Cookie
и веб-аналитика

§1Когда cookie — персональные данные

Cookie — небольшой файл, который сайт или сторонний скрипт сохраняет в браузере посетителя. В нём обычно лежит случайный идентификатор, например _ym_uid у Яндекс Метрики или _ga у Google Analytics. По идентификатору счётчик узнаёт браузер при повторном визите и связывает все действия посетителя: страницы, клики, время, IP-адрес, модель устройства.

152-ФЗ «О персональных данных»ст. 3, п. 1ред. от 26.07.2026

1) персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

Закон не называет cookie персональными данными прямо. Решает то, можно ли по набору сведений выделить конкретного человека. Отдельный случайный идентификатор этого не позволяет. Идентификатор, связанный с учётной записью, почтой или телефоном, или набор «идентификатор + IP-адрес + история действий», по которому человек выделяется среди других, — позволяет.

Судебная практика в целом исходит из второго. Второй кассационный суд общей юрисдикции в постановлении от 26.12.2022 № 16-9987/2022 по делу сервиса Speedtest отнёс к персональным данным сведения о сетевой активности пользователя, cookie и идентификаторы устройства. Встречаются и решения с противоположным выводом, поэтому проект, который выстраивает работу с cookie как с персональными данными, выбирает более безопасный вариант.

§2Какие cookie требуют согласия

Основание обработки зависит от цели (ст. 6 закона 152-ФЗ, глава 3.2). Cookie, без которых сайт не работает, нужны для исполнения договора с пользователем. Аналитика и реклама к исполнению договора не относятся: для них основание — согласие.

§3Баннер и порядок загрузки

Требования к согласию одинаковы для формы регистрации и для баннера cookie.

152-ФЗ «О персональных данных»ст. 9, ч. 1ред. от 26.07.2026

1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. […] Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных. […]

От последнего пункта зависит, есть ли согласие вообще. Если скрипт счётчика стоит в шаблоне страницы, он ставит cookie и отправляет данные до любого выбора посетителя, и баннер ничего не меняет. Нейросеть вставляет код счётчика в шаблон, потому что так написано в инструкции сервиса аналитики.

const KEY = 'cookie-consent';

function loadMetrika() {
  const s = document.createElement('script');
  s.src = 'https://mc.yandex.ru/metrika/tag.js';
  s.onload = () => ym(COUNTER_ID, 'init', { webvisor: false });
  document.head.append(s);
}

let choice = null;
try { choice = localStorage.getItem(KEY); } catch {}
if (choice === 'all') loadMetrika();
else if (choice === null) showBanner({
  onAccept: () => { localStorage.setItem(KEY, 'all'); loadMetrika(); },
  onReject: () => localStorage.setItem(KEY, 'necessary'),
});

Код счётчика удалён из шаблона и подключается функцией loadMetrika только при сохранённом выборе «Принять». Вебвизор, который записывает действия в формах, выключен: он передаёт в Метрику введённые имена и телефоны, если поля не замаскированы (глава 3.4). Выбор пользователя хранится в браузере; для доказательства согласия сервер записывает время и версию текста баннера в журнал согласий (глава 3.2).

§4Российский и зарубежный счётчик

Счётчики иностранной аналитики Роскомнадзор выявляет автоматическим мониторингом сайтов (глава 1.3). Отдельного штрафа за «Google Analytics» нет; нарушение квалифицируется как обработка без основания или без согласия и как трансграничная передача без уведомления.

§5Раздел о cookie в политике

Политика обработки персональных данных (ст. 18.1, глава 3.3) описывает cookie отдельным разделом. Минимальный состав:

1. Какие cookie и счётчикиНазвание, владелец (Яндекс, VK, сам проект), тип: необходимые, аналитические, рекламные.
2. Какие данные собираютсяИдентификатор, IP-адрес, сведения об устройстве и браузере, действия на сайте.
3. Цели и основанияРабота сайта — договор; статистика и реклама — согласие.
4. Кому передаются и где хранятсяПолучатели, страны для зарубежных сервисов, сроки хранения.
5. Как отказатьсяКнопка изменения выбора на сайте, очистка cookie в браузере.