Cookie-баннер в Беларуси: требования НЦЗПД

Коротко. Cookie баннер: требования в Беларуси сводятся к пяти правилам из рекомендаций Национального центра защиты персональных данных (НЦЗПД). Технически необходимые cookie (сессия, корзина, язык) можно ставить без согласия; аналитические и рекламные — только после явного согласия, то есть Яндекс.Метрика и Google Analytics не должны срабатывать до нажатия «Принять». Кнопки «Принять» и «Отклонить» должны быть равнозначны по заметности, обязательна кнопка «Настройки cookie» с выбором по категориям и отдельная политика cookie. Полоска «Мы используем cookie — ОК», которую нельзя отклонить, этим требованиям не соответствует. Ниже — таблица категорий, как реализовать блокировку скриптов до согласия, сравнение готовых сервисов со своим решением и проверка баннера за 10 минут.

Для владельцев сайтов, маркетологов, у которых стоит аналитика и реклама, и разработчиков, которым поручили «сделать баннер».

Почему «Мы используем cookie — ОК» больше не работает

Cookie-баннер — это интерфейс получения согласия на обработку данных, которые собирают cookie и похожие технологии: идентификаторы посетителя, IP-адрес, поведение на сайте. По Закону № 99-З такие данные в связке с другими сведениями относятся к персональным, а согласие должно быть конкретным, информированным и подтверждаемым — общий контекст в обзоре требований 99-З к сайту, здесь разбираем только баннер. Полоска с одной кнопкой «ОК» не даёт выбора: человек либо соглашается, либо уходит. Значит, согласия в смысле закона нет, а счётчики уже работают.

Отдельная проблема: большинство таких полосок вообще ничего не блокируют. Скрипты аналитики загружаются при открытии страницы, баннер — просто декорация. Проверяющему или жалующемуся посетителю достаточно открыть инструменты разработчика, чтобы это увидеть.

Cookie баннер: требования в Беларуси — пять правил НЦЗПД

По рекомендациям НЦЗПД (cpd.by) корректный баннер выглядит так:

1. Необходимые cookie — без согласия. Сессия, авторизация, корзина, выбор языка, защита от ботов, сохранение самого выбора по cookie. Их можно ставить сразу, о них достаточно проинформировать.
2. Аналитические и рекламные — только после явного согласия. Пока пользователь не нажал «Принять» или не включил категорию в настройках, скрипты счётчиков и пикселей не загружаются и cookie не ставятся. Молчание, прокрутка страницы, закрытие баннера крестиком — не согласие.
3. «Принять» и «Отклонить» равнозначны. Одинаковый размер, контраст, положение на одном уровне. Яркая «Принять» и серая ссылка «Подробнее» вместо «Отклонить» — тёмная практика.
4. Есть «Настройки cookie». Пользователь может включить одни категории и выключить другие, а также изменить выбор позже — ссылка или кнопка в подвале, которая открывает баннер снова.
5. Отдельная политика cookie. Типы cookie, цели, сроки хранения, основание, трансграничная передача, как управлять в браузере. Ссылка на неё — прямо в баннере.

Это рекомендации регулятора, на которые он ориентируется при мониторинге сайтов и рассмотрении жалоб; их точную формулировку и статус.

Какие cookie требуют согласия: таблица категорий

Спорные случаи (например, аналитика, которая обещает работать «без cookie») решайте консервативно: если сторонний домен получает данные о посетителе, относите её к категории, требующей согласия.

Как реализовать технически

Баннер — это не только внешний вид, но и логика загрузки скриптов. Схема, которая работает на любом стеке:

1. Инвентаризация. Откройте сайт в режиме инкогнито с инструментами разработчика, вкладки «Сеть» и «Приложение → Cookie». Запишите все сторонние домены и cookie, которые появляются до любого действия. Это список того, что нужно поставить под согласие.
2. Разделение скриптов по категориям. Каждый счётчик и пиксель помечается категорией: необходимые, аналитика, маркетинг. Если используете тег-менеджер — категории становятся условиями срабатывания тегов.
3. Загрузка по согласию. Скрипты категорий «аналитика» и «маркетинг» не вставляются в страницу напрямую, а загружаются кодом баннера после того, как пользователь дал согласие на категорию. До этого — ни запроса к стороннему домену, ни cookie.
4. Хранение выбора. Выбор пользователя сохраняется в необходимой cookie или localStorage вместе с датой и версией политики cookie. При смене версии политики баннер показывается снова.
5. Журнал согласий. Для доказуемости фиксируйте факт согласия: время, версия текста, набор категорий — без лишних персональных данных, достаточно псевдонимного идентификатора.
6. Повторный доступ. Кнопка «Настройки cookie» в подвале открывает тот же диалог и позволяет отозвать согласие; при отзыве скрипты категории отключаются, а их cookie удаляются, насколько это технически возможно.
7. Заглушки для встраиваний. Видео и карты показываются как превью с кнопкой «Загрузить» и пояснением, что при загрузке данные уйдут стороннему сервису.

Если Метрика или Analytics вставлены прямо в шаблон сайта через тег <script> без условий, шаги 3 и 6 требуют переделки шаблона — это самая частая причина, почему «баннер есть, а толку нет».

Готовый сервис или свой баннер

Общее правило: какой бы путь вы ни выбрали, результат должен проходить проверку из следующего раздела.

