, что оно действительно было получено.
В административной панели должен вестись журнал: дата и время согласия, набор собираемых данных, статус (согласие, отказ, отзыв). Хранится не профиль посетителя, а техническая запись о факте волеизъявления.
Без такого журнала при запросе Роскомнадзора оператор не может подтвердить законность сбора. Баннер на сайте — это интерфейс, а доказательство — это лог.

При внедрении аналитики важно разделять юридическую и техническую ответственность.

●      Ответственность перед государством. По ст. 13.1 КоАП РФ отвечает оператор. Для юридических лиц штрафы начинаются от 60 000 ₽ и доходят до сотен тысяч рублей, при повторных нарушениях — до 6 млн ₽.
●      Обязанности. Обеспечить политику конфиденциальности, согласовать текст баннера с юристами, определить цели и состав обрабатываемых данных, организовать отзыв согласия и хранение журнала.
●      Риски. Если формулировка на баннере составлена некорректно или отсутствует ссылка на политику, штраф получит владелец, даже при идеально настроенном коде.

●      Ответственность перед заказчиком. По договору, за качество технической реализации и соответствие техническому заданию.
●      Обязанности. Включить режим согласия, внедрить баннер, перестроить загрузку счетчика, реализовать категории cookie и журнал согласий.
●      Риски. Если cookie ставятся до нажатия кнопки или статус согласия не передается в счетчик, подрядчик исправляет ошибку в рамках гарантии и возмещает неустойку по договору.
Подрядчик не подменяет юриста. Он не проверяет текст баннера на соответствие 152-ФЗ и не отвечает за формулировки. Техническая реализация не освобождает владельца сайта от обязанности соблюдать закон.

1. Счетчик грузится до согласия. Нарушение фиксируется в момент загрузки страницы, независимо от наличия баннера.
2. Скрытая кнопка отказа. Если на баннере есть только «Принять», а отказ спрятан в мелком тексте или требует настройки браузера, согласие признается недействительным.
3. Блокировка всех cookie. Сайт перестает работать: слетает корзина и авторизация. Пользователь уходит, а бизнес теряет заявки.
4. Отсутствие политики конфиденциальности. В документе должно быть описано, какие данные собираются, с какой целью, как долго хранятся и какие инструменты аналитики используются.
5. Нет журнала согласий. Нечем подтвердить законность сбора при проверке.
6. Игнорирование отзыва согласия. Пользователь вправе отозвать согласие в любой момент. Механизм отзыва должен быть на сайте.

●      Проведен аудит сайта на соответствие 152-ФЗ, составлен перечень точек сбора данных.
●      В настройках счётчика включен режим согласия.
●      Скрипт Метрики инициализируется только после явного согласия.
●      Баннер появляется при первом визите и не показывается повторно тем, кто уже выбрал вариант.
●      На баннере есть равнозначные кнопки «Принять» и «Отклонить».
●      Cookie разделены на технически необходимые и аналитические.
●      Есть политика конфиденциальности с описанием собираемых данных.
●      Ведется журнал согласий с датой, временем и набором данных.
●      Предусмотрен отзыв согласия.

Нужно ли согласие пользователя на Яндекс.Метрику?
Да. Cookie-идентификаторы в связке с IP и данными браузера позволяют косвенно идентифицировать пользователя, поэтому сбор через Метрику подпадает под 152-ФЗ.

Что считается персональными данными в Яндекс.Метрике?
Cookie-идентификатор, IP-адрес, данные о браузере и устройстве, поведенческая метка. По отдельности это обезличенные значения, в совокупности они позволяют идентифицировать пользователя.

Нужно ли согласие на технические cookie?
Нет, если они обеспечивают работу сайта и без них услуга недоступна. Согласие требуется на аналитические и рекламные cookie.

Какой штраф за нарушение 152-ФЗ по кукам?
По ст. 13.11 КоАП РФ для юридических лиц — от 60 000 ₽, при повторных нарушениях сумма доходит до 6 млн ₽. Дополнительно регулятор выносит предписание об устранении.

Нужна ли кнопка отказа на cookie баннере?
Да. Отказ должен быть доступен в один клик, равным по доступности элементом. Без него согласие не признается свободным волеизъявлением.

Как отозвать согласие на обработку cookie?
Через настройки cookie на сайте, форму в личном кабинете или обращение к оператору. После отзыва счётчик должен перестать собирать данные по этому устройству.

Как доказать, что согласие было получено?
По журналу согласий: дата, время, набор собираемых данных, статус. Баннер без логирования доказательством не является.

Кто платит штраф за куки — заказчик или разработчик?
Перед Роскомнадзором отвечает оператор, то есть владелец сайта. Разработчик отвечает перед заказчиком по договору, если нарушение вызвано технической ошибкой в коде.

Сбор данных через Метрику - это обработка персональных данных на сайте, и отвечать за неё приходится владельцу ресурса. Строка в подвале сайта больше не является правовым основанием, а запуск счетчика до согласия фиксируется как нарушение в момент загрузки страницы.
Корректное решение состоит из четырех элементов: баннер с явными кнопками согласия и отказа, отложенная инициализация счетчика, разделение cookie на категории, журнал согласий. Каждый элемент закрывает конкретный риск, а не общий страх перед проверкой.
Команда MACHAON выполняет настройку cookie на сайте и аудит сайта на соответствие 152-ФЗ. Мы перестраиваем загрузку счетчиков, внедряем согласия с категориями cookie и логированием, передаем решение с гарантией.