# Можно ли опираться на законный интерес для файлов cookie?

> Законный интерес не заменяет согласие на необязательные файлы cookie в ЕС. Объясняем почему, где он все же применим и что TCF 2.2 изменил для издателей.

Source: https://www.cookiesh.eu/ru/blog/legitimate-interest-and-cookies  
Published: 2026-02-17

## Key takeaways

- Для необязательных файлов cookie в ЕС законный интерес не может заменить согласие, потому что Директива ePrivacy допускает только согласие или узкие исключения.
- Законный интерес по статье 6 GDPR касается обработки персональных данных, а не самого хранения или считывания информации на устройстве.
- Он по-прежнему может обосновывать часть обработки, связанной со строго необходимыми файлами cookie, например безопасность, предотвращение мошенничества и балансировку нагрузки.
- IAB TCF v2.2 исключил законный интерес как основание для целей 3, 4, 5 и 6, связанных с рекламой и персонализацией контента.
- Если посетитель отказался от согласия или отозвал его, нельзя продолжить ту же обработку, переключившись на законный интерес.

Как правило, нет. В ЕС Директива ePrivacy требует согласия до того, как вы установите или считаете необязательные файлы cookie, и не предлагает альтернативы в виде законного интереса. Законный интерес — это правовое основание обработки персональных данных по Общему регламенту по защите данных (GDPR), поэтому он может иметь значение для данных, обрабатываемых через строго необходимый файл cookie, но сам по себе не может оправдать аналитические или рекламные cookie.

## Почему законный интерес не может заменить согласие на cookie?

Потому что правило, которое регулирует файлы cookie, содержится не в GDPR. Это статья 5(3) Директивы ePrivacy, которая разрешает хранить или считывать информацию на устройстве только с согласия или в рамках двух узких исключений, и законный интерес к ним не относится.

Путаница понятна. Статья 6 GDPR перечисляет шесть правовых оснований обработки персональных данных: согласие, договор, юридическая обязанность, жизненно важные интересы, выполнение задачи в общественных интересах и законные интересы. Поскольку файлы cookie часто связаны с персональными данными, возникает соблазн решить, что подойдет любое из шести.

Ошибка в том, что правило ePrivacy — более специальная норма для самого доступа к устройству, и оно действует, даже когда персональные данные не затрагиваются. Поэтому на вопрос «можно ли мне установить этот файл cookie?» отвечает только ePrivacy. Правовые основания GDPR вступают в игру лишь для того, что вы делаете с персональными данными потом. Эту двухшаговую логику мы разбираем в статье [Директива ePrivacy и GDPR](/ru/blog/eprivacy-directive-vs-gdpr).

## Что такое законный интерес по GDPR?

Законный интерес, закрепленный в статье 6(1)(f), допускает обработку, необходимую для ваших законных интересов или интересов третьей стороны, если только над этими интересами не преобладают интересы или основные права человека. Это гибкое основание, но оно влечет реальные обязанности.

Чтобы на него опираться, нужно пройти проверку из трех частей, которую обычно оформляют как оценку законного интереса:

- **Цель.** Является ли интерес законным, четко определенным и правомерным?
- **Необходимость.** Действительно ли обработка нужна для этой цели или ее можно достичь менее инвазивным способом?
- **Баланс.** Перевешивают ли права и разумные ожидания человека ваш интерес?

Как правило, люди вправе возразить против обработки на основании законного интереса, и вы обязаны сообщить им об этом праве. Скрытое межсайтовое отслеживание в рекламных целях трудно оправдать при балансировке интересов, потому что большинство людей его не ожидает.

## Где законный интерес все же применим к cookie?

Он может применяться к персональным данным, обрабатываемым через файлы cookie, освобожденные от согласия, и к обработке, которая вообще не связана с доступом к устройству. Сам доступ к устройству для необязательных целей он покрыть не может.

| Сценарий | Хранение или считывание на устройстве (ePrivacy) | Последующая обработка данных (GDPR) |
| --- | --- | --- |
| Файл cookie сеанса входа | Освобожден как строго необходимый | Обычно договор; возможен законный интерес |
| Файл cookie балансировки нагрузки | Освобожден как строго необходимый | Часто законный интерес |
| Проверки безопасности и защиты от мошенничества в запрошенной услуге | Часто освобождены, если строго необходимы; проверьте местные рекомендации | Часто законный интерес |
| Аналитические файлы cookie | Согласие, если не действует узкое национальное исключение | Согласие — надежный вариант по умолчанию |
| Реклама и ретаргетинг | Согласие | На практике согласие |
| Серверный анализ без доступа к устройству | Как правило, не применяется; проверьте, как собираются данные | Возможен законный интерес |

Верхние строки исходят из того, что файл cookie действительно строго необходим, а где проходит эта граница, мы объясняем в руководстве по [строго необходимым файлам cookie](/ru/blog/strictly-necessary-cookies). Последняя строка — идея, на которой построены многие решения [аналитики без cookie](/ru/blog/cookieless-analytics), хотя «без cookie» не означает автоматически «без согласия».

