С 30 мая 2025 года в России вступил в силу новый порядок ответственности за обработку персональных данных‚ который кардинально изменил подход к использованию cookie-файлов. Закон № 420-ФЗ от 30 ноября 2024 года внес изменения в Кодекс об административных правонарушениях (КоАП РФ)‚ существенно увеличив штрафы и расширив основания для их наложения. Для владельцев сайтов‚ маркетологов и разработчиков игнорирование этих изменений грозит миллионными убытками.

В этой статье подробно разберем‚ что такое куки с точки зрения закона‚ за что именно штрафуют‚ каковы размеры санкций в 2025–2026 годах и как правильно настроить сбор согласия‚ чтобы избежать проблем с Роскомнадзором.

Почему куки стали проблемой №1 для бизнеса?

До недавнего времени многие владельцы сайтов считали cookie-файлы (файлы cookie) исключительно техническими данными‚ необходимыми для работы корзины‚ авторизации или сбора анонимной статистики (Яндекс.Метрика‚ Google Analytics). Однако судебная практика и позиция Роскомнадзора эволюционировали:

• Признание персональными данными: Если с помощью куки можно идентифицировать конкретного физического лица (прямо или косвенно — через IP‚ User ID‚ Device ID‚ геолокацию‚ историю посещений)‚ они подпадают под определение персональных данных (ПДн) по ФЗ-152 «О персональных данных».
• Обязанности оператора: С момента признания куки ПДн‚ владелец сайта становится оператором персональных данных. На него ложатся все обязанности: наличие политики конфиденциальности‚ локализация баз данных (хранение на серверах в РФ)‚ обеспечение безопасности‚ и — самое главное — получение согласия субъекта ПДн на обработку.
• Смена парадигмы контроля: Если раньше проверки часто заканчивались предупреждением за отсутствие баннера‚ то с мая 2025 года Роскомнадзор перешел к систематическому наложению крупных штрафов. Появился даже специальный инструмент проверки сайтов на наличие cookies и метрических программ на портале ведомства.

Нормативная база: что изменилось с 30 мая 2025 года?

Ключевым документом стал Федеральный закон от № 420-ФЗ «О внесении изменений в КоАП РФ». Он ввел новую редакцию статей 13.11 и 19.7 КоАП РФ‚ существенно ужесточив санкции.

Основные изменения:

1. Рост штрафов в десятки раз для юрлиц за повторные нарушения.
2. Четкое разделение нарушений на: обработку без согласия‚ нарушение режима локализации‚ неисполнение требований Роскомнадзора.

Таблица штрафов 2025–2026 годов (КоАП РФ)

Ниже приведены актуальные суммы штрафов за основные нарушения‚ связанные с куки и персональными данными.

> Важно: Под «повторным нарушением» понимается совершение аналогичного правонарушения в течение года после вступления в законную силу решения о наложении административного штрафа за предыдущее нарушение. На практике Роскомнадзор часто выписывает протоколы по нескольким статьям сразу (например‚ нет согласия + нет локализации + нет политики)‚ что в сумме дает миллионные суммы.

Типичные ошибки‚ за которые штрафуют прямо сейчас

Анализ практики Роскомнадзора и судебной практики 2025 года показывает топ ошибок на «первом экране» сайта:

Отсутствие баннера согласия (CMP — Consent Management Platform)

Самая частая причина. Сайт сразу при загрузке устанавливает маркетинговые и аналитические куки (Яндекс.Метрика‚ Google Analytics‚ пиксели ВК/Яндекс/Таргет‚ ретаргетинговые коды) до того‚ как пользователь нажал «Принять».

Нарушение принципа «Privacy by Default» (Конфиденциальность по умолчанию)

• Чекбоксы в баннере стоят в положении «Вкл.» (Pre-ticked boxes) — недопустимо по ГК РФ и позиции регулятора.
• Кнопка «Отклонить все» скрыта‚ меньше по размеру‚ менее контрастна или требует лишних кликов (например‚ в подменю «Настройки»).
• Отсутствие возможности отказаться от ненеобходимых куки так же легко‚ как принять.

