Нужен ли баннер про куки по закону?

Прямой нормы о баннере в законе нет, и слова «куки» в 152-ФЗ тоже нет. Требование выводят из общих правил: если по куки можно определить человека, это персональные данные, и для их обработки нужно основание. Яндекс в условиях Метрики называет куки посетителей персональными данными, а владельца сайта — оператором. Поэтому на практике баннер ставят, а счётчики подключают после согласия.

Можно ли объединить согласие и политику в одной галочке?

С 1 сентября 2025 года закон требует оформлять согласие «отдельно от иных информации и (или) документов», которые человек подтверждает или подписывает. Слов «политика» или «оферта» в тексте нет, и юристы толкуют норму по-разному. Безопасный вариант: отдельная галочка и отдельный текст согласия, политика — отдельной ссылкой.

Можно ли отметить галочку согласия заранее?

Прямого запрета в тексте статьи 9 нет, но его выводят из требования «сознательного» и «однозначного» согласия, а доказывать получение согласия обязан оператор. Яндекс в справочных материалах рекомендует галочку, которую человек отмечает сам. Проверяемых решений суда или антимонопольной службы на эту тему мы не нашли. Советуем не отмечать галочку заранее.

Какой штраф за отсутствие политики конфиденциальности на сайте?

По части 3 статьи 13.11 КоАП: для юридических лиц 30–60 тысяч рублей, для ИП 10–20 тысяч, для должностных лиц 6–12 тысяч. Это рамки по закону, а не цена нарушения: штраф внутри них назначает суд или должностное лицо.

Можно ли использовать аналитику Google на российском сайте?

Прямого запрета в законе нет. Минцифры в письме от 12.05.2025 отнесло такие метрические программы, если они обрабатывают персональные данные, к трансграничной передаче: до её начала нужно уведомить Роскомнадзор.

Куки, согласие и политика на сайте: что требует закон в 2026

Коротко: у владельца сайта три обязанности по закону о персональных данных. Политику в отношении обработки данных нужно опубликовать. Согласие с 1 сентября 2025 года нужно оформлять отдельно от иных документов. О начале обработки нужно уведомить Роскомнадзор. Про куки прямой нормы в законе нет: баннер выводят из общих правил и из условий Яндекс Метрики. Мы разбирали законы, позиции ведомств и юристов на 18 октября 2026 года. Это не юридическое заключение: по вашей ситуации решает юрист.

Что в законе написано прямо, а что толкование

Прямо написано:

политику нужно опубликовать, в том числе на страницах сайта, через которые собирают данные (статья 18.1, часть 2 закона № 152-ФЗ);
согласие должно быть «конкретным, предметным, информированным, сознательным и однозначным», а с 1 сентября 2025 года — оформляться «отдельно от иных информации и (или) документов» (статья 9, часть 1; изменение внёс закон от 24.06.2025 № 156-ФЗ);
доказать, что согласие получено, должен оператор, то есть вы (статья 9, часть 3);
о начале обработки нужно уведомить Роскомнадзор (статья 22);
хранить и обрабатывать данные граждан России с использованием баз за пределами страны нельзя, за узкими исключениями (статья 18, часть 5, в новой редакции с 1 июля 2025 года);
штрафы за каждое из этих нарушений определяет статья 13.11 КоАП.

Толкование, а не норма:

что «отдельно» значит «отдельный документ, не вместе с политикой и офертой» — это трактовка юристов, таких слов в законе нет;
что куки всегда персональные данные и для аналитики всегда нужно согласие — этого в законе нет;
что нельзя заранее отмечать галочку — прямого запрета в статье нет;
что «роботы Роскомнадзора проверяют все сайты, а на исправление дают 10 рабочих дней» — подтверждения в нормативных актах мы не нашли.

Ниже в каждом разделе мы отделяем одно от другого.

Политика

Что требует закон: опубликовать документ с политикой в отношении обработки данных и сведения о требованиях к защите или иным образом обеспечить к нему неограниченный доступ; при сборе через интернет — на сайтах оператора, где идёт сбор. Состав политики закон не задаёт. Роскомнадзор публиковал рекомендации из шести блоков: общие положения; цели; правовые основания; объём и категории данных; порядок и условия обработки; обновление, уничтожение и запросы людей. Они не обязательны.

