# Темные паттерны в баннерах cookie под прицелом регуляторов

> Заранее отмеченные флажки, спрятанные кнопки отказа и cookie wall делают согласие недействительным. Какие темные паттерны ищут регуляторы и как их исправить.

Source: https://www.cookiesh.eu/ru/blog/cookie-banner-dark-patterns  
Published: 2026-04-07

## Key takeaways

- Согласие, полученное с помощью манипулятивного баннера, недействительно, поэтому у файлов cookie, установленных на его основании, нет законного основания.
- Регуляторы ожидают, что отказаться от файлов cookie будет так же просто, как принять их, а на практике это означает кнопку отказа на первом уровне.
- Заранее отмеченные флажки, подразумеваемое согласие при прокрутке и cookie wall входят в число паттернов, которые органы ЕС отвергают наиболее последовательно.
- Калифорнийский CPRA также прямо указывает, что согласие, полученное с помощью темных паттернов, согласием не считается.

Темные паттерны в баннерах cookie — это дизайнерские решения, которые подталкивают посетителей к согласию на файлы cookie: спрятанная кнопка отказа, заранее отмеченные флажки, яркая кнопка «Принять» рядом с бледной ссылкой «Настройки» или прокрутка, которую считают согласием. Регуляторы ЕС считают полученное так согласие недействительным, потому что Общий регламент по защите данных (GDPR) требует, чтобы согласие было свободным, конкретным, информированным и недвусмысленным, а отозвать его было так же просто, как дать.

## Почему регуляторов волнует дизайн баннера?

Потому что действительность согласия зависит от того, как вы его получили. Статья 4(11) GDPR определяет согласие как свободное, конкретное, информированное и недвусмысленное выражение воли человека, выраженное ясным активным действием. Статья 7 добавляет, что вы должны уметь подтвердить наличие согласия, а отозвать его должно быть так же просто, как дать.

Баннер, который подталкивает людей нажать «Принять», этим условиям не отвечает. В таком случае каждый необязательный файл cookie, установленный после этого, установлен без действительного согласия, что нарушает правила ePrivacy, а обработка, построенная на этих данных, лишена законного основания. За серьезные нарушения GDPR может быть назначен штраф до 20 млн евро или до 4% общемирового годового оборота — в зависимости от того, какая сумма больше.

Самый известный пример — решения CNIL от декабря 2021 года против Google (150 млн евро) и Facebook (60 млн евро). Французский регулятор установил, что отказаться от файлов cookie на их сайтах было сложнее, чем принять их. Другие дела и уроки из них описаны в статье [Чему санкции за нарушения с cookie учат владельцев сайтов](/ru/blog/cookie-enforcement-lessons).

## Какие темные паттерны регуляторы преследуют чаще всего?

Больше всего внимания привлекают паттерны, при которых отказ сложнее, менее заметен или менее понятен, чем согласие. В таблице собраны основные из них и способы их исправить.

| Темный паттерн | Как выглядит | Почему это нарушение | Как исправить |
|---|---|---|---|
| Нет отказа на первом уровне | Только «Принять все» и «Управление настройками» | Отказаться сложнее, чем согласиться | Разместите «Отклонить все» рядом с «Принять все» |
| Заранее отмеченные флажки | Переключатели аналитики и маркетинга уже включены | Это не ясное активное действие | По умолчанию выключайте все необязательные переключатели |
| Визуальная асимметрия | Яркая цветная кнопка согласия и серая текстовая ссылка для отказа | Выбор навязывается дизайном | Сделайте оба варианта одинаковыми по размеру, весу и контрасту |
| Подразумеваемое согласие | «Продолжая просмотр, вы соглашаетесь» | Просмотр или прокрутка не являются ясным активным действием | Ничего необязательного не устанавливайте, пока не сделан реальный выбор |
| Cookie wall | Контент заблокирован, пока посетитель не согласится | Согласие, как правило, не является свободным | Открывайте доступ без согласия на необязательные файлы cookie |
| Расплывчатый или вводящий в заблуждение текст | «Мы ценим вашу конфиденциальность» и единственная кнопка «ОК» | Согласие не является информированным | Называйте цели простым языком |
| Скрытый отзыв согласия | После выбора нельзя снова открыть настройки | Отозвать согласие должно быть так же просто, как дать его | Добавьте постоянную ссылку «Настройки cookie» |
| Навязчивость | Баннер появляется снова после каждого отказа | Давит на людей, подталкивая к согласию | Запоминайте отказ на разумный срок |

Правило о заранее отмеченных флажках вытекает из решения Суда ЕС по делу Planet49 (C-673/17, 2019), где суд постановил, что заранее отмеченный флажок, который пользователь должен снять, чтобы отказаться, не дает действительного согласия. Руководство EDPB о согласии добавляет, что прокрутка или пролистывание страницы согласием не являются и что если доступ к контенту обусловлен согласием на файлы cookie, такое согласие, как правило, не является свободным.

## Обязательна ли по закону кнопка «Отклонить все»?

В GDPR кнопки не упоминаются, но регуляторы требуют, чтобы отказаться было так же просто, как согласиться, и самый простой способ выполнить это требование — кнопка отказа на первом уровне. Баннер с согласием в один клик и многошаговым отказом — паттерн, который с наибольшей вероятностью привлечет внимание регулятора.

