Короткий ответ
Да, в большинстве случаев нужен — если ваш сайт собирает cookies, IP-адреса или другие идентификаторы устройства, которые позволяют связать действия пользователя с конкретным человеком, это обработка персональных данных по 152-ФЗ. А любая обработка ПДн требует согласия.
Но есть нюансы.
Что говорит закон
В 152-ФЗ нет слова «cookie». Но есть определение персональных данных: любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.
Cookies сами по себе — обезличенный набор символов. Но как только сайт сопоставляет cookie с действиями пользователя (Яндекс.Метрика, Google Analytics, профиль в личном кабинете), а особенно — связывает его с e-mail, телефоном или платежом, этот идентификатор становится персональными данными.
Подтверждение — позиция Роскомнадзора и судебная практика последних лет: cookies, идентифицирующие пользователя, относятся к ПДн.
Чем отличается от GDPR
В Европе по GDPR cookie-баннер обязателен, согласие должно быть явным и информированным до загрузки трекеров. Поэтому на европейских сайтах вы видите модальные окна с кнопками «Принять» и «Отклонить».
В России требования мягче, но тренд тот же:
- Согласие нужно получить до начала обработки ПДн
- Использование счётчиков и пикселей соцсетей должно быть указано в Политике обработки ПДн с конкретными названиями
- Пользователь должен иметь право отказаться и потребовать удаления своих данных
Что должно быть на сайте
Минимум, который снимает большую часть рисков:
- Cookie-уведомление при первом заходе — короткий баннер «Сайт использует cookies. Подробнее в Политике обработки ПДн» с кнопкой «Согласен»
- Политика обработки ПДн на постоянной ссылке
/privacy— с явным перечислением всех счётчиков, которые установлены на сайте - Возможность отозвать согласие — обычно через форму обратной связи или e-mail для запросов субъектов ПДн
- Чекбоксы согласия под каждой формой, где собираются дополнительные ПДн (имя, телефон, e-mail). Готовые чекбоксы →
Конкретные находки на проверках РКН
Что чаще всего находят в ходе проверок сайтов:
- Не указан Яндекс.Метрика в Политике — нарушение ст. 18.1 152-ФЗ
- Установлен Google Analytics без согласия — плюс трансграничная передача (ещё один штраф)
- Нет cookie-баннера при том, что есть рекламные пиксели VK / myTarget
- Cookie-баннер с предотмеченным «Согласен» — согласие считается недействительным (ст. 9 ч. 4)
Что использовать
Простой cookie-баннер можно реализовать одним блоком с двумя кнопками. Главное — не загружать трекеры (Метрика, GA) до клика на «Согласен». Многие готовые библиотеки cookie-баннеров (cookieconsent, klaro) умеют это из коробки.
Что проверить прямо сейчас
Запустите бесплатную проверку сайта — наш сканер покажет:
- есть ли на сайте cookie-баннер;
- предотмечены ли чекбоксы (нарушение);
- какие сторонние счётчики и пиксели установлены;
- упомянуты ли они в вашей Политике обработки ПДн.
Отчёт за 30 секунд.