Сайтам закрутили гайки: почему за файлы cookie теперь можно получить штраф до 700 000 ₽

На фоне паспортизации доменов предприниматели часто упускают из виду скромный, но взрывоопасный технический нюанс — файлы cookie (куки) и счетчики веб-аналитики.

На самом деле сбор cookie без реального согласия пользователей был незаконным и раньше. Однако долгие годы весь рынок относился к этому как к формальности: внизу страницы размещали плашку «Оставаясь на сайте, вы соглашаетесь...» просто «для галочки», а код Яндекс Метрики работал в фоновом режиме. Сейчас за такую пассивную схему можно получить штраф. Разбираемся, как техническая мелочь превратилась в юридический риск, почему банки продолжают игнорировать жесткие правила и стоит ли повторять их опыт.

Главный парадокс: в законах нет слова «куки»

В российском законодательстве действительно нет ни одного нормативного акта, в котором фигурировало бы слово «cookie» или фраза «баннер согласия». Однако суды и Роскомнадзор применяют две железобетонные статьи базового Федерального закона № 152-ФЗ «О персональных данных»:

1. Пункт 1 статьи 3: персональные данные — это любая информация, прямо или косвенно определяющая физическое лицо. Идентификаторы систем веб-аналитики (идентификатор клиента, IP-адрес, цифровой отпечаток устройства) позволяют выделить конкретного человека, изучить его поведение и настроить таргетинг. Еще в мае 2016 года Девятый арбитражный апелляционный суд (постановление № 09АП-17574/2016) окончательно признал, что файлы cookie — это персональные данные.
2. Часть 1 статьи 9: согласие пользователя должно быть «конкретным, предметным, информированным, осознанным и однозначным».

Именно из этой формулировки регулятор делает вывод о неправомерности привычных уведомлений «для галочки»:

1. «Осознанное и однозначное» — это осознанный клик по кнопке «Согласен». Пассивный скроллинг или просто факт нахождения на странице волеизъявлением не считаются.
2. «Конкретное и предметное» — у посетителя должно быть право отказаться от рекламных и маркетинговых трекеров, сохранив доступ к функционалу ресурса (техническим сессиям).

Техническая ловушка: почему больше не работает «оставаться на сайте»

Большинство сайтов работают по старинке: человек заходит на страницу, тут же загружается скрипт Яндекс Метрики, который отправляет его Client ID и IP на серверы Яндекса. И только потом где-то внизу появляется плашка с кнопкой «Понятно».

В чем нарушение? Данные были отправлены на внешнюю платформу до того, как человек выразил свое согласие. Инспектору Роскомнадзора не нужно запрашивать исходный код — факт фоновой отправки фиксируется за 10 секунд через вкладку «Сеть» (Network) в консоли браузера.

Цена вопроса по ст. 13.11 КоАП РФ (Кодекса об административных правонарушениях):

1. Обработка данных без согласия (ч. 2): для ИП — от 100 000 до 300 000 ₽, для юрлиц — от 300 000 до 700 000 ₽ (до 1,5 млн ₽ при повторном нарушении).
2. Неподача уведомления в Роскомнадзор о статусе оператора персональных данных (ч. 10): штраф до 300 000 ₽.

Что позволено Юпитеру: почему банки и гиганты используют простые плашки?

Зайдите на сайты крупнейших федеральных банков — у большинства висит лаконичная строка: «Мы используем cookie, оставаясь на сайте, вы соглашаетесь...» без кнопок отказа.

Почему корпорации так делают:

1. Юридический щит (договор вместо согласия): Закон № 152-ФЗ разрешает сбор данных на основании исполнения договора. Банки прописывают сбор данных в Пользовательском соглашении и Оферте сайта. Нажатие на любую кнопку они трактуют как акцепт договора, а баннер используют просто как памятку.
2. Собственная инфраструктура: Многие крупные экосистемы не передают данные сторонним сервисам. Они используют собственные серверные счетчики. Передача данных третьим лицам не осуществляется — данные циркулируют внутри организации, с которой у клиента уже есть договорные отношения.
3. Бизнес-риски против конверсии: Интерактивный блокирующий баннер с выбором снижает конверсию на первом экране до 15–20 %. Банки сознательно идут на юридический риск, понимая, что штатные юристы могут годами оспаривать предписания в судах. У малого бизнеса таких ресурсов нет.

