Баннер cookie и Яндекс Метрика: что требует закон и сколько статистики стоит согласие

Команда Cart-Power

2 ноября 2026·15 мин чтения

Слова «cookie» в 152-ФЗ нет, но условия Яндекс Метрики относят данные счётчика, включая файлы cookie, к персональным данным посетителей, а владельца сайта называют их оператором. Статья 9 закона требует конкретного и однозначного согласия, поэтому самый осторожный баннер cookie запускает Метрику только после «Принять». Согласие влияет на полноту статистики. В срезе за 24–29 августа 2026 года на нашем сайте около двух третей сеансов с показом баннера остались без решения, и визиты из поиска в Метрике упали с 270–332 до 9–22 в неделю. Запуск счётчика на той же странице после «Принять» помогает сохранить источник визита, если браузер передаёт его адрес.

Что требуют 152-ФЗ и условия Метрики

30 октября 2026 года мы повторно проверили все 30 статей действующей редакции 152-ФЗ. Слова «cookie» там нет, и вопрос решается через определение из пункта 1 статьи 3. Персональные данные по нему — любая информация, относящаяся к прямо или косвенно определённому или определяемому человеку. Метрика различает посетителей по идентификатору _ym_uid, который хранится в браузере год, а в _ym_d записывает дату первого визита (список cookie Метрики).

Яндекс для своего сервиса ответил на этот вопрос в договоре с владельцами сайтов. Роскомнадзор и суд этим договором не связаны, но владелец сайта его условия принял. В условиях использования Метрики (редакция от 7 августа 2026 года) сказано, что информация об активности на сайте, файлы cookie и данные об устройстве — персональные данные посетителей. Оператором условия называют владельца сайта, а Яндекс обрабатывает данные по его поручению в смысле части 3 статьи 6 152-ФЗ (п. 5.4 условий). Сама часть 3 статьи 6 разрешает поручить обработку другому лицу с согласия посетителя, если федеральный закон не предусматривает иного. Условия считаются принятыми, как только владелец зарегистрировал счётчик, получил его код или поставил код на сайт (п. 1.4). С этого момента на владельце сайта лежат такие обязанности:

Часть 1 статьи 9 требует, чтобы согласие было «конкретным, предметным, информированным, сознательным и однозначным». С 1 сентября 2025 года согласие оформляют отдельно от другой информации и документов, которые посетитель подтверждает или подписывает (ч. 2 ст. 7 156-ФЗ). Кнопка «Принять» в баннере даёт согласие только на cookie, без принятия пользовательского соглашения или политики. Доказать, что согласие было, должен оператор (часть 3 статьи 9). Для выполнения этих требований в баннере показывают сервисы и цели, дают возможность отказаться и сохраняют подтверждение выбора. Закон не задаёт конкретный дизайн кнопок или формат журнала. Политику обработки персональных данных закон требует опубликовать на тех страницах, где сайт собирает данные (часть 2 статьи 18.1), поэтому ссылка на неё стоит в самом баннере. Как оформить согласие в формах заявок, рассылках и регистрации, разобрали в статье «Согласие на обработку персональных данных на сайте».

Отдельного штрафа за баннер в КоАП нет. Обработку персональных данных в случаях, не предусмотренных законом, наказывает часть 1 статьи 13.11 КоАП. Юрлицу грозит 150 000–300 000 ₽, при повторном нарушении 300 000–500 000 ₽ (часть 1.1). ИП по части 1 отвечает как должностное лицо, 50 000–100 000 ₽ (примечание к статье 2.4 КоАП), а при повторном нарушении — как юрлицо. Сумму до 700 000 ₽ берут из части 2, но она про обработку без согласия в письменной форме там, где закон требует именно письменного согласия. Письменное согласие нужно только в случаях, предусмотренных федеральным законом (части 1 и 4 статьи 9). В 152-ФЗ такие случаи есть, например, в статьях 10 и 11 о специальных категориях данных и биометрии.

Ещё одна обязанность оператора — уведомить Роскомнадзор до начала обработки (статья 22 закона). Обычный коммерческий сайт с Метрикой не попадает под исключение для обработки без автоматизации. Два других исключения из части 2 статьи 22 касаются государственных информационных систем, созданных для защиты безопасности государства и общественного порядка, и транспортной безопасности. За неподанное уведомление юрлицу и ИП грозит 100 000–300 000 ₽ (часть 10 статьи 13.11).