Блокировка контента до согласия (Cookie Wall)

Практика‚ когда сайт не дает прочитать контент‚ пока пользователь не нажмет «Согласен со всем»‚ признается нарушением принципа добровольности согласия (ст. 9 ФЗ-152). Согласие‚ полученное под принуждением‚ недействительно.

Игнорирование сигнала Global Privacy Control (GPC) / DNT

Хотя в РФ прямое требование поддержки GPC пока не закреплено в законе‚ Роскомнадзор рекомендует учитывать сигналы браузера пользователя о запрете отслеживания. Игнорирование таких сигналов может трактоваться как обработка без согласия.

Передача данных за рубеж без локализации

Использование Google Analytics (GA4)‚ Meta Pixel‚ TikTok Pixel‚ Hotjar‚ Amplitude и др. без обеспечения локализации (хранения первичных данных в РФ) или без заключения соглашений о переграничной передаче (СППД), грубое нарушение ст. 18 ФЗ-152 (ч. 5.1 ст. 13.11 КоАП РФ). Штрафы здесь самые большие, до 18 млн руб.

Формальные политики конфиденциальности

Текст скопирован с конкурента‚ не описывает реальные цели обработки‚ конкретные виды куки‚ сроки хранения‚ способы связи с оператором и процедуру отзыва согласия.

Чек-лист: Как сделать сайт безопасным (Compliance Guide)

Шаг 1. Аудит куки (Cookie Audit)

Проведите полную инвентаризацию всех файлов‚ устанавливаемых сайтом. Используйте инструменты разработчика браузера (F12 -> Application -> Cookies) или специальные сканеры (например‚ сервис проверки Роскомнадзора‚ Cookiebot‚ OneTrust‚ Usercentrics). Разделите их на категории:

• Strictly Necessary (Строго необходимые): Сессия‚ корзина‚ CSRF-токены‚ балансировка нагрузки. Согласие НЕ требуется.
• Functional (Функциональные): Язык‚ регион‚ настройки вида. Желательно согласие‚ но часто считаются необходимыми.
• Analytics / Statistics (Аналитические): Яндекс.Метрика‚ GA4. Требуют согласия.
• Marketing / Advertising (Маркетинговые): Ретаргетинг‚ пиксели соцсетей‚ DSP-системы. Требуют явного согласия.

Шаг 2. Внедрение CMP (Consent Management Platform)

Ручное управление баннером через JS-скрипты — путь к ошибкам. Используйте готовые решения:

• Русские решения (рекомендуются для локализации и поддержки 152-ФЗ): CookieClick‚ UserSide‚ ConsentPlace‚ AdRiver CMP.
• Международные (требуют настройки под РФ): Cookiebot (Usercentrics)‚ OneTrust‚ Didomi‚ Osano.

Ключевые настройки CMP:

1. Блокировка установки всех не-необходимых скриптов до клика «Принять».
2. Режим «Отклонить все», кнопка на первом уровне‚ равная по визуальному весу «Принять все».
3. Гранулярность: пользователь может включить только аналитику‚ но выключить маркетинг.
4. Логирование согласия: сохранение записи (кто‚ когда‚ IP‚ user agent‚ какие категории принял) для доказательства в споре.
5. Поддержка отзыва согласия: доступная ссылка/кнопка «Изменить согласие» в футере или плавающем виджете.

Шаг 3. Настройка аналитики и маркетинга (Consent Mode)

Нельзя просто удалить счетчики — потеряете данные. Настройте Consent Mode v2 (Google) и аналогичные режимы в Яндекс.Метрике (_ym_visorc=0‚ параметры consent).

• До согласия: счетчики работают в «безкуковом»/агрегированном режиме (не ставят ID‚ не передают IP в полной маске).
• После согласия: полная функциональность.
• После отказа: полная блокировка или минимальный пинг без идентификаторов.

Шаг 4. Локализация данных (Data Localization)

Это самый сложный и дорогой пункт для бизнеса‚ использующего зарубежные инструменты;

• Яндекс.Метрика‚ Топ.Мейл‚ ВК Реклама: Данные хранятся в РФ — проблем нет.
• Google Analytics 4: Серверы за рубежом. Варианты: отказ от GA4‚ переход на Яндекс.Метрику / Matomo (на своем сервере в РФ) / серверный GTM с анонимизацией и проксированием через РФ.
• Meta Pixel‚ TikTok‚ Criteo: Требуют заключения Стандартных договорных положений (СДП/SCC) и уведомления Роскомнадзора о переграничной передаче (до передачи!). Штрафы за отсутствие уведомления — до 6 млн руб.

