Cookies и политика конфиденциальности на сайте фирмы в ЕС: чего требует закон

Сайт фирмы в ЕС может хранить на устройстве посетителя только то, без чего он не работает, пока посетитель не согласится на большее. Аналитика, пиксель Meta и рекламные теги ждут согласия. Отказаться должно быть так же просто, как согласиться, а в политике конфиденциальности нужно указать, кто вы, какие данные собираете, какие инструменты их получают и как долго вы их храните. Ниже объясняем, откуда эти правила и где сайты нарушают их чаще всего.

Какие правила действуют во всём ЕС

Правило о cookies происходит из ст. 5 ч. 3 директивы ePrivacy, которую каждая страна ЕС перенесла в собственное законодательство. Статья говорит об информации, сохранённой на устройстве пользователя, а не только о файлах cookie, поэтому охватывает и записи в localStorage, и идентификаторы пикселей. Сохранять их можно, когда пользователя ясно проинформировали и он дал согласие. Без согласия разрешено только то, что нужно для услуги, которую пользователь заказал сам, например корзина или сохранённый выбор в баннере. Само согласие должно соответствовать стандарту GDPR: быть добровольным, конкретным, информированным и выраженным явным действием.

Каждая страна следит за соблюдением этих правил через собственные органы, поэтому регулятор и размер штрафов отличаются от страны к стране. Если сохранённые данные позволяют идентифицировать человека, национальный орган по защите данных может действовать и на основании GDPR, где штрафы достигают 20 млн евро или 4% мирового оборота. Одно из крупнейших недавних дел — из Франции: 1 сентября 2025 года CNIL оштрафовала Shein на 150 млн евро за трекеры, установленные без согласия.

Баннер: «Отклонить» на первом экране, так же заметно, как «Принять»

Европейские органы по защите данных описали самые частые проблемы баннеров в отчёте EDPB 2023 года. Большинство из них считает нарушением баннер, в котором на одном уровне с кнопкой согласия нельзя отказаться. На каждом сайте мы придерживаемся таких правил:

• три кнопки на первом экране: «Принять все», «Отклонить» и «Настройки», в одинаковом стиле;
• ничего не отмечено заранее: после решения Суда ЕС по делу Planet49 (2019) заранее поставленная галочка не считается согласием;
• никакого «законного интереса» для аналитических и рекламных cookies, потому что, по мнению EDPB, он не может быть основанием для их сохранения;
• название фирмы, отвечающей за данные, на первом экране, а в настройках полный список cookies с поставщиком, целью и сроком действия каждого;
• маленькая кнопка, которая в любой момент снова открывает настройки, потому что отозвать согласие должно быть так же легко, как его дать (ст. 7 ч. 3 GDPR).

Одинаковый CSS не гарантирует одинакового размера на экране. В одном из наших проектов одинаково оформленные кнопки «Принять» и «Отклонить» на телефоне шириной 390 пикселей различались по площади на 42%, потому что ширина каждой кнопки зависела от длины надписи. С тех пор мы проверяем эту пару и на телефоне.

Google Consent Mode v2 не блокирует другие теги

Consent Mode передаёт решение посетителя тегам Google. Версия 2, представленная в конце 2023 года, добавила два сигнала: ad_user_data и ad_personalization. Google требует их от рекламодателей в ЕЭЗ, которые хотят пользоваться персонализацией рекламы и измерениями. В базовом (Basic) теги не загружаются, пока посетитель не сделает выбор. В расширенном (Advanced) они загружаются с отказом для всех категорий, не сохраняют cookies и отправляют в Google сигналы без файлов cookie, по которым Google моделирует конверсии, которых не видит. Эти сигналы всё равно содержат технические данные, например IP-адрес и сведения о браузере, а руководство EDPB 2/2023 относит такие запросы отслеживания к тому же правилу согласия.

