Все три образца — целиком в статье: читать и применять можно, ничего не скачивая и не оставляя почту. Сначала короткий ответ на вопрос, который задают первым.
Почему «текста по закону» не существует
Дословных требований к формулировке нет. Слова «cookie» в 152-ФЗ нет вообще — правила выводятся из общих норм об обработке персональных данных. Ни закон, ни КоАП не задают ни текста, ни длины плашки, ни набора кнопок.
Отдельного акта или разъяснения Роскомнадзора именно про cookie-баннеры тоже нет: официальный FAQ РКН по персональным данным мы прочитали вручную 31 августа 2026 года — вопросов про cookie там не оказалось. «Требования РКН к содержанию согласия», которые попадаются в выдаче, существуют (приказ от 24.02.2021 № 18), но они про согласие на распространение данных, то есть на публичное раскрытие. К плашке они не относятся.
Показательная деталь: Яндекс в справке Метрики сам приводит пример уведомления — «Этот сайт собирает статистику посещения и данные посетителей» со ссылкой на политику — и тут же оговаривает, что «не несёт ответственности за его соответствие требованиям законодательства». Тот, кто даёт вам образец, за него не отвечает. Отвечаете вы.
Значит, любой образец — не «текст по закону», а текст, собранный под нормы о согласии и информировании. Правомерным его делает одно: совпадение с тем, что реально стоит на сайте. Устройство плашки — кнопки, момент запуска скриптов, поведение при отказе — разобрано в материале как cookie-баннер должен быть устроен по закону; здесь только текст.
Что писать в баннере о куки: три текста под три набора счётчиков
Варианты делятся не по длине, а по тому, что реально грузится на страницах: от набора скриптов зависит жанр текста — информирование или сбор согласия. Категории в таблице не выдуманы: на эти группы наша проверка раскладывает найденные метки, и рядом стоит вердикт, который она этой группе ставит. Подстановки в квадратных скобках замените своими данными — реквизитами оператора и списком сервисов, которые действительно работают на сайте.
| Что стоит на сайте | Категория в нашей проверке | Жанр текста | Вариант |
|---|---|---|---|
| Сессия, корзина, язык, чат поддержки — и больше ничего | Технические / строго необходимые (вердикт ok) | Информирование, одна кнопка | А |
| Счётчик посещаемости без Вебвизора: Яндекс Метрика, Top.Mail.ru | Обезличенная статистика (вердикт warning — серая зона) | Согласие: минимум две равнозначные кнопки | А + блок согласия |
| Вебвизор Метрики, Hotjar, Microsoft Clarity, Amplitude, Mixpanel, Roistat | Идентифицирующая аналитика (violation) | Согласие, две равнозначные кнопки | Б |
| Сегменты Метрики для Директа, VK-пиксель, Google Ads, сторонние виджеты | Маркетинг и реклама (violation) | Согласие с категориями и настройками | В |
Вариант А — только технические cookie
Жанр — уведомление об использовании cookie: текст сообщает факт, цель и оператора. Одна кнопка допустима ровно в одном случае — когда кроме технических cookie на сайте ничего нет.
Сайт использует файлы cookie. Технические cookie нужны, чтобы сайт работал: они хранят сессию, корзину, выбранный язык и переписку в чате поддержки. Счётчики посещаемости и рекламные метки мы не используем. Оператор — [наименование или ФИО оператора]. Какие данные и зачем мы обрабатываем — в Политике обработки персональных данных: [ссылка].
[ Понятно ]
Как только к этому набору добавляется счётчик — даже обезличенный, без Вебвизора, — жанр меняется. В текст добавляется абзац про статистику, а одна кнопка превращается в две равнозначные:
…С вашего согласия мы считаем посещаемость с помощью [сервисы, которые реально стоят: например, Яндекс Метрика без Вебвизора] — чтобы понимать, какие страницы читают. Метки Метрики хранятся до 1 года. Отозвать согласие и удалить метки можно в любой момент, порядок — в Политике: [ссылка].
[ Принять ] [ Отклонить ]
Позиция редакции, чтобы не было разночтений: счётчик корректнее запускать после согласия. Наша проверка ставит обезличенной статистике вердикт warning — «серая зона», и на сайтвпорядке.рф мы сами включаем Метрику только после клика в cookie-экране. Вариант «счётчик работает, а в плашке одна кнопка [ Понятно ]» встречается повсеместно, но это именно серая зона: прямого разрешения в законе нет, и риск остаётся на владельце сайта. Почему согласие на обычный счётчик нужно почти всегда — разобрано в материале согласие на Яндекс Метрику и Google Analytics.