Что стало с нашей Метрикой, когда она ждала согласия

Строгий режим мы испытали на себе. С 23 июня до конца августа 2026 года плагин согласия на cart-power.ru запускал Метрику только после нажатия «Принять». В отчётах по неделям, без роботов, виден провал (выгрузка из API Метрики 27 октября):

Всего визитов в отчётах стало в четыре-пять раз меньше, 93–124 в неделю вместо 460–558. Счётчик видел только тех, кто нажал «Принять». Отдельный срез в конце августа показал, насколько редко посетители взаимодействовали с баннером. Баннер вёл собственную статистику, и с 24 по 29 августа из 358 сеансов с показом баннера «Принять» нажали в 114 (32 %), «Отклонить» — в 10 (2,8 %). Ещё в 234 сеансах (65 %) посетитель баннер не тронул. При этом в те дни баннер шёл полосой во всю ширину и на экране 1 366×768 закрывал цену и главную кнопку первого экрана, что мешало посетителям увидеть предложение.

Поисковых визитов стало меньше даже относительно общего числа визитов. Судя по росту внутренних переходов, многие соглашались на второй-третьей странице. Счётчик стартовал там, первым адресом визита для Метрики становилась наша же страница, и переход из Яндекса записывался как внутренний. Отчёт по поисковым фразам в такие недели бесполезен, а автостратегии Директа, которые учатся на целях Метрики, не получают через счётчик цели по заявкам посетителей без согласия. Это вывод для целей, которые отправляет браузер, без учёта иных источников конверсий.

В конце августа, перед запуском рекламы в Директе, мы переключили плагин в режим «до отказа». Счётчик работает с первой страницы и выключается, если посетитель нажал «Отклонить». Число поисковых визитов в отчётах выросло за несколько дней. Сравнение периодов не доказывает, что реальная посещаемость была одинаковой: это наблюдение одного сайта, а не контролируемый эксперимент.

Строгий режим или мягкий: что выбирает владелец сайта

Сравним два режима запуска счётчика, которые обсуждаются в этой статье:

Строгий режим ближе к тексту части 1 статьи 9, потому что согласие посетитель даёт действием. Мягкий бережёт аналитику, но до нажатия кнопки опирается на молчание посетителя. Для данных, разрешённых к распространению, закон прямо запрещает считать молчание согласием (часть 8 статьи 10.1). О Метрике такой фразы в законе нет, но «сознательное и однозначное» согласие из бездействия вывести трудно, а доказывать его придётся оператору. Мягкий режим сам по себе согласия не создаёт. Значит, до решения посетителя не выполнено и условие части 3 статьи 6 о согласии на поручение обработки Яндексу. Исключения из этого правила для веб-аналитики в 152-ФЗ нет. Подходит ли для самой обработки законный интерес оператора (пункт 7 части 1 статьи 6), закон прямо не отвечает: норма требует, чтобы обработка была необходима для законных интересов оператора и не нарушала права и свободы посетителя.

Если выбран мягкий режим, в настройках счётчика стоит включить «Ограниченный режим». По п. 4.3.1 условий Метрика тогда собирает и передаёт владельцу меньше данных о посетителях и ограничивает их использование для рекомендаций в некоторых сервисах Яндекса. Эта настройка не заменяет правового основания обработки; часть возможностей сервиса станет недоступна или ограничена.

Текст баннера должен совпадать с настройками. Согласие по статье 9 должно быть информированным, а п. 2.1 условий Метрики требует понятно рассказать посетителю об обработке. Обещание «только с вашего согласия» при счётчике, который уже работает, не выдерживает ни того, ни другого.

Свой баннер мы проверили 27 октября в чистом браузере. До любого нажатия Метрика загрузилась, отправила просмотр, включила Вебвизор и записала cookie _ym_uid, _ym_d и _ym_isad. После «Отклонить необязательные» на следующей странице основной счётчик сайта не загрузился. При этом в логе оставались запросы другого счётчика внутри SmartCaptcha: отказ нужно проверять для каждого подключённого сервиса. Записанные раньше cookie Метрики при этом остались в браузере, плагин на нашем сайте их не удаляет. На этом месте стоит проверить и свой баннер. Одного сохранённого cookie недостаточно, чтобы доказать продолжение сбора. Проверять нужно и удаление идентификаторов, и прекращение новых запросов. Для нашего плагина это остаётся отдельной задачей.

