Cookie-баннер на сайте онлайн-школы: как избежать штрафа в 2026 году

У многих онлайн-школ на сайте одновременно стоят Яндекс Метрика, счётчики рекламных кабинетов, пиксели ретаргетинга и виджеты чатов – и почти все они оставляют в браузере посетителя куки, которые позволяют узнать его при повторном визите. С точки зрения 152-ФЗ такие куки – персональные данные, а значит их сбор без согласия посетителя – нарушение закона, а не мелкая техническая деталь.

Ниже – какие именно куки требуют баннера, что изменилось в 2025-2026 году, как выглядит штраф за нарушение и как настроить согласие технически, чтобы трекеры не срабатывали раньше клика “принять”.

Нужен ли по закону cookie-баннер онлайн-школе

Федеральный закон от 27.07.2006 № 152-ФЗ “О персональных данных” (проверено: август 2026) не содержит слова “cookie” вообще – закон писался в 2006 году, когда браузерные куки не были предметом отдельного регулирования. Но определение персональных данных в ст. 3 закона достаточно широкое: это любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу. Уникальный идентификатор в рекламном или аналитическом куки, привязанный к конкретному устройству и поведению человека на сайте, подпадает под это определение – и Роскомнадзор давно трактует такие куки как персональные данные, требующие согласия на обработку.

Ключевое изменение последних лет – Федеральный закон от 24.06.2025 № 156-ФЗ (проверено: август 2026), который с 1 сентября 2025 года дополнил ст. 9 закона № 152-ФЗ требованием: согласие на обработку персональных данных должно оформляться отдельным документом, а не быть частью пользовательского соглашения, оферты или политики конфиденциальности “по умолчанию”. Раньше некоторые школы прятали согласие на куки внутрь общего текста условий использования сайта – теперь такая практика прямо противоречит закону, и это уже не формальность, а основание для отдельной претензии от Роскомнадзора.

Отдельного “закона о cookie” по образцу европейского ePrivacy в России нет, поэтому формально можно спорить, обязателен ли именно баннер как элемент интерфейса. Но на практике баннер – самый понятный и юридически безопасный способ получить и зафиксировать согласие посетителя до того, как трекер начал собирать данные, а не после.

Для онлайн-школ вопрос особенно чувствителен, потому что сайт обычно связан с рекламными кабинетами напрямую: пиксель ВКонтакте фиксирует переход с объявления, а Метрика показывает, с какого объявления пришёл конкретный человек, купивший курс. Это ровно та цепочка данных, которую 152-ФЗ и рассматривает как персональные данные – связка идентификатора устройства с рекламным источником и дальнейшим поведением на сайте.

Какие cookies требуют согласия, а какие можно ставить без баннера

Куки принято делить на три группы по назначению. Первая – строго необходимые (technical/essential): сессия авторизации в личном кабинете ученика, содержимое корзины при оплате курса, выбранный язык интерфейса. Без них сайт не функционирует технически, и закон не требует отдельного согласия на их установку – они относятся к правовым основаниям обработки, не связанным с согласием субъекта. Вторая – аналитические (Яндекс Метрика, Google Analytics, тепловые карты): они не нужны для работы сайта как такового, но полезны школе для анализа поведения. Третья – рекламные и маркетинговые (пиксели ретаргетинга, рекламные сети, соцсети): они напрямую используются для персонализированной рекламы и передачи данных третьим лицам.

Именно вторая и третья группы попадают под требование Федерального закона от 24.06.2025 № 156-ФЗ (проверено: август 2026): банер должен позволять посетителю не просто узнать о куках, а реально отказаться от аналитических и рекламных трекеров, оставив только технически необходимые.

Что должно быть в баннере, чтобы он соответствовал требованиям 2026 года

Минимальный набор элементов рабочего cookie-баннера: краткое описание того, что сайт использует куки, с делением на технические, аналитические и рекламные; ссылка на политику конфиденциальности сайта, где подробно расписаны цели обработки; кнопка согласия, которая активирует нетехнические трекеры только после нажатия, а не до него; кнопка отказа или настройки, равная по заметности кнопке согласия – нельзя делать “принять” крупной зелёной кнопкой, а “отклонить” мелкой ссылкой внизу мелким шрифтом.

Отдельная деталь, которую часто упускают: сам факт согласия должен где-то фиксироваться – например, дата и версия согласия сохраняются в куки самого баннера или в базе школы, чтобы при проверке можно было показать, что конкретный посетитель дал согласие определённой версии баннера в определённую дату. Без такой фиксации формально невозможно доказать, что согласие вообще было получено, даже если баннер визуально выглядел корректно.