Как проверить свой баннер за 10 минут

1. Откройте сайт в режиме инкогнито, инструменты разработчика, вкладка «Сеть». Обновите страницу, ничего не нажимая. Отфильтруйте запросы к сторонним доменам: аналитика, рекламные сети, чаты. Если запросы есть — баннер не блокирует.
2. Вкладка «Приложение → Cookie»: какие cookie уже стоят. Должны быть только необходимые и, возможно, cookie самого баннера.
3. Посмотрите на баннер глазами посетителя: есть ли «Отклонить» рядом с «Принять» того же размера и контраста? Есть ли «Настройки»? Есть ли ссылка на политику cookie?
4. Нажмите «Отклонить». Обновите страницу. Сторонних запросов по-прежнему нет, баннер не появляется снова при каждом переходе.
5. Нажмите «Принять» — счётчики загрузились. Найдите в подвале «Настройки cookie», отзовите согласие — счётчики перестали срабатывать.
6. Откройте политику cookie: перечислены ли реально стоящие cookie, есть ли сроки и получатели.

Если на любом шаге ответ «нет» — есть что исправлять. Пример баннера, который проходит все шесть шагов, — на viviar.by: равнозначные кнопки, настройки по категориям, отдельная политика.

Ошибки, которые встречаются чаще всего

• Баннер есть, скрипты загружаются до согласия — самая частая ошибка и самая заметная при проверке.
• Нет кнопки «Отклонить»; вместо неё — «Подробнее» или крестик.
• «Принять» яркая, «Отклонить» серая мелким шрифтом.
• Прокрутка или продолжение использования сайта трактуется как согласие.
• Все категории в настройках включены по умолчанию.
• Баннер показывается на каждой странице, потому что выбор не сохраняется.
• Нельзя изменить выбор после закрытия баннера.
• Политика cookie — копия с чужого сайта с чужими cookie.
• Cookie-баннер стоит, а ссылки на общую политику обработки персональных данных нет — как она должна быть устроена, разобрано отдельно.

Чек-лист корректного cookie-баннера

• Проведена инвентаризация cookie и сторонних скриптов
• Каждый скрипт отнесён к категории
• До согласия загружаются только необходимые cookie
• Кнопки «Принять» и «Отклонить» равнозначны
• Есть «Настройки cookie» с выбором по категориям
• Категории, требующие согласия, по умолчанию выключены
• Выбор сохраняется, баннер не показывается повторно без причины
• Согласие можно отозвать из подвала
• При отзыве скрипты отключаются
• Факт согласия логируется с версией политики
• Отдельная политика cookie опубликована и совпадает с реальностью
• Ссылки на политику cookie и общую политику — в баннере
• Заглушки для видео, карт и сторонних виджетов
• Баннер проверен на телефоне

Сколько это стоит

Настройка баннера входит в приведение сайта в соответствие с 99-З: инвентаризация, политики, согласия у форм, cookie-баннер и сканирование сайта на уязвимости — пакет «Цифровой Минимум» — от 1 700 BYN, единая цена. Если нужна переделка шаблона сайта под загрузку скриптов по согласию или собственный баннер в дизайне продукта, это делает наша команда разработки — в рамках «Разработки по подписке» от 4 400 BYN/мес за 20 часов или как отдельная задача.

Частые вопросы

Нужен ли cookie-баннер, если на сайте только Яндекс.Метрика?

Да. Метрика ставит аналитические cookie, которые по рекомендациям НЦЗПД требуют явного согласия. Баннер должен давать возможность отклонить, а счётчик — не запускаться до согласия. Если Метрика нужна для решений по сайту, честный баннер с равнозначными кнопками сохранит часть данных — в отличие от жалобы посетителя.

Можно ли считать согласием продолжение использования сайта?

Нет. Согласие по 99-З должно быть явным и подтверждаемым, а прокрутка страницы или закрытие баннера крестиком таковым не является. Только нажатие «Принять» или включение категории в настройках. Такое «согласие действием» — один из признаков, по которым баннер признают формальным.

Обязательна ли кнопка «Отклонить», или достаточно «Настроек»?

По рекомендациям НЦЗПД отклонить должно быть так же просто, как принять: кнопка «Отклонить» на первом экране баннера, равнозначная «Принять». Спрятать отказ на второй уровень в настройках — тёмная практика, даже если формально отказаться возможно.

Нужна ли отдельная политика cookie, если в общей политике есть раздел про cookie?

НЦЗПД рекомендует отдельную политику cookie с типами, целями, сроками, основаниями и способами управления. Раздел в общей политике лучше, чем ничего, но отдельный документ проще поддерживать в актуальном состоянии и удобнее ссылаться из баннера. Допустим ли для вашего случая раздел вместо документа —.

Что будет, если баннера нет или он формальный?

Аналитические cookie ставятся без основания — это обработка персональных данных без законного основания, за которую ст. 23.7 КоАП предусматривает штраф до 50 базовых величин для юрлица. Плюс предписание НЦЗПД и, при жалобе, проверка всей работы с персональными данными, а не только баннера.

Вывод

Cookie-баннер, который соответствует требованиям в Беларуси, — это равнозначные «Принять» и «Отклонить», настройки по категориям, отдельная политика cookie и главное — скрипты аналитики и рекламы, которые действительно не загружаются до согласия. Проверить это можно за 10 минут через инструменты разработчика. Если проверка не пройдена — напишите, какой у вас сайт и какие счётчики стоят: скажем, что переделать, и сделаем.

Источники: Национальный центр защиты персональных данных — рекомендации по использованию cookie и примерная политика в отношении cookie (cpd.by); Закон Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (pravo.by); КоАП Республики Беларусь, ст. 23.7. Статус и точная формулировка рекомендаций НЦЗПД, отнесение функциональных cookie к необходимым —.