BITSPARK / Статьи / Закон и документы сайта

Cookie на сайте: что это и нужно ли уведомление об использовании

Коротко: cookie - небольшой фрагмент данных, который сервер отправляет браузеру посетителя. В статьях 3, 6, 9 и 18.1 закона 152-ФЗ слов cookie и куки нет. Слова о cookie есть в условиях Яндекс Метрики (дата публикации 07.08.2026): пункт 5.4 называет файлы cookie в составе персональных данных посетителей, а пункты 2.1 и 5.8 возлагают на владельца сайта со счётчиком обязанность информировать посетителей. Нужно ли уведомление или согласие конкретному сайту, статья не решает: это вопрос юристу.

Если вы заказываете сайт или переделываете существующий и видите плашку об использовании cookie на сайте, статья показывает по источникам, что за ней стоит. Разбор опирается на тексты норм, страницы справки и условия сервиса по состоянию на 06.10.2026. Юридического заключения о вашей ситуации здесь нет. Образцов текста плашки, политики cookie и согласия здесь нет: источники их не дают.

Пример вымышленный: сайт мастерской свечей example.ru с каталогом, формой заявки и счётчиком Яндекс Метрики. На нём подрядчик ставит счётчик, а владелец хочет знать, что это значит для посетителей. Перечень документов сайта в целом разобран в статье Какие документы должны быть на сайте: там cookie оставлены вопросом юристу. Эта статья добавляет три источника: условия Метрики, справку Метрики о cookie и справку конструктора Tilda.

Коротко: по MDN, cookie - небольшой фрагмент данных, который сервер отправляет браузеру; браузер может сохранить его и отправлять на сервер с каждым следующим запросом. Cookie различают по сроку (сессионные и постоянные) и по домену (собственные и сторонние).

MDN определяет cookie так:

«HTTP cookie (web cookie, куки браузера) - это небольшой фрагмент данных, который сервер отправляет браузеру пользователя. Браузер может сохранить этот фрагмент у себя и отправлять на сервер с каждым последующим запросом.»

В списке назначений на той же странице MDN названы управление сеансом (логины, корзины для виртуальных покупок), персонализация (пользовательские предпочтения) и трекинг (отслеживание поведения пользователей). Для example.ru это значит, что одна и та же технология может держать корзину покупателя и участвовать в подсчёте посетителей.

По сроку. MDN выделяет два вида:

«такие cookie удаляются при закрытии клиента, то есть существуют только на протяжении текущего сеанса»

«Постоянные cookie ( permanent cookies ) удаляются не с закрытием клиента, а при наступлении определённой даты (атрибут Expires ) или после определённого интервала времени (атрибут Max-Age ).»

Страница добавляет условие для сессионных: если в браузере включено автоматическое восстановление сеанса, cookie сеанса может храниться постоянно.

По домену. Критерий в MDN - совпадение домена и схемы cookie с адресом страницы:

«Если домен и схема кук совпадает с доменом и схемой текущей страницы, на которой вы находитесь, то их называют собственными куками ( first-party cookies ). Если домен и схема кук отличается от домена и схемы текущей страницы, то такие куки называют сторонними куками ( third-party cookies ).»

Там же сказано, что на странице могут находиться изображения и другие компоненты с других доменов (например, баннерная реклама), и они в свою очередь могут устанавливать сторонние cookie. На английской странице MDN Third-party cookies - Privacy on the web | MDN есть примечание: поведение и возможные проблемы сторонних cookie те же, даже если сайт обращается к ресурсам другого домена, который принадлежит ему самому.

Если вы хотите очистить cookie в своём браузере, подходит справка браузера, например Как удалить файлы cookie в Chrome и изменить их настройки - Компьютер - Cправка - Google Chrome; инструкций для посетителя в статье нет.

Коротко: справка Метрики приводит таблицу cookie с названием, типом, сроком действия, описанием и доменом. Ниже шесть строк из неё по состоянию на 06.10.2026. Список в статье неполный.

Справка Метрики описывает так:

«Яндекс Метрика предоставляет обезличенную информацию о посещаемости вашего сайта. (...) Для учета посетителей Метрика использует анонимные идентификаторы браузеров, которые сохраняются в cookie, а также в localStorage-свойства. Cookie и свойства устанавливаются на домен верхнего уровня, например .example.com.»

