Правила о cookie в странах Балтии: Латвия, Эстония и Литва

Правила о cookie в Латвии, Эстонии и Литве основаны на одном и том же праве ЕС. Но закон, регулятор и его требования в каждой стране свои. Какая статья действует, кто проверяет сайты и на что регуляторы обращают внимание. Простым языком.

Последняя проверка: 16 октября 2026

Коротко

Во всех трёх странах для аналитических, маркетинговых и отслеживающих cookie нужно предварительное согласие. Без согласия можно использовать только строго необходимые cookie, но сообщать о них всё равно нужно.
Латвия: статья 7.1 Закона об услугах информационного общества. Литва: часть 4 статьи 73 Закона об электронных коммуникациях. В Эстонии отдельной ясной нормы нет, и инспекция применяет правило ЕС и GDPR напрямую.
Сайты проверяют органы по защите данных: DVI в Латвии, AKI в Эстонии и VDAI в Литве.
Регуляторы требуют кнопку отказа на первом уровне баннера, никаких заранее отмеченных галочек и никаких cookie до согласия. Пока они в основном выносят предписания, а не штрафы.

Одно правило ЕС, три национальных закона

Основа везде одна: статья 5(3) Директивы ЕС о конфиденциальности и электронных коммуникациях (Директива ePrivacy, 2002/58/ЕС). Сохранять информацию на устройстве посетителя или считывать её оттуда можно только с его согласия, полученного после понятной и полной информации. Без согласия можно делать только то, что нужно для передачи сообщения по сети или строго необходимо для услуги, которую посетитель сам запросил: корзина, вход в аккаунт, запоминание выбора в cookie-баннере. Правило касается не только cookie, но и пикселей, локального хранилища и цифровых отпечатков.

Согласие должно соответствовать Общему регламенту ЕС по защите данных (GDPR): быть свободным, конкретным, информированным и однозначным, то есть выраженным активным действием. Если cookie обрабатывают персональные данные, а отслеживающие cookie делают это почти всегда, GDPR применяется и к самой обработке. Подробнее о праве ЕС в руководстве Закон ЕС о cookie простым языком.

Каждое государство ЕС перенесло директиву в свой закон и само решает, кто следит за её соблюдением. Вот как это выглядит в странах Балтии:

Страна	Норма о cookie	Кто проверяет сайты
Латвия	Статья 7.1 Закона об услугах информационного общества (Informācijas sabiedrības pakalpojumu likums)	Инспекция государственных данных (Datu valsts inspekcija, DVI); по закону также Центр защиты прав потребителей (PTAC) в пределах своей компетенции
Эстония	Отдельной ясной нормы нет; AKI применяет статью 5(3) Директивы ePrivacy и GDPR	Инспекция по защите данных (Andmekaitse Inspektsioon, AKI)
Литва	Часть 4 статьи 73 Закона об электронных коммуникациях (Elektroninių ryšių įstatymas)	Государственная инспекция по защите данных (Valstybinė duomenų apsaugos inspekcija, VDAI)

Латвия

Закон. Статья 7.1 Закона об услугах информационного общества разрешает сохранять информацию в оконечном оборудовании пользователя или получать к ней доступ, только если пользователь дал согласие, получив понятную и исчерпывающую информацию о цели обработки. Согласие не нужно, если это необходимо для передачи информации по сети электронной связи или для оказания услуги, которую запросил сам пользователь. Надзор по статье 12 закона ведут Центр защиты прав потребителей и Инспекция государственных данных, каждый в своей компетенции. Сайты по вопросам cookie на практике проверяет DVI.

Что говорит DVI. В своих разъяснениях DVI делит cookie на технические, персонализирующие и аналитические. Согласие не нужно только для технических cookie, без которых сайт не работает, но и о них нужно сообщать. Для аналитических и персонализирующих cookie нужно согласие. Посетитель должен иметь возможность отозвать согласие в любой момент так же легко, как он его дал, а отказ не должен иметь для него негативных последствий.

DVI также описала, что должно быть в баннере. На первом уровне: кто владелец сайта, для каких целей используются cookie, только ли это собственные cookie или также сторонние, как принять, настроить и отклонить cookie, и заметная ссылка на подробную информацию. На втором уровне, в политике cookie: виды и цели cookie, получатели, сроки хранения, как отказаться или отозвать согласие и, если это происходит, передача данных за пределы ЕС.

Типичные ошибки по данным DVI:

нет кнопки отказа на первом уровне баннера;
галочки для необязательных cookie уже отмечены на втором уровне;
отказ спрятан в незаметной ссылке, или кнопки различаются цветом, контрастом и стилем текста так, что подталкивают к согласию;
обработка обосновывается законным интересом вместо согласия;
нет способа отозвать согласие;
аналитические или маркетинговые cookie неверно отнесены к «техническим».

