интернет-магазин e-commerce cookie трекеры согласие
· 6 мин чтения · Редакция РКН Аудит
В типовом интернет-магазине до согласия грузится больше стороннего кода, чем на любом другом сайте: аналитика, пиксели ретаргетинга, коллтрекинг, чат, карта пунктов выдачи, видеообзоры в карточке товара, рекомендательные блоки. Cookie-баннер сам по себе ничего из этого не останавливает — это окно с текстом, и если счётчик отработал до клика, согласие по статье 9 152-ФЗ получено задним числом, то есть не получено. При этом блокировать нужно не всё подряд: корзина, сессия и авторизация технически необходимы, и без них магазин перестаёт быть магазином. Граница проходит именно здесь, и большинство готовых модулей согласия её не проводят — они рисуют баннер, но не блокируют скрипты. Ниже — что в сборках на Битриксе, InSales и Tilda срабатывает до согласия, какие cookie трогать нельзя, где прячутся забытые коды и как проверить свой магазин за пять минут. Источники: 152-ФЗ, статья 13.11 КоАП.
Проверить бесплатно: что грузится в вашем магазине до согласия ←
Обычный корпоративный сайт обвешан двумя-тремя счётчиками. Интернет-магазин — это витрина, к которой за годы прирос маркетинговый стек: аналитика, реклама, ретаргетинг, коллтрекинг, чат, рекомендации, отзывы, карты. Каждый инструмент вставлялся отдельно, часто разными подрядчиками, и почти каждый работает по одной схеме: код в шаблон, срабатывание при загрузке страницы.
Второе отличие — у магазина есть настоящие технически необходимые cookie. У сайта-визитки их почти нет, и там можно блокировать всё подряд без последствий. В магазине так нельзя: заблокируете сессию — сломаете корзину и вход в личный кабинет.
Третье — цена ошибки выше. Магазин почти наверняка ведёт рекламу, а значит, передаёт идентификаторы посетителей рекламным системам. Это не «сбор обезличенной статистики», а передача данных третьим лицам, и делать её до согласия нельзя.
Этот список короткий, и он одинаков почти для всех платформ:
Обработка этих данных обосновывается не согласием, а тем, что без них невозможно ни исполнить договор, ни просто отдать работающую страницу. Спрашивать на них разрешение не нужно, и включать их в переключатели баннера тоже не нужно — это только запутывает покупателя.
Отдельно стоит сохранение состава корзины на будущее, между визитами. Сама корзина необходима для покупки; а вот привязка этой корзины к рекламному профилю, чтобы потом догонять человека объявлением, — уже нет. Это два разных действия с одними и теми же данными, и второе требует согласия.
Всё, что собирает поведение или уходит наружу:
Технически всё это лечится одинаково: код не вставляется в разметку напрямую, а подключается скриптом после того, как посетитель дал согласие. Подробный разбор с механикой — в статье про блокировку скриптов до согласия. Специально про счётчик посещаемости — в статье про Яндекс.Метрику и согласие.
Это практическая часть, ради которой стоит открыть свой магазин прямо сейчас.
Битрикс. Счётчики и пиксели исторически вставляют прямо в шаблон подвала — файл, который правит верстальщик и о котором не знает ни один модуль согласий. Второе место — контейнер тег-менеджера: внутри него может быть десяток тегов, добавленных маркетологом, и список этот нигде не ведётся. Третье — готовые модули из маркетплейса платформы: многие рисуют баннер и сохраняют выбор, но реальной блокировки не делают, потому что не знают о кодах в шаблоне.
InSales и другие SaaS-конструкторы. Здесь коды подключаются через настройки «внешние скрипты» или «интеграции», и типичная проблема в том, что интеграция включается одним переключателем и начинает работать сразу для всех посетителей. Плюс встроенная аналитика самой платформы, которая для владельца магазина выглядит частью движка, а по факту тоже собирает данные посетителей.
Tilda и подобные. Счётчики задаются в настройках проекта и вставляются в каждую страницу. Виджеты — блоками, и блок с картой или видео тянет сторонний iframe, который к скриптовой блокировке отношения не имеет.
Общее для всех: проверять надо не главную страницу. Проверяйте карточку товара (там видео и рекомендации), корзину и страницу оформления заказа (там коллтрекинг и карта пунктов выдачи). Именно на этих страницах в магазине больше всего стороннего кода — и именно их обычно не смотрят.
Требования вытекают из статьи 9 152-ФЗ: согласие должно быть конкретным, информированным, сознательным и свободным.
Общая механика баннера с кодом разобрана отдельно: cookie-баннер по 152-ФЗ. Про ответственность — штраф за cookie без согласия.