Строки таблицы той же страницы (слова столбцов «Тип», «Срок действия», «Описание» и «Домен, на который устанавливается» - справки):

НазваниеТипСрок действияОписаниеДомен, на который устанавливается
_ym_metrika_enabledАналитическая60 минутПроверяет, правильно ли установлены другие cookies МетрикиДомен, на котором установлен счетчик
_ym_isadАналитическая20 часовИспользуется для определения наличия у посетителя блокировщиков рекламыДомен, на котором установлен счетчик
_ym_uidАналитическая1 годПозволяет различать посетителейДомен, на котором установлен счетчик
_ym_dАналитическая1 годХранит дату первого визита посетителя на сайтДомен, на котором установлен счетчик
_ym_visorc_*Аналитическая30 минутИспользуется для корректной работы ВебвизораДомен, на котором установлен счетчик
yabs-sidТехническаяВ течение сессии браузераИдентификатор визитаВсе домены Яндекс Метрики

В таблице справки есть и другие cookie, например с типом «Техническая» и сроком «До 2 лет»; их статья не пересказывает. Ниже таблицы справка отдельно перечисляет свойства localStorage и sessionStorage.

Из таблицы для владельца example.ru получаются два вопроса подрядчику. Какие именно cookie и записи хранилищ появятся на сайте после подключения счётчика и его настроек. Какие из них попадают под слова о данных посетителей в условиях Метрики.

Коротко: в тексте статей 3, 6, 9 и 18.1 закона 152-ФЗ (ред. от 26.07.2026) слов cookie и куки нет. Статья 3 определяет персональные данные общей формулой, без перечня видов информации.

Закон разобран по текстам статей на consultant.ru. Страницы всех четырёх статей несут пометку «Подготовлена редакция документа с изменениями, не вступившими в силу»; текст ниже взят в том виде, как его показывает страница (ред. от 26.07.2026).

«персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)»

В той же статье оператор назван так:

«оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными»

Слов cookie и куки в этих четырёх статьях нет, поэтому ни вывода о том, что cookie относятся к персональным данным, ни вывода о том, что не относятся, статья не делает. Определение из п.1 ст.3 говорит об информации, которая относится к определённому или определяемому физическому лицу; подходит ли под него конкретная cookie, решает юрист применительно к вашему сайту, а другие акты, в том числе отраслевые, статья не разбирает.

Политика и согласие в законе названы своими статьями, и эти статьи разобраны отдельно: документ о политике - в статье Политика конфиденциальности для сайта (ч.2 ст.18.1), согласие - в статье Согласие на обработку персональных данных на сайте (ст.9).

Коротко: условия Метрики - предложение Яндекса пользователю сервиса, не закон. Разместив код счётчика, пользователь выражает согласие с условиями (п.1.4). В п.5.4 файлы cookie названы в составе персональных данных посетителей сайта, пользователь - оператором, Яндекс - лицом, действующим по поручению.

Страница «Условия использования сервиса Яндекс Метрика и AppMetrica | Условия использования сервиса Яндекс Метрика и AppMetrica» несёт дату: «Дата публикации 07.08.2026 г.». Условия применяются, когда владелец сайта ставит счётчик:

«Пользователь выражает свое безоговорочное согласие со всеми условиями настоящего Соглашения и обязуется их соблюдать или прекратить использование Сервиса, удалив соответствующий код с сайта Пользователя»

Текст соглашения Яндекс может менять без уведомления пользователя:

«Яндекс может в любое время без уведомления Пользователя изменять текст настоящего Соглашения и/или любые иные условия использования Сервиса.»

Поэтому пункты ниже даны по тексту с датой публикации 07.08.2026; перед работой актуальный текст стоит открыть заново. Единственное место, где в условиях названы cookie, - п.5.4:

«В отношении персональных данных посетителей сайта Пользователя (в частности, информации об активности на сайте Пользователя, файлов cookie, данных об устройстве, операционной системе и ее версии, иных данных, передаваемых при использовании Сервиса) (...) Пользователь является оператором персональных данных, а Яндекс - лицом, действующим по поручению оператора персональных данных по смыслу ч. 3 ст. 6»

Это слова Яндекса в договорных условиях сервиса: текст закона они не заменяют.