Оговорка, без которой вариант А использовать нельзя: прямой нормы «технические cookie не требуют согласия» в российском законе нет. Списка технически необходимых cookie закон не даёт — основание обосновывают целью: п. 5 ч. 1 ст. 6 152-ФЗ (обработка нужна для исполнения договора с посетителем) или п. 7 (законные интересы оператора). И важное ограничение: оба пункта вытягивают только технические cookie — сессию, корзину, язык, чат. Обезличенную статистику они не закрывают: считать посещаемость не требуется ни для исполнения договора с посетителем, ни настолько бесспорно, чтобы спокойно опереться на законный интерес — это основание практикующие юристы называют крайне неоднозначным. Отсюда и вторая кнопка в блоке про счётчик.
Про Google Analytics: в образец А мы его намеренно не включили, и дело тут не в формулировке плашки — под вопросом сама схема сбора. С 1 июля 2025 года действует ч. 5 ст. 18 152-ФЗ в редакции ФЗ от 28.02.2025 № 23-ФЗ: первичный сбор персональных данных россиян сразу в зарубежные базы запрещён, из-за чего легальное использование GA в типовой схеме стало практически невозможным. Никакая фраза в баннере это не чинит. Разбор — в статье согласие на Яндекс Метрику и Google Analytics.
Вариант Б — идентифицирующая аналитика
Уведомлением здесь не обойтись: сервисы записывают поведение конкретного посетителя. Кнопки две и равнозначные, цель названа прямо.
Сайт использует файлы cookie. Технические cookie обеспечивают работу сайта. С вашего согласия мы подключаем [сервисы, которые реально стоят: Яндекс Метрика с Вебвизором, Microsoft Clarity, Hotjar]: они записывают ваши действия на странице — движения курсора, клики, прокрутку и ввод в поля форм, — чтобы мы видели, где посетители спотыкаются. Оператор — [наименование или ФИО оператора]. Метки хранятся до 1 года, служебная метка работы Вебвизора — 30 минут. Отозвать согласие можно в любой момент, порядок — в Политике: [ссылка].
[ Принять ] [ Отклонить ]
Почему «мы улучшаем сервис» тут не проходит: согласие должно быть конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9 152-ФЗ), а запись движений курсора этой фразой не описана. Техническая оговорка: Вебвизор опознаётся по инлайн-коду счётчика — если параметры вынесены во внешний .js, со стороны Метрика выглядит обычной статистикой.
Вариант В — реклама и ретаргетинг
Данные уходят рекламным системам, поэтому согласие собирается по категориям: рядом с «Принять» и «Отклонить» появляется «Настроить».
Сайт использует файлы cookie. Технические cookie обеспечивают работу сайта. С вашего согласия мы используем аналитические и рекламные cookie: [Яндекс Метрика и её сегменты для Яндекс Директа, VK-пиксель, Google Ads]. Цели — измерять посещаемость и эффективность рекламы, показывать вам наши объявления на других площадках. Данные передаются перечисленным сервисам. Оператор — [наименование или ФИО оператора]. Сроки хранения меток: Яндекс Метрика — до 1 года, Google — до 2 лет. Отозвать согласие — в порядке, описанном в Политике: [ссылка].
[ Принять всё ] [ Отклонить ] [ Настроить ]
Вывод, который переводит многих из варианта А сразу в В: у Яндекс Директа нет отдельного пикселя — ретаргетинг строится на целях и сегментах Метрики. Фраза «у меня только счётчик, рекламы нет» перестаёт быть верной в момент, когда сегменты уходят в Директ. За кнопкой «Настроить» при этом должен стоять реальный экран с категориями, а не заглушка.
Важно: образец — это рыба, а не готовый документ. Текст, который перечисляет сервисы, которых у вас нет, или молчит про те, что стоят, защиты не даёт: он расходится с требованием конкретности согласия (ч. 1 ст. 9 152-ФЗ) и с перечнем сведений, которые закон считает существенными (п. 2 и п. 4 ч. 7 ст. 14). Перед публикацией сверьте цели, список сервисов и сроки с реальным набором скриптов.