Как DVI проверяет. DVI проверяет сайты сама и по жалобам и выносит решения о «корректирующих мерах»: компания должна исправить сайт к определённой дате и сообщить об этом. Несколько опубликованных решений:

Dienas bizness (db.lv), 28 августа 2024 года: аналитические и рекламные cookie, в том числе cookie Google Analytics, работали и после нажатия «Es noraidu» («Я отказываюсь»). Срок исправления: 15 октября 2024 года.
ArtClassic (fotoprint.lv), 17 марта 2025 года: баннер только на английском, только с кнопками «Accept Cookies» и «Read More», без настоящей возможности отказаться. Срок: 18 апреля 2025 года.
Tet (интернет-магазин tet.lv), 20 марта 2025 года: аналитические cookie Google Analytics устанавливались до выбора и продолжали работать после нажатия кнопки «оставить только технические cookie». Срок: 21 апреля 2025 года.
AMSERV LATVIJA (amservmotors.lv), 7 мая 2025 года: баннер сообщал, что, продолжая пользоваться сайтом, посетитель соглашается с cookie, и предлагал только «PIEKRĪTU» («Согласен») и «Узнать больше». Продолжение просмотра согласием не является.
AS Magnetiq Bank, 4 марта 2026 года: баннера не было вовсе, а cookie, в том числе _ga от Google Analytics, устанавливались автоматически, хотя в правилах банка было написано, что для Google Analytics и Meta нужно согласие. Срок: 7 апреля 2026 года.

В отчёте за 2025 год DVI сообщает о нескольких таких проверках с нарушениями статей 5, 6, 7 и 12 GDPR и статьи 7.1 закона. Во всех случаях инспекция обязала компании исправить сайт.

Эстония

Закон. В Эстонии нет отдельной ясной нормы о cookie для владельцев сайтов. Закон об электронной связи (Elektroonilise side seadus) содержит лишь общие правила о защите данных для операторов связи (§ 102). Сама Инспекция по защите данных пишет, что норма Директивы ePrivacy о cookie не была однозначно перенесена в эстонское право.

Что говорит AKI. После решения Суда ЕС по делу Planet49 (2019) AKI применяет требование согласия напрямую: для всех cookie, на которые не распространяется исключение Директивы ePrivacy, нужно активное согласие, независимо от того, обрабатываются ли персональные данные. AKI делит cookie на необходимые (например, cookie сеанса и выбора языка) и дополнительные (например, аналитические и рекламные). Для дополнительных нужно предварительное добровольное согласие. Посетитель должен знать, как долго хранятся cookie и есть ли к ним доступ у третьих сторон, а отозвать согласие должно быть так же просто, как дать.

Правильный порядок по мнению AKI: первое, что видит посетитель, это баннер с выбором «принять все», «принять по категориям» или «отказаться», а cookie устанавливаются только в соответствии с этим выбором. При отказе основные функции сайта должны работать.

Типичные ошибки по данным AKI: согласие вообще не запрашивается; в запросе не указаны цель, срок и получатели или нет выбора по категориям; баннер подключён только «для вида» и не связан с серверной частью, поэтому cookie устанавливаются и после отказа.

Как AKI проверяет. Проблемы с cookie AKI чаще всего замечает в ходе других проверок. Большинство дел закончились предложением исправить сбор cookie; в крайних случаях инспекция выносила предписание с предупреждением о принудительном платеже (sunniraha). По данным AKI, взыскивать платёж не пришлось, потому что компании всё исправили.

Литва

Закон. Часть 4 статьи 73 Закона об электронных коммуникациях разрешает сохранять информацию в оконечном устройстве абонента или пользователя или получать доступ к уже сохранённой информации, только если он дал согласие, получив по правилам GDPR понятную и исчерпывающую информацию, в том числе о целях обработки. Исключения те же, что в директиве: техническое хранение исключительно для передачи информации по сети и случаи, когда это необходимо для услуги информационного общества, которую заказал сам пользователь.

Кто следит. По статье 5 закона положения о защите данных и конфиденциальности (глава IX, куда входит статья 73) контролирует VDAI. Служба регулирования связи (Ryšių reguliavimo tarnyba, RRT) отвечает за рынок связи, но не за cookie на сайтах.

Что говорит VDAI. В 2024 году VDAI провела мониторинг cookie на сайтах и в апреле 2025 года опубликовала обзор практики. Инспекция опирается на отчёт рабочей группы EDPB по cookie-баннерам и считает нарушением и закона, и GDPR:

отсутствие кнопки «Не согласен» или аналогичной на первом уровне баннера, рядом с «Согласен»;
заранее отмеченные категории (маркетинг, статистика) в настройках;
отказ, спрятанный в тексте баннера, а не в виде кнопки;
кнопки, оформленные так, чтобы подтолкнуть к согласию, например почти нечитаемая кнопка отказа;
использование cookie на основе законного интереса;
неверное отнесение cookie к «необходимым».