Рядом стоят две формулировки Яндекса из разных документов. Справка Метрики: «Для учета посетителей Метрика использует анонимные идентификаторы браузеров, которые сохраняются в cookie, а также в localStorage-свойства». Условия, п.5.4: пользователь является оператором персональных данных посетителей, и в этих данных названы «файлов cookie». Статья эти формулировки между собой не сопоставляет и вывода из них не делает. Как они соотносятся друг с другом и с определением из ст.3 закона, спрашивают у юриста.

Что статья 6 закона говорит об основаниях обработки и о поручении?

Коротко: ч.1 ст.6 перечисляет случаи, когда обработка допускается; согласие названо в п.1, остальные случаи - в п.2-11. Ч.3 ст.6 описывает поручение обработки другому лицу, на которое ссылается п.5.4 условий Метрики.

Перечень в первой части вводят слова:

«Обработка персональных данных допускается в следующих случаях:»

Согласие - первый пункт перечня («обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных»). Пункты со 2 по 11 называют другие случаи (п.10 утратил силу с 1 марта 2021 года). Третья часть ст.9 учитывает это: доказательство получения согласия или доказательство наличия оснований из п.2-11 ч.1 ст.6 «возлагается на оператора». Какой пункт относится к данным счётчика, если они персональные, в прочитанных статьях закона не сказано, и эта статья этого не решает. Подробнее о ч.1 ст.9 и о перечне оснований - в статье Согласие на обработку персональных данных на сайте.

О поручении ч.3 ст.6 говорит так:

«Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора»

Что должно быть определено в поручении, перечислено в той же части: в частности, перечень персональных данных, перечень действий с ними, цели обработки, обязанность соблюдать конфиденциальность. Ч.4 добавляет, что лицо, обрабатывающее данные по поручению, не обязано само получать согласие субъекта. Ч.5 оставляет ответственность перед субъектом за оператором. Как эти части применяются к отношениям владельца сайта и Яндекса по п.5.4 условий, статья не решает. Места хранения данных с сайта разобраны в статье Локализация персональных данных; о поручении там приведены слова справки Tilda и вопрос юристу.

Что условия Метрики требуют от владельца сайта?

Коротко: четыре места условий. П.2.1 - информация посетителям в краткой, понятной и легкодоступной форме и согласия, если того требует применимое законодательство. П.5.4.1 - заверение о законном основании и уведомлении. П.5.5 - сведения по запросу Яндекса. П.5.8 - сообщить посетителям о блокировщике.

Информация посетителям (п.2.1). В перечне условий и ограничений п.2.1 сказано:

«обеспечивать предоставление посетителям сайта Пользователя (...) информации об обработке их данных в связи с использованием Сервиса Пользователем. Информация должна быть предоставлена в краткой, понятной и легкодоступной форме. В случае если того требует применимое законодательство, Пользователь также обязан получать соответствующие согласия посетителей сайта Пользователя (...)»

Слов плашка, баннер и cookie в п.2.1 нет. Форма информации названа словами «в краткой, понятной и легкодоступной форме»; где её разместить, пункт не говорит. Согласие в п.2.1 стоит за оговоркой «если того требует применимое законодательство»; какое законодательство и для каких данных, пункт не называет.

Заверение (п.5.4.1). Пользователь заверяет, что обеспечил правомерность обработки данных посетителей Яндексом и его аффилированными лицами в соответствии с законом 152-ФЗ и иным применимым законодательством, и в этом числе:

«наличие надлежащего законного основания для передачи персональных данных Яндексу, его аффилированным лицам и последующей обработки персональных данных Яндексом, его аффилированными лицами, а также надлежащее уведомление субъектов о такой обработке»

Сведения по запросу (п.5.5). Пользователь в разумный срок с момента получения запроса от Яндекса предоставляет достаточные сведения и (или) документы, подтверждающие заверения п.5.4.1:

«факт получения согласия субъектов на обработку их персональных данных, либо наличие иных достаточных правовых оснований для обработки персональных данных субъектов и факт надлежащего уведомления субъектов об обработке»

Блокировщик (п.5.8). Пункт сообщает, что посетители могут запретить сбор данных о посещениях и запись сессий, в том числе расширением для браузера «Блокировщик Яндекс.Метрики», и добавляет:

«Пользователь обязан проинформировать посетителей сайта Пользователя о возможности использования указанного расширения для браузера.»