Какой из трёх вариантов ваш — решает не вкус, а то, что реально грузится на страницах и в какой момент. Проверим cookie-баннер и трекеры на вашем сайте: покажем, какие счётчики и пиксели загружаются до согласия и остаются ли они после клика «Отклонить».Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтИз чего собран текст cookie-баннера: разбор по фразам
Главная опора — ч. 1 ст. 9 152-ФЗ: согласие должно быть «конкретным, предметным, информированным, сознательным и однозначным». Пять признаков, и каждый добавляет в текст свой кусок: конкретность — названия сервисов, предметность — цель, информированность — состав данных и срок, однозначность — активное действие вместо молчания. Рабочая формулировка согласия на cookies — это закрытые признаки, а не красивая фраза.
Вторая опора — перечень сведений ч. 7 ст. 14, к которому отсылает ч. 1 ст. 18. Здесь важна точность: сведения предоставляются «по его просьбе», уместить весь перечень в плашке закон не требует — он лишь показывает, что считает существенным. Третья опора — ч. 2 ст. 18.1: политика опубликована и доступна, отсюда ссылка из баннера. Плюс принципы ст. 5: цель конкретная и заранее определённая, срок хранения — не дольше, чем требует цель.
| Фраза образца | Что она закрывает | Норма-опора | Что будет, если убрать |
|---|---|---|---|
| «Сайт использует файлы cookie» | Факт и способ обработки | п. 3 ч. 7 ст. 14 | Посетитель не знает, что данные собираются |
| «…чтобы считать посещаемость / показывать рекламу» | Конкретная, заранее определённая цель | ч. 2 ст. 5; п. 2 ч. 7 ст. 14 | Согласие «на что-нибудь» не является конкретным |
| «Оператор — […]; сервисы: […]» | Кто оператор и кому раскрываются данные | п. 4 ч. 7 ст. 14; ч. 1 ст. 9 | Непонятно, кому человек что разрешил |
| «Метки хранятся до 1 года» | Срок обработки и хранения | ч. 7 ст. 5; п. 6 ч. 7 ст. 14 | Обработка без обозначенного срока |
| «Отозвать согласие и удалить метки — в Политике» | Порядок реализации прав | п. 7 ч. 7 ст. 14 | Нет описанного способа передумать |
| Кнопка «Принять» как способ согласиться | Однозначность и сознательность | ч. 1 ст. 9 | Согласие выводится из бездействия |
| Отдельная плашка со ссылкой на политику | Согласие отдельно от иных документов; политика опубликована | ч. 1 ст. 9 в ред. 156-ФЗ; ч. 2 ст. 18.1 | Согласие «оптом» и документ, который негде прочитать |
Последняя строка появилась недавно: с 1 сентября 2025 года согласие оформляется отдельно от иных информации и документов (156-ФЗ от 24.06.2025). Разъяснений РКН именно про баннеры нет — перенос общего принципа на плашку это логика, а не отдельное правило. Но логика убедительная: одна кнопка сразу на политику, оферту и рассылку выглядит ровно тем, что норма запрещает.
Семь формулировок, которые ломают баннер
Эти фразы чаще всего переезжают из чужого текста в ваш. Без названий компаний: так устроены баннеры многих известных сервисов, и рабочими формулировки от этого не становятся.
- «Продолжая пользоваться сайтом, вы соглашаетесь». Согласие выводится из бездействия, а ч. 1 ст. 9 требует однозначного и сознательного волеизъявления. Ни в одном из трёх образцов выше этой фразы нет — и быть не должно.
- Калька с GDPR: «на основании законного интереса», «в соответствии с GDPR», «вы имеете право на переносимость данных». Это чужая рамка — ст. 6(1)(f) и ст. 20 GDPR. Права на переносимость в 152-ФЗ нет: права субъекта строятся вокруг доступа к информации (ст. 14), уточнения, блокирования и уничтожения (ст. 21), отзыва согласия (ч. 2 ст. 9). Баннер обещает посетителю право, которого у него по российскому закону нет. А российский «законный интерес» (п. 7 ч. 1 ст. 6) практикующие юристы называют крайне неоднозначным основанием.
- Обещание, которого сайт не выполняет. «Отключите любые cookie в настройках» — при отсутствии настроек; «мы не передаём данные третьим лицам» — при живой Метрике; «только технические cookie» — при включённом Вебвизоре. Согласие перестаёт быть информированным и конкретным (ч. 1 ст. 9), а доказывать факт его получения обязан оператор (ч. 3 ст. 9).
- Неконкретная цель: «для улучшения качества сервиса», «чтобы сайт работал лучше». Обработка ограничивается достижением конкретных, заранее определённых целей (ч. 2 ст. 5).
