# Cookie и согласие по Закону 195/2024: практическое руководство для сайтов в Молдове

Sursa / Источник: https://ongdpr.md/ru/blog/cookie-i-soglasie-zakon-195

## Почему cookie проверяют в первую очередь

Когда человек заходит на сайт, баннер cookie часто оказывается первым видимым контактом с правилами защиты данных. Некоторые технологии аналитики, маркетинга и ремаркетинга успевают передать идентификаторы или другие данные ещё до того, как посетитель что-то выбрал. Это важный технический сигнал, и, в отличие почти от всех остальных обязанностей закона, его видно снаружи — за тридцать секунд, инструментами обычного браузера.

Одно уточнение с самого начала, потому что оно меняет всю логику рассуждения: **в Законе 195/2024 нет отдельной главы про cookie.** В Республике Молдова не существует «закона о куки», который работал бы как европейская директива ePrivacy. Анализ идёт обычным путём: cookie хранит идентификатор или позволяет узнать человека, значит это обработка персональных данных, значит ей нужно правовое основание из ст. 6, информирование по ст. 12–14 и соблюдение принципов из ст. 5.

Практическое следствие: правильный вопрос звучит не «нужен ли мне баннер?», а «какое у меня основание для каждой категории технологий, которые я загружаю, и откуда посетитель о них узнаёт?».

## Что такое действительное согласие

Ст. 6 перечисляет правовые основания обработки, а условия согласия рассматриваются отдельно. Официальное руководство CNPDCP даёт несколько однозначных ориентиров.

Первый: шесть оснований «находятся в равном положении», и «если есть законная обязанность или договор с человеком, согласие не требуется». Согласие — не основание по умолчанию. Это подходящее основание там, где у человека действительно есть настоящий выбор, что хорошо описывает маркетинг и аналитику и плохо описывает доставку заказа.

Второй, сформулированный в руководстве прямо: «Предварительно отмеченные галочки, молчание или бездействие не приравниваются» к согласию. Это не вопрос толкования.

Третий: отзыв согласия должен быть «так же прост, как его предоставление, но не обязательно тем же действием». То есть отзывать разрешено иначе, чем давать, — например, через ссылку в подвале сайта, — при условии, что это не сложнее.

Четвёртый: для специальных категорий данных и для международной передачи требуется **явно выраженное согласие**, полученное через проверяемый механизм. Руководство приводит примеры: «двухфакторная проверка, письменная подпись, электронная подпись». Клик по кнопке в баннере до этого уровня не дотягивает.

Коротко: действительное согласие должно быть **свободным** (посетитель может отказаться, не теряя доступа к тому, зачем пришёл), **конкретным** (одна категория — один выбор), **информированным** (он знает, кто вы, что вы собираете и зачем, ещё до нажатия) и **недвусмысленным** (чёткое действие, а не молчание, прокрутка или переход по сайту, истолкованный как согласие).

## Каким cookie нужно согласие

| Категория | Типичные примеры | Нужно ли согласие | Что происходит при отказе |
|---|---|---|---|
| Строго технические | Сессия авторизации, корзина, балансировка нагрузки | Как правило нет; основанием может быть исполнение договора | Ничего, остаются активными |
| Запоминание выбора по согласию | Cookie, помнящий, что вы отказались | Как правило нет | Остаётся активным, иначе баннер появляется на каждой странице |
| Настройки интерфейса | Язык, тема, размер шрифта | Как правило нет, если их запросил сам пользователь | Остаются активными |
| Аналитика аудитории | Google Analytics, Matomo с идентификаторами | Да, в большинстве конфигураций | Скрипты не загружаются вообще |
| Реклама и ремаркетинг | Пиксель социальной сети, теги конверсий | Да | Скрипты не загружаются вообще |
| Встроенный контент со слежением | Видео, карты, социальные виджеты с трекингом | Да | Показывается заглушка с кнопкой активации |
| A/B-тесты и персонализация | Платформы оптимизации конверсии | Да | Посетитель видит вариант по умолчанию |

Разделяет категории не технология, а цель. Если инструмент обслуживает исключительно функцию, которую пользователь запросил сам, основанием может быть не согласие. Если он обслуживает измерение, профилирование или рекламу, реалистичным основанием остаётся согласие — и получить его нужно до, а не после.

## Баннер: что соответствует требованиям, а что нет

| Элемент | Проблемная конфигурация | Защитимая конфигурация |
|---|---|---|
| Момент загрузки скриптов | Аналитика и пиксели стартуют при открытии страницы | Ничего необязательного не стартует до выбора |
| Кнопки | Только «Принять», отказ спрятан в подменю | «Принять» и «Отказаться» на одном уровне, обе видны без прокрутки |
| Флажки категорий | Аналитика и маркетинг отмечены заранее | Все необязательные категории не отмечены |
| Эффект отказа | Баннер исчезает, скрипты продолжают работать | Скрипты действительно не загружаются |
| Информирование | «Мы используем куки для улучшения опыта» | Какие категории, с какой целью, кто оператор, ссылка на уведомление |
| Возможность передумать | Отсутствует | Постоянная ссылка в подвале, открывающая панель заново |
| Cookie wall | Контент заблокирован до принятия | Контент доступен независимо от выбора |
| Устойчивость выбора | После отказа баннер появляется на каждой странице | Отказ запоминается и соблюдается |

