Файлы cookie уже давно стали стандартным инструментом работы сайтов и мобильных приложений. Они помогают сохранять пользовательские настройки, анализировать поведение посетителей, обеспечивать работу личных кабинетов и запускать маркетинговые инструменты. При этом многие организации по-прежнему рассматривают cookie исключительно как технический механизм, не связывая их использование с требованиями законодательства о персональных данных.

Анастасия Кузенкова

Консультант департамента соответствия требованиям ИБ

Содержание

Когда cookie становятся персональными данными
Что говорит судебная практика
Позиция Роскомнадзора
Какие cookie можно использовать без согласия
Как правильно информировать пользователя
Почему одной политики конфиденциальности недостаточно
Коротко о главном

В последние годы подход регуляторов и судов к этому вопросу стал значительно более определённым. Всё чаще идентификаторы, собираемые с помощью cookie, рассматриваются как персональные данные, а значит их обработка требует соблюдения соответствующих правовых требований.

Именно поэтому вопросы использования cookie сегодня выходят за рамки исключительно технической настройки сайта и становятся частью общей системы обеспечения соответствия требованиям законодательства. Ошибки в настройке аналитических сервисов, cookie-баннеров или механизмов получения согласия могут привести к претензиям со стороны регулятора даже в тех случаях, когда владелец ресурса не считает собираемую информацию персональными данными.

Разберёмся, как сегодня рассматриваются файлы cookie с точки зрения законодательства и какие требования необходимо учитывать при их использовании.

Когда cookie становятся персональными данными

Российское законодательство не упоминает cookie напрямую в тексте закона. Тем не менее понятие персональных данных сформулировано достаточно широко: персональными данными признается любая информация, относящаяся к прямо или косвенно определенному физическому лицу.

На практике cookie позволяют:

идентифицировать пользователя среди других посетителей сайта;
отслеживать его действия;
формировать профиль поведения;
связывать действия пользователя с конкретным устройством, аккаунтом или IP-адресом и т.д.

Именно поэтому все чаще cookie признаются персональными данными.

Что говорит судебная практика

Российская судебная практика уже содержит ряд дел, в которых cookie прямо признавались персональными данными.

Так, в делах в отношении зарубежных интернет-сервисов суды указывали, что:

cookie;
IP-адреса;
идентификаторы устройств;
данные о поведении пользователей

относятся к персональным данным и подпадают под требования о защите персональных данных пользователей.

*В зарубежной правовой практике в деле Vidal-Hall против Google суд указал, что cookie, даже не называя субъекта прямо, позволяют выделить его из всех пользователей, а значит, отвечают критерию идентификации.

Позиция Роскомнадзора

Позиция Роскомнадзора также постепенно становится более определенной. В публичных разъяснениях регулятор указывал, что использование cookie, в том числе при работе аналитических и метрических систем, требует получения согласия пользователя на обработку персональных данных. Поэтому сегодня cookie-баннер фактически становится обязательным элементом сайта.

Какие cookie можно использовать без согласия

Поскольку идентификаторы признаются персональными данными, для их обработки нужно законное основание: чаще всего это согласие пользователя. Но есть исключения.

Как правило, без отдельного согласия допускается использование строго обязательных cookie – тех, без которых сайт не сможет корректно функционировать. Например:

поддержание авторизации пользователя;
сохранение содержимого корзины;
обеспечение безопасности сессии.

Функциональные, аналитические и маркетинговые cookie требуют предварительного согласия пользователя.

Как правильно информировать пользователя

Оператор персональных данных обязан надлежащим образом уведомить пользователя о сборе и обработке данных.

Корректный cookie-баннер должен содержать информацию:

о собираемых cookie и идентификаторах;
о целях обработки;
о сроках хранения;
о передаче данных третьим лицам;
о возможности принять cookie, отказаться от них либо настроить категории обработки.

При этом возможность отказаться от необязательных cookie должна быть такой же доступной, как и возможность согласиться. Использование так называемых «темных паттернов» — например, скрытых кнопок отказа или навязчивых повторных запросов – создает дополнительные регуляторные риски.

Всю информацию можно продублировать на отдельной странице, где пользователь в любой момент сможет изменить настройки.

Почему одной политики конфиденциальности недостаточно

Распространенная ошибка владельцев сайтов – размещение только политики обработки персональных данных без отдельного механизма получения согласия на использование cookie.

Но политика конфиденциальности выполняет прежде всего функцию информирования. Для обработки cookie, относящихся к аналитическим или маркетинговым категориям, оператору необходимо обеспечить отдельное и подтверждаемое согласие пользователя.

Поэтому на практике рекомендуется:

размещать cookie-баннер;
предусматривать механизм управления настройками cookie;
фиксировать факт предоставления согласия;
отдельно описывать использование cookie в политике обработки персональных данных.

Коротко о главном

Подход регуляторов и судов показывает, что cookie больше не рассматриваются как исключительно технический инструмент работы сайта. В большинстве случаев они признаются персональными данными, а значит их использование требует соблюдения требований законодательства о персональных данных.

Владельцам сайтов требуются:

корректное оформление cookie-баннеров;
получение согласия пользователей;
пересмотр политики обработки персональных данных;
контроль передачи данных третьим лицам;
соблюдение требований локализации и безопасности данных.

Игнорирование этих требований — не только формальное нарушение, но и источник реальных регуляторных и судебных рисков.

Остались вопросы?

Оставьте свои контактные данные, чтобы мы могли связаться с вами для дальнейших шагов.

КИИ

Информационная безопасность в финансовом секторе: новый подход к оценке и защите

Постановление № 92 от 06.02.2026: новые правила категорирования КИИ в банках, ежегодная отчётность, штрафы по ст. 13.12.2 КоАП и что делать банкам.

06.11.2026

Читать

Законодательство