Согласие нужно для всех cookie, кроме строго необходимых. Отозвать его должно быть так же легко, как дать, например через постоянно видимый значок настроек cookie. Даже сайт, который использует только необходимые cookie, должен сообщать о них посетителям.

В июле 2026 года VDAI повторила основные правила: кнопки «Согласен» и «Не согласен» должны быть одинаково доступны, лучше всего одинакового вида, а за нарушения могут быть назначены административные штрафы или другие меры.

Штрафы

Отдельных опубликованных штрафов за cookie в странах Балтии мы не нашли: регуляторы пока чаще выносят предписания. Но риск реален. Недействительное согласие нарушает статьи 6 и 7 GDPR, а за это предусмотрен штраф до 20 млн € или 4% мирового годового оборота. Подробнее, в том числе об эстонских максимумах в Законе о защите персональных данных, в руководстве Штрафы GDPR за cookie.

Как привести сайт в порядок

Выясните, что устанавливает ваш сайт. Сканер cookie находит и cookie плагинов, встроенных видео и карт.
Распределите cookie по целям: необходимые, предпочтения, статистика, маркетинг. Не записывайте аналитику в «технические»: DVI и VDAI называют это частой ошибкой.
Поставьте баннер с кнопками «Принять» и «Отклонить» рядом на первом уровне, одинаково заметными, без заранее отмеченных галочек.
Блокируйте всё, что требует согласия, пока посетитель не согласится, и после отказа тоже. Это главная претензия в решениях DVI.
Не опирайтесь на законный интерес для аналитики и рекламы.
Дайте возможность передумать: ссылка или значок настроек cookie на каждой странице.
Опубликуйте политику cookie со всеми cookie, целями, сроками и поставщиками. Смотрите шаблон политики cookie.
Храните доказательство согласия, чтобы при проверке показать, кто, когда и на что согласился.

Cookie Confirm берёт на себя шаги 1 и 3–8: сканер проверяет сайт каждый месяц (и в любой момент по запросу), баннер блокирует скрипты до согласия и показывается на языке посетителя, выбор передаётся в Google Consent Mode v2, политика cookie составляется по результатам сканирования, а каждое согласие хранится 12 месяцев. За 7,95 € в месяц за сайт, с 7-дневным бесплатным пробным периодом.

Источники

Часто задаваемые вопросы

Нужен ли cookie-баннер сайту в Латвии, Эстонии или Литве?

Да, если сайт использует cookie или похожие технологии, для которых нужно согласие: аналитику, рекламные пиксели, ретаргетинг, встроенные видео, которые отслеживают посетителей. Если сайт использует только строго необходимые cookie, баннер с запросом согласия не нужен, но посетителей нужно проинформировать. Литовская VDAI прямо указывает на это в своём обзоре 2025 года.

Можно ли использовать Google Analytics без согласия?

Ни в одной из трёх стран регулятор не допускает исключения для аналитики. Латвийская DVI называет аналитические cookie среди тех, для которых нужно согласие, эстонская AKI тоже, а литовская VDAI требует согласия для всех cookie, кроме строго необходимых. В решении по сайту Tet DVI отдельно указала на cookie Google Analytics, установленные без согласия.

Можно ли опираться на законный интерес вместо согласия?

Нет. Литовская VDAI в июле 2026 года прямо напомнила, что законный интерес не является подходящим правовым основанием для необязательных cookie. Латвийская DVI называет обработку на основе законного интереса одной из типичных ошибок cookie-баннеров.

Штрафовали ли уже кого-нибудь в странах Балтии за cookie?

Опубликованных регуляторами штрафов именно за cookie мы не нашли. DVI, AKI и VDAI до сих пор, как правило, выносили предписания со сроком исправления. Но при нарушении GDPR максимальный штраф составляет 20 млн € или 4% мирового оборота, и регуляторы прямо напоминают об этом.

Какие правила действуют, если компания в одной стране Балтии, а посетители из другой?

Правило о cookie не входит в GDPR, поэтому механизм «единого окна» GDPR к нему не применяется. Исходите из того, что для посетителей из каждой страны действуют её правила. На практике требования DVI, AKI и VDAI почти совпадают, поэтому один хорошо настроенный баннер обычно подходит для всех трёх стран.

Это руководство содержит общую информацию и не является юридической консультацией. Мы регулярно его проверяем, но законы и разъяснения меняются. Не уверены в своей ситуации? Обратитесь к юристу.

Другие руководства

Все руководства →

Первые 7 дней совершенно бесплатно

Создайте бесплатный аккаунт и проверьте, подходит ли вам Cookie Confirm. Запуск за 5 минут.

Банковская карта не нужна
затем 7,95 € в месяц
Установка в один клик

Начать бесплатный пробный период

4,9/5 5 000+ сайтов