# Директива ePrivacy и GDPR: как на деле работают правила о cookie

> Директива ePrivacy решает, когда для cookie нужно согласие, а GDPR — каким должно быть действительное согласие. Разбираем, как эти законы ЕС работают вместе.

Source: https://cookiesh.eu/ru/blog/eprivacy-directive-vs-gdpr  
Published: 2026-01-20

## Key takeaways

- Статья 5(3) Директивы ePrivacy требует согласия на хранение или считывание информации на устройстве пользователя, если не действует одно из узких исключений.
- Правило ePrivacy о cookie применяется независимо от того, являются ли сведения персональными данными, поэтому его охват шире, чем у GDPR.
- GDPR дает определение и условия согласия и регулирует любую обработку персональных данных после считывания файла cookie.
- Поскольку ePrivacy — это директива, каждая страна ЕС переносит ее в национальное право, поэтому надзорные органы и санкции различаются.
- Действительное правовое основание по GDPR для дальнейшей обработки не компенсирует отсутствие согласия на доступ к устройству.

Директива ePrivacy и Общий регламент по защите данных (GDPR) делят вопрос о cookie на две части. Директива ePrivacy определяет, нужно ли согласие на хранение или считывание информации на устройстве человека. GDPR определяет, каким должно быть действительное согласие, и регулирует обработку любых персональных данных после этого. Для большинства аналитических и рекламных файлов cookie нужно одновременно выполнить требования обоих актов.

## Что говорит о cookie Директива ePrivacy?

Статья 5(3) Директивы ePrivacy (Директива 2002/58/EC) разрешает хранить информацию на устройстве пользователя или получать доступ к уже хранящейся там информации, только если пользователь дал согласие, получив ясные и исчерпывающие сведения. Предусмотрены два узких исключения.

Первое касается хранения или доступа, которые используются исключительно для передачи сообщения по сети. Второе — хранения или доступа, строго необходимых для предоставления услуги, которую пользователь явно запросил, например сеанса входа или корзины покупок. Для всего остального, включая аналитику, рекламу и большинство функций социальных сетей, нужно согласие.

Правило намеренно сформулировано технологически нейтрально. «Устройство» означает любое оконечное оборудование — от ноутбуков и телефонов до смарт-телевизоров. «Информация» охватывает файлы cookie, локальное хранилище, IndexedDB, идентификаторы устройств и технологии, считывающие характеристики устройства. После поправки 2009 года согласие стало правилом по умолчанию; до этого было достаточно проинформировать пользователей и дать им возможность отказаться.

Самое важное: статья 5(3) действует независимо от того, являются ли сведения персональными данными. Файл cookie со случайным значением, никак не связанным с конкретным человеком, все равно подпадает под это правило.

## Что GDPR добавляет к правилам о cookie?

GDPR вносит две вещи: определение согласия, которому должны соответствовать баннеры cookie, и правила для любых персональных данных, которые вы обрабатываете после того, как файл cookie установлен или считан.

Сама Директива ePrivacy не определяет согласие. Она заимствует определение из законодательства ЕС о защите данных, а сегодня это GDPR. Статья 4(11) требует, чтобы согласие было свободным, конкретным, информированным и недвусмысленным, а статья 7 добавляет условия, например простой отзыв и возможность подтвердить наличие согласия. В деле Planet49 (C-673/17, 2019) Суд Европейского союза (CJEU) применил этот стандарт к файлам cookie и постановил, что заранее отмеченный флажок не является действительным согласием.

После этапа доступа к устройству в дело вступает GDPR. Если ваш поставщик аналитики получает просмотры страниц, привязанные к идентификатору cookie, это обработка персональных данных. Вам нужны правовое основание по статье 6, прозрачное уведомление о конфиденциальности, договоры с обработчиками, гарантии для международной передачи данных и процесс обработки запросов на доступ и удаление.

Для отслеживания и профилирования, которые начинаются с файла cookie на основе согласия, регуляторы, как правило, ожидают, что согласие будет правовым основанием и для всего последующего. Именно поэтому [законный интерес редко подходит для cookie](/ru/blog/legitimate-interest-and-cookies).

## Чем Директива ePrivacy отличается от GDPR?

Разница лучше всего видна при сравнении.

| Аспект | Директива ePrivacy (ст. 5(3)) | GDPR |
| --- | --- | --- |
| Правовая форма | Директива, реализуется через национальные законы | Регламент, действует напрямую во всех странах ЕС |
| Что регулирует | Хранение информации на устройстве пользователя или доступ к ней | Обработку персональных данных |
| Нужны ли персональные данные? | Нет | Да |
| Допустимые основания | Согласие или одно из двух узких исключений | Шесть правовых оснований по статье 6, включая согласие и законный интерес |
| Кто осуществляет надзор | Орган, назначенный каждой страной, часто, но не всегда, орган по защите данных | Национальные органы по защите данных с механизмом трансграничного сотрудничества |
| Санкции | Устанавливаются национальным законом | До 20 млн евро или 4% общемирового годового оборота за самые серьезные нарушения (ст. 83(5)) |

## Какой закон применяется к конкретному файлу cookie?

Часто оба, один за другим. Представьте это как проверку в два шага: Директива ePrivacy регулирует момент хранения или считывания, а GDPR — последующую обработку персональных данных.

