Стоматологическая клиника ставит на сайт Яндекс.Метрику, чтобы понимать, с какой рекламы приходят пациенты, и пиксель для ретаргетинга. Через пару недель администратор спрашивает разработчика: «А нам нужна эта плашка про куки, как у всех?» Разработчик отвечает: «Вроде по закону нет». И формально он прав. Но вопрос стоит шире.
Что написано в законе, а что нет
В 152-ФЗ нет статьи, которая обязывала бы показывать баннер с кнопками «Принять» и «Отказаться». Это важно понимать, чтобы не пугать себя несуществующей нормой.
При этом закон определяет персональные данные очень широко: любая информация, относящаяся к прямо или косвенно определяемому человеку. Счётчики аналитики собирают IP-адрес и идентификаторы cookie, и РКН трактует это как обработку ПДн. А раз это обработка, на неё распространяются обычные требования: человек должен знать, что с ним происходит, и в политике это должно быть описано.
Отдельно действует практика надзора. С 2025 года РКН ведёт автоматизированный мониторинг сайтов, и один из пунктов, которые проверяют скрипты, это уведомление о cookie и аналитике. Как устроен такой мониторинг, мы описали в статье про робота РКН.
Итог для клиники: закон прямо не требует баннер, но РКН ожидает его увидеть. Уведомление с возможностью отказаться снижает риск претензии, а стоит недорого.
Два разных документа
Их часто путают, хотя задачи у них разные.
Уведомление (баннер). Короткий текст при первом заходе: сайт использует cookie, для чего, где подробности, как отказаться. Это то, что видит посетитель.
Политика cookie. Полный текст: какие файлы ставятся, какими сервисами, зачем и как ими управлять. Это то, куда ведёт ссылка из баннера. Можно оформить отдельной страницей или разделом в политике обработки ПДн. Отдельная страница удобнее: на неё легко сослаться, и её не нужно искать на двадцатом экране общей политики.
Категории cookie на примере клиники
Хороший баннер делит cookie хотя бы на три группы. Вот как это выглядит для сайта стоматологии:
| Категория | Что это у клиники | Можно ли отключить |
|---|---|---|
| Необходимые | Сессия формы записи, запоминание выбранного филиала, защита от спама | Нет, без них сайт не работает |
| Аналитика | Метрика, вебвизор, карта кликов | Да |
| Маркетинг | Пиксели рекламных кабинетов, ретаргетинг | Да |
Иногда выделяют ещё функциональные cookie (язык, размер шрифта, тема), но для небольшого сайта трёх групп достаточно.
Как сделать уведомление нормально
Что должно быть:
- одна-две фразы о том, что сайт использует cookie и для чего;
- ссылка на политику cookie;
- кнопка согласия и рядом столь же заметная возможность отказаться от аналитики и маркетинга;
- окно, которое не перекрывает весь экран и не мешает записаться на приём.
Чего лучше не делать:
- оставлять только «Принять» или «Понятно» без выбора;
- ставить заранее включённые переключатели для необязательных категорий;
- закрывать контент баннером, пока человек не согласится;
- запускать аналитику и пиксели сразу при загрузке, ещё до ответа посетителя.
Последний пункт технический, и о нём забывают чаще всего. Если Метрика стартует до клика, кнопка «Отказаться» ничего не меняет. Попросите разработчика подключать необязательные скрипты только после согласия и проверьте это в браузере: откройте сайт в окне инкогнито, откажитесь и посмотрите, какие cookie сохранились.
Простой вариант текста:
Мы используем cookie: необходимые для работы сайта, а также для аналитики и рекламы, если вы не против. Подробности в политике cookie (ссылка на страницу). Принять все / Только необходимые / Настроить
Что написать в политике cookie
Разделы, без которых документ не работает:
- Кто оператор: название или ФИО ИП, ИНН, контакт для обращений.
- Что такое cookie, простыми словами.
- Список категорий с конкретными сервисами, целями и сроками хранения.
- Основания: для необходимых cookie работа сайта, для аналитики и рекламы согласие посетителя.
- Как отозвать согласие на сайте и как удалить cookie в браузере.
- Кому передаются данные: сервисы аналитики и рекламы получают их напрямую.
- Дата редакции.
Список сервисов должен совпадать с тем, что реально стоит на сайте. Добавили новый пиксель: обновили политику. Если клиника в марте убрала вебвизор, а в политике он остался, это мелочь. Если наоборот, это уже обработка, о которой посетителю не сказали.
Если среди посетителей есть жители ЕС
Загородный отель, который принимает гостей из Европы и показывает им рекламу, может попасть под GDPR: он действует экстерриториально для тех, кто предлагает услуги людям в ЕС или отслеживает их поведение. Там требования к согласию на cookie строже, и баннер с выбором категорий становится практически обязательным. Сравнение двух режимов есть в статье GDPR и 152-ФЗ.
Быстрая проверка своего сайта
- При первом заходе появляется уведомление о cookie
- В нём есть возможность отказаться, а не только согласиться
- Необязательные категории выключены по умолчанию
- Метрика и пиксели не загружаются до согласия
- Ссылка из баннера открывает политику cookie
- В политике перечислены те сервисы, что стоят на сайте сейчас
- В общей политике обработки ПДн есть ссылка на раздел о cookie
Уведомление о cookie входит в комплект документов на /pdn.html вместе с политикой и отдельным согласием.