Штрафы GDPR за cookie: чем вы рискуете в ЕС и в странах Балтии

Какие законы применяются к файлам cookie?

Одновременно действуют два набора правил, и оба могут привести к санкциям.

• Правило о cookie вытекает из статьи 5(3) Директивы ЕС о конфиденциальности и электронных коммуникациях (Директива ePrivacy, 2002/58/ЕС). Чтобы сохранять информацию на устройстве или считывать её оттуда, нужно согласие, если только это не строго необходимо для услуги, запрошенной пользователем. Каждая страна ЕС закрепила это в своём законодательстве: Латвия в статье 7.1 Закона об услугах информационного общества, Литва в части 4 статьи 73 Закона об электронных коммуникациях. В Эстонии отдельной ясной нормы нет, и Инспекция по защите данных применяет правило ЕС вместе с GDPR. Подробнее в руководствах Закон ЕС о cookie простым языком и Правила о cookie в странах Балтии.
• Общий регламент ЕС по защите данных (GDPR) применяется, как только файлы cookie обрабатывают персональные данные, а отслеживающие и рекламные cookie делают это почти всегда. Он также задаёт стандарт действительного согласия: свободного, конкретного, информированного и выраженного явным действием.

В странах Балтии за cookie на сайтах отвечают органы по защите данных: Datu valsts inspekcija (DVI) в Латвии, Andmekaitse Inspektsioon (AKI) в Эстонии и Valstybinė duomenų apsaugos inspekcija (VDAI) в Литве. Все три применяют и национальное правило о cookie, и GDPR.

Поскольку правило о cookie не входит в GDPR, механизм «единого окна» (one-stop-shop) GDPR к нему не применяется. Компанию, европейская штаб-квартира которой находится в Ирландии, всё равно может оштрафовать французский CNIL за файлы cookie, установленные на устройствах французских пользователей. CNIL подтвердил это в решениях против Google и Shein, а Государственный совет Франции в январе 2022 года оставил в силе решение CNIL 2020 года против Google.

Насколько высокими могут быть штрафы?

По GDPR

В статье 83 GDPR две категории:

Недействительное согласие на cookie относится к высшей категории. Это максимальные суммы: фактический размер регулятор определяет по критериям статьи 83(2), таким как характер, тяжесть и продолжительность нарушения, число затронутых людей, умышленным ли оно было или совершено по небрежности и что компания сделала для ограничения ущерба.

Латвия, Эстония и Литва

• Латвия. В самом Законе об услугах информационного общества отдельного штрафа за нарушение статьи 7.1 нет. DVI действует на основании GDPR: обязывает компанию исправить сайт (статья 58 GDPR и статья 13 закона) и в каждом таком решении напоминает о максимуме по статье 83(5) GDPR.
• Эстония. В Эстонии штрафы по GDPR назначаются в порядке производства по проступкам. Закон о защите персональных данных (Isikuandmete kaitse seadus) в § 65 предусматривает за нарушение принципов обработки и условий согласия (статьи 5–7 и 9 GDPR) штраф до 20 млн €, для юридического лица до 20 млн € или 4% мирового годового оборота, если это больше. Внесудебный орган по этим проступкам это AKI (§ 73). Кроме того, если компания не выполняет предписание AKI, инспекция может назначать принудительный платёж (sunniraha) до 20 млн € или 4% оборота за каждый раз (§ 60).
• Литва. Нарушения части 4 статьи 73 Закона об электронных коммуникациях контролирует VDAI. Инспекция прямо предупреждает, что за неправильное использование cookie могут быть назначены административные штрафы или другие меры; при обработке персональных данных действуют максимумы статьи 83 GDPR.

Для сравнения: другие страны ЕС

В других странах за нарушение самого правила о cookie есть отдельные штрафы. Два примера из законов: в Германии нарушение § 25 TDDDG может повлечь штраф до 300 000 € (§ 28 TDDDG); в Испании использование файлов cookie без информации или согласия, требуемых статьёй 22.2 LSSI, является незначительным нарушением со штрафом до 30 000 €.

Крупнейшие штрафы за cookie в ЕС

Французский CNIL проявляет в вопросах cookie наибольшую активность среди регуляторов. В таблице перечислены заметные штрафы, все взяты из публикаций самих регуляторов:

В нескольких из этих дел регулятор также обязал компанию устранить проблему в установленный срок (три или шесть месяцев) под угрозой штрафа за каждый день просрочки.

Не только крупные технологические компании

В перечне санкций CNIL много и небольших штрафов: в 2024 и 2025 годах магазины, издатели, туристическое агентство и даже орган местного самоуправления были оштрафованы на суммы от 2 000 до 20 000 € за нарушения с cookie, часто в упрощённом порядке. Только в 2025 году CNIL наказал 21 организацию за нарушения, связанные с файлами cookie и другими трекерами.

Как наказывают в странах Балтии

Опубликованных регуляторами штрафов именно за cookie в Латвии, Эстонии и Литве мы на момент проверки не нашли. Это не значит, что нарушения остаются без последствий: регуляторы проверяют сайты и требуют исправлений.

Латвия: решения DVI

DVI проверяет сайты сама и по жалобам и выносит решения о «корректирующих мерах»: компания обязана исправить сайт к определённой дате и отчитаться. Примеры опубликованных решений:

В каждом из этих решений DVI напоминает, что за нарушение условий согласия GDPR предусматривает штраф до 20 млн € или 4% оборота.