Одно жесткое правило исходит от Европейского совета по защите данных (EDPB), который координирует регуляторов ЕС: менять правовое основание задним числом нельзя. Если вы запросили согласие, а посетитель отказался или позже отозвал его, вы не можете продолжить ту же обработку на основании законного интереса.

## Как IAB TCF 2.2 изменил роль законного интереса?

Версия 2.2 IAB Europe Transparency & Consent Framework (TCF), выпущенная в 2023 году, исключила законный интерес как допустимое основание для целей, связанных с рекламой и персонализацией контента. Тем самым был закрыт самый распространенный способ, которым законный интерес появлялся в баннерах cookie.

TCF — отраслевой стандарт, который многие издатели и поставщики рекламных технологий используют, чтобы собирать выбор пользователей и передавать его по цепочке рекламных поставок. До версии 2.2 во многих баннерах была отдельная вкладка «Законный интерес» со списком поставщиков и целей, включенных по умолчанию, и с возможностью возразить, которую мало кто из посетителей когда-либо находил.

В TCF v2.2 для целей 3–6 (создание профилей для персонализированной рекламы, использование профилей для выбора персонализированной рекламы, создание профилей для персонализации контента и использование профилей для выбора персонализированного контента) требуется согласие. Цель 1 — хранение информации на устройстве или доступ к ней — и раньше требовала согласия. Некоторые цели, связанные с измерением и разработкой продуктов, по-прежнему могут опираться на законный интерес в рамках фреймворка, но это не меняет того, что Директива ePrivacy требует для самих файлов cookie.

Версия 2.2 также требует показывать количество поставщиков на первом уровне баннера. Остальные изменения описаны в нашем руководстве по [IAB TCF 2.2](/ru/blog/iab-tcf-2-2-explained).

## Как учитывать законный интерес в настройке согласия?

Четко разделяйте файлы cookie на основе согласия и обработку на основании законного интереса и никогда не используйте законный интерес как запасной вариант при отсутствии согласия. Поможет простой процесс:

1. **Свяжите каждый файл cookie и трекер с целью.** Включите теги, загружаемые через менеджеры тегов и плагины.
2. **Сначала ответьте на вопрос ePrivacy.** Для каждого элемента решите, является ли он строго необходимым или требует согласия. Третьего варианта нет.
3. **Выберите основание по GDPR для последующей обработки.** Задокументируйте его и составляйте оценку законного интереса везде, где опираетесь на это основание.
4. **Понятно объясняйте обработку на основании законного интереса.** Опишите ее в уведомлении о конфиденциальности и предложите простой способ возразить, а не заранее включенные переключатели, спрятанные на втором уровне.
5. **Уважайте отказ независимо от основания.** Если посетитель отклонил аналитику, прекратите аналитическую обработку, а не только установку файла cookie.
6. **Пересматривайте при смене поставщиков.** Новые инструменты часто приходят со своими представлениями о правовых основаниях, которые могут не совпадать с вашими.

## Итоги

Законный интерес — реальное правовое основание по GDPR, но для файлов cookie он работает только после ответа на вопрос ePrivacy и никогда не заменяет его. Если файл cookie не является строго необходимым, запрашивайте согласие. Если является, для последующей обработки можно рассмотреть законный интерес, подкрепленный задокументированной оценкой. Такие инструменты, как Cookiesh, могут придерживать аналитические и маркетинговые скрипты до получения согласия, позволяя необходимым работать, и это помогает сохранять четкую границу на практике.

*Эта статья носит общий информационный характер и не является юридической консультацией. Для решений, касающихся вашей конкретной ситуации, обратитесь к квалифицированному специалисту по защите данных.*

## FAQ

### Можно ли обосновать аналитические файлы cookie законным интересом?

В большинстве стран ЕС — нет. Для установки или считывания аналитических файлов cookie нужно согласие, если не действует национальное исключение. Некоторые регуляторы разрешают узко настроенное собственное измерение аудитории без согласия, но условия строгие и различаются от страны к стране.

### Что такое оценка законного интереса?

Это письменный документ, показывающий, что ваша цель законна, обработка для нее необходима и ваш интерес не перевешивается правами и ожиданиями человека. Регуляторы ожидают увидеть такую оценку, если вы опираетесь на это основание.

### Почему в некоторых баннерах согласия есть вкладка «Законный интерес»?

Баннеры на основе IAB Transparency & Consent Framework перечисляют цели и поставщиков, и для некоторых целей по-прежнему можно ссылаться на законный интерес с возможностью возразить. Начиная с TCF v2.2, цели, связанные с рекламой и персонализацией контента, использовать его больше не могут.

### Каково правовое основание для строго необходимых файлов cookie?

Сам файл cookie не требует согласия благодаря исключению ePrivacy для строго необходимого хранения. Но для любых персональных данных, обрабатываемых с его помощью, все равно нужно правовое основание по GDPR — в зависимости от цели часто это исполнение договора или законный интерес.

## Sources

- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)
- [IAB Europe Transparency & Consent Framework](https://iabeurope.eu/transparency-consent-framework/)