Не опубликовали политику — штраф по части 3 статьи 13.11 КоАП: для юридических лиц 30–60 тысяч рублей. Где в политике обычно ошибаются, мы разобрали в статье «Политика конфиденциальности для сайта».

Согласие

Что изменилось с 1 сентября 2025 года: в статье 9 появилось требование оформлять согласие «отдельно от иных информации и (или) документов», которые человек подтверждает или подписывает. Политику, договор и оферту норма не называет. Юристы читают её так:

Гарант (в сентябре 2025): нельзя объединять согласие с другими документами, в том числе с договором, офертой и политикой; требование касается данных, которые собирают через формы на сайте;
адвокат на юридическом портале ППТ (в сентябре 2025): галочка допустима, если рядом ясно написан текст согласия, а одна галочка сразу на согласие и оферту недопустима;
официального разъяснения Роскомнадзора или Минцифры по этой поправке мы не нашли.

Практика, которая выдержит обе трактовки:

Отдельная галочка именно на согласие, не отмеченная заранее.
Рядом — ссылка на текст согласия, который открывается отдельной страницей. Политика — отдельной ссылкой, не внутри этого же текста.
Для разных целей — разные согласия: заявка, рассылка, отзывы с именем человека.
Согласие на рекламную рассылку — отдельное по закону о рекламе (статья 18): реклама по сетям электросвязи, в том числе по телефону, допускается только с предварительного согласия адресата.
Хранить подтверждение: время, версию текста, форму. Закон способ фиксации не задаёт, но доказывать обязаны вы. Обычно подходят журналы формы и записи в системе учёта заявок.

Что должно быть в согласии: общие требования части 1 статьи 9. Если закон требует именно письменное согласие, в нём нужны девять групп сведений (часть 4), в том числе данные человека, оператора, цель, перечень данных, действия с данными, срок действия и способ отзыва. Какая из частей применима к обычной галочке в форме заявки, закон прямо не говорит.

Для несовершеннолетних: в статье 9 прямо урегулирован только случай недееспособного человека. Один из юристов советует брать согласие у законного представителя, пока человеку нет 18 лет, но официальной позиции мы не нашли.

Согласия, полученные до 1 сентября 2025 года: прямого правила нет. Юристы пишут, что они остаются действительными.

Куки

Прямо: слова «куки» нет ни в законе, ни в найденных актах Роскомнадзора и Минцифры. Официальных документов, которые прямо называют куки персональными данными или требуют баннер, мы не нашли. Юристы тоже пишут, что прямого требования разместить баннер в законе нет, а обязанность получить согласие выводят из общих правил.

Откуда берётся практика:

Персональные данные — любая информация, относящаяся к прямо или косвенно определяемому человеку (статья 3). Куки, которые помогают узнать посетителя, под это подпадают.
По условиям Яндекс Метрики (версия августа 2026 года) в отношении данных посетителей, включая куки, владелец сайта — оператор, а Яндекс — обработчик. Владелец гарантирует, что у него есть основание обрабатывать и передавать данные и что посетители уведомлены.
Справка Метрики предлагает показать уведомление и отложить загрузку счётчика до согласия посетителя. За соответствие предложенного текста закону Яндекс не отвечает.
Согласие — не единственное основание обработки по статье 6: есть договор, законные интересы оператора, статистические цели с обезличиванием. Вывод «для аналитики всегда нужно согласие» — толкование, хотя почти все блоги пишут именно так.
Баннеры вида «продолжая пользоваться сайтом, вы соглашаетесь» юристы считают слабым вариантом. Прямая норма «бездействие не считается согласием» в законе есть только для согласия на распространение данных (статья 10.1). Решений суда о штрафе именно за куки мы не нашли.

