До змісту

Cookie-банер

| Стаття: 4 хв читання | Приватність і закон

Cookie-банер — вікно на сайті, у якому відвідувач приймає або відхиляє cookies та подібні технології, що не є суворо необхідними. Для відвідувачів з ЄС такий вибір потрібно робити до того, як сайт почне ставити аналітичні й рекламні cookies, і він має бути справжнім, а не підштовхуванням до кнопки «Прийняти все».

Це не юридична консультація: нижче викладено, що сказано в джерелах, з посиланнями. Правила для ЄС можуть змінитися, див. розділ про Digital Omnibus.

Коли банер потрібен

  • Якщо ви працюєте з відвідувачами в ЄС. Стаття 5(3) Директиви 2002/58/EC дозволяє зберігати інформацію на пристрої користувача й отримувати доступ до неї лише за його згодою, після зрозумілої й повної інформації про цілі. Винятки — технічне зберігання для передачі повідомлення і те, що суворо необхідне для послуги, яку людина явно замовила (Директива 2002/58/EC). Директиву впроваджує національне право кожної країни, тому деталі залежать від країни ЄС, куди ви продаєте.
  • Якщо cookies потрібні лише для роботи сайту (кошик, вхід), згода на них не потрібна, але про них варто розповісти в політиці конфіденційності.
  • Якщо ви лише в Україні: окремої вимоги, як у ЄС, у чинному законі немає, але до обробки персональних даних застосовують загальні вимоги про підстави й інформування, див. персональні дані в Україні. Для остаточної відповіді потрібен юрист.

Що вважається згодою

За GDPR (ст. 4(11)) згода — це добровільне, конкретне, поінформоване й однозначне волевиявлення, вираз у вигляді заяви або чітких активних дій (GDPR). Короткий переказ від EDPB (квітень 2026): згода вільна, лише якщо людина може відмовитися без шкоди; конкретна, тобто за окремими цілями; поінформована; однозначна — мовчання, попередньо поставлені галочки чи бездіяльність згодою не є (EDPB, Consent under GDPR, 2026).

Відкликати згоду має бути так само легко, як її дати (ст. 7(3) GDPR). Компанія має вміти довести, що згоду дано (ст. 7(1)).

Як зробити чесно

  1. До згоди нічого не ставимо. Аналітика, піксель реклами й сторонні віджети не стартують, поки людина не погодилась. Це перевіряється просто: відкрийте сайт у чистому браузері, не натискайте нічого й подивіться, які cookies вже з'явилися.
  2. Кнопка «Відхилити» на першому екрані, рівноцінна кнопці «Прийняти». За звітом EDPB Cookie Banner Taskforce (2023), більшість органів нагляду вважали, що відсутність кнопки відмови на жодному шарі банера не відповідає вимогам до дійсної згоди (EDPB, 2023).
  3. Без попередньо поставлених галочок на другому шарі.
  4. Окремі цілі. «Покращення досвіду» — надто розмите формулювання; розділіть аналітику, рекламу й персоналізацію (EDPB, 2026).
  5. Простий текст: хто збирає, навіщо, як довго, кому передає.
  6. Змінити рішення можна в будь-який момент. Taskforce радить постійно видиму іконку або посилання на помітному місці (але конкретну форму не нав'язує).
  7. Передайте рішення в аналітику й рекламу: Google Consent Mode передає вибір людини тегам Google, але сам згоду не збирає.

