Как проверить cookie-баннер: технический чек-лист для маркетолога
Баннер с текстом о согласии на обработку данных — обязательный элемент большинства коммерческих сайтов. Но его присутствие не гарантирует соответствие требованиям закона о персональных данных. Регулятор оценивает не дизайн интерфейса, а фактическое поведение: когда именно загружаются трекеры, куда отправляются данные посетителя и совпадает ли заявленное в политике с реальностью.
Типичная ситуация: владелец сайта уверен, что всё в порядке — баннер установлен, в нём есть кнопка согласия, политика конфиденциальности опубликована. Но техническая проверка показывает: счётчики аналитики стартовали ещё до того, как посетитель успел что-то нажать, а данные ушли на серверы в США. Формально согласия нет, а обработка уже началась. Такое расхождение между интерфейсом и кодом создаёт правовой риск.
Что проверять в первую очередь
Первое, что нужно зафиксировать, — момент запуска трекеров. Откройте сайт в режиме инкогнито, чтобы увидеть его глазами нового посетителя. Запустите инструменты разработчика в браузере (обычно клавиша F12), перейдите на вкладку Network и обновите страницу. Если в списке запросов появляются домены аналитических или рекламных сервисов до того, как вы нажали кнопку согласия, значит, скрипты запустились раньше времени.
Второй момент — равнозначность выбора. Закон требует добровольного согласия, а это означает, что отказ должен быть таким же простым и заметным, как принятие. Если кнопка «Принять» крупная и яркая, а отклонить можно только через мелкую ссылку внизу экрана или через несколько переходов в настройках, такое согласие может быть признано вынужденным. Особенно если баннер блокирует доступ к контенту и закрыть его без выбора нельзя.
Третий элемент проверки — соответствие политики конфиденциальности реальному поведению сайта. Если в политике указаны только «аналитические цели» и названа Яндекс.Метрика, но по факту на сайте работают Google Analytics, зарубежные рекламные пиксели и ещё три трекера, это создаёт риск. Посетитель согласился на одно, а получил другое. Чтобы узнать какие cookie подпадают под 152-ФЗ и что именно проверять, стоит изучить критерии отнесения файлов к персональным данным.
Трансграничная передача и анализ результатов проверки
Если данные посетителей передаются на серверы за пределами России, оператор обязан уведомить Роскомнадзор до начала передачи. Это требование касается большинства популярных зарубежных сервисов: Google Analytics, рекламные пиксели иностранных платформ, HubSpot и подобные инструменты по умолчанию отправляют данные в США или Европу.
Техническая фиксация трансграничной передачи выполняется через анализ сетевых запросов. Если в логах браузера появляются домены вида google-analytics.com, doubleclick.net или другие иностранные серверы, это сигнал о том, что данные покидают территорию России. Сам факт запроса не является доказательством нарушения, но создаёт основание для проверки: подано ли уведомление, описана ли передача в политике, получено ли на неё явное согласие посетителя.
Риск усиливается, если политика конфиденциальности умалчивает о международной передаче или описывает её общими фразами вроде «данные могут передаваться партнёрам». Посетитель должен понимать, что его данные покинут Россию, в какую страну они отправятся и с какой целью. Без этого согласие не может считаться информированным. Мы уже разбирали, как найти трансграничную передачу до проверки, и какие шаги предпринять в первую очередь.
Заключение о проверке содержит временны́е метки, снимки экрана и описание действий, которые выполнялись в браузере. Каждый эпизод, в котором обнаружено расхождение между заявленным и фактическим поведением, связан с конкретной нормой закона. Например, если трекер запустился до согласия, это создаёт риск по ч. 2 ст. 13.11 КоАП РФ — обработка без письменного согласия, штраф для юридических лиц от 300 до 700 тыс. ₽.
Важно понимать границы проверки. Она охватывает только публичные страницы: главную, каталог, карточки товаров, статические разделы. Закрытые части сайта — личный кабинет, административная панель, внутренние процессы после отправки форм — остаются за рамками. Это означает, что отсутствие замечаний в отчёте не гарантирует полного соответствия закону, но показывает, что на видимой части сайта явных рисков нет. Сетевые запросы фиксируются как технический сигнал, а не как юридическое доказательство. Окончательную квалификацию — является ли конкретный эпизод нарушением — даёт юрист. Разбор Dobrolex о том, как проверить cookie-баннер и поведение сайта, помогает с технической точки зрения, но не заменяет правовую экспертизу.
План исправлений и регулярность проверок
Если трекеры запускаются раньше согласия, первый шаг — настроить отложенную загрузку скриптов. Это задача для разработчика: код аналитики и рекламных систем должен оставаться неактивным до момента, когда посетитель явно нажал «Принять». Технически это решается через менеджер тегов (Google Tag Manager, Яндекс.Менеджер тегов) или через условную загрузку скриптов в зависимости от значения cookie с выбором пользователя.
Баннер должен предоставлять равнозначный выбор. Кнопка отказа по размеру, цвету и расположению не должна уступать кнопке согласия. Если на сайте используются разные категории cookie — обязательные, аналитические, рекламные, — нужно дать возможность настроить каждую категорию отдельно. Это повышает уровень контроля посетителя над своими данными и снижает правовой риск.
- Перечислить в политике конфиденциальности все сторонние сервисы, которые получают данные: названия, цели обработки, категории данных
- Описать трансграничную передачу явно: в какие страны, через какие сервисы, на каком основании
- Убедиться, что уведомление Роскомнадзору подано до начала передачи данных за рубеж
- Проверить, что текст согласия в баннере конкретен и соответствует политике: не общие фразы, а перечень сервисов и целей
- Настроить загрузку трекеров только после явного действия посетителя, зафиксировать это в коде
Проверять баннер и политику нужно после каждого изменения на сайте: добавили новый трекер, подключили сервис авторизации через социальную сеть, обновили дизайн баннера. Закон оценивает текущее состояние сайта, и то, что было в порядке три месяца назад, может стать риском после очередного обновления кода или подключения нового инструмента аналитики.
Частая ошибка — полагаться только на готовый плагин для cookie-баннера. Плагин решает задачу интерфейса: показывает окно, сохраняет выбор посетителя в локальное хранилище. Но если трекеры продолжают стартовать при загрузке страницы, а политика конфиденциальности написана шаблонными фразами и не описывает реальные сервисы, риск остаётся. Нужна настройка на стороне кода и проверка документов.
Другая ошибка — игнорировать мобильную версию сайта. Баннер может корректно работать на десктопе, но на смартфоне кнопка отказа оказывается за пределами видимой области экрана или вообще не отображается. Проверяйте поведение на разных устройствах и в разных браузерах.
Согласие на обработку персональных данных должно быть добровольным, информированным и конкретным. Если посетитель не может легко отказаться или не понимает, какие данные и куда передаются, это создаёт правовой риск независимо от наличия баннера.
Техническая проверка cookie-баннера — это не разовая задача перед запуском сайта, а регулярная процедура. Каждое обновление аналитики, каждая интеграция с новым сервисом, каждое изменение политики конфиденциальности требуют повторной проверки. Только так можно убедиться, что заявленное соответствует фактическому, а риск штрафа остаётся под контролем.