Эстония: предписания AKI

По данным ежегодника AKI, проблемы с cookie инспекция обычно обнаруживает в ходе других проверок. Большинство дел закончились предложением исправить сбор cookie. В крайних случаях AKI выносила предписание с предупреждением о принудительном платеже, но взыскивать его не пришлось, потому что компании всё исправили.

Литва: мониторинг VDAI

В 2024 году VDAI провела мониторинг cookie на сайтах и в апреле 2025 года опубликовала обзор с типичными нарушениями: нет кнопки отказа на первом уровне, заранее отмеченные категории, законный интерес вместо согласия, вводящий в заблуждение дизайн кнопок. В июле 2026 года инспекция повторила эти правила и предупредила об административных штрафах.

Как правоприменение работает на практике

• Проверки и сканирование. Регуляторы проверяют большое число сайтов, часто с помощью автоматических инструментов, а затем рассылают предупреждения или официальные предписания.
• Жалобы. Многие дела начинаются с жалобы. Дело CNIL против Google 2025 года началось с жалобы правозащитной организации noyb.
• Сначала предписания, потом штрафы. Большинство регуляторов, в том числе DVI, AKI и VDAI, сначала требуют устранить нарушение. Штраф обычно следует, если компания не исправляет проблему, если нарушение серьёзное или если затронуто много людей.
• Ежедневные и принудительные платежи. К предписаниям часто прилагается платёж за каждый день или каждый случай неисполнения, в дополнение к основному штрафу.

Другие риски

Штрафы не единственный риск. Согласно статье 82 GDPR люди могут требовать компенсации материального или нематериального ущерба. В деле Österreichische Post (C-300/21, 4 мая 2023 года) Суд ЕС указал, что порога серьёзности нет, но само по себе нарушение не означает автоматически наличие ущерба.

Как избежать проблем

Перечисленные выше решения сводятся к одним и тем же немногочисленным ошибкам:

1. Никаких cookie до согласия. Блокируйте каждый скрипт, которому нужно согласие, пока посетитель не согласится. Именно это DVI нашла на db.lv, tet.lv и сайте Magnetiq Bank.
2. Отказаться так же просто, как согласиться. Разместите «Отклонить все» на первом уровне, так же заметно, как «Принять все».
3. Понятная информация. Объясняйте цели и называйте третьи стороны в баннере и в политике cookie.
4. Уважайте выбор. Прекращайте считывать и устанавливать файлы cookie, как только посетитель отказывается или отзывает согласие.
5. Никакого принудительного согласия. Продолжение просмотра согласием не является; будьте осторожны и с cookie wall.
6. Храните доказательства. Записывайте, что и когда выбрал каждый посетитель.
7. Регулярно проверяйте. Новые плагины и теги добавляют файлы cookie незаметно для всех.
8. Быстро отвечайте регулятору. Если пришло решение DVI или предписание AKI, исправьте сайт в указанный срок и сообщите об этом.

Cookie Confirm берёт эти шаги на себя: сканер проверяет ваш сайт каждый месяц (плюс неограниченные повторные проверки), скрипты остаются заблокированными до согласия, кнопки «Принять» и «Отклонить» стоят рядом, декларация cookie составляется по результатам сканирования, а каждое согласие записывается на 12 месяцев. За 7,95 € в месяц за сайт, с 7-дневным бесплатным пробным периодом.

Источники

• EUR-Lex: Директива 2002/58/ЕС (Директива ePrivacy), статья 5(3)
• EUR-Lex: Регламент (ЕС) 2016/679 (GDPR), статьи 58, 82 и 83
• Likumi.lv: Informācijas sabiedrības pakalpojumu likums, статьи 7.1, 12 и 13
• DVI: решение по Izdevniecība «Dienas bizness», 28 августа 2024 года (на латышском)
• DVI: решение по SIA ArtClassic, 17 марта 2025 года (на латышском)
• DVI: решение по SIA «Tet», 20 марта 2025 года (на латышском)
• DVI: решение по SIA «AMSERV LATVIJA», 7 мая 2025 года (на латышском)
• DVI: решение по AS Magnetiq Bank, 4 марта 2026 года (на латышском)
• DVI: отчёт о деятельности за 2025 год (на латышском)
• Riigi Teataja: Isikuandmete kaitse seadus, §§ 60, 65 и 73
• AKI: использование cookie, ежегодник 2021–2022 (на эстонском)
• e-seimas: Elektroninių ryšių įstatymas, статьи 5 и 73
• VDAI: обзор практики использования cookie на сайтах (7 апреля 2025 года, на литовском)
• VDAI: напоминание о правильном использовании cookie (23 июля 2026 года, на литовском)
• CNIL: Санкции, наложенные CNIL
• CNIL: Государственный совет подтверждает санкцию 2020 года против Google
• CNIL: Закрытие предписания, выданного Facebook
• CNIL: Закрытие предписания, выданного Microsoft Ireland Operations Limited
• CNIL: Реклама между письмами, Orange оштрафован на 50 млн €
• CNIL: Google оштрафован на 325 млн € (сентябрь 2025 года)
• CNIL: Shein оштрафован на 150 млн € (сентябрь 2025 года)
• CNIL: Санкции и корректирующие меры в 2025 году
• Autoriteit Persoonsgegevens: Штраф 600 000 € за отслеживающие cookie на Kruidvat.nl (16 июля 2024 года, на нидерландском)
• Autoriteit Persoonsgegevens: Решение по возражению AS Watson (Kruidvat), 27 мая 2025 года, на нидерландском
• Суд ЕС: дело C-300/21, Österreichische Post (4 мая 2023 года)
• Gesetze im Internet: § 28 TDDDG
• BOE: Ley 34/2002 (LSSI), статьи 22.2, 38 и 39