Закон ЕС о cookie простым языком: Директива ePrivacy и GDPR

Откуда взялось правило ЕС о cookie

Правило, которое большинство называет «законом ЕС о cookie», это статья 5(3) Директивы ЕС о конфиденциальности и электронных коммуникациях (Директива ePrivacy, 2002/58/ЕС). После изменения Директивой 2009/136/ЕС она гласит, что сохранять информацию на устройстве пользователя или получать доступ к уже хранящейся там информации можно, только если пользователь дал согласие, получив понятную и исчерпывающую информацию. Государства-члены должны были применять изменённое правило с 25 мая 2011 года.

Есть два исключения. Согласие не нужно для сохранения или доступа, которые:

• используются исключительно для передачи сообщения по сети, или
• строго необходимы для оказания услуги, которую пользователь явно запросил, например для корзины, входа в аккаунт или сохранения выбора посетителя в отношении cookie.

Для всего остального, например аналитики, рекламы, ретаргетинга и пикселей соцсетей, согласие в принципе нужно. Некоторые национальные регуляторы, например во Франции и Нидерландах, допускают узкие исключения для измерения аудитории, щадящего конфиденциальность. Регуляторы Латвии, Эстонии и Литвы таких исключений не делают.

Не только файлы cookie

Правило технологически нейтрально. В Руководстве 2/2023 о техническом охвате статьи 5(3), окончательно принятом в октябре 2024 года, Европейский совет по защите данных (EDPB) поясняет, что оно распространяется также на пиксели отслеживания, отслеживающие ссылки, локальное хранилище, некоторые формы цифровых отпечатков (fingerprinting) и похожие методы. Подробнее в руководстве Что такое файлы cookie?

Как его применяют государства-члены

Поскольку это директива, каждое государство-член закрепило правило в собственном законодательстве, и в каждом есть свой регулятор. Начнём со стран Балтии, затем несколько других примеров:

Различия кроются в деталях: разрешены ли cookie wall, как долго нужно помнить выбор, может ли аналитика быть освобождена от согласия и насколько высоки штрафы. В странах Балтии требования регуляторов очень похожи: кнопка отказа на первом уровне баннера, никаких заранее отмеченных галочек, никакого законного интереса вместо согласия и никаких cookie до выбора посетителя. Подробности по каждой стране в руководстве Правила о cookie в странах Балтии. Наше руководство о штрафах за cookie сравнивает практику правоприменения.

Что добавляет GDPR

Директива ePrivacy сама не определяет согласие; она ссылается на определение из законодательства о защите данных, сейчас это Общий регламент ЕС по защите данных (GDPR). Поэтому согласие на cookie должно быть:

• Свободным: настоящий выбор без давления. Доступ к сайту, как правило, не должен зависеть от согласия на отслеживание; смотрите Cookie wall.
• Конкретным: для каждой цели отдельно, а не одно «принять» для всего без возможности выбора.
• Информированным: посетитель знает, кто устанавливает какие файлы cookie, с какой целью и на какой срок.
• Однозначным: выраженным явным, активным действием. Молчание, прокрутка или продолжение просмотра согласием не являются.

Посетитель также должен иметь возможность отозвать согласие так же легко, как он его дал.

Если файлы cookie обрабатывают персональные данные, а отслеживающие cookie делают это почти всегда, к такой обработке тоже применяется GDPR: вам нужно правовое основание, вы обязаны информировать и соблюдать права субъектов данных.

Planet49: ключевое судебное дело

В деле Planet49 (дело C-673/17, 1 октября 2019 года) Суд ЕС постановил, что:

• заранее отмеченная галочка не является действительным согласием;
• требование согласия действует независимо от того, являются ли сведения персональными данными;
• информация для пользователей должна включать срок действия файлов cookie и сведения о том, есть ли к ним доступ у третьих сторон.

Что меняется, а что нет

Регламент ePrivacy отозван

В 2017 году Комиссия предложила Регламент ePrivacy на замену директиве. После многих лет без согласия она объявила об отзыве в своей программе работы на 2025 год, и отзыв был опубликован в Официальном журнале 6 октября 2025 года. Поэтому Директива ePrivacy по-прежнему действует.