По условиям Метрики владелец сайта со счётчиком обязан обеспечить информирование посетителей: об обработке данных (п.2.1) и о блокировщике (п.5.8). Это обязанность перед Яндексом по соглашению об использовании сервиса, и что требует закон в отдельном случае, из условий не следует.

Отдельная страница справки Метрики о GDPR адресована тем, чья компания зарегистрирована в ЕС или Швейцарии или кто обязан соблюдать GDPR по другим причинам. По её словам, такие владельцы могут «Предупредить посетителей сайта о том, что используете cookies и Яндекс Метрику» (Соответствие Генеральному регламенту о защите данных (GDPR)); на российский закон статья эту страницу не переносит.

Чем плашка с уведомлением отличается от окна с выбором?

Коротко: справка Tilda показывает два устройства. Блоки T657, T886 и T887 только уведомляют посетителя. Блок T972 даёт ему выбор из четырёх видов cookie. Справка не рекомендует ни одно из них и описывает только Tilda.

Справка конструктора Tilda в начале сообщает, что уведомление и управление cookie-файлами регулируют законы, и приводит пример: «в частности, GDPR в странах ЕС». Российских норм страница не называет. Описание блоков показывает два устройства плашки; нужна ли плашка по российскому закону, из него не следует.

Только уведомление. Справка сообщает о блоках T657, T886 и T887:

«Если использовать эти блоки, то посетитель будет только уведомлен об использовании Cookie, но их нельзя будет настроить или отключить.»

Выбор видов cookie. Блок T972 находят по пути, который справка записывает так: «Библиотеку блоков → категория Другое → блок T972». Он, по справке, добавляет виджет, с помощью которого посетитель управляет четырьмя видами файлов:

«обязательными, аналитическими, рекламными и собственными cookie»

В «Контенте» блока можно добавить кнопки: «принять все, отклонить все и настроить Cookies».

В справке есть и строка про счётчик Метрики:

«Пока посетитель не принял решение или отключил Cookie для аналитики, то код (...) Яндекс Метрики не будет передавать данных в системы аналитики. Код будет инициализирован только после действия пользователя.»

Справка оговаривает, что управление доступно для подключений, активированных через настройки сайта, и отдельно описывает скрипт аналитики, вставленный кодом: для него указаны атрибуты data-tilda-cookie-type="analytics" и type="text/plain".

Блоки с уведомлением и блок с выбором различаются тем, что может сделать посетитель, поэтому выбирать устройство плашки удобнее до разработки. Если плашка открывается окном поверх страницы, то вопросы о закрытии окна и работе на телефоне разобраны в статье Всплывающее окно на сайте: как называется и что проверить.

Из чего складывается содержание уведомления?

Коротко: образца текста источники не дают. Они называют составляющие: форму (краткую, понятную и легкодоступную - п.2.1), кто оператор, какие данные, какой сервис и как посетитель может запретить сбор. Как всё это сформулировать, решает юрист.

Содержание можно разложить по источникам:

  1. Форма. П.2.1 условий Метрики: информация «в краткой, понятной и легкодоступной форме».
  2. Кто оператор. П.5.4 условий: пользователь сервиса, то есть владелец сайта, назван оператором, Яндекс - лицом, действующим по поручению.
  3. Какие данные. П.5.4 называет информацию об активности на сайте, файлы cookie, данные об устройстве и операционной системе, иные данные, передаваемые при использовании сервиса. Названия и сроки конкретных cookie - в таблице справки Метрики.
  4. Какой сервис. П.2.1 говорит об информации «об обработке их данных в связи с использованием Сервиса», то есть Метрики.
  5. Как посетитель может запретить сбор. П.5.8: расширение для браузера «Блокировщик Яндекс.Метрики».
  6. Где лежит постоянный документ. Ч.2 ст.18.1 закона обращена к оператору, который собирает данные через сеть: документ о политике публикуется на страницах сайта, с использованием которых идёт сбор. Что в нём называет закон, разобрано в статье о политике.

Каждый пункт опирается на источник, но то, какой текст получится для вашего сайта и входит ли он в политику или в отдельную плашку, источники не определяют.

Что решить до разработки и что проверить при приёмке?

Коротко: до разработки выписать сервисы, которые ставят cookie, и решить, какое устройство плашки нужно и кто отвечает на запросы Яндекса. При приёмке сверить cookie страницы с таблицей справки и проверить, что ссылки и окно работают.