Реальная судебная практика: когда приходит штраф?

массовой «ковровой» раздачи протоколов исключительно за использование файлов cookie в стране пока нет. Ежегодно суды выносят 500–600 решений по ст. 13.11 КоАП РФ, и дела только по счетчикам Метрики составляют малую долю.

Обычно штраф за использование файлов cookie не приходит сам по себе — он «прилагается» в следующих ситуациях:

1. Жалоба от недовольного клиента или конкурента. Обиженный пользователь пишет заявление в Роскомнадзор, и ведомство начинает комплексную проверку ресурса.
2. Цепочка нарушений: инспектор открывает сайт, фиксирует фоновый сбор Метрики до клика, видит отсутствие кнопки отказа, проверяет Политику конфиденциальности (в которой нет описания типов файлов cookie) и выясняет, что компания даже не числится в реестре операторов персональных данных.

Типичный прецедент из практики: за отсутствие подробного описания файлов cookie и передачу данных в сторонние пиксели и виджеты чатов интернет-магазины получают комплексные штрафы на сотни тысяч рублей — в общей сложности на организацию и должностное лицо.

Стоит ли паниковать малому и среднему бизнесу?

Если у вашего сайта высокий уровень юридической грамотности и порядок с документами, Роскомнадзор с большой долей вероятности сначала применит мягкий подход, а не выпишет штраф сразу. Для этого есть три причины:

1. Отсутствие злого умысла: когда инспектор видит размещенную Политику конфиденциальности, корректное согласие на обработку персональных данных и понятное описание сбора файлов cookie, отсутствие кнопок выбора на баннере воспринимается как техническая недоработка, а не как намеренный скрытый сбор данных.
2. Действующий мораторий на проверки бизнеса: внеплановые проверки малого и среднего бизнеса требуют согласования с прокуратурой, на что надзорные органы идут неохотно, если речь идет о мелких формальностях. Чаще всего реакцией на обращение становится профилактический визит или официальное предписание с требованием устранить нарушения в срок от 10 до 30 дней.
3. Замена штрафа на предупреждение на первый раз: согласно статье 4.1.1 КоАП РФ, для субъектов малого и среднего предпринимательства, а также их сотрудников действует прямое правило: если административное правонарушение совершено впервые и не нанесло реального ущерба (не привело к утечке чувствительных данных или вреду гражданам), контролирующий орган или суд обязаны заменить административный штраф на официальное предупреждение.

Для локального проекта с трафиком 20–30 человек в сутки вероятность попасть под прицел крайне мала. Однако риски многократно возрастают, если вы привлекаете масштабный платный трафик из Директа, собираете лиды с помощью викторин и форм или работаете в высококонкурентных сегментах, где жалобы пишут конкуренты.

Дилемма маркетинга: включить выбор, рискнуть или настроить Метрику вручную?

Внедрение строгого баннера создает серьезную проблему для контекстной рекламы: пока пользователь не нажмет «Принять», Метрика не зафиксирует его посещение. Сессия прерывается, автостратегии недополучают данные для обучения, а аналитика «слепнет».

Как бизнесу выйти из этой ситуации:

1. Вариант 1. Жесткий комплаенс (согласие до старта):Настроить интерактивный баннер («Принять» / «Отклонить»). По умолчанию счетчик полностью заблокирован. Код Метрики инициализируется только в тот момент, когда пользователь нажимает на кнопку «Принять». Риск штрафа нулевой, но часть аналитики будет обрезана.
2. Вариант 2. Оставить фоновый сбор под свою ответственность: Если маркетинг критически важен, а терять трафик нельзя, обязательно обеспечьте базовые меры защиты: подайте официальное уведомление в Роскомнадзор о статусе оператора персональных данных, разместите актуальную Политику с перечнем всех cookie-файлов и установите корректные чекбоксы во всех формах сбора заявок. Это позволит при первой проверке избежать крупного штрафа и отделаться предупреждением.

Не уверены, что на вашем сайте правильно настроены счетчики, формы и баннеры? Напишите нам в личные сообщения — мы бесплатно проверим ваш сайт на соответствие законодательству о персональных данных и покажем, где есть риски штрафов. А заодно настроим стабильный поток целевых клиентов без технических сбоев.

Наш сайт

Подписывайтесь на наш Telegram-канал, там много актуального про маркетинг

Мы в MAX
По вопросам продвижения можно написать сюда или в MAX