Digital Omnibus: это предложение, а не закон

19 ноября 2025 года Комиссия представила пакет Digital Omnibus (процедура 2025/0360(COD)). В нём, среди прочего, предлагается перенести правила о доступе к устройствам, связанном с персональными данными, из Директивы ePrivacy в GDPR, обязать предусмотреть отказ одним кликом, обязать сайты соблюдать выбор не менее шести месяцев, позволить пользователям задавать свой выбор централизованно (например, в браузере) и освободить от согласия некоторые виды использования с низким риском, например подсчёт посещений.

По состоянию на октябрь 2026 года это всё ещё предложение: комитеты Европейского парламента работают над своим докладом, а Совет не принял позицию. Государства-члены и депутаты Европарламента предложили поправки, поэтому окончательный текст может выглядеть иначе. Пока он не принят и не вступил в силу, действуют перечисленные выше национальные законы о cookie, в том числе латвийский, эстонский и литовский.

Великобритания отдельно

После Brexit в Великобритании действуют собственные правила: положение 6 PECR (Положения о конфиденциальности и электронных коммуникациях) вместе с UK GDPR, за соблюдением которых следит ICO. Закон Data (Use and Access) Act 2025 добавил новые исключения, например для части аналитики, которых нет в ЕС. Смотрите UK cookie law (на английском).

Как соблюдать требования во всём ЕС

1. Просканируйте сайт на все файлы cookie, пиксели и скрипты, включая те, что добавляют плагины и встроенный контент.
2. Блокируйте всё, что требует согласия, пока посетитель не согласится.
3. Дайте настоящий выбор: кнопки «Принять» и «Отклонить» одинаково заметны на первом уровне, а настройки доступны для каждой цели.
4. Понятно информируйте в баннере и в политике cookie.
5. Сделайте отзыв согласия простым, например с помощью ссылки на каждой странице.
6. Храните доказательство каждого согласия.
7. Следуйте самым строгим правилам там, где у вас есть посетители, или используйте географические правила для каждой страны.
8. Используйте Google Consent Mode v2, если вы работаете с Google Ads или Analytics; смотрите Google Consent Mode v2 простым языком.

Cookie Confirm закрывает все эти шаги: ежемесячное сканирование с неограниченными повторными проверками, блокировка скриптов до согласия, географические правила по странам, баннер в фирменном стиле вашего бренда на языке посетителя (более 29 языков), декларация cookie по результатам сканирования и журнал согласий, который хранится 12 месяцев. За 7,95 € в месяц за сайт, с 7-дневным бесплатным пробным периодом.

Источники

• EUR-Lex: Директива 2002/58/ЕС (Директива ePrivacy)
• EUR-Lex: Директива 2009/136/ЕС
• EUR-Lex: Регламент (ЕС) 2016/679 (GDPR)
• Суд ЕС: дело C-673/17, Planet49 (1 октября 2019 года)
• EDPB: Руководство 2/2023 о техническом охвате ст. 5(3) Директивы ePrivacy
• EDPB: Руководство 05/2020 о согласии
• Совет ЕС: информационная записка об отозванных предложениях Комиссии, OJ C/2025/5423 (октябрь 2025 года)
• EUR-Lex: процедура 2017/0003(COD), Регламент ePrivacy
• Европейская комиссия: вопросы и ответы о Digital Package (Digital Omnibus)
• Законодательная обсерватория Европейского парламента: процедура 2025/0360(COD)
• Likumi.lv: Informācijas sabiedrības pakalpojumu likums, статья 7.1
• Riigi Teataja: Elektroonilise side seadus
• AKI: изменение порядка информирования о cookie, ежегодник 2019 (на эстонском)
• e-seimas: Elektroninių ryšių įstatymas, статьи 5 и 73
• VDAI: обзор практики использования cookie на сайтах (апрель 2025 года, на литовском)
• Wetten.nl: Telecommunicatiewet, статья 11.7a
• Gesetze im Internet: § 25 TDDDG
• CNIL: Loi Informatique et Libertés (статья 82)
• Garante privacy: Codice in materia di protezione dei dati personali
• BOE: Ley 34/2002 (LSSI)