На главной bitspark.ru шаг «Разработка» описан словами «Верстаем, программируем и подключаем сервисы. Технологии выбираем под задачу.» Вопросы ниже составлены для любого подрядчика. Для вашего сайта вопросы те же; на примере мастерской свечей example.ru они выглядят так.

До разработки:

  1. Какие сервисы подключены к example.ru и ставят cookie или записи в хранилищах браузера: счётчик, форма заявки, виджеты. Статья разбирает один счётчик - Яндекс Метрику.
  2. Какое устройство плашки выбрано: только уведомление или выбор видов cookie (пример двух устройств - в разделе про Tilda). Для конструктора на другой основе вопрос ставят подрядчику отдельно: справка Tilda о других системах не говорит.
  3. Где на сайте будет постоянный документ (ч.2 ст.18.1), как посетитель до него дойдёт (способ норма не называет - статья о политике) и как оформляется согласие, если юрист скажет, что оно нужно (ст.9, статья о согласии).
  4. Кто на стороне владельца хранит сведения, о которых может запросить Яндекс по п.5.5: о согласии или ином основании и об уведомлении.
  5. Где в тексте для посетителей будет сказано о блокировщике (п.5.8).
  6. Где находятся серверы подключённых сервисов - в статье о локализации разобраны места хранения данных с сайта.

При приёмке:

  1. Открыть страницу вашего сайта и посмотреть, какие cookie и записи хранилищ она использует. MDN указывает, чем это сделать: «Чтобы посмотреть сохранённые куки и другие хранилища данных, которые использует веб-страница, можно использовать Storage Inspector (Инспектор хранилища) в инструментах разработчика.» (HTTP-куки - HTTP | MDN).
  2. Сверить имена с таблицей справки Метрики. Те, что в ней есть, сверяются по типу, сроку и описанию. Для остальных у подрядчика спрашивают, какой сервис их ставит; то, что имени нет в таблице справки, само по себе ничего не доказывает.
  3. Если на сайте окно с выбором: спросить, как проверено, что счётчик ждёт решения посетителя (так устроен блок T972 по справке Tilda).
  4. Убедиться, что окно закрывается и не перекрывает кнопки на телефоне и на компьютере (статья о всплывающем окне).
  5. Проверить, что документ о политике доступен со страниц, с использованием которых идёт сбор данных (ч.2 ст.18.1); способ показа - ссылка или иной - норма не называет, его сверяют с заданием подрядчику.

Что спросить у юриста?

Коротко: источники статьи не отвечают, нужна ли плашка или согласие вашему сайту. Вопросы ниже собраны из мест, где источники оставляют решение за юристом.

  1. Относятся ли cookie и записи хранилищ вашего сайта к персональным данным по определению из п.1 ст.3 закона 152-ФЗ и какие именно?
  2. Верно ли, что владелец сайта - оператор в смысле п.5.4 условий Метрики, и какое основание из ч.1 ст.6 относится к данным счётчика?
  3. Нужно ли согласие, с учётом слов п.2.1 «если того требует применимое законодательство», и в какой форме по ч.1 ст.9?
  4. Какое устройство плашки подходит сайту и нужен ли отдельный документ о cookie или достаточно политики по ч.2 ст.18.1?
  5. Что и как владелец сайта подтвердит Яндексу по запросу в соответствии с п.5.5?
  6. Что делать, если сайт посещают из других стран? MDN называет в разделе «Законодательство, связанное с куки» GDPR и ePrivacy Directive в ЕС и California Consumer Privacy Act, а затем оговаривает: «Могут существовать другие законодательные акты, которые применимы к вашей локальной юрисдикции. На вас лежит ответственность знать про них и следовать им.» Тексты этих актов статья не разбирает.
  7. Можно ли переносить в политику и плашку слова Яндекса о cookie и «анонимные идентификаторы» без собственной оценки?

Вопросы 1, 2 и 7 связаны с двумя формулировками Яндекса, по которым статья вывода не делает.

Источники

Состояние страниц на 06.10.2026. Закон 152-ФЗ - по тексту на consultant.ru (ред. от 26.07.2026).

Обсудить проект в Telegram: t.me/billioniks

Читайте по теме

Все статьи раздела «Закон и документы сайта» →