Кнопка не обязательно должна дословно называться «Отклонить все». Подойдут «Отказаться», «Отклонить необязательные» или «Продолжить без согласия», если вариант хорошо виден, находится на одном уровне с кнопкой согласия и действительно приводит к тому, что необязательные файлы cookie не устанавливаются. Крошечная малоконтрастная ссылка «продолжить без согласия» в углу вряд ли пройдет проверку.

## Как быть с кнопкой закрытия и уровнем настроек?

Кнопку закрытия, часто в виде «X», ни в коем случае нельзя считать согласием. Если вы ее предлагаете, считайте закрытие баннера отказом или хотя бы отсутствием решения и не устанавливайте ничего необязательного.

Второй уровень заслуживает такого же пристального внимания. Обратите внимание на более тонкие паттерны:

- Переключатели с подписью «Законный интерес», которые включены по умолчанию и требуют отдельного возражения.
- Заметная кнопка «Принять все» на панели настроек, тогда как «Сохранить выбор» находится под длинным списком поставщиков.
- Описания категорий, преуменьшающие отслеживание, например когда рекламные файлы cookie называют cookie «производительности».
- Диалоги подтверждения с вопросом «Вы уверены?», которые появляются только при отказе.

## Как проверить собственный баннер на темные паттерны?

Протестируйте баннер так, как это сделал бы скептически настроенный посетитель, на компьютере и на мобильном устройстве, а затем пройдитесь по чек-листу:

1. Кнопки «Принять» и «Отклонить» обе находятся на первом уровне и требуют одинакового количества кликов.
2. Оба варианта равноценны по размеру, насыщенности цвета и контрасту.
3. Ни один необязательный переключатель не включен по умолчанию.
4. Ни один необязательный файл cookie или тег не срабатывает до выбора, что подтверждено в чистом сеансе браузера.
5. Закрытие баннера или его игнорирование не считается согласием.
6. Цели описаны конкретно и простым языком.
7. Постоянная ссылка позволяет посетителям изменить или отозвать согласие в любой момент.
8. Отказ запоминается, и повторный запрос не появляется сразу же.

Полные юридические условия, на которых основаны эти проверки, приведены в статье [Условия действительного согласия на cookie по GDPR](/ru/blog/valid-consent-checklist). Если вам нужны рекомендации о том, как делать правильно, а не список того, чего избегать, прочитайте, [как спроектировать баннер cookie, соответствующий требованиям и удобный для пользователей](/ru/blog/cookie-banner-design-best-practices).

## Действуют ли правила о темных паттернах за пределами ЕС?

Да, в разных формах. В Великобритании ICO следит за соблюдением UK GDPR и PECR, стандарты согласия в которых близки к европейским, и публично призывал сайты сделать отказ от файлов cookie таким же простым, как согласие. Бразильский LGPD также требует, чтобы согласие было свободным, информированным и недвусмысленным.

Калифорния придерживается модели отказа (opt-out), но CPRA прямо указывает, что согласие, полученное с помощью темных паттернов, согласием не является, а правила Агентства по защите конфиденциальности Калифорнии требуют симметрии выбора. Сценарий отказа, который сложнее пройти, чем альтернативный, вызывает те же вопросы, что и европейский баннер без кнопки отказа. Подробности — в статье [CCPA и CPRA: что американское право значит для файлов cookie](/ru/blog/ccpa-cpra-cookies).

## Итоги

Регуляторы оценивают баннер по результату: может ли посетитель отказаться так же легко, как согласиться, и действительно ли отказ останавливает отслеживание? Уберите любой дизайн, который нарушает этот баланс, убедитесь, что техническое поведение соответствует кнопкам, и задокументируйте, что и почему вы изменили. Такие инструменты, как Cookiesh, могут автоматически сканировать файлы cookie и вести неизменяемые журналы согласий, что помогает показать, какой выбор посетители сделали на самом деле.

*Эта статья носит общий информационный характер и не является юридической консультацией. Для решений, касающихся вашей конкретной ситуации, обратитесь к квалифицированному специалисту по защите данных.*

## FAQ

### Является ли темным паттерном фирменный цвет на кнопке «Принять»?

Может являться, если в результате вариант отказа заметно проигрывает в заметности. Фирменные цвета допустимы, если кнопки «Принять» и «Отклонить» сопоставимы по размеру, контрасту и расположению, чтобы ни один вариант не получал визуального преимущества.

### Можно ли снова показать баннер после того, как человек отклонил файлы cookie?

Не на каждой странице и не при каждом визите. Если снова и снова спрашивать после ясного отказа, это давит на людей и подталкивает к согласию. Спрашивайте повторно только по прошествии разумного срока или когда существенно меняются цели или поставщики.

### Распространяются ли правила о темных паттернах на небольшие сайты?

Да. Требования к согласию действуют независимо от размера компании. Громкие штрафы в основном касались крупных платформ, но любой сайт могут обязать исправить баннер и прекратить обработку данных, собранных без действительного согласия.

## Sources

- [Дело Суда ЕС C-673/17 (Planet49)](https://curia.europa.eu/juris/liste.jsf?num=C-673/17)
- [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)
- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [Агентство по защите конфиденциальности Калифорнии (CPPA)](https://cppa.ca.gov/)