Cookie-баннер по 152-ФЗ: как настроить и не получить штраф в 2026

Cookie-баннер — та самая всплывающая плашка внизу экрана, которую владельцы сайтов обычно ставят «для галочки» и копируют у соседей. Проблема в том, что большинство этих баннеров закону не соответствуют, а с 1 сентября 2025 года правила согласия ужесточились. Формулировка «продолжая просмотр, вы соглашаетесь» больше не работает, а cookie давно приравнены к персональным данным. Разберём, каким должен быть cookie-баннер по 152-ФЗ в 2026 году, что писать в политике и как не попасть на штраф до 700 000 ₽.

Почему cookie — это персональные данные

Сам по себе файл cookie — это небольшой фрагмент данных, который сайт сохраняет в браузере. Казалось бы, при чём тут закон о персональных данных. Но Роскомнадзор и суды смотрят на суть: если cookie позволяет выделить и узнать конкретного посетителя — это обработка ПДн.

К персональным данным относят:

• IP-адрес пользователя;
• идентификатор устройства и браузера (fingerprint);
• поведенческие cookie аналитики и ретаргетинга — что человек смотрел, откуда пришёл, что положил в корзину;
• идентификаторы рекламных систем и счётчиков.

Именно такие cookie собирают Яндекс.Метрика, рекламные пиксели, системы А/Б-тестирования. Раз это персональные данные — их обработка требует согласия по 152-ФЗ. А значит, нужен инструмент, которым это согласие получают. Им и становится cookie-баннер.

Не все cookie одинаковы. Технические (строго необходимые) — авторизация, корзина, выбор языка, защита от ботов — согласия не требуют: без них сайт просто не работает. Разграничение технических и всех остальных cookie — ключ к правильному баннеру.

Что изменилось с 1 сентября 2025 года

Поправки в 152-ФЗ переписали саму механику согласия, и cookie-баннеров это касается напрямую.

Согласие требует активного действия. Молчание, бездействие и заранее проставленные галочки согласием больше не считаются. Пользователь должен сам совершить осознанный выбор — нажать «Принять» или настроить категории. Пассивные плашки «пользуясь сайтом, вы соглашаетесь» этому требованию не отвечают.

Согласие — отдельное и не пакетное. Нельзя одной кнопкой закрыть сразу всё: и аналитику, и рекламу, и передачу данных третьим лицам. У пользователя должна быть возможность согласиться на одни категории cookie и отказаться от других. Подробный разбор реформы — в статье Новые правила согласия на обработку ПДн с 1 сентября 2025.

Отсюда простой вывод: старые баннеры с единственной кнопкой «Хорошо» и текстом про «продолжая просмотр» нужно переделывать.

Каким должен быть законный cookie-баннер

Соберём требования в чеклист. Правильный баннер по 152-ФЗ в 2026 году:

Требование	Что это значит на практике
Активное действие	Явная кнопка «Принять», которую нажимает пользователь. Без преднастроенных галочек
Возможность отказа	Кнопка «Отклонить» или «Только необходимые» так же заметна, как «Принять»
Разделение по категориям	Отдельно технические, аналитические, маркетинговые cookie с самостоятельным выбором
Информирование до согласия	Понятно, какие cookie и зачем используются, со ссылкой на политику
Отложенный запуск скриптов	Аналитика и пиксели срабатывают только после согласия, а не до него
Возможность отозвать	Пользователь может позже изменить выбор (ссылка «Настройки cookie»)

Главная и самая частая ошибка — когда кнопка «Принять» яркая и крупная, а отказаться можно только через мелкую ссылку в углу или вообще никак. Такой «выбор без выбора» Роскомнадзор согласием не признаёт: он должен быть свободным.

Вторая ошибка — счётчики и пиксели, которые грузятся сразу при заходе на сайт, ещё до того как человек нажал «Принять». Формально согласие потом получено, но данные-то уже ушли. Технически это решается тем, что скрипты аналитики подключаются только после клика по кнопке.

Что писать в политике про cookie

Баннер — это только «фасад». За ним должен стоять раздел в политике конфиденциальности (или отдельная Cookie Policy), где раскрыто:

• какие категории cookie использует сайт;
• цель каждой категории (аналитика, реклама, работа корзины);
• какие сторонние сервисы получают данные (Яндекс.Метрика, рекламные системы);
• срок хранения cookie;
• как пользователю отключить или удалить cookie.