Шаг 5. Политика конфиденциальности и Cookie Policy

Документы должны быть:

• Доступны по прямой ссылке из баннера и футера.
• Написаны простым языком (без «юридического» копипаста).
• Содержат: цели обработки‚ правовые основания (ст. 6 ФЗ-152)‚ перечень куки с названиями‚ доменами‚ сроками жизни‚ список третьих лиц (подрядчиков)‚ права субъекта (п. 4 ст. 18 ФЗ-152)‚ контакты оператора и ДПО (делегата по защите данных).

Особенности для ИП и малого бизнеса

Штрафы для ИП ниже (30–50 тыс. руб. за первое нарушение по ст. 13.11)‚ но:

• Роскомнадзор не делает скидку на размер бизнеса при проверке локализации (штрафы 1–6 млн руб. одинаковы для всех).
• Исключение из реестра операторов ПДн (для МСП до 50 чел.) не снимает обязанность получать согласие на куки и локализировать данные. Исключение касается только уведомления о внесении в реестр и части требований к ДПО.

Международный контекст: уроки GDPR и ePrivacy

Российский регулятор активно заимствует подходы ЕС. Пример: штраф Microsoft в Франции на 60 млн евро (2022 г.) за установку рекламных куки без явного согласия (кнопка «Отклонить все» была сложнее «Принять все»). В РФ пока штрафы ниже (макс. 1.5–18 млн руб.)‚ но тренд на рост очевиден. В 2025 году уже были прецеденты штрафов 10 млн руб. за куки‚ признанные ПДн с нарушением локализации.

Что делать‚ если пришло предписание или протокол?

1. Не игнорируйте. Сроки на обжалование — 10 дней (суд) или рассмотрение дела в Роскомнадзоре (обычно 1-2 месяца).
2. Исправьте нарушение до рассмотрения дела. Устранение нарушения до вынесения решения — основание для прекращения производства (ч. 1.1 ст. 24.5 КоАП РФ) или минимизации штрафа до минимума.
3. Привлеките юриста по IT/PDn. Самостоятельные объяснения «мы не знали» или «это технические куки» почти никогда не работают.
4. Подготовьте пакет доказательств: скриншоты работающего CMP‚ логи согласий‚ акты аудита‚ обновленная Политика‚ договоры с подрядчиками (СДП).

Перспективы: что ждать в 2026–2027 годах?

• ePrivacy Regulation (аналог в РФ): Обсуждается отдельный закон о «куки» и электронных коммуникациях‚ который может ввести еще более строгие правила (например‚ запрет на fingerprinting без согласия).
• Автоматизированные проверки: Роскомнадзор разрабатывает ботов для массового сканирования Рунета. Проверка станет точечной и ежедневной.
• Штрафы за оборот: В ГД обсуждаются поправки о штрафах в % от оборота компании (как в GDPR — до 4%)‚ что для крупных игроков означает миллиарды рублей.
• Куки как биометрия/спецкатегории: Попытки квалифицировать профилирование по куки как обработку специальных категорий ПДн (здоровье‚ политические взгляды)‚ что влечет запрет на обработку без специального согласия.

Эпоха «поставим баннер для галочки» закончилась 30 мая 2025 года. Сейчас штрафы за куки — это реальный операционный риск‚ сравнимый с налоговыми проверками. Комплексный подход (аудит + CMP + Consent Mode + локализация + грамотные документы) стоит в десятки раз дешевле‚ чем один протокол от Роскомнадзора.

Рекомендация: Начните с бесплатной проверки сайта через сервис Роскомнадзора прямо сегодня. Это покажет‚ что видит регулятор‚ и даст понимание объема работ.

Данная статья носит информационный характер и не является правовым консультированием. Законодательство и судебная практика могут меняться. Для принятия решений обратитесь к квалифицированному юристу по защите персональных данных.