Cookie-баннер: юридическая необходимость или карго-культ

MAATRIX

Эта статья — не юридическая консультация, а обзор логики вопроса, чтобы вы понимали, о чём вообще спрашивать юриста. Если вы разворачиваете сайт или сервис и должны решить, нужен ли cookie-баннер — прочитайте это как карту местности, а окончательное решение по вашей юрисдикции и аудитории примите вместе с юристом, который знает детали именно вашего проекта. Зайдите на десять случайных сайтов рунета — и минимум на семи внизу экрана выскочит плашка «мы используем cookies, продолжая пользоваться сайтом вы соглашаетесь». Кнопка «Принять» почти всегда одна, отказаться толком нельзя, и большинство пользователей кликает не глядя. Возникает разумный вопрос: это реально требование закона или все скопировали друг у друга форму, не разобравшись, зачем она нужна и нужна ли конкретно им. Разберём, откуда взялась мода на баннеры, что там за юридическая база в Европе, что происходит в России, и как принять решение для своего сайта, а не просто "как у всех".

Откуда взялась мода на cookie-баннеры

Cookie-баннер — не изобретение SEO-агентств и не элемент хорошего тона в вебе сам по себе. Это прямое следствие европейского регулирования: сначала директивы об электронной приватности (её в обиходе называют "cookie law"), а затем и более широкого GDPR (General Data Protection Regulation), который закрепил куда более строгий подход к согласию пользователя на обработку данных, включая данные, которые собираются через cookies и похожие технологии (localStorage, fingerprinting, пиксели трекинга).

Логика европейского подхода примерно такая: если сайт устанавливает пользователю что-то, что не строго необходимо для работы самого сайта (аналитика вроде Google Analytics, рекламные трекеры, пиксели соцсетей для ретаргетинга), это требует явного, информированного и добровольного согласия ДО того, как эти cookies поставятся в браузер. Именно поэтому баннер должен появляться при первом заходе, до загрузки трекеров — а не постфактум, когда данные уже утекли в рекламную сеть.

Отсюда и разрослась целая индустрия: сотни CMP-сервисов (consent management platform), готовые виджеты для WordPress, Tilda, самописных сайтов — все продают "compliance из коробки". Проблема в том, что готовый виджет решает техническую задачу показать баннер, но не решает юридическую задачу — а нужен ли он вам вообще, с учётом того, кто ваша аудитория и что реально происходит на сайте.

Что реально требует GDPR — по существу, не дословно

Не буду цитировать статьи регламента дословно (для точных формулировок — к юристу и первоисточнику), но опишу общую механику, которую полезно понимать:

• Разделение cookies по назначению. Технически необходимые (сессия, корзина, CSRF-токен, выбор языка) — обычно не требуют отдельного согласия, потому что без них сайт физически не может работать так, как задуман пользователем.
• Всё остальное — по умолчанию выключено. Аналитические, рекламные, маркетинговые cookies по общей логике GDPR должны включаться только после явного действия пользователя — не по умолчанию с формулировкой "продолжая пользоваться сайтом вы соглашаетесь" (этот паттерн как раз один из главных примеров карго-культа: юридически он спорный, потому что не даёт реального выбора).
• Отказ должен быть так же прост, как согласие. Баннер с одной кнопкой "Принять" и без внятной кнопки "Отклонить" — частая практика, но именно она вызывает вопросы у надзорных органов в ЕС.
• Применимость по территории и аудитории. GDPR ориентирован на защиту резидентов ЕС и распространяется на сайты, которые ведут бизнес с этой аудиторией или отслеживают её поведение — независимо от того, где физически стоит сервер компании.

Здесь ключевая практическая мысль: требования жёсткие именно потому, что регулятор защищает конкретную аудиторию (жителей ЕС) и конкретный тип обработки данных (трекинг, профилирование, реклама). Если у вашего сайта нет европейской аудитории и нет трекеров, требующих согласия — сама база для строгого баннера может быть не применима. Но если аудитория смешанная или частично европейская — это уже совсем другой разговор, и здесь без юриста решение принимать рискованно.

Российское регулирование: похоже, но не то же самое

Российское законодательство о персональных данных живёт по своей логике и не является калькой европейского подхода. Есть общие принципы (обработка данных требует основания, о сборе нужно информировать пользователя), но конкретные механизмы, формулировки согласия, требования к cookies как таковым — устроены иначе, чем в GDPR, и не привязаны построчно к тем же категориям cookies.

Намеренно не привожу тут точные номера статей и формулировки — это тот случай, где неточная цитата хуже, чем её отсутствие. Что важно понимать описательно:

• Российское право фокусируется в первую очередь на персональных данных как таковых (что относится к персональным данным, а что нет — сам по себе нетривиальный вопрос применительно к cookies и техническим идентификаторам).
• Подход к тому, что считается "согласием" и в какой форме оно должно быть получено, отличается от европейской модели явного opt-in для каждой категории трекеров.
• Специфика того, нужен ли у вас баннер, каким он должен быть и какие ещё документы к нему прилагаются (политика обработки персональных данных, согласие на обработку и т.д.), сильно зависит от того, что именно вы собираете, кто ваша аудитория и как вы данные используете.

