ФАЙЛЫ КУКИ И ПЕРСОНАЛЬНЫЕ ДАННЫЕ: ЧТО НУЖНО САЙТУ В 2026 ГОДУ

Файл куки — небольшой набор данных, который сайт или подключённый сервис сохраняет в браузере пользователя. При следующих запросах браузер может передавать это значение обратно. Так сайт узнаёт сессию, запоминает настройки, различает посещения и поддерживает отдельные функции.

Похожие задачи могут решаться и через локальное хранилище браузера (localStorage), другие идентификаторы устройства и параметры сетевого запроса. Для юридической оценки важен не формат хранения, а сведения и операции с ними.

ТИПОВЫЕ ЗАДАЧИ

• Сессия и авторизация. Сохранение состояния пользователя между страницами.
• Настройки сайта. Язык, регион, содержимое корзины или другие выбранные параметры.
• Аналитика. Различение посетителей, визитов, источников и действий на сайте.
• Реклама. Формирование аудиторий, измерение рекламы и сопоставление действий.
• Сторонние виджеты. Чаты, карты, видео, платёжные и другие внешние компоненты могут устанавливать свои идентификаторы.

Статья 3 Федерального закона № 152-ФЗ относит к персональным данным любую информацию, относящуюся к прямо или косвенно определённому или определяемому физическому лицу. Поэтому нельзя заранее сказать, что любой файл куки всегда является персональными данными или, наоборот, никогда ими не является.

Риск возникает, когда идентификатор используется вместе с другими сведениями и позволяет выделить конкретного посетителя, связать его визиты, действия, устройство, учётную запись, заявку или покупку.

ЧТО СТОИТ ПРОВЕРИТЬ

1. Есть ли в браузере уникальный или устойчивый идентификатор посетителя.
2. Связываются ли с ним история визитов, события, страницы, покупки или заполнение форм.
3. Передаются ли сведения сторонней системе аналитики или рекламы.
4. Можно ли сопоставить технический идентификатор с учётной записью, телефоном, адресом электронной почты или другим человеком.
5. Как долго идентификатор и связанные с ним сведения хранятся.

Для общей картины полезно сначала разобрать какие персональные данные вообще обрабатываются на сайте. Тогда файлы куки можно оценивать как один из каналов сбора и связывания информации.

Универсальный ответ «баннер нужен всем» слишком грубый. Закон требует определить правомерность обработки персональных данных, выполнить обязанности оператора и при необходимости получить согласие. Интерфейс сайта должен отражать именно эту юридическую модель.

Если сайт использует только механизмы, которые не создают обработку персональных данных, ситуация отличается от сайта с аналитикой, рекламными идентификаторами, профилированием и несколькими внешними платформами.

КОГДА БАННЕР СТАНОВИТСЯ ОСОБЕННО ВАЖНЫМ

• сайт передаёт сведения о посещениях стороннему сервису;
• используются устойчивые идентификаторы посетителей;
• обрабатываются данные о поведении и источниках перехода;
• владелец сайта выбрал согласие как правовое основание соответствующей обработки;
• подключены рекламные и маркетинговые технологии, которые начинают работу до действия пользователя.

Перед настройкой кнопок определите, какие операции происходят с данными и на каком основании они допустимы. Если для конкретной цели используется согласие пользователя, оно должно соответствовать требованиям статьи 9: быть свободным, конкретным, предметным, информированным, сознательным и однозначным.

С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от иной информации и документов, которые подтверждает или подписывает субъект. Поэтому лучше не смешивать согласие на аналитическую обработку с условиями покупки, офертой или другой юридической конструкцией.

Подробный разбор этой темы уже вынесен в отдельный материал «Согласие на обработку персональных данных на сайте», чтобы эта статья не конкурировала с ним по поисковому интенту.

ЕСЛИ ОСНОВАНИЕМ ВЫБРАНО СОГЛАСИЕ

• пользователь должен понимать, кто обрабатывает данные;
• должна быть ясна конкретная цель;
• действие пользователя должно позволять подтвердить факт получения согласия;
• обработка, для которой запрашивается согласие, логически не должна начинаться раньше самого согласия;
• нужно предусмотреть последствия отзыва и проверить, может ли обработка продолжаться на ином законном основании.

