# Распространяется ли согласие на cookie на localStorage, пиксели и цифровые отпечатки?

> Почему правила ЕС о согласии применяются к localStorage, пикселям отслеживания, цифровым отпечаткам и другим технологиям помимо cookie: статья 5(3) ePrivacy и Руководство EDPB 2/2023.

Source: https://www.cookiesh.eu/ru/blog/consent-beyond-cookies  
Published: 2026-10-29

## Key takeaways

- Правило ЕС о cookie в статье 5(3) Директивы ePrivacy технологически нейтрально: оно распространяется на сохранение любой информации на устройстве пользователя и доступ к ней, а не только на файлы cookie.
- localStorage, sessionStorage, IndexedDB, пиксели отслеживания и скрипты для снятия цифровых отпечатков требуют согласия, если только они не являются строго необходимыми для услуги, которую запросил пользователь.
- Руководство EDPB 2/2023 подтверждает, что сайт получает доступ к информации, когда поручает браузеру ее отправить, а это относится и к пикселям, и к JavaScript, который считывает характеристики устройства.
- Правило применяется независимо от того, являются ли сведения персональными данными, а ответственность за сохранение или доступ несет тот, кто их инициирует.
- Переход с cookie на другую технологию не отменяет необходимости в согласии; это может сделать только изменение того, что вы сохраняете или считываете.

Да. Правило ЕС о cookie в статье 5(3) Директивы ePrivacy вообще не упоминает файлы cookie. Оно распространяется на сохранение информации на устройстве пользователя и получение доступа к уже хранящейся там информации с помощью любой технологии. localStorage, IndexedDB, пиксели отслеживания и скрипты для снятия цифровых отпечатков подпадают под его действие, что Европейский совет по защите данных (EDPB) и подтвердил в своем Руководстве 2/2023.

## Что на самом деле говорится в законе?

Статья 5(3) гласит, что сохранение информации или получение доступа к уже сохраненной информации в оконечном оборудовании пользователя допускается только с его согласия и после того, как ему предоставлена ясная и исчерпывающая информация. Предусмотрено два исключения: сохранение или доступ, необходимые исключительно для передачи сообщения, и сохранение или доступ, строго необходимые для предоставления услуги, которую пользователь явно запросил.

Слово «cookie» встречается только в преамбуле, в качестве примера. Сама обязанность определяется тем, что происходит на устройстве, а не механизмом. Поэтому название «закон о cookie» вводит в заблуждение, и поэтому перенос данных отслеживания из cookie в другое место не выводит их из-под действия закона. О том, как это правило соотносится с Общим регламентом по защите данных (GDPR), читайте в статье [Директива ePrivacy и GDPR](/ru/blog/eprivacy-directive-vs-gdpr).

## Что прояснило Руководство EDPB 2/2023?

EDPB опубликовал Руководство 2/2023, чтобы разрешить споры о техническом охвате статьи 5(3), и окончательно утвердил его в 2024 году. В руководстве правило разбито на элементы, и каждый из них толкуется широко.

- **Информация** — это любая информация, а не только персональные данные. Случайный идентификатор или настройка устройства тоже считаются.
- **Оконечное оборудование** — любое устройство, которое подключается к сети: ноутбук, телефон, смарт-телевизор или подключенный автомобиль.
- **Сохранение** охватывает любую запись на устройство — в файлы cookie, хранилище браузера, кеш или файлы.
- **Получение доступа** происходит всякий раз, когда кто-либо предпринимает шаги, чтобы получить информацию с устройства. Поручение браузеру отправить информацию тоже считается доступом, даже если никто не считывает хранилище напрямую.

Последний пункт важнее всего. При таком толковании скрипт, который запрашивает у браузера разрешение экрана, установленные шрифты или графический отпечаток, получает доступ к информации — как и тег изображения, который заставляет браузер отправить запрос с идентификаторами.

EDPB также разбирает конкретные сценарии, в том числе пиксели отслеживания, ссылки для отслеживания, данные, которые обрабатываются локально, а затем отправляются обратно, некоторые формы отслеживания по IP-адресу, подключенные устройства и уникальные идентификаторы. Во всех случаях вопрос один и тот же: заставил ли кто-то сохранить информацию на устройстве пользователя или отправить ее с него?

## Для каких технологий нужно согласие?

Применяйте ко всем технологиям одну и ту же проверку: если технология сохраняет или считывает информацию на устройстве и не является строго необходимой для того, что запросил пользователь, для нее нужно согласие.

| Технология | Подпадает под статью 5(3)? | Типичное использование, требующее согласия |
| --- | --- | --- |
| Файлы cookie HTTP и JavaScript | Да | Идентификаторы для аналитики и рекламы |
| localStorage и sessionStorage | Да | Клиентские идентификаторы аналитики, буферы записи сеансов |
| IndexedDB и Cache Storage | Да | Кешированные рекламные данные или данные отслеживания |
| Пиксели отслеживания (на сайтах и в письмах) | Да, по мнению EDPB | Отслеживание конверсий, отслеживание открытия писем |
| Скрипты для снятия цифровых отпечатков | Да, по мнению EDPB | Межсайтовая идентификация без cookie |
| Параметры отслеживания в ссылках | Могут подпадать — в зависимости от того, как задается и считывается идентификатор | Атрибуция кликов и кампаний |

Таблица — отправная точка, а не вердикт. Пиксель, который используется только для загрузки декоративного изображения, ничего не отслеживает, тогда как скрипт аналитики «без cookie», формирующий стабильный хеш устройства, как правило, отслеживает.

