Cookie-баннер и Яндекс Метрика: что требует закон и как это устроено у меня

Отдельной нормы про cookie-баннер я в статьях 152-ФЗ, которые открыл (9, 12, 18, 18.1, 21 и 22), не нашёл, и разъяснения Роскомнадзора именно про cookie мне найти не удалось. Зато есть условия самой Яндекс Метрики: по пункту 5.4 владелец счётчика считается оператором персональных данных посетителей, включая cookie и сведения об устройстве, а Яндекс действует по его поручению. Значит, основание для обработки и согласие там, где оно нужно, остаются вашей заботой, а не Яндекса. Я исхожу из осторожного решения: пока посетитель не согласился, счётчик на моём сайте не запускается.

Это пояснение, а не юридическая консультация. Если у вас крупный сайт, платежи или чувствительные данные, покажите настройки юристу.

Что написано в условиях Метрики

Условия, которые я читал, датированы 7 августа 2026 года. Пункт 1.5 оговаривает, что Яндекс может менять их в любой момент без уведомления, поэтому проверьте актуальную версию.

Пункт	Что сказано
5.4	Пользователь считается оператором данных посетителей (активность на сайте, cookie, сведения об устройстве), Яндекс действует по его поручению
2.1 и 4.2.4(а)	Пользователь обязан получать согласия посетителей, где этого требует закон, и уведомлять их об обработке
5.5	По запросу Яндекса Пользователь в разумный срок предоставляет подтверждение согласия или иного основания и уведомления
5.4.2	Пользователь отвечает на запросы людей и контролирующих органов
4.1.2	Вебвизор: нельзя собирать пароли посетителей и их финансовую информацию, а напрямую идентифицирующие данные только с особого согласия

Вебвизор записывает, как посетитель двигает мышью и листает страницу. Поэтому поля форм, где вводят имя, телефон, почту и тем более пароль, разумно убирать из записи: они, скорее всего, подпадают под «напрямую идентифицирующие данные».

Что говорит закон о согласии

Статья 9 (часть 1) требует, чтобы согласие давалось свободно, своей волей и в своём интересе, было конкретным, информированным, сознательным и однозначным. Его можно дать в любой форме, которая позволяет подтвердить факт получения. Оформляется оно отдельно от прочих документов и информации, которые человек подтверждает: про это 156-ФЗ от 24.06.2025. Доказывать получение согласия или другое основание обработки обязан оператор (часть 3).

Из этого следуют два вопроса к баннеру. Можно ли считать согласием то, что человек остался на странице? Закон требует «однозначного» согласия, и выводить его из бездействия рискованно, но прямой нормы про баннеры я не нашёл, решение принимаете вы вместе с юристом. И можете ли вы подтвердить факт согласия: дату, версию текста, выбор человека.

За согласие, которого не было там, где оно требуется, или за согласие неверного содержания по части 2 статьи 13.11 КоАП штраф юридическим лицам от 300 000 до 700 000 ₽, должностным лицам от 100 000 до 300 000 ₽, гражданам от 10 000 до 15 000 ₽ (редакция КонсультантПлюс от 4 августа 2026). Как этот штраф соотносится с остальными, показано в статье «152-ФЗ: требования к сайту».

Что у вас подключено и что с этим делать

Что на сайте	Что делать
Счётчик Яндекс Метрики	Не запускать до согласия. В политике назвать цель (статистика посещений) и перечислить cookie
Вебвизор	То же и ещё скрыть от записи поля форм и ввод с клавиатуры
Формы заявок	Отдельное согласие со ссылкой на политику, не общая галочка
Сервисы за границей (аналитика, чаты, карты, видео)	Сначала понять, какие данные они получают. Если за границу уходят данные посетителей, это вопрос к статье 12: уведомление нужно до начала передачи
Кнопки соцсетей, виджеты	Проверить, что они не подгружают свои скрипты до согласия

Про зарубежные сервисы закон и подробности (статья 12, десять рабочих дней, список стран) разобраны в статье про 152-ФЗ. Здесь важно одно: в проверку попадает всё, что вы когда-то подключили и забыли.

Как проверить, что грузится до согласия

Откройте сайт в окне инкогнито. Нажмите F12 и перейдите на вкладку «Сеть». Обновите страницу и не нажимайте ничего на баннере. Найдите в списке запросы к домену mc.yandex.ru: это адрес Метрики. Если они есть до того, как вы согласились, счётчик работает без согласия. То же самое проверьте для других сервисов из таблицы выше: чужие домены в списке запросов видны сразу.

Если запросов нет, нажмите «принять» и посмотрите ещё раз: счётчик должен запуститься. Если после нажатия «отклонить» запросы появились, настройка не работает.

Как это устроено на моём сайте

Счётчик не загружается до согласия. После отказа баннер исчезает и ничего не загружается, а через 30 дней посетителю предлагают выбрать снова, если он ничего не разрешил. После согласия запускается счётчик с Вебвизором. Поля формы заявки и формы на странице контактов скрыты от записи, нажатия клавиш там не записываются, и это включено до запуска счётчика. Пикселя noscript у меня нет: он посчитал бы человека, у которого согласия не спрашивали. Сайт полностью работает и после отказа.

Я проверял это, заблокировав адрес mc.yandex.ru: после отказа ничего не запрашивается, через 29 дней баннера нет, через 31 день он появляется снова, а после согласия счётчик запускается.

На баннере кнопка «Принять все» выделена, а отказ оформлен текстом рядом. Такая подача спорна: закон требует свободного согласия, и вы можете выбрать две равные кнопки. Закрывать сайт перед тем, кто отказался, я не стал: согласие, которое нельзя не дать, свободным не назовёшь.

Что сделать у себя

Выпишите все сервисы, которые подключены к сайту, включая забытые. Проверьте в окне инкогнито, что грузится до согласия. Решите, что для вас считается согласием, и запишите решение. Обновите политику: цели, перечень cookie, срок хранения. Скройте от Вебвизора поля форм. Запускайте счётчик только после согласия. Сохраняйте факт согласия: дату и версию текста.

Чужие скрипты ещё и замедляют страницу: чем меньше грузится сразу, тем быстрее первый заход (см. «Почему сайт медленно грузится»). Если нужно, я настрою баннер и счётчик на вашем сайте как доработку (она входит в поддержку сайта) и назову цену после просмотра; это моя работа, и я на ней зарабатываю. Если у вас конструктор с готовым баннером, хватит инструкции выше. Напишите адрес сайта, и я скажу, что у него грузится без вашего ведома.

Источники

• Условия использования Яндекс Метрики и AppMetrica, версия от 07.08.2026: пункты 1.5, 2.1, 4.1.2, 4.2.4, 5.4, 5.4.2, 5.5.
• 152-ФЗ, статья 9: согласие, часть 1 изменена 156-ФЗ от 24.06.2025.
• КоАП РФ, статья 13.11, редакция от 04.08.2026: часть 2.
• Собственная проверка работы баннера и счётчика на сайте esaweb.ru с заблокированным адресом mc.yandex.ru, 25 октября 2026 года.