Отдельно стоит следить за формулировками внутри самого баннера. Фраза “продолжая пользоваться сайтом, вы соглашаетесь с обработкой cookies” юридически слабая: она приравнивает согласие к простому факту нахождения на странице, а не к активному действию посетителя, и именно так трактует ситуацию большинство современных разъяснений о согласии на обработку персональных данных. Формулировка должна прямо указывать, что согласие даётся нажатием конкретной кнопки, а не тем, что человек просто открыл сайт или пролистал страницу вниз.

Штрафы за отсутствие или неправильный cookie-баннер

Ст. 13.11 КоАП РФ содержит несколько самостоятельных составов, и штраф зависит от конкретного нарушения: обработка персональных данных без правового основания или с превышением заявленных целей обработки для юридических лиц влечёт штраф от 60 000 до 100 000 рублей при первом нарушении, а при повторном – от 100 000 до 300 000 рублей. Отдельно наказывается необеспечение субъекту персональных данных возможности отозвать согласие или неисполнение требования об удалении данных – суммы штрафов по этим составам отличаются, поэтому конкретную сумму по факту проверки стоит уточнять по актуальной редакции статьи.

Практика Роскомнадзора устроена так, что жалобу на отсутствие или некорректный cookie-баннер может подать сам посетитель сайта – через личный кабинет на портале ведомства, приложив скриншот с отсутствующим баннером или сохранённой политикой конфиденциальности без упоминания cookies. После жалобы обычно следует запрос документов у школы, а затем, если ответ неудовлетворительный, – составление протокола об административном правонарушении. На этом этапе школе обычно уже сложно быстро всё исправить: разбирательство идёт по факту на дату жалобы, и последующее исправление баннера снижает риск повторных претензий, но не отменяет уже начатое производство по первому эпизоду.

Как настроить баннер технически: до согласия, после согласия, отказ

Технически правильная реализация выглядит так: код Яндекс Метрики, рекламных пикселей и других нетехнических трекеров подключается не напрямую в head страницы, а через менеджер согласий (consent management), который блокирует их загрузку до клика по кнопке. Только после явного согласия посетителя менеджер инициирует загрузку соответствующих скриптов. Если посетитель отказался или закрыл баннер без выбора, трекеры не должны активироваться – закрытие баннера крестиком не может приравниваться к согласию.

Отдельно стоит предусмотреть возможность изменить решение позже – обычно через ссылку “настройки cookie” в подвале сайта, которая вновь открывает баннер с текущим состоянием согласий по категориям. Это особенно важно для образовательных сайтов, где посетитель может вернуться много раз за время обучения и захотеть в какой-то момент отозвать согласие на рекламные трекеры, продолжая пользоваться личным кабинетом.

Частая техническая ошибка на сайтах, собранных на конструкторах вроде Tilda или на WordPress с готовыми шаблонами, – плагин cookie-баннера установлен и визуально работает, но коды счётчиков вставлены отдельно, напрямую в шаблон страницы, в обход самого баннера. В этом случае Метрика и рекламные пиксели продолжают собирать данные независимо от выбора посетителя, а баннер существует только для вида. Проверить это можно так: открыть сайт в режиме инкогнито с включённым блокировщиком скриптов или через вкладку “Сеть” в инструментах разработчика браузера и посмотреть, отправляются ли запросы к Яндекс Метрике или рекламным сетям до нажатия на баннер.

Как проверить cookie-баннер школы на соответствие закону

Практический чек-лист для самопроверки поможет найти типичные ошибки до того, как их найдёт жалоба посетителя или проверка Роскомнадзора.

Если хотя бы два пункта из списка не выполняются, разумно не откладывать доработку: перенастройка баннера технически занимает от одного дня, а штраф по ст. 13.11 КоАП РФ и репутационные издержки от жалобы обходятся школе куда дороже.

Полезно также раз в квартал сверять список подключённых на сайте счётчиков и пикселей с тем, что описано в баннере и политике конфиденциальности. Маркетологи часто добавляют новый рекламный пиксель под конкретную кампанию и забывают внести его в перечень трекеров – формально это тоже расхождение с заявленными целями обработки, которое может стать основанием для претензии, даже если сам баннер настроен правильно.

Не уверены, что cookie-баннер и политика конфиденциальности школы соответствуют закону?

Проверим сайт на соответствие 152-ФЗ, приведём согласие на обработку персональных данных к требованиям закона № 156-ФЗ и настроим баннер технически.

Оставить заявку ->

Статья подготовлена на основе законодательства РФ на август 2026 года. Для консультации по вашему случаю обратитесь к специалисту.