## Действует ли по-прежнему исключение для строго необходимого?

Да, и оно тоже технологически нейтрально. Если что-то строго необходимо для предоставления услуги, которую пользователь явно запросил, вы можете сохранять или считывать это без согласия, каким бы ни был механизм хранения.

Типичные примеры в localStorage:

```js
// Строго необходимо: пользователь сам запросил эти функции
localStorage.setItem('cart', JSON.stringify(cartItems));
localStorage.setItem('locale', 'de');
localStorage.setItem('consent', JSON.stringify(choices)); // запоминаем сам выбор

// Нужно согласие: идентифицирует устройство для аналитики или рекламы
localStorage.setItem('analytics_client_id', crypto.randomUUID());
```

Критерий — цель, а не технология. Один и тот же ключ в одном случае может не требовать согласия, а в другом — требовать, поэтому не используйте необходимое значение, например идентификатор сеанса, повторно для аналитики. Более полный список приведен в статье [какие файлы cookie считаются строго необходимыми](/ru/blog/strictly-necessary-cookies).

## Позволяют ли цифровые отпечатки обойти требование о согласии?

Нет. Цифровые отпечатки часто продают как способ обойтись без баннеров cookie, но они основаны на считывании характеристик устройства через браузер, что EDPB рассматривает как получение доступа к информации на устройстве. Для них нужно согласие, а поскольку пользователи не могут увидеть или удалить цифровой отпечаток так, как удаляют файлы cookie, регуляторы, как правило, считают этот метод более, а не менее навязчивым.

То же относится к поставщикам решений «без cookie», которые формируют постоянный идентификатор из сигналов устройства. Если вам нужна аналитика без согласия, честный путь — собирать меньше: агрегированные подсчеты без постоянного идентификатора. Варианты описаны в статье [аналитика без файлов cookie: что работает без согласия](/ru/blog/cookieless-analytics).

## Что сделать на своем сайте?

Относитесь к каждой технологии хранения или доступа так, как если бы это был файл cookie.

1. **Проведите полную инвентаризацию.** Ваш [аудит файлов cookie](/ru/blog/how-to-run-a-cookie-audit) должен охватывать не только файлы cookie, но и ключи localStorage, sessionStorage и IndexedDB, исходящие запросы пикселей и скрипты, которые считывают характеристики устройства.
2. **Классифицируйте по целям.** Отметьте каждый элемент как строго необходимый либо как аналитический, маркетинговый или функциональный, используя те же категории, что и в баннере.
3. **Блокируйте до получения согласия.** Задерживайте скрипты и пиксели, которые записывают или считывают необязательные данные, пока пользователь не даст согласие. См. статью [как блокировать сторонние скрипты до получения согласия](/ru/blog/block-scripts-until-consent).
4. **Раскрывайте информацию.** В политике cookie также должны быть указаны технологии помимо cookie — с их целью и сроком хранения.
5. **Наводите порядок после отказа или отзыва согласия.** Удаляйте необязательные ключи из хранилища браузера, когда пользователь говорит «нет», — так же, как удалили бы файлы cookie.

## Итоги

Правила ЕС о согласии исходят из того, что происходит на устройстве, а не из того, как называется технология. Если вы сохраняете или считываете что-либо для аналитики, рекламы или отслеживания — в файле cookie, в localStorage, с помощью пикселя или цифрового отпечатка, — сначала нужно получить согласие. Такие инструменты, как Cookiesh, сканируют файлы cookie, ключи хранилища и сторонние запросы вместе, поэтому отслеживание без cookie попадает в тот же перечень, что и все остальное.

*Эта статья носит общий информационный характер и не является юридической консультацией. Для решений, касающихся вашей конкретной ситуации, обратитесь к квалифицированному специалисту по защите данных.*

## FAQ

### Можно ли не запрашивать согласие для localStorage, ведь его содержимое не отправляется на сервер?

Нет. Статья 5(3) касается сохранения и считывания информации на устройстве, а не того, как эта информация передается. Если скрипт записывает в localStorage идентификатор для аналитики или рекламы, а затем считывает его, на это нужно согласие, как и в случае с файлом cookie.

### Можно ли с помощью цифровых отпечатков обойти требование о согласии?

Нет. Цифровой отпечаток формируется за счет того, что браузер сообщает такие характеристики, как размер экрана, шрифты или результаты отрисовки графики. EDPB рассматривает это как получение доступа к информации на устройстве, поэтому нужно согласие, если не применяется какое-либо исключение.

### Нужно ли согласие для пикселей отслеживания в электронных письмах?

Да, по мнению EDPB. Когда почтовый клиент загружает пиксель отслеживания, запрос передает отправителю информацию с устройства, а это подпадает под статью 5(3). Многие маркетологи теперь опираются в этом на согласие, полученное при подписке.

### Можно ли без согласия использовать localStorage, например для корзины покупок?

Да. Исключение для строго необходимого применяется к любой технологии хранения. Хранить в localStorage содержимое корзины, языковые настройки или сам выбор в отношении согласия допустимо, если вы не используете эти данные повторно для аналитики или рекламы.

## Sources

- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [Guidelines 2/2023 on the Technical Scope of Art. 5(3) of the ePrivacy Directive, EDPB](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22023-technical-scope-art-53-eprivacy-directive_en)