Куки и персональные данные: что требует 152-ФЗ от владельцев сайтов

Редакция закона о персональных данных изменилась 26 июля 2026 года. Но из доступных материалов нельзя заключить, что Федеральный закон № 265-ФЗ ввёл новые правила для cookie. Владельцу сайта не стоит переделывать баннер из-за одного номера закона. Сначала нужно проверить, какие сведения сайт действительно собирает и на каком основании их обрабатывает.

Проверка касается компаний, на сайтах которых работают аналитические системы, формы заявок, личные кабинеты и другие инструменты идентификации посетителей. Результатом должен стать не формальный баннер, а понятная цепочка: какие сведения собираются, зачем, кому передаются, где хранятся и какое основание разрешает обработку.

Не каждая cookie — персональные данные

Федеральный закон от 27 июля 2006 года № 152-ФЗ относит к персональным данным информацию о прямо или косвенно определённом либо определяемом человеке.

Поэтому значение имеет не название файла cookie, а состав сведений. Если идентификатор вместе с IP-адресом, историей действий, данными формы или учётной записью позволяет выделить посетителя, такую обработку нужно проверять по правилам Федерального закона № 152-ФЗ.

Обратный вывод тоже нельзя делать автоматически. Само наличие cookie ещё не означает, что компания обрабатывает персональные данные. Для квалификации нужно установить, какие сведения записывает конкретный инструмент и можно ли по ним определить человека прямо или косвенно.

Практический шаг: разделите инструменты сайта хотя бы на две группы. В первую включите технические cookie, без которых работает сессия, авторизация или сохранение настроек. Во вторую — аналитику, рекламные идентификаторы, историю действий и данные, которые уходят внешним сервисам. Затем проверьте каждую группу отдельно.

Баннер не заменяет правовое основание

Статья 13.11 КоАП РФ предусматривает ответственность за обработку персональных данных без письменного согласия, когда закон требует именно такую форму согласия. Для юридического лица штраф составляет от 300 000 до 700 000 ₽, при повторном нарушении — от 1 000 000 до 1 500 000 ₽.

Эта норма не означает, что письменное согласие требуется для любой cookie. Сначала компания определяет цель и правовое основание обработки. Только после этого решает, нужно ли согласие, в какой форме его получать и в какой момент запускать сбор данных.

Кнопка «Принять» сама по себе вопрос не закрывает. Текст рядом с ней должен соответствовать фактической работе сайта: какие сведения собираются, для каких целей и кому передаются. Если посетителю предлагают согласиться с одним набором действий, а аналитический сервис получает больше данных, баннер не исправляет расхождение.

Практический шаг: сопоставьте настройки сайта, текст баннера, политику обработки персональных данных и договоры с внешними сервисами. Во всех четырёх местах должны совпадать цели, категории сведений и получатели.

Политика должна описывать реальную обработку

За неопубликованную или недоступную политику обработки персональных данных юридическому лицу грозит штраф от 30 000 до 60 000 ₽ по ст. 13.11 КоАП РФ. За непредоставление человеку информации об обработке его данных штраф составляет от 40 000 до 80 000 ₽.

Разместить на сайте типовой документ недостаточно. Если политика не упоминает работающую аналитику, внешнего получателя или фактический срок хранения, она не объясняет посетителю реальную обработку.

Практический шаг: откройте политику как обычный посетитель. Проверьте, можно ли из неё понять:

• какие сведения получает сайт;
• для чего компания их использует;
• каким сервисам передаёт;
• сколько хранит;
• как человек может отозвать согласие или запросить сведения об обработке.

Если политика доступна только после регистрации либо ссылка на неё не работает, сначала восстановите открытый доступ.

Внешняя аналитика требует проверки передачи и хранения

Подключённый аналитический сервис может получать сведения непосредственно с устройства посетителя. Тогда нужно установить получателя, состав передаваемых данных и место размещения базы.

Статья 13.11 КоАП РФ устанавливает для юридических лиц штраф от 1 000 000 до 6 000 000 ₽ за нарушение требования о хранении персональных данных граждан России с использованием баз данных на территории России. Повторное нарушение влечёт штраф от 6 000 000 до 18 000 000 ₽.

Практический шаг: не ограничивайтесь названием сервиса в панели управления сайтом. Проверьте договор, условия обработки данных, адрес получателя и сведения о размещении баз. Отдельно посмотрите сетевые запросы браузера: они покажут, на какие домены сайт отправляет информацию при первом открытии страницы и после выбора посетителя в баннере.

Если компания считает, что для конкретной аналитики нужно согласие, сбор до его получения следует отключить технически. Одной фразы о согласии недостаточно, когда запросы уже ушли внешнему сервису.

Нужно проверить уведомление Роскомнадзора

За неуведомление уполномоченного органа о намерении обрабатывать персональные данные ст. 13.11 КоАП РФ предусматривает для юридического лица штраф от 100 000 до 300 000 ₽. За неуведомление о неправомерной передаче данных штраф составляет от 1 000 000 до 3 000 000 ₽.

Это разные обязанности. Первая связана с началом обработки, вторая — с инцидентом, который уже произошёл. Наличие политики и баннера не заменяет уведомление, если компания обязана его направить.

Практический шаг: сопоставьте сведения в уведомлении Роскомнадзора с реальной работой сайта. Проверьте цели обработки, категории данных, способы их получения и используемые сервисы. Если после подачи уведомления сайт менялся, прежнее описание может уже не совпадать с фактической обработкой.

Какая редакция закона действует

На 26 июля 2026 года Федеральный закон № 152-ФЗ действует в редакции Федерального закона от 26 июля 2026 года № 265-ФЗ. Доступное исследование подтверждает дату и статус редакции, но не раскрывает, какие положения изменились и относятся ли они к cookie.

Поэтому утверждать, что закон № 265-ФЗ ввёл отдельное согласие на cookie, запретил определённые аналитические инструменты или установил новые обязанности владельцев сайтов, нельзя без текста самих поправок.

Следующая редакция Федерального закона № 152-ФЗ связана с Федеральным законом от 7 июля 2025 года № 200-ФЗ. Она должна применяться с 1 марта 2027 года и пока не вступила в силу.

Практический вывод: сейчас сайт нужно сверять с редакцией закона на 26 июля 2026 года. Изменения, которые начнут действовать 1 марта 2027 года, следует проверить отдельно до этой даты, когда будет установлен их точный объём для конкретной обработки.

Что проверить владельцу сайта сейчас

Первым делом выгрузите cookie и сетевые запросы с трёх участков: главной страницы, формы заявки и личного кабинета. Проверяйте сайт до выбора в баннере и после него — так видно, какие инструменты запускаются автоматически.

Затем составьте реестр:

1. Название cookie или другого идентификатора.
2. Сведения, которые получает инструмент.
3. Цель и срок хранения.
4. Получатель данных.
5. Страна размещения базы.
6. Правовое основание обработки.

Если обнаружены пользовательская аналитика, внешний получатель или зарубежная база, продолжите проверку по трём направлениям: основание обработки, локализация базы и уведомление Роскомнадзора. После этого приведите баннер, политику и технические настройки сайта к одной логике.

Это общий порядок. Вывод по конкретному сайту зависит от состава сведений, настроек сервисов и договоров с их владельцами.