Штрафы за cookie-баннер: что требует РКН в 2026 году

Коротко: требование показывать уведомление о cookie вытекает из 152-ФЗ, а санкции за его нарушение прописаны в ст. 13.11 КоАП (шкала ужесточена законом 420-ФЗ, действует с 30.05.2025). Обработка аналитических cookie без согласия — штраф для юрлиц от 100 000 до 300 000 рублей. Баннер с единственной кнопкой «Принять все» — тот же состав: согласие оформлено с нарушением требований. Передача данных в иностранные сервисы без уведомления РКН — от 150 000 до 300 000, а в страны без адекватной защиты — до 3 000 000 рублей. Разбираем, за что именно выписывают штрафы, что регулятор считает корректным баннером и какие баннерные интерфейсы попадают в нарушения.

Откуда взялось требование

В самом 152-ФЗ нет статьи с формулировкой «разместите баннер про cookie». Обязанность собирается из трёх норм закона: статья 6 описывает правовые основания обработки, статья 9 требует согласия субъекта персональных данных, статья 18.1 обязывает опубликовать политику конфиденциальности. Cookie, привязанные к идентификатору пользователя или работающие на профилирование, относятся к персональным данным — значит, их обработка без согласия становится нарушением.

Сколько стоят нарушения

Все санкции ниже — из ст. 13.11 КоАП в редакции закона 420-ФЗ (действует с 30.05.2025), для юридических лиц:

Нарушение	Часть 13.11	Штраф для юрлиц
Аналитические cookie используются без согласия (баннера нет)	ч. 2	100 000–300 000 ₽
Баннер есть, но отказаться нельзя — только «Принять все»	ч. 2	100 000–300 000 ₽
Счётчики загружаются до получения согласия	ч. 2	100 000–300 000 ₽
Политики конфиденциальности на сайте нет или cookie в ней не описаны	ст. 13.11 при проверке в связке со ст. 18.1 152-ФЗ	отдельный состав, штрафы по линии ПДн
Cookie-данные уходят в иностранные сервисы без уведомления РКН	ч. 11	150 000–300 000 ₽
Та же передача в страны, не обеспечивающие адекватную защиту	ч. 12	1 000 000–3 000 000 ₽
Утечка cookie-данных с причинением ущерба или вреда	ч. 13	15 000 000–30 000 000 ₽

Обратите внимание: при повторном нарушении по ч. 12–14 вступает ч. 15 — оборотный штраф для юрлиц от 0,1 до 3% годовой выручки (не менее 25 млн рублей, максимум 500 млн). А про баннер и политику отдельно: сам факт наличия баннера нарушение не снимает — если согласие оформлено так, что отказаться невозможно, состав остаётся.

Какой баннер считается корректным

По требованиям РКН баннер должен:

• появляться при первом визите, до загрузки нестрого необходимых cookie;
• объяснять категории cookie понятным языком;
• давать выбор: принять всё, оставить только необходимые, отказаться от нестрогих;
• содержать ссылку на политику конфиденциальности;
• запоминать выбор и позволять изменить его в любой момент.

Что регулятор признаёт нарушением

РКН и суды фиксируют так называемые dark patterns — интерфейсные приёмы, которые подталкивают к «согласию»:

• «Принять все» — одна яркая кнопка, а «Настроить» или «Отказаться» спрятаны за многоступенчатыми действиями;
• в баннере только «Принять», без вариантов отказа или настройки;
• счётчики стартуют до любого взаимодействия с баннером;
• категории не разделены: технические, аналитические и рекламные cookie смешаны в одном согласии;
• баннер показывается при каждом визите, хотя выбор уже сделан и должен запоминаться;
• ссылки на политику конфиденциальности в баннере нет.

Техническая сторона

Правильная схема выглядит так: нестрогие cookie не устанавливаются до согласия; выбор сохраняется в строго необходимом cookie — в примере из требований это cookie_consent=true; при отзыве согласия ранее установленные cookie удаляются; логи согласий (дата, IP, выбранные категории) хранятся как доказательство корректной работы на случай проверки.

Чего в требованиях нет

Три вопроса остаются за рамками публичных разъяснений: точные сроки и переходные периоды, круг обязанных лиц и официальный перечень «строго необходимых» cookie — норма упоминает категорию, но не определяет её состав. По этим пунктам решения приходится принимать самостоятельно и осторожно: что считать необходимым для работы сайта, а что — аналитикой или рекламой.

Что это значит для аналитики сайта

Обычная связка «баннер плюс счётчик на cookie» требует согласия, фиксации выбора, хранения логов и корректной политики. Каждый пункт — работа разработчика, юриста и владельца сайта, а любой сбой превращается в один из штрафов из таблицы выше.

Аналитика без cookie убирает сам предмет требования: если счётчик не записывает идентификаторы в браузер посетителя и не строит сквозные профили, баннер ради аналитики не нужен, а действия из списка нарушений не появляются. ДэйРика работает именно так: события собираются по факту визита, без cookie и персональных данных. Остальные cookie на сайте — технические, рекламные, чатов — всё равно проверьте с юристом по списку выше.

Похожие статьи

Материал по требованиям к уведомлению о cookie и санкциям ст. 13.11 КоАП: help152.ru — «Штрафы за cookie-баннер: требования РКН 2026». Статья носит информационный характер и не заменяет консультацию юриста.