Шаг за шагом это делается вручную, но то же самое умеет делать наш бесплатный скан: он открывает магазин снаружи, фиксирует, какие трекеры сработали до согласия, находит формы без корректного согласия и проверяет, находится ли политика и открывается ли она по ссылке. Разница с чтением статьи в том, что вы получаете список нарушений на своём домене, а не общее описание проблемы.
Смежное чтение: персональные данные покупателей интернет-магазина, нужно ли магазину уведомлять РКН, маркетплейс: кто оператор.
Нет. Cookie сессии, корзины, авторизации, защиты формы от подделки запроса и сам признак «выбор в баннере сделан» относятся к технически необходимым: без них сайт просто не работает как магазин. Их обработка обосновывается не согласием, а исполнением договора и обеспечением работы сервиса, поэтому спрашивать разрешение на корзину не нужно и не следует. Более того, если заблокировать эти cookie до клика по баннеру, покупатель не сможет ни залогиниться, ни положить товар в корзину, а сам баннер будет всплывать при каждом переходе — типичная поломка при бездумном подключении готового модуля согласий.
Всё, что собирает поведение посетителя или передаёт данные третьим лицам: веб-аналитику, пиксели рекламных систем и ретаргетинга, коллтрекинг, подменяющий номер телефона, виджеты чатов и обратного звонка, карты в блоке «пункты выдачи», видеообзоры товаров с внешних хостингов, сервисы A/B-тестов и рекомендательные блоки, внешние шрифты. В магазине этот список длиннее, чем на обычном сайте, потому что e-commerce традиционно обвешан маркетинговыми инструментами — и почти каждый из них подключается кодом, который срабатывает при загрузке страницы.
Обычно только наполовину. Большинство готовых модулей рисуют баннер, сохраняют выбор и на этом заканчиваются: реальной блокировки скриптов в них нет, потому что модуль не знает, какие сторонние коды вы вставили в шаблон вручную. В результате баннер стоит, выглядит правильно, а счётчик и пиксель отрабатывают до клика. Это не лучше отсутствия баннера, а хуже: нарушений становится два — обработка без основания и заявление о том, что вы спрашиваете разрешение, не соответствующее фактам. Проверять надо не наличие модуля, а сетевые запросы.
В четырёх местах. Первое — шаблон подвала: туда исторически вставляют счётчики и пиксели напрямую, минуя любые настройки. Второе — контейнер тег-менеджера: внутри него может быть десяток тегов, которых нет ни в одном списке. Третье — карточка товара: видеообзор с внешнего хостинга подключается через iframe, а его модуль согласия не перехватывает. Четвёртое — страница оформления заказа и виджет пункта выдачи с картой: там же обычно живёт коллтрекинг. Проверять надо именно эти страницы, а не только главную.
Согласие по статье 9 152-ФЗ должно быть конкретным и свободным — то есть у человека должна быть реальная возможность не согласиться и при этом продолжить пользоваться сайтом. Баннер с единственной кнопкой «Принять» и крестиком, после которого всё равно грузится аналитика, свободу выбора не обеспечивает. Работающая схема: равнозначные варианты принять и отклонить, а если категорий несколько — возможность выбрать их по отдельности, причём переключатели по умолчанию выключены. Предустановленная отметка согласием не является: согласие выражается действием, а не бездействием.
Это обработка персональных данных без надлежащего основания — состав по части 2 статьи 13.11 КоАП: для юридических лиц 300 000–700 000 ₽, при повторном нарушении по части 2.1 — 1 000 000–1 500 000 ₽. Отдельный состав — отсутствие опубликованной политики обработки, часть 3 статьи 13.11 КоАП, до 60 000 ₽ для юридических лиц. Важна не столько сумма, сколько способ обнаружения: это нарушение видно снаружи за минуту, без запроса документов и без визита. Достаточно открыть магазин в чистом браузере и посмотреть, какие запросы ушли до того, как посетитель что-то нажал.
Бесплатный скан за 30 секунд. 14 типов нарушений 152-ФЗ.
Запустить →2026-09-10 · 9 мин
Что именно магазин собирает на каждом шаге — от корзины до возврата, где заканчивается договор и начинается согласие, кто остаётся оператором при доставке и оплате, сколько хранить данные после покупки.
2026-09-10 · 8 мин
Площадка и продавец на маркетплейсе — разные операторы со своими обязанностями. Разбираем, когда продавец получает данные покупателя, что он обязан с ними делать и почему торговля на маркетплейсе не отменяет уведомления РКН.
РКН Аудит