Что мы делаем на этом сайте:

плашка про куки с двумя одинаково заметными кнопками: «Принять» и «Только необходимые»;
счётчик Метрики с Вебвизором подключается только после «Принять» (это проверяется автоматически);
плашку можно снова открыть из подвала: если человек передумал и отказался, мы стираем куки счётчика;
галочка согласия в формах не отмечена заранее, согласие и политика — на отдельных страницах;
формы защищает российская капча Яндекса.

Это не образец для всех: каждый сайт устроен по-своему.

Штрафы

Суммы ниже — рамки по статье 13.11 КоАП (редакция от 04.08.2026), а не цена нарушения. Суд или должностное лицо назначает штраф внутри рамки или выносит предупреждение.

Нет политики (часть 3): юридические лица 30–60 тысяч рублей, ИП 10–20 тысяч, должностные лица 6–12 тысяч.
Обработка без законного основания (часть 1): юридические лица 150–300 тысяч.
Нет письменного согласия, когда оно обязательно (часть 2): юридические лица 300–700 тысяч; повтор (часть 2.1) — 1–1,5 миллиона.
Не уведомили Роскомнадзор или опоздали (часть 10, с 30.05.2025): юридические лица и ИП 100–300 тысяч.
Нарушение локализации (часть 8): юридические лица и ИП 1–6 миллионов, повтор — 6–18 миллионов.
Утечки (части 11–18): от нескольких миллионов до штрафов в процентах от выручки.

Три уточнения, которых нет в большинстве блогов:

Штрафы по части 2 выросли не в 2025 году, а с 22 декабря 2023 года (закон № 589-ФЗ). С 30 мая 2025 года изменилась часть 1 и появились части 10–18 (закон № 420-ФЗ).
Для ИП по частям 1 и 2 отдельной строки в статье нет: вероятно, применяют диапазон должностного лица, но это вывод из двух норм, а не готовая строка закона.
Какая часть применяется к обычной галочке на сайте, из найденных материалов неясно.

Уведомление Роскомнадзора

Статья 22: уведомить нужно до начала обработки. Исключений только три: государственные системы безопасности, обработка исключительно без средств автоматизации и транспортная безопасность. Сайт с формой заявок обрабатывает данные автоматизированно и под исключения обычно не подпадает, но уточните у юриста. Подать можно на бумаге, с электронной подписью или через Госуслуги. Штраф за неподачу — часть 10 статьи 13.11 (выше).

В уведомлении указывают цели, меры защиты, ответственного, есть ли трансграничная передача и где находится база данных граждан России.

Иностранные сервисы на сайте

Локализация (статья 18, часть 5): запись, хранение и извлечение данных граждан России при сборе с использованием баз за границей не допускаются. Минцифры в письме от 12.05.2025 разъясняет, что речь о хранении и уточнении данных в базах на территории России.
Трансграничная передача (статья 12): до начала передачи нужно уведомить Роскомнадзор. Минцифры в том же письме относит к ней использование метрических программ, таких как аналитика Google, если они обрабатывают персональные данные.
Что спорно: капча Google (юрфирма сообщает об ответе Роскомнадзора от 27.08.2026, что капча не обрабатывает персональные данные (оригинала ответа мы не видели); блоги утверждают обратное), шрифты Google, встраивание видео, формы Google. Официальных документов по ним мы не нашли.
Практика: перенести шрифты и скрипты на свой сервер, использовать российскую аналитику и капчу, а про оставшиеся иностранные сервисы спросить юриста.

Проверки Роскомнадзора

Что подтверждено: порядок контроля описан в Положении о федеральном государственном контроле (постановление № 1046). Положение допускает наблюдение за соблюдением требований в интернете без взаимодействия с оператором; при нарушении оператору могут направить требование или предостережение.

Что не подтверждено:

«10 рабочих дней на исправление сайта» — в Положении такой срок установлен для требования уточнить, заблокировать или уничтожить недостоверные или незаконно полученные данные, а не для любого исправления;
«автоматические роботы проверяют все сайты» — это пересказ блогов, официального подтверждения мы не нашли.