Отсутствие такого раздела — самостоятельное нарушение: политика считается неполной. Штраф за отсутствие или неполноту политики обработки ПДн — до 60 000 ₽ для юрлиц. Если у вас ещё нет корректной политики, начните с образца в статье Согласие на обработку персональных данных: образец и новые правила 2026 — там же разобраны обязательные реквизиты.

Готовый скрипт cookie-баннера

Минимальный рабочий пример баннера с активным согласием и отложенным запуском аналитики. Замените initAnalytics() на реальную инициализацию вашего счётчика и адаптируйте стили под сайт.

<div id="cookie-banner" style="position:fixed;bottom:0;left:0;right:0;
  background:#1f2937;color:#fff;padding:16px;display:none;z-index:9999;
  font:14px/1.5 sans-serif">
  <span>Мы используем cookie для работы сайта и аналитики. Аналитические
  cookie включаются только с вашего согласия. Подробнее — в
  <a href="/152-fz/cookie-i-soglasiya/" style="color:#93c5fd">политике</a>.</span>
  <span style="margin-left:12px;white-space:nowrap">
    <button onclick="cookieChoice(true)">Принять</button>
    <button onclick="cookieChoice(false)">Только необходимые</button>
  </span>
</div>

<script>
  function cookieChoice(consent) {
    localStorage.setItem('cookieConsent', consent ? 'all' : 'necessary');
    document.getElementById('cookie-banner').style.display = 'none';
    if (consent) initAnalytics(); // запуск аналитики ТОЛЬКО после согласия
  }
  window.addEventListener('load', function () {
    var choice = localStorage.getItem('cookieConsent');
    if (!choice) {
      document.getElementById('cookie-banner').style.display = 'block';
    } else if (choice === 'all') {
      initAnalytics();
    }
  });
  function initAnalytics() {
    // сюда — код Яндекс.Метрики или иного аналитического счётчика
  }
</script>

Это упрощённый скелет: две равнозначные кнопки, выбор запоминается, аналитика не стартует без согласия. Для сайтов со множеством рекламных сервисов лучше взять полноценное решение с настройкой категорий (Cookiebot, аналоги от российских вендоров), но принцип тот же — активное действие и отложенный запуск скриптов.

Штрафы: сколько стоит неправильный баннер

Отдельной статьи «за cookie» в законе нет — нарушения квалифицируют по общим составам:

Нарушение	Норма	Штраф для юрлиц
Обработка ПДн (cookie) без согласия	ч. 2 ст. 13.11 КоАП	до 700 000 ₽
Повторное нарушение	ч. 2 ст. 13.11 КоАП	до 1 500 000 ₽
Нет/неполная политика (не раскрыты cookie)	ч. 3 ст. 13.11 КоАП	до 60 000 ₽

То есть баннер «продолжая просмотр» с грузящейся сразу аналитикой — это потенциально обработка без согласия плюс, если в политике cookie не описаны, второй состав. Суммы складываются.

Частые ошибки

• «Продолжая пользоваться сайтом, вы соглашаетесь» — пассивная формулировка, не активное действие. С сентября 2025 года — не согласие.
• Единственная кнопка «ОК» — нет возможности отказаться, выбор несвободный.
• Кнопка «Принять» яркая, «Отклонить» спрятана — Роскомнадзор считает такое давление нарушением свободы согласия.
• Счётчики грузятся до клика — данные собраны без согласия, баннер бесполезен.
• Баннер есть, а в политике про cookie ни слова — отдельный штраф за неполную политику.
• Нет способа отозвать согласие — пользователь должен иметь возможность передумать.

Cookie-баннер — лишь один из пунктов, по которым проверяют сайт. Полный список — в статье Как привести сайт в соответствие с 152-ФЗ: чеклист из 9 пунктов. А чтобы не проверять всё вручную, прогоните страницы через автоматический сканер: он покажет, есть ли на сайте баннер, корректны ли формы согласий и доступна ли политика.

Все материалы по теме собраны в хабе Cookie и согласие.