30 октября мы привели текст баннера в соответствие с режимом «до отказа»: теперь он начинается словами «Сайт использует cookie и Яндекс Метрику. Метрика работает, пока вы от неё не откажетесь». Проверка в тот же день показала прежнее поведение: после «Отклонить необязательные» основной счётчик на следующей странице не загрузился. Записанные cookie _ym_* остались в браузере.

Как сохранить статистику, если счётчик ждёт согласия

Тех, кто не нажал «Принять», строгий режим в отчёты не вернёт. Источники визитов, скорость страницы и знание доли согласий зависят от технических решений, и их видно ещё до запуска.

Начните с момента запуска счётчика. Если после «Принять» счётчик запускается на той же странице без перезагрузки, Метрика получает адрес текущей страницы и доступный браузеру источник перехода. Так меньше риск принять следующую страницу своего сайта за источник; абсолютной гарантии атрибуции это не даёт. Отложенную загрузку счётчика до согласия Яндекс описывает в справке Метрики.

Если согласие пришло на второй странице, адрес источника можно передать вручную. При инициализации счётчика параметр defer отключает автоматическую отправку просмотра, а у метода hit есть параметр referer (справка по hit). Первый адрес до согласия придётся хранить в sessionStorage браузера. Считать ли это обработкой персональных данных, закон прямо не отвечает: запись и хранение в неё входят (пункт 3 статьи 3), но персональными данными адрес становится, только если относится к прямо или косвенно определённому или определяемому человеку (пункт 1 статьи 3). На своём сайте этот приём мы не проверяли.

Баннер должен быть виден на первом экране и не закрывать главное. При проверке 27 октября наш баннер на компьютере стоял карточкой 400 px в правом нижнем углу, а на телефоне занимает полосу высотой 76 px. До этого полоса на телефоне занимала 252 px, почти треть экрана 390×844.

Показывать баннер нужно сразу в разметке страницы, без ожидания скриптов. Иначе на телефоне его текст легко становится самым крупным элементом первого экрана, который появляется последним, и Lighthouse считает его LCP. Так было до версии 1.1 нашего модуля для CS-Cart. В замерах 30 сентября и 1 октября 2026 года на одной странице магазина клиента LCP в мобильном Lighthouse составлял 12,2 с при первой отрисовке за 2,8 с, а после обновления до 1.1, где баннер выводится сразу в разметке, LCP на той же странице стал 3,0 с. Это лабораторные прогоны; они не описывают скорость для всех реальных посетителей.

Отдельно измеряйте долю согласий. Статистика баннера показывает долю решений среди сеансов с его показом; это не точный охват Метрики. Заказы в панели магазина можно сверить с событиями счётчика за одинаковый период, по одинаковым статусам и идентификаторам. Разница покажет пропуски, но готового коэффициента для пересчёта конверсии из неё не получится: посетители, давшие согласие, могут покупать иначе.

Вебвизор при этом не должен писать лишнего. Опция «Записывать все поля» в его настройках выключается, и содержимое полей заменяется звёздочками. CSS-класс ym-disable-keys закрывает отдельное поле, ym-hide-content — блок страницы (справка по Вебвизору).

Что написать в баннере и в политике cookie

Баннеру хватает трёх-четырёх строк, если в них есть всё нужное посетителю:

• какие сервисы работают и зачем, например Метрика считает посещаемость, а Вебвизор записывает сеансы
• что сайт делает до решения посетителя, если режим мягкий
• ссылка на политику
• кнопки «Принять», «Отклонить» и «Настроить»

Ещё одна ссылка нужна в подвале каждой страницы, чтобы посетитель мог поменять решение. Часть 2 статьи 9 позволяет отозвать согласие, и для этого должно быть понятное место.

Отдельного документа о cookie 152-ФЗ не называет. Список cookie дают разделом политики обработки персональных данных или отдельной страницей, на которую ведёт баннер, и для каждого сервиса указывают название cookie, срок и цель. Яндекс сам публикует такой список для Метрики. По нему _ym_uid хранится год, _ym_d хранит дату первого визита, _ym_isad живёт 20 часов. Туда же по п. 5.8 условий Метрики идёт абзац о «Блокировщике Яндекс Метрики» со ссылкой на справку.

