# Условия действительного согласия на cookie по GDPR

> Практический чек-лист условий GDPR для согласия на cookie: свободное, конкретное, информированное, недвусмысленное, доказуемое и легко отзываемое.

Source: https://cookiesh.eu/ru/blog/valid-consent-checklist  
Published: 2026-02-03

## Key takeaways

- Согласно статье 4(11) GDPR, действительное согласие должно быть свободным, конкретным, информированным и недвусмысленным и выражаться ясным активным действием.
- Заранее отмеченные флажки, прокрутка, продолжение просмотра и закрытие баннера согласием не считаются.
- Отклонить файлы cookie должно быть так же просто, как принять их, а отозвать согласие — так же просто, как дать его.
- Для каждой цели, например аналитики или маркетинга, нужен отдельный выбор, а не одно общее «да».
- Статья 7 возлагает на вас обязанность доказать, что посетитель действительно дал согласие.

Согласие на файлы cookie действительно по Общему регламенту по защите данных (GDPR), только если оно свободное, конкретное, информированное и недвусмысленное и выражено ясным активным действием, например нажатием кнопки «Принять». Кроме того, получить его нужно до запуска любого необязательного файла cookie, отказаться должно быть так же просто, как согласиться, люди должны иметь возможность отозвать согласие в любой момент, а вы — доказать, какой выбор сделал каждый из них. Заранее отмеченные флажки и формулировки вроде «продолжая просмотр, вы соглашаетесь» этим требованиям не отвечают.

## Откуда берутся условия действительного согласия?

Из двух статей GDPR, которые применяются к файлам cookie через Директиву ePrivacy. Статья 4(11) дает определение согласия, а статья 7 устанавливает условия, которые вы должны выполнить.

Директива ePrivacy требует согласия на необязательные файлы cookie, но заимствует определение согласия из законодательства ЕС о защите данных, то есть сегодня из GDPR. Как устроена эта связка, мы объясняем в статье [Директива ePrivacy и GDPR](/ru/blog/eprivacy-directive-vs-gdpr).

Еще два источника определяют, как эти условия толкуются на практике. Европейский совет по защите данных (EDPB), объединяющий регуляторов ЕС в этой сфере, опубликовал Руководство 05/2020 о согласии. А Суд Европейского союза (CJEU) напрямую применил этот стандарт к файлам cookie в деле Planet49 (C-673/17, 2019).

## Чек-лист действительного согласия на cookie

Проверьте работающий баннер и панель настроек по этим десяти пунктам. Несоответствие хотя бы одному из них может поставить под сомнение собранные согласия.

1. **Предварительность.** Ни один необязательный файл cookie, пиксель или скрипт не запускается до того, как посетитель сделает выбор.
2. **Активное действие.** Согласие — результат осознанного действия. Заранее отмеченные флажки, прокрутка, продолжение просмотра и закрытие баннера не считаются.
3. **Равноценный отказ.** Кнопка «Отклонить» находится на том же уровне, что и «Принять», и сопоставима с ней по заметности и усилиям.
4. **Детальность.** Каждую цель, например предпочтения, аналитику или маркетинг, можно принять или отклонить отдельно.
5. **Отсутствие связки.** Согласие на cookie не спрятано в условиях использования или в подписке на рассылку.
6. **Информированность.** Посетители видят, кто запрашивает согласие, для каких целей, какие третьи стороны задействованы и сколько хранятся файлы cookie.
7. **Ясность.** Запрос сформулирован ясным и простым языком и четко отделен от других вопросов, как требует статья 7(2).
8. **Безусловность.** Доступ к контенту не зависит от согласия на необязательные файлы cookie.
9. **Возможность отзыва.** Посетители могут в любой момент передумать — так же легко, как дали согласие, согласно статье 7(3).
10. **Доказуемость.** Вы можете показать, кто, на что, когда и через какую версию баннера дал согласие, как требует статья 7(1).

В следующих разделах подробно разобраны четыре условия из статьи 4(11), которые вызывают больше всего споров, а затем — ведение записей.

## Что исключает требование «свободного» согласия?

Согласие не является свободным, если у посетителя нет реального выбора или на него давят либо наказывают за отказ. Для баннеров cookie это исключает три распространенных приема.

Первый — cookie wall, или «стена cookie». Согласно руководству EDPB о согласии, если доступ к сайту обусловлен принятием необязательных файлов cookie, свободного согласия не получается.

Второй — объединение: один переключатель, который сразу охватывает аналитику, рекламу и персонализацию, или согласие на cookie, привязанное к принятию ваших условий.

Третий — давление через дизайн. Яркая кнопка «Принять все» рядом с бледной ссылкой «Управление настройками» или путь отказа, требующий нескольких лишних кликов, подталкивают людей к «да». Такие решения называют темными паттернами, и в нашем руководстве по [темным паттернам в баннерах cookie](/ru/blog/cookie-banner-dark-patterns) перечислены те, на которые регуляторы обращают внимание чаще всего.