Типичные случаи выглядят так:

1. **Аналитический файл cookie.** Для установки cookie с идентификатором клиента нужно согласие по ePrivacy. Передача просмотров страниц, привязанных к этому идентификатору, поставщику аналитики — это обработка персональных данных по GDPR.
2. **Файл cookie сеанса входа.** Он освобожден от согласия, потому что строго необходим для услуги, которую запросил пользователь. Данные учетной записи за ним остаются персональными данными, поэтому GDPR применяется, обычно на таком основании, как исполнение договора.
3. **Рекламный пиксель.** Для считывания или записи идентификаторов нужно согласие по ePrivacy, а для последующего профилирования — правовое основание по GDPR, которым на практике оказывается согласие.
4. **Серверная обработка без доступа к устройству.** Если на устройстве ничего не сохраняется и с него ничего не считывается, статья 5(3) может и не применяться, но GDPR по-прежнему распространяется на персональные данные, например IP-адреса. Регуляторы толкуют «доступ» широко, поэтому прежде чем на это полагаться, изучите их рекомендации.

Порядок важен. Действительное правовое основание по GDPR на втором шаге не исправит отсутствие согласия по ePrivacy на первом.

## Почему важно, что это директива, а не регламент?

Поскольку каждая страна переносит Директиву ePrivacy в собственное законодательство, один и тот же баннер могут оценивать разные регуляторы, применяя немного разные правила. От этого зависит, кто может принять меры против вас и как.

Национальные законы различаются в деталях: какой орган следит за соблюдением правил о cookie, как регуляторы относятся к исключениям для аналитики и как долго нужно помнить отказ.

Механизм «единого окна» (one-stop-shop) GDPR, который обычно передает трансграничные дела одному ведущему надзорному органу, на национальные правила ePrivacy не распространяется. Именно поэтому французский орган по защите данных CNIL смог в декабре 2021 года напрямую выступить против Google и Facebook и оштрафовать их на 150 млн и 60 млн евро, потому что отказаться от файлов cookie было сложнее, чем принять их. В нашем разборе [уроков из санкций за cookie](/ru/blog/cookie-enforcement-lessons) рассказано, что эти решения значат для обычных сайтов.

Практический вывод: ориентируйтесь на самый строгий стандарт среди ваших рынков. Великобритания следует параллельной модели — UK GDPR плюс Регламент о конфиденциальности и электронных коммуникациях (PECR), — за соблюдением которой следит Управление комиссара по информации (ICO). В нашем руководстве по [UK GDPR и PECR](/ru/blog/uk-gdpr-pecr-cookies) объясняется, чем отличается британский подход.

## Заменят ли Директиву ePrivacy?

Возможно, когда-нибудь, но планируйте работу исходя из действующего права. Проект Регламента ePrivacy, который должен был заменить директиву, годами обсуждался без результата, и в 2025 году Европейская комиссия объявила, что отзовет его.

С тех пор новые инициативы ЕС по упрощению цифровых правил вернули согласие на cookie в повестку. Ничто из этого не меняет ваших обязанностей, пока не будет принято и не вступит в силу, поэтому продолжайте соблюдать статью 5(3) в том виде, в каком она реализована в каждой стране, и сверяйтесь с актуальными рекомендациями регулятора, прежде чем действовать с оглядкой на объявленную реформу.

## Итоги

Директива ePrivacy отвечает на вопрос «нужно ли мне согласие, чтобы обращаться к устройству?», а GDPR — на вопрос «что означает согласие и каковы мои обязанности в отношении данных?». Относитесь к ним как к двум воротам, которые нужно пройти оба, и никогда не позволяйте правовому основанию по GDPR убедить вас обойтись без согласия по ePrivacy. Такие инструменты, как Cookiesh, умеют показывать разные баннеры в зависимости от региона, но разобраться, какой закон применяется к каждому трекеру, все же стоит самостоятельно.

*Эта статья носит общий информационный характер и не является юридической консультацией. Для решений, касающихся вашей конкретной ситуации, обратитесь к квалифицированному специалисту по защите данных.*

## FAQ

### Директива ePrivacy — это и есть европейский «закон о cookie»?

В основном да. «Закон о cookie» — неофициальное название статьи 5(3) Директивы ePrivacy и национальных законов, которые ее реализуют. Директива также охватывает другие темы, например конфиденциальность сообщений и нежелательный электронный маркетинг.

### Заменил ли Директиву ePrivacy Регламент ePrivacy?

На момент написания статьи — нет. Проект Регламента ePrivacy годами не мог сдвинуться с места, и в 2025 году Европейская комиссия объявила о его отзыве. Правила ЕС о cookie по-прежнему обсуждаются, поэтому сверяйтесь с актуальными рекомендациями своего регулятора.

### Действует ли механизм «единого окна» GDPR при надзоре за cookie?

Для части, относящейся к ePrivacy, — нет. Механизм GDPR, который передает трансграничные дела ведущему надзорному органу, не распространяется на национальные правила ePrivacy, поэтому национальный регулятор может напрямую действовать против практик иностранной компании в отношении cookie, затрагивающих людей в его стране.

### Следует ли Великобритания той же модели?

В целом да. В Великобритании действуют UK GDPR и Регламент о конфиденциальности и электронных коммуникациях (PECR), за соблюдением обоих следит ICO. Британские правила начали расходиться с европейскими, поэтому сверяйтесь с актуальными рекомендациями ICO.

## Sources

- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [Дело Суда ЕС C-673/17 (Planet49)](https://curia.europa.eu/juris/liste.jsf?num=C-673/17)
- [ICO (Управление комиссара по информации Великобритании)](https://ico.org.uk/)