Consent Mode управляет только тегами Google. Пиксель Meta или Microsoft Clarity, добавленные в Google Tag Manager как пользовательский HTML-тег (Custom HTML), срабатывают независимо от выбора посетителя, если у них нет отдельного условия согласия. Мы проверили это на своём сайте 13 августа 2026 года: пиксель Meta записал cookie _fbp ещё до того, как посетитель что-то нажал. Мы перенесли пиксель из Tag Manager в код, который загружает его только после согласия на маркетинг.

У базового режима есть измеримая цена. На нашем сайте за 30 дней до 21 сентября 2026 года Google Ads зафиксировал 122 клика, а GA4 показал 36 сессий из платного поиска, поэтому большую часть платных визитов не удавалось связать с рекламой, которая их привела. Поэтому многие рекламодатели выбирают расширенный режим. Из-за руководства EDPB это решение настолько же юридическое, насколько бизнесовое: опишите режим в политике конфиденциальности и принимайте решение вместе с человеком, который отвечает в фирме за защиту данных.

Что должно быть в политике конфиденциальности

Ст. 13 GDPR перечисляет, что человек должен узнать, когда вы собираете его данные. Даже простой сайт-визитка с контактной формой собирает данные, хотя бы в логах сервера. На практике политика должна содержать:

• администратора данных как юридическое лицо: полное название фирмы, регистрационный номер и адрес, потому что одного бренда недостаточно;
• какие данные вы собираете, с какой целью и на каком правовом основании;
• кто их получает, в том числе хостинг, Google, Meta и Microsoft, и на каком основании данные передаются в США (EU-US Data Privacy Framework или стандартные договорные положения);
• как долго вы храните каждый вид данных;
• права посетителя, способ отозвать согласие и право подать жалобу в орган по защите данных;
• список cookies и других сохраняемых данных с реальным сроком действия.

Срок действия измерьте на своём сайте, а не переписывайте из документации поставщика. Google указывает для cookie _ga два года, но Chrome ограничивает любой cookie 400 днями, а Safari хранит cookies, записанные скриптами, 7 дней. Ссылку на политику разместите в футере каждой страницы, в баннере и рядом с каждой формой с полем согласия. Когда кто-то добавляет новый инструмент, например тепловую карту или чат, политика и список cookies тоже должны измениться. Политика, скопированная у другой фирмы, описывает, как данные движутся у той фирмы.

После отзыва согласия cookies должны исчезнуть

Когда посетитель отзывает согласие, сайт должен удалить аналитические и рекламные cookies и перезагрузиться. На одном из проверенных сайтов _ga и _fbp пережили «отзыв» с идентичными значениями, потому что удаление не охватывало домен, на котором их записали. Пиксель Meta к тому же записывает в localStorage lastExternalReferrer и lastExternalReferrerTime. На одном рабочем сайте обе записи остались после отзыва согласия. Cookies на доменах Meta или Microsoft ваш сайт удалить не может вообще, и политика должна честно об этом сказать.

Проверьте свой сайт за пять минут

1. Откройте сайт в приватном окне и не нажимайте на баннер.
2. Откройте инструменты разработчика (F12), вкладку Application, и посмотрите Cookies и Local Storage. До согласия там должно быть только то, что нужно сайту, например запись о выборе.
3. Нажмите «Отклонить» и обновите страницу. _ga, _fbp, _clck и похожие записи не должны появиться.
4. Нажмите «Принять», затем отзовите согласие кнопкой настроек и проверьте, исчезли ли cookies.
5. Сравните увиденное со списком в политике конфиденциальности.

Если что-то появляется до согласия, ищите тег, который игнорирует баннер: пользовательский тег в Tag Manager без отдельного условия согласия, плагин WordPress, виджет чата или код, оставленный предыдущим подрядчиком. Баннер, Consent Mode и политику конфиденциальности мы настраиваем на каждом сайте, который делаем, а существующий сайт тоже можем проверить. Пришлите адрес через страницу контактов.