## Насколько конкретным и информированным должно быть согласие?

Достаточно конкретным, чтобы посетители точно знали, на какие цели соглашаются, и достаточно информированным, чтобы они понимали, кто задействован и на какой срок. Расплывчатые формулировки вроде «чтобы улучшить ваш опыт» этой планке не соответствуют.

Как минимум сообщите, кто вы, каждую цель, для которой запрашиваете согласие, категории используемых файлов cookie, какие третьи стороны получают данные и что согласие можно отозвать. В деле Planet49 Суд ЕС добавил, что пользователям нужно сообщать, как долго будут действовать файлы cookie и могут ли третьи стороны получить к ним доступ.

Хорошо работает многоуровневый подход. Первый уровень простым языком кратко описывает цели рядом с кнопками «Принять» и «Отклонить», а второй перечисляет каждый файл cookie, его поставщика и срок действия. Следите за актуальностью второго уровня: устаревший список поставщиков оставляет посетителей менее информированными, чем им кажется.

## Что считается недвусмысленным активным действием?

Осознанное действие, которое может означать только «да», например нажатие кнопки согласия или включение цели с последующим сохранением. Все, что опирается на молчание, бездействие или настройку по умолчанию, не подходит.

| Действие посетителя | Действительное согласие? | Почему |
| --- | --- | --- |
| Нажимает «Принять все» в понятном баннере | Да | Осознанное, информированное действие |
| Включает «Аналитику» и сохраняет | Да, только для аналитики | Относится к выбранной цели |
| Оставляет заранее отмеченный флажок | Нет | Planet49: заранее отмеченные флажки не являются согласием |
| Прокручивает страницу или продолжает просмотр | Нет | Не является активным действием согласно рекомендациям EDPB |
| Закрывает баннер значком «X» | Нет | Закрыть уведомление не значит согласиться |
| Принимает условия использования, где упоминаются cookie | Нет | Не конкретно и не отделено четко от других вопросов |

Считайте все, кроме явного «да», состоянием «выбор еще не сделан» и держите необязательные категории выключенными, пока выбор не будет сделан.

## Как доказать согласие и обеспечить его отзыв?

Статья 7(1) возлагает бремя доказывания на вас, а статья 7(3) требует, чтобы отозвать согласие было так же просто, как дать его. И то и другое нужно заложить с самого начала, а не добавлять после жалобы.

Полезная запись о согласии содержит псевдонимный идентификатор согласия, метку времени, выбор по каждой цели, показанные версии баннера и политики и примененный региональный набор правил. Не храните больше персональных данных, чем требуется для такого доказательства. Как выглядит журнал, готовый к проверке, показано в нашем руководстве по [записям, подтверждающим согласие](/ru/blog/proof-of-consent-records).

Для отзыва согласия держите постоянную ссылку в подвале сайта или плавающую кнопку, которая снова открывает настройки. Когда человек отзывает согласие, сразу останавливайте затронутые скрипты, удаляйте установленные вами необязательные файлы cookie, где это технически возможно, и передавайте обновленный выбор всем поставщикам, которые получают сигналы согласия.

## Итоги

Действительное согласие — это набор условий, которые должны выполняться одновременно: оно предварительное, свободное, конкретное, информированное, недвусмысленное, доказуемое и отзываемое. Проверяйте чек-лист на работающем сайте, а не на макетах, потому что пробелы обычно проявляются в том, как на самом деле ведут себя теги. Такие инструменты, как Cookiesh, умеют блокировать размеченные скрипты до получения согласия и вести неизменяемые журналы согласий с цепочкой хешей, что закрывает механическую часть этого чек-листа.

*Эта статья носит общий информационный характер и не является юридической консультацией. Для решений, касающихся вашей конкретной ситуации, обратитесь к квалифицированному специалисту по защите данных.*

## FAQ

### Можно ли использовать cookie wall, который блокирует контент, пока посетитель не согласится?

Как правило, нет, если согласие — единственный способ получить доступ. EDPB считает, что согласие не является свободным, когда доступ к сервису зависит от принятия необязательных файлов cookie. Некоторые национальные регуляторы обсуждали узкие альтернативы, поэтому сначала изучите местные рекомендации.

### Как часто нужно повторно запрашивать согласие у посетителей?

Единого срока GDPR не устанавливает. Запрашивайте согласие заново, когда существенно меняются цели или поставщики, и следуйте рекомендациям своего регулятора о том, как долго помнить и согласие, и отказ. Если при каждом визите заново спрашивать тех, кто отказался, это может выглядеть как давление.

### Распространяется ли согласие, полученное на одном домене, на другие мои сайты?

Только если посетителям ясно сообщили, на какие сайты и цели распространяется согласие. Поскольку согласие должно быть конкретным и информированным, молча использовать его на несвязанных доменах или брендах рискованно. Многие организации запрашивают согласие отдельно на каждом сайте.

### Остается ли согласие действительным, если список cookie позже изменится?

Не автоматически. Если вы добавляете поставщиков или цели, о которых посетителю не сообщали, исходное согласие на них не распространяется. Обновите баннер и снова запросите согласие на новые цели.

## Sources

- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)
- [Дело Суда ЕС C-673/17 (Planet49)](https://curia.europa.eu/juris/liste.jsf?num=C-673/17)