Список сервисов со временем меняется, когда на сайт добавляют чат, пиксель или видео с чужого сервера. Если новый сервис или цель не охвачены прежним согласием, сначала обновите сведения и получите согласие до их запуска. Простая замена текста или повторный показ баннера без выбора этого не решают.

Формы заказа, регистрации и подписки к баннеру cookie не относятся. У каждой своё основание. Заказ магазин обрабатывает для исполнения договора, а на рассылку нужно отдельное согласие со своей галочкой и своим текстом.

Если магазин на CS-Cart

Баннер у CS-Cart есть из коробки. Штатный модуль GDPR в Multi-Vendor и Ultimate ставится автоматически и использует менеджер согласий Klaro. По умолчанию в нём выбран режим «Неявное» с текстом «Продолжая его использование, вы соглашаетесь с тем, что файлы cookie будут сохраняться на вашем компьютере». Режим «Явное» даёт посетителю выбрать сервисы самому.

Мы разобрали код версии 4.21.1 и нашли два места, которые расходятся с тем, что обещает баннер. Кнопки «Отклонить все» нет ни в одном режиме, в схеме модуля жёстко прописано hideDeclineAll => true. Яндекс Метрика в списке сервисов баннера есть, но актуальный код счётчика из штатного модуля Метрики загружает tag.js без проверки согласия. В режиме «Явное» посетитель видит у Метрики переключатель, а счётчик его не слушает. Согласию подчиняется только вариант «Устаревший код счетчика», а с ним работает прежняя версия Вебвизора.

На проверках двух российских магазинов на CS-Cart картина была такой же. Окна выбора cookie в одном не было, в другом оно только сообщало о cookie и не давало отказаться. Счётчики в обоих запускались сразу при входе на сайт.

Для управления этими настройками мы сделали модуль «Согласие на файлы cookie» от 9 900 ₽, для CS-Cart и Multi-Vendor 4.17.1–4.21.1. Цена зависит от редакции платформы; установка оплачивается отдельно. В нём четыре категории cookie, мягкий и строгий режим, у Метрики четыре варианта запуска, Google Analytics и Google Ads работают через Consent Mode v2. Карты и ролики стоят под заглушкой до разрешения, предусмотрено удаление доступных скрипту cookie отказанных сервисов, решения пишутся в журнал с выгрузкой в CSV, а статистика показывает долю согласий по дням. Для работы нужны штатный модуль GDPR и «Cart-Power: Менеджер модулей». Модуль даёт механизм. Текст политики и выбор режима остаются за магазином и его юристом.

Когда модуль и проверка не нужны

Магазину не на CS-Cart наш модуль не подойдёт, у других платформ свои плагины согласия. Сайту без счётчиков, пикселей, встроенных карт и роликов выбирать нечего, и баннер cookie с категориями ему ни к чему. Текст уведомления о технических cookie в этом случае согласуйте с юристом.

Если своя команда готова пройти сайт сама, можно обойтись нашим чек-листом «Сайт и 152-ФЗ». Там 40 пунктов, на самопроверку уходит 2–3 часа.

Частые вопросы

Проверить свой сайт

Проверка сайта на 152-ФЗ стоит 18 000 ₽ с НДС и занимает до 6 рабочих дней. Смотрим, какие cookie ставятся до решения посетителя, работает ли отказ и запускаются ли Метрика и пиксели до согласия, а заодно формы, зарубежные сервисы и политику. Результат — список технических находок со ссылками на нормы и смета исправлений для своей команды, для нас или любого подрядчика. Заказать проверку на 152-ФЗ.

Основные нормы 152-ФЗ, 156-ФЗ и КоАП, условия Яндекс Метрики от 7 августа 2026 года и её справка повторно проверены 30 октября 2026 года. В тот же день сверены код CS-Cart 4.21.1 и цены на cart-power.ru и store.cart-power.ru. Замеры баннера относятся к 27 и 30 октября, статистика и Lighthouse — к указанным в тексте периодам.

Материал подготовлен как технический обзор с правовыми пояснениями на 30 октября 2026 года. Яндекс может менять условия Метрики без уведомления. Квалификация данных конкретного сайта зависит от того, что он собирает и как использует сведения. Цифры по cart-power.ru отражают опыт одного сайта. Выбор режима согласия, текст баннера и политики для вашего сайта оценивает юрист. Модули и настройки Cart-Power сами по себе соответствие закону не обеспечивают.