Если у вашего сайта аудитория преимущественно российская, без ориентации на ЕС — вопрос "нужен ли мне баннер именно европейского образца" стоит иначе, чем для международного проекта. Но какой именно набор документов и уведомлений нужен по российскому регулированию в вашем случае — это разговор с юристом, который смотрит на вашу форму сбора данных, аудиторию и используемые сервисы, а не общая статья в блоге.

Карго-культ на практике: как это выглядит

Карго-культ в терминах этой статьи — это когда форма скопирована, а функция не понята. С cookie-баннерами это выглядит предсказуемо:

• Владелец сайта видит баннер у конкурента или на модном лендинге, ставит такой же виджет "на всякий случай", не разбираясь, какие cookies реально стоят на сайте.
• Баннер есть, но кнопка "Отклонить" либо отсутствует, либо перекрашена под фон и еле видна — по факту согласие "выбито", а не получено осознанно.
• На сайте нет ни одного стороннего трекера — только серверные логи и сессионная cookie для формы обратной связи — но баннер всё равно висит, потому что "так положено".
• И наоборот: сайт активно собирает данные европейских пользователей, ставит десяток рекламных пикселей — а баннера нет вообще, потому что "мы же не Европа".

Оба крайних случая — это карго-культ, только с разным знаком: один добавляет ненужный элемент интерфейса без реальной защиты пользователя, второй создаёт видимость безопасности отсутствием баннера там, где по факту есть основания для внимания к теме. Ни то, ни другое не решает исходную задачу — соответствие тому, что реально требуется для вашей аудитории и вашего стека технологий.

Отдельно стоит частая деталь: многие готовые cookie-виджеты по умолчанию включают все категории cookies до нажатия любой кнопки, включая рекламные — то есть форма "спрашивает согласие", но по факту уже всё поставила в браузер до ответа пользователя. Это ровно тот случай, когда баннер есть, а функция, которую он должен выполнять, отсутствует.

Как понять, что реально стоит на вашем сайте

Прежде чем решать, нужен баннер или нет, полезно посмотреть, что технически происходит на сайте — вне зависимости от того, что вы предполагаете. Практический подход:

1. Откройте DevTools в браузере (F12 → вкладка Application → Cookies), зайдите на свой сайт в приватном окне и посмотрите список cookies, которые ставятся при первом заходе, до всякого взаимодействия.
2. Отдельно посмотрите вкладку Network — какие внешние домены загружаются: аналитика (google-analytics.com, mc.yandex.ru), рекламные сети, пиксели соцсетей, виджеты чатов от сторонних сервисов.
3. Сверьте со списком: что из этого технически необходимо для работы сайта (сессия, язык, корзина, защита от CSRF) и что — нет (аналитика, ретаргетинг, персонализация рекламы).
4. Если внешних трекеров нет вообще — только серверная аналитика логов или self-hosted решение без выгрузки данных пользователя на сторону (например, self-hosted Plausible или Matomo, установленный на своём VPS без передачи данных вовне) — юридическая база для навязчивого баннера в европейском духе становится куда менее очевидной, хотя базовая прозрачность (политика конфиденциальности) обычно уместна в любом случае.
5. Если трекеров много и аудитория международная — это ровно тот случай, где нужен настоящий CMP с реальным разделением по категориям, а не косметическая плашка.

Практический пример: если вместо стороннего трекера вы разворачиваете self-hosted аналитику на своём сервере — например, устанавливаете и настраиваете Matomo или устанавливаете и настраиваете Plausible — данные пользователей не уходят третьим компаниям, и вы сами решаете, что именно собирать. Это удобная точка, чтобы спроектировать сбор данных осознанно, а не унаследовать чужой набор скриптов вместе со скопированным шаблоном сайта.

Аудитория и юрисдикция — что реально определяет решение

Итоговое решение по баннеру опирается на два вопроса, а не на моду:

Какая у сайта аудитория. Если среди посетителей заметная доля резидентов ЕС (по трафику, по языку интерфейса, по тому, что сайт целенаправленно продаёт европейским клиентам) — GDPR-логика применима, и здесь стоит закладывать полноценный consent management: раздельные категории cookies, реальную кнопку отказа, документацию о том, какие данные и зачем собираются. Если аудитория практически полностью российская или из стран без аналогичного жёсткого регулирования — обоснование для европейского по духу баннера слабее, но это не значит, что вопрос обработки персональных данных снимается полностью — он просто рассматривается в других координатах.

Какие технологии реально используются. Чисто технические cookies (сессия, авторизация, язык интерфейса, корзина) в большинстве трактовок — что европейской, что российской — не требуют того же уровня явного согласия, что рекламные и аналитические трекеры, которые передают данные о поведении пользователя на сторону, часто третьим компаниям. Чем меньше стороннего трекинга — тем меньше формальных оснований для тяжёлого баннера, и тем легче объяснить пользователю, зачем вообще что-то спрашивается.

Если вы держите сервер с персональными данными и хотите разобраться в требованиях российского регулирования отдельно от темы cookies — там своя специфика, которую разбирали в статье про где законно держать сервер с персональными данными. А если аудитория и партнёры завязаны на Европу — стоит отдельно посмотреть на общий контур законодательства о персональных данных в ЕС применительно к серверу — там разбор смежных вопросов размещения инфраструктуры, а не только UI-баннера.

Частые вопросы