Два уточнения о точности, потому что эти пункты часто цитируют неверно. Визуальное равенство кнопок «Принять» и «Отказаться» не сформулировано в руководстве CNPDCP как отдельное правило: оно вытекает из требования, чтобы выбор был **свободным** и **недвусмысленным** — отказ, который посетитель не может найти, настоящим выбором не является. Точно так же «cookie wall» — термин европейской практики, а не молдавского закона; проблема, которую он описывает, это опять же условие свободного согласия. Мы относим оба пункта к добрым практикам с опорой на принципы, а не к статьям закона, на которые можно сослаться по номеру.

## Несовершеннолетние

Здесь официальное руководство конкретно. Для услуг информационного общества — категории, в которую попадают сайты и приложения, — согласие может быть дано законно начиная с **14 лет**. До 14 лет согласие даёт законный представитель. Для других видов обработки руководство указывает порог в 16 лет, ниже которого нужно согласие родителя.

Если ваш сайт обращается, пусть даже частично, к аудитории младше 18 лет — магазины игр, образовательные платформы, спортивные клубы, — это различие должно быть отражено и в баннере, и в информационном уведомлении.

## Как проверить свой сайт самому за пять минут

Для базовой проверки не нужен ни один платный инструмент.

1. Откройте сайт в **приватном окне**, чтобы не сработал выбор, сохранённый ранее.
2. Не трогая баннер, откройте инструменты разработчика (F12), вкладку **Network**, и перезагрузите страницу.
3. Отфильтруйте по именам поставщиков, которых вы используете: `google-analytics`, `googletagmanager`, `facebook`, `hotjar`, `clarity`, `tiktok`. Любой успешный запрос **до** вашего выбора — это проблема.
4. Перейдите на вкладку **Application**, разделы Cookies и Local Storage. Запишите, что там уже есть, — снова до всякого выбора.
5. Нажмите **Отказаться**. Перезагрузите. Повторите шаги 3 и 4. Если те же запросы появляются снова, отказ декоративный.
6. Найдите в подвале ссылку на изменение выбора. Если её нет, отзыв согласия на практике невозможен.

Ровно эту процедуру автоматизирует наше публичное сканирование; полная методика описана в разделе [как работает сканирование](/ru/cum-functioneaza).

## Спецификация баннера и журнал согласий

У этой статьи два практических артефакта: спецификация, которую можно отдать разработчику как есть, и таблица того, что должно оставаться в записях как доказательство.

### Спецификация баннера, восемь пунктов

1. Ни один скрипт из необязательных категорий не загружается до явного выбора.
2. Баннер появляется при первом визите и не блокирует доступ к контенту.
3. Кнопки «Принять все» и «Отклонить все» имеют одинаковый размер, одинаковый контраст и одинаковый иерархический вес.
4. Третья кнопка, «Настройки», открывает отдельные категории — все не отмечены по умолчанию, кроме строго технических.
5. Текст в двух предложениях объясняет, кто оператор, какие категории используются и с какой целью, со ссылкой на информационное уведомление.
6. Выбор запоминается и соблюдается при перезагрузке и на всех страницах.
7. Постоянная ссылка в подвале открывает панель выбора заново.
8. При отзыве скрипты останавливаются, а уже установленные cookie отклонённых категорий удаляются.

### Журнал согласий: что записывать по каждому выбору

| Поле | Пример | Почему это важно |
|---|---|---|
| Анонимный идентификатор посетителя | `c_8f2a…` | Связывает выбор с сессией, не сохраняя лишних данных |
| Дата и время | `2026-08-24T10:14:22Z` | Доказывает момент получения |
| Принятые категории | `essential, analytics` | Показывает, что именно принято, а не просто «принял» |
| Отклонённые категории | `marketing` | Доказывает, что отказ был возможен |
| Версия показанного текста | `banner-v3` | Показывает, что посетитель читал в тот момент |
| Способ | `кнопка «Принять все»` / `настройки` | Подтверждает недвусмысленность действия |
| Последующие отзывы | `2026-09-02, маркетинг отозван` | Доказывает, что отзыв работает |

Журнал согласий — не отдельное требование, сформулированное в руководстве CNPDCP. Но это самый простой способ выполнить принцип подотчётности из ст. 5: доказать, что согласие было, когда, на что и что отзыв был возможен. Без журнала ваша позиция при проверке сводится к словам.