В актуальных условиях использования Яндекс Метрики указано, что счётчик собирает данные о посещениях сайта и данные об устройстве. Яндекс отдельно относит к персональным данным посетителей, в частности, сведения об активности на сайте, файлы куки, данные об устройстве, операционной системе и другие сведения, передаваемые при использовании сервиса.

Для российских пользователей сервиса Яндекс указывает владельца сайта как оператора персональных данных, а Яндекс — как лицо, действующее по поручению оператора в смысле части 3 статьи 6 152-ФЗ. Пользователь Метрики должен обеспечить законность обработки и предоставить посетителям информацию об обработке данных; если применимое законодательство требует согласия, его также нужно получить.

ЧТО ПРОВЕРИТЬ ВЛАДЕЛЬЦУ САЙТА

1. Отражено ли использование Метрики в документах сайта в необходимом объёме.
2. Понимаете ли вы, какие функции Метрики включены и какие сведения они передают.
3. Не попадают ли идентификационные данные в адрес страницы, параметры событий или поля, записываемые средствами аналитики.
4. Соответствует ли фактическая загрузка счётчика выбранной модели уведомления и согласия.
5. Учтены ли дополнительные функции передачи данных, если они используются.

Баннер должен быть частью общей модели обработки, а не декорацией поверх работающих скриптов. Сначала проведите техническую инвентаризацию, затем сформулируйте информацию для пользователя и только после этого настраивайте интерфейс.

ПРАКТИЧЕСКАЯ СТРУКТУРА

• Короткое объяснение. Сообщите, что сайт использует файлы куки и другие браузерные технологии, если это соответствует фактам.
• Цель. Объясните, для чего используются аналитические или иные идентификаторы.
• Ссылка на подробную информацию. Пользователь должен иметь возможность открыть документ с описанием обработки.
• Действие пользователя. Если обработка строится на согласии, действие должно быть отдельным и однозначным.
• Техническое соответствие. Поведение счётчиков и скриптов должно соответствовать выбранному сценарию, а не работать независимо от баннера.

Если файлы куки и связанные с ними сведения входят в реальный процесс обработки персональных данных, эту обработку нужно учитывать в общей юридической модели сайта. В политике обычно важно описать цели, категории данных, способы обработки, получателей или лиц, обрабатывающих данные по поручению, сроки и порядок работы с обращениями в той мере, в какой это относится к конкретному оператору.

Отдельный большой документ только про куки российский 152-ФЗ сам по себе универсально не требует. Владелец сайта может вынести подробности в отдельный раздел или документ, если это делает информацию понятнее и соответствует реальным процессам.

Основные требования к главному документу мы разбираем отдельно в статье «Политика обработки персональных данных для сайта».

ПОЛЕЗНАЯ ВНУТРЕННЯЯ ТАБЛИЦА

• название файла или идентификатора;
• кто его устанавливает;
• назначение;
• какие данные связываются с идентификатором;
• срок действия или хранения;
• кому передаются сведения;
• правовое основание обработки;
• может ли сайт работать без этого механизма.

Такая инвентаризация полезнее общего текста «мы используем куки», потому что помогает сопоставить техническую часть, документы и реальные настройки.

1. Откройте сайт в чистом профиле браузера и посмотрите, какие файлы и идентификаторы появляются до любого действия.
2. Проверьте сетевые запросы и определите внешние домены, куда уходят данные.
3. Составьте список систем аналитики, рекламы, чатов, карт, видео и других внешних компонентов.
4. Сопоставьте технический список с политикой обработки персональных данных.
5. Определите правовое основание для каждого сценария обработки.
6. Если используется согласие, проверьте фактическое поведение сайта до и после действия пользователя.
7. Проверьте возможность подтвердить полученное согласие, если именно на нём основана обработка.
8. После любых изменений аналитики или виджетов повторите инвентаризацию.