Типові порушення

За настановами EDPB та звітом Taskforce:

  • Cookie wall: вміст закритий, поки не натиснеш «Прийняти». EDPB у Guidelines 05/2020 вважає, що така згода не вільна (п. 40, EDPB, 2026).
  • Прокрутка як згода. Прокручування сторінки не є чіткою активною дією (п. 86, там само).
  • Відмова — дрібне посилання в тексті або поза банером, без візуального виділення (Taskforce, п. 14).
  • Кнопка відмови, текст на якій майже не видно. Taskforce наголошує, що єдиного стандарту кольору чи контрасту немає, оцінка йде в кожному випадку, але нечитабельна кнопка явно вводить в оману (п. 17–18).
  • «Законний інтерес» у другому шарі для реклами й профілювання, через що людина мусить відмовлятися двічі. Taskforce також зазначив, що підставою для запису чи читання cookies не може бути законний інтерес (п. 22–24).
  • Аналітика чи реклама, записані як «необхідні». Taskforce фіксує цю практику як порушення (п. 26).

Штрафів у цій статті не називаємо: розмір залежить від країни й випадку. Максимуми GDPR описано в статті про GDPR.

Що з цим робить Digital Omnibus

У листопаді 2025 року Єврокомісія запропонувала перенести правила про cookies у GDPR, дозволити відмову одним кліком і пам'ятати вибір щонайменше шість місяців, дозволити налаштування згоди в браузері та зняти вимогу згоди для низки низькоризикових випадків, наприклад підрахунку відвідувань (Єврокомісія, Digital Package FAQ). EDPB і EDPS у спільній думці 2/2026 (10 лютого 2026) підтримали мету, але попередили про правову невизначеність через розділення правил між двома актами (EDPB-EDPS, 2026).

Станом на кінець жовтня 2026 це лише пропозиція. За юридичним оглядом, Coreper затвердив мандат Ради 21 жовтня 2026 року (Рада залишила правила про cookies у ст. 5(3) Директиви ePrivacy), а Європарламент своєї позиції ще не ухвалив (Legal247). Тобто чинні правила діють без змін.

FAQ

Чи обов'язковий cookie-банер для інтернет-магазину? Для відвідувачів з ЄС, якщо ви ставите cookies, які не є суворо необхідними, так: потрібна їхня згода. Лише необхідні cookies згоди не потребують.

Чи можна показувати банер без кнопки «Відхилити»? Більшість органів нагляду в Taskforce 2023 року вважала, що це не відповідає вимогам до дійсної згоди.

Чи можна заблокувати сайт, якщо людина не погодилась? EDPB вважає cookie wall такою, що не дає вільної згоди.

Скільки зберігати вибір відвідувача? Єдиного строку чинні джерела не називають. Шість місяців — це строк із пропозиції Єврокомісії, яка ще не є законом.

Чи потрібен банер, якщо я використовую лише Google Analytics? Так, якщо це cookies або схожа технологія на пристрої відвідувача з ЄС: аналітика до «суворо необхідних» не належить.

Пов'язані терміни

Джерела

Поділитися

Читайте також

  • Продажі за кордон з України: логістика, мита, платежі

    | Стаття: 4 хв читання

    Cross-border e-commerce (міжнародна онлайн-торгівля) — це продаж товарів покупцям в іншій країні через власний сайт чи майданчик. Для українського магазину це означає три окремі задачі: довезти товар через кордон, правильно пройти мито і податки країни…

  • Персональні дані в Україні

    | Стаття: 4 хв читання

    Персональні дані в українському праві — відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована. Їх обробку регулює Закон України «Про захист персональних даних» від 1 червня 2010 року № 2297-VI. Новий…

  • Повернення товару в інтернет-магазині

    | Стаття: 5 хв читання

    Повернення товару — процес, у якому покупець віддає придбаний товар продавцеві й отримує гроші чи обмін. В Україні права покупця визначає Закон «Про захист прав споживачів», а правила повернення онлайн-покупки залежать від того, чи товар належної якості, і…

  • ПРРО і фіскалізація інтернет-магазину

    | Стаття: 4 хв читання

    ПРРО (програмний реєстратор розрахункових операцій) — програма, зареєстрована на фіскальному сервері податкової, через яку продавець проводить розрахунок і створює розрахунковий документ (фіскальний чек) (Закон № 265/95-ВР, ст. 3). Фіскалізація — передача…