## Частые ошибки

- **Скрипты, которые стартуют в любом случае** — аналитические cookie загружаются до любого взаимодействия с баннером, что бы посетитель ни выбрал. Это самая частая и самая заметная проблема.
- **Декоративный отказ** — баннер исчезает, а сетевые запросы продолжаются.
- **Предварительно отмеченные галочки** — прямо исключены официальным руководством.
- **Тёмные паттерны** — кнопка отказа с намеренно пониженным контрастом или тексты, намекающие, что отказ «сломает» сайт.
- **Нет возможности передумать** — приняв один раз, посетитель больше не может изменить выбор.
- **Баннер, цитирующий законодательство другой страны** — текст, взятый из европейского или иного шаблона, который называет другой закон и другой орган вместо CNPDCP. Русскоязычные шаблоны, которые легко находятся в сети, почти всегда написаны под чужую юрисдикцию: их нужно переписывать, а не переводить.
- **Политика cookie, не совпадающая с реальностью** — перечисляет три инструмента, а страница загружает семь.

## Источники

- [CNPDCP — datepersonale.md](https://datepersonale.md), надзорный орган Республики Молдова.
- [Официальное руководство CNPDCP по Закону 195/2024, PDF](https://datepersonale.md/wp-content/uploads/2026/04/GDPR.pdf) — источник по условиям согласия, возрастным порогам и явно выраженному согласию.
- [Полный текст Закона 195/2024 на legis.md](https://www.legis.md/cautare/getResults?doc_id=144681&lang=ro).
- [Информирование субъекта данных — раздел CNPDCP для операторов](https://datepersonale.md/data-controllers/data-subject-information/).
- [CNIL — cookies et autres traceurs](https://www.cnil.fr/fr/cookies-et-autres-traceurs), европейский ориентир доброй практики, без обязательной силы в Республике Молдова.

## Часто задаваемые вопросы

**Есть ли в Законе 195/2024 отдельная глава про cookie?**
Нет. Отдельного режима для cookie, аналогичного европейской директиве ePrivacy, не существует. Cookie, позволяющие узнать человека, рассматриваются как любая другая обработка: правовое основание из ст. 6, информирование по ст. 12–14, соблюдение принципов из ст. 5.

**Нужно ли согласие на сессионный cookie корзины покупок?**
Как правило нет. Для cookie, строго необходимого для функции, которую запросил сам пользователь, основанием может быть исполнение договора, а не согласие. А вот cookie измерения или рекламы остаются в зоне согласия.

**Можно ли оставить только кнопку «Принять», без кнопки «Отказаться»?**
Такая конфигурация не защитима. Согласие должно быть свободным, а интерфейс, в котором отказ недоступен или его невозможно найти, настоящего выбора не даёт. Руководство CNPDCP не формулирует отдельного правила о равенстве кнопок, но требование свободного согласия приводит к тому же практическому результату.

**Что происходит, если посетитель вообще ничего не выбрал?**
Ничего и не происходит: необязательные скрипты остаются выключенными. Официальное руководство прямо говорит, что молчание или бездействие не приравниваются к согласию.

**Разрешены ли предварительно отмеченные галочки?**
Нет. Руководство CNPDCP исключает их прямо, вместе с молчанием и бездействием.

**Как должен работать отзыв согласия?**
Он должен быть так же прост, как предоставление, но руководство уточняет: не обязательно тем же действием. Постоянная ссылка в подвале, открывающая панель выбора, требование выполняет — если отзыв действительно останавливает скрипты.

**С какого возраста несовершеннолетний может дать согласие сам?**
Для услуг информационного общества, куда входят сайты и приложения, руководство указывает возраст 14 лет. До 14 лет согласие даёт законный представитель, а для других видов обработки указанный порог — 16 лет.

**Нужно ли периодически запрашивать согласие заново?**
Закон не устанавливает фиксированного срока. На практике повторный запрос становится нужен, когда существенно меняются категории используемых технологий или их цель: старое согласие перестаёт быть и конкретным, и информированным для новой ситуации.

**Что такое «явно выраженное согласие» и когда оно мне нужно?**
Это более высокий стандарт, требуемый для специальных категорий данных и для международной передачи. Руководство приводит в пример двухфакторную проверку, письменную подпись и электронную подпись — а не простой клик по баннеру.

**Нужно ли хранить доказательство согласия?**
Отдельного требования в руководстве нет, но принцип подотчётности из ст. 5 означает, что вы должны уметь доказать соответствие. Журнал с моментом, категориями и версией показанного текста — самый простой способ это сделать.

**Можно ли использовать европейскую платформу управления согласием?**
Да, если поменять в ней тексты. Большинство таких платформ по умолчанию ссылается на законодательство и органы ЕС; на сайте из Молдовы ориентиром должен быть Закон 195/2024, а упомянутым органом — CNPDCP.

## Проверьте свой баннер cookie сейчас

Автоматическое сканирование наблюдает исходную публичную страницу, составляет опись cookie и запросов и, когда механизм управления определён уверенно, пробует сценарий отказа. Отчёт отделяет технические доказательства от элементов, требующих контекста или проверки человеком. Полный правовой контекст — в [руководстве по Закону 195/2024](/ru/blog/zakon-195-2024-obyasnenie), а возможные последствия — в [статье о санкциях](/ru/blog/shtrafy-gdpr-moldova).

[**Проверить сайт бесплатно →**](/ru)