В июле 2026 года Роскомнадзор предупредил о фальшивых письмах «об автоматическом анализе сайта»: настоящие письма подписаны электронной подписью, которую можно проверить на Госуслугах.

Типовым нарушением Роскомнадзор называет обработку без согласия или иного основания (региональная страница ведомства, второй квартал 2026 года).

Чек-лист из 12 пунктов

Политика есть и открывается со страниц, где собирают данные: форма, регистрация, оформление заказа.
Галочка согласия не отмечена заранее и ведёт на отдельный текст согласия.
Согласие не склеено с политикой, офертой и пользовательским соглашением.
Согласие на рассылку — отдельное.
Подтверждение хранится: дата, время, версия текста.
Баннер про куки даёт отказаться; счётчики и реклама до согласия не грузятся.
Выписаны все сторонние скрипты (аналитика, шрифты, карты, видео, капча, виджеты), и понятно, где они хранят данные.
Уведомление Роскомнадзора подано, место хранения базы данных известно.
В политике указаны цели, сроки, способ отзыва, ответственный.
Письмо «от Роскомнадзора» проверено на подлинность.
Все формы, где пишут дети или родители, вы показали юристу.
Раз в квартал вы сверяетесь с изменениями закона.

Политику, согласия и куки на вашем сайте мы можем проверить сами: бесплатная проверка сайта на 152-ФЗ и правовой аудит. Что мы смотрим, написано на страницах.

Источники

Закон о персональных данных: 152-ФЗ в Консультанте; изменение статьи 9: закон от 24.06.2025 № 156-ФЗ.
Штрафы: статья 13.11 КоАП в Консультанте.
Письмо Минцифры от 12.05.2025 № П25-44929: текст.
Яндекс: условия использования Метрики и справка «Предупреждение о сборе статистики».
Роскомнадзор: страница для операторов и порядок уведомления.

Вопросы и ответы

Нужен ли баннер про куки по закону?: Прямой нормы о баннере в законе нет, и слова «куки» в 152-ФЗ тоже нет. Требование выводят из общих правил: если по куки можно определить человека, это персональные данные, и для их обработки нужно основание. Яндекс в условиях Метрики называет куки посетителей персональными данными, а владельца сайта — оператором. Поэтому на практике баннер ставят, а счётчики подключают после согласия.
Можно ли объединить согласие и политику в одной галочке?: С 1 сентября 2025 года закон требует оформлять согласие «отдельно от иных информации и (или) документов», которые человек подтверждает или подписывает. Слов «политика» или «оферта» в тексте нет, и юристы толкуют норму по-разному. Безопасный вариант: отдельная галочка и отдельный текст согласия, политика — отдельной ссылкой.
Можно ли отметить галочку согласия заранее?: Прямого запрета в тексте статьи 9 нет, но его выводят из требования «сознательного» и «однозначного» согласия, а доказывать получение согласия обязан оператор. Яндекс в справочных материалах рекомендует галочку, которую человек отмечает сам. Проверяемых решений суда или антимонопольной службы на эту тему мы не нашли. Советуем не отмечать галочку заранее.
Какой штраф за отсутствие политики конфиденциальности на сайте?: По части 3 статьи 13.11 КоАП: для юридических лиц 30–60 тысяч рублей, для ИП 10–20 тысяч, для должностных лиц 6–12 тысяч. Это рамки по закону, а не цена нарушения: штраф внутри них назначает суд или должностное лицо.
Нужно ли уведомлять Роскомнадзор об обработке персональных данных?: Да, почти всем операторам, которые обрабатывают данные автоматизированно, например принимают заявки через форму. Исключений три: государственные системы безопасности, обработка исключительно без средств автоматизации и транспортная безопасность. Не подали или опоздали — штраф 100–300 тысяч рублей для юридических лиц и ИП по части 10 статьи 13.11 КоАП.
Можно ли использовать аналитику Google на российском сайте?: Прямого запрета в законе нет. Минцифры в письме от 12.05.2025 отнесло такие метрические программы, если они обрабатывают персональные данные, к трансграничной передаче: до её начала нужно уведомить Роскомнадзор.