- «Сторонние сервисы аналитики» без названий. Сведения о лицах, которым данные могут быть раскрыты, закон относит к существенным (п. 4 ч. 7 ст. 14), а согласие без названий не является конкретным (ч. 1 ст. 9).
- Подтверждение вместо согласия: «Нажимая ОК, вы подтверждаете, что ознакомились». Ознакомление — не волеизъявление; ч. 1 ст. 9 требует согласия, а не подтверждения прочтения.
- Согласие «оптом»: «Принимая, вы соглашаетесь с политикой, офертой и рассылкой». С 1 сентября 2025 года согласие оформляется отдельно от иных информации и документов.
Последний пункт касается не только плашки: та же ошибка живёт в формах, где одна галочка закрывает сразу политику, оферту и рекламную рассылку. Как разводить согласия по разным чекбоксам — в материале чекбокс согласия в форме.
Где текст расходится с реальностью и как это увидеть
Доказать, что согласие получено, обязан оператор (ч. 3 ст. 9). Доказывается оно не текстом плашки, а поведением сайта — тем, какие скрипты и когда загружаются. Поэтому скопированный баннер бывает хуже отсутствующего: он письменно фиксирует то, чего на сайте нет.
Проверка снимает два среза cookie: при загрузке страницы (то есть до какого-либо согласия) и после клика по «Отклонить». Каждая метка опознаётся по имени, соотносится с системой и попадает в одну из категорий — технические, обезличенная статистика, идентифицирующая аналитика, маркетинг. Отдельно фиксируется, найден ли баннер и есть ли кнопка отказа. Самое частое расхождение видно сразу: текст обещает «только технические cookie», а после «Отклонить» рекламные метки остаются на месте.
Надзорная практика по теме скромная, но она есть: в отчёте о контрольных мероприятиях за I квартал 2023 года управление РКН по Архангельской области и НАО называет «ненадлежащее информирование пользователей об использовании файлов cookies» среди выявленных нарушений. Это отчёт о надзоре, а не нормативный акт и не разъяснение центрального аппарата.
Про ответственность — коротко. Профильный состав здесь ч. 1 ст. 13.11 КоАП в редакции, действующей с 30 мая 2025 года: для компании 150 000 – 300 000 ₽, для ИП — как для должностного лица, 50 000 – 100 000 ₽ (отдельной строки для ИП в этой части нет, работает примечание к ст. 2.4 КоАП). Именно этот состав и стоит за словами «серая зона» в таблице выше: обработка в случаях, не предусмотренных законодательством, — это он. Единообразной практики разграничения ч. 1 и ч. 2 не сложилось, а ч. 2 говорит о согласии в письменной форме, которая для cookie не установлена. Судебной практики именно по тексту баннера в открытых первоисточниках мы не нашли: если встретите кейс «оштрафовали за формулировку», спросите номер дела.
Порядок работы с текстом: шесть шагов
Это не чек-лист «что должно быть в баннере», а порядок действий с уже написанным текстом.
- Выписать, что реально грузится на страницах и в какой момент — до выбора варианта, а не после.
- Определить верхнюю категорию по самому «тяжёлому» скрипту: есть реклама и ретаргетинг — вариант В; есть запись действий посетителя — Б; есть любой счётчик посещаемости, пусть даже обезличенный и без Вебвизора, — минимум две равнозначные кнопки «Принять» и «Отклонить». Одна кнопка «Понятно» остаётся только для сайта, где кроме технических cookie нет вообще ничего.
- Подставить реквизиты оператора вместо квадратных скобок и назвать сервисы поимённо.
- Поставить срок жизни меток, а не округление: до 1 года для Яндекс Метрики, до 2 лет для меток Google.
- Вычистить чужие фразы: GDPR, законный интерес, право на переносимость, «продолжая пользоваться сайтом».
- Проверить, что ссылка на политику открывается и ведёт на действующий документ (ч. 2 ст. 18.1).
Информировать посетителей владелец сайта обязан не только по закону, но и по договору с вендором: условия использования Яндекс Метрики требуют давать информацию об обработке данных «в краткой, понятной и легкодоступной форме» и получать необходимые согласия.
И честный размен, снимающий возражение «тогда я потеряю аналитику». На нашем сайте Метрика подключается только после согласия, и кабинет из-за этого заведомо неполон. Это осознанный выбор: неполные данные против настоящего согласия.
Материал носит информационный характер и не является юридической консультацией.