Cookie-баннер

Cookie-баннер — окно на сайте, в котором посетитель принимает или отклоняет cookies и подобные технологии, не являющиеся строго необходимыми. Для посетителей из ЕС такой выбор нужно предоставлять до того, как сайт начнёт ставить аналитические и рекламные cookies, и он должен быть настоящим, а не подталкиванием к кнопке «Принять все».

Это не юридическая консультация: ниже изложено, что сказано в источниках, со ссылками. Правила для ЕС могут измениться, см. раздел о Digital Omnibus.

Когда баннер нужен

• Если вы работаете с посетителями из ЕС. Статья 5(3) Директивы 2002/58/EC разрешает хранить информацию на устройстве пользователя и получать к ней доступ только с его согласия, после понятной и полной информации о целях. Исключения — техническое хранение для передачи сообщения и то, что строго необходимо для услуги, которую человек явно заказал (Директива 2002/58/EC). Директиву внедряет национальное право каждой страны, поэтому детали зависят от страны ЕС, в которую вы продаёте.
• Если cookies нужны только для работы сайта (корзина, вход), согласие на них не требуется, но о них стоит рассказать в политике конфиденциальности.
• Если вы только в Украине: отдельного требования, как в ЕС, в действующем законе нет, но к обработке персональных данных применяют общие требования об основаниях и информировании, см. персональные данные в Украине. Для окончательного ответа нужен юрист.

Что считается согласием

По GDPR (ст. 4(11)) согласие — это добровольное, конкретное, информированное и однозначное волеизъявление, выраженное в виде заявления или чётких активных действий (GDPR). Краткий пересказ от EDPB (апрель 2026): согласие свободно, только если человек может отказаться без ущерба; конкретно, то есть по отдельным целям; информировано; однозначно — молчание, заранее поставленные галочки или бездействие согласием не являются (EDPB, Consent under GDPR, 2026).

Отозвать согласие должно быть так же легко, как его дать (ст. 7(3) GDPR). Компания должна уметь доказать, что согласие дано (ст. 7(1)).

Как сделать честно

1. До согласия ничего не ставим. Аналитика, пиксель рекламы и сторонние виджеты не стартуют, пока человек не согласился. Это проверяется просто: откройте сайт в чистом браузере, ничего не нажимайте и посмотрите, какие cookies уже появились.
2. Кнопка «Отклонить» на первом экране, равноценная кнопке «Принять». По отчёту EDPB Cookie Banner Taskforce (2023), большинство надзорных органов считали, что отсутствие кнопки отказа на каком-либо слое баннера не соответствует требованиям к действительному согласию (EDPB, 2023).
3. Без заранее поставленных галочек на втором слое.
4. Отдельные цели. «Улучшение опыта» — слишком размытая формулировка; разделите аналитику, рекламу и персонализацию (EDPB, 2026).
5. Простой текст: кто собирает, зачем, как долго, кому передаёт.
6. Изменить решение можно в любой момент. Taskforce советует постоянно видимую иконку или ссылку на заметном месте (но конкретную форму не навязывает).
7. Передайте решение в аналитику и рекламу: Google Consent Mode передаёт выбор человека тегам Google, но сам согласие не собирает.

Типичные нарушения

По указаниям EDPB и отчёту Taskforce:

• Cookie wall: содержимое закрыто, пока не нажмёшь «Принять». EDPB в Guidelines 05/2020 считает, что такое согласие не свободно (п. 40, EDPB, 2026).
• Прокрутка как согласие. Прокручивание страницы не является чётким активным действием (п. 86, там же).
• Отказ — мелкая ссылка в тексте или вне баннера, без визуального выделения (Taskforce, п. 14).
• Кнопка отказа, текст на которой почти не виден. Taskforce подчёркивает, что единого стандарта цвета или контраста нет, оценка идёт в каждом случае, но нечитаемая кнопка явно вводит в заблуждение (п. 17–18).
• «Законный интерес» на втором слое для рекламы и профилирования, из-за чего человек вынужден отказываться дважды. Taskforce также отметил, что основанием для записи или чтения cookies не может быть законный интерес (п. 22–24).
• Аналитика или реклама, записанные как «необходимые». Taskforce фиксирует эту практику как нарушение (п. 26).

Штрафов в этой статье не называем: размер зависит от страны и случая. Максимумы GDPR описаны в статье о GDPR.

Что с этим делает Digital Omnibus

В ноябре 2025 года Еврокомиссия предложила перенести правила о cookies в GDPR, разрешить отказ одним кликом и помнить выбор не менее шести месяцев, разрешить настройку согласия в браузере и снять требование согласия для ряда низкорисковых случаев, например подсчёта посещений (Еврокомиссия, Digital Package FAQ). EDPB и EDPS в совместном мнении 2/2026 (10 февраля 2026) поддержали цель, но предупредили о правовой неопределённости из-за разделения правил между двумя актами (EDPB-EDPS, 2026).

По состоянию на конец октября 2026 это лишь предложение. По юридическому обзору, Coreper утвердил мандат Совета 21 октября 2026 года (Совет оставил правила о cookies в ст. 5(3) Директивы ePrivacy), а Европарламент свою позицию ещё не принял (Legal247). То есть действующие правила работают без изменений.

FAQ

Обязателен ли cookie-баннер для интернет-магазина? Для посетителей из ЕС, если вы ставите cookies, которые не являются строго необходимыми, да: нужно их согласие. Только необходимые cookies согласия не требуют.

Можно ли показывать баннер без кнопки «Отклонить»? Большинство надзорных органов в Taskforce 2023 года считало, что это не соответствует требованиям к действительному согласию.

Можно ли заблокировать сайт, если человек не согласился? EDPB считает cookie wall такой, которая не даёт свободного согласия.

Сколько хранить выбор посетителя? Единого срока действующие источники не называют. Шесть месяцев — это срок из предложения Еврокомиссии, которое ещё не является законом.

Нужен ли баннер, если я использую только Google Analytics? Да, если это cookies или схожая технология на устройстве посетителя из ЕС: аналитика к «строго необходимым» не относится.

Связанные термины

• Cookies (куки)
• GDPR для интернет-магазина
• Google Consent Mode v2
• Сторонние cookies и first-party data

Источники

• Директива 2002/58/EC, ст. 5(3) — eur-lex.europa.eu/eli/dir/2002/58/oj
• Регламент (ЕС) 2016/679 (GDPR), ст. 4(11), 7 — eur-lex.europa.eu/eli/reg/2016/679/oj
• EDPB, Consent under GDPR: When to act and what to do (апрель 2026) — edpb.europa.eu/system/files/2026-04/edpb-summary-consent_en.pdf
• EDPB, Guidelines 05/2020 on consent (v1.1, май 2020) — edpb.europa.eu/system/files/documents/files/file1/edpb_guidelines_202005_consent_en.pdf
• EDPB, Report of the work undertaken by the Cookie Banner Taskforce (17.01.2023) — edpb.europa.eu/system/files/2023-01/edpb_20230118_report_cookie_banner_taskforce_en.pdf
• Еврокомиссия, Digital Package FAQ (20.11.2025) — digital-strategy.ec.europa.eu/en/faqs/digital-package
• EDPB-EDPS, Joint Opinion 2/2026 on the Digital Omnibus (10.02.2026) — edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf
• Legal247, Digital Omnibus and the GDPR: the Council mandate — legal247.no/en/insights/digital-omnibus-gdpr