# Какие файлы cookie считаются строго необходимыми?

> Какие файлы cookie считаются строго необходимыми по Директиве ePrivacy, как проверить каждый из них и какие ошибки в их классификации ищут регуляторы.

Source: https://www.cookiesh.eu/ru/blog/strictly-necessary-cookies  
Published: 2026-03-24

## Key takeaways

- Строго необходимые файлы cookie освобождены от согласия, только если без них не может работать услуга, которую пользователь явно запросил.
- Необходимость оценивается с точки зрения пользователя, а не по тому, насколько ценны данные для вашего бизнеса.
- Файлы cookie для аналитики, рекламы и A/B-тестирования, как правило, не являются строго необходимыми, даже если они собственные.
- Если файл cookie используется и для обязательной, и для необязательной цели, для необязательного использования нужно согласие.
- Освобождение от согласия не освобождает от раскрытия информации, поэтому указывайте необходимые файлы cookie в политике использования файлов cookie.

Строго необходимый файл cookie — это файл cookie, без которого сайт не может предоставить услугу, явно запрошенную пользователем: например, сохранить вход в систему, удержать товары в корзине или запомнить выбор в отношении файлов cookie. По правилам ЕС такие файлы cookie освобождены от согласия. Файлы cookie, которые служат прежде всего вашему бизнесу, например для аналитики, рекламы или A/B-тестирования, как правило, к ним не относятся.

## Что на самом деле говорит закон?

Исключение установлено статьей 5(3) Директивы ePrivacy. Хранение информации на устройстве пользователя или доступ к ней требует согласия, за исключением случаев, когда это используется только для передачи сообщения по сети или строго необходимо для предоставления услуги, которую пользователь явно запросил.

Основную нагрузку несут две формулировки:

- **«Строго необходимый»** задает высокую планку. Полезности, эффективности или коммерческой значимости недостаточно. Без файла cookie услуга должна перестать работать или оказаться невозможной.
- **«Явно запросил»** означает, что услуга оценивается с точки зрения посетителя. Посетитель запрашивает страницу, вход в систему или оформление заказа. Измерение аудитории или таргетинг рекламы он не запрашивает.

В британском PECR есть равнозначное исключение, за соблюдением которого следит ICO. Государства — члены ЕС реализуют директиву через национальные законы, поэтому формулировки и рекомендации регуляторов в разных странах немного различаются. О соседних категориях читайте в статье [Типы файлов cookie](/ru/blog/types-of-cookies).

## Как проверить, является ли файл cookie строго необходимым?

Спросите себя, перестанет ли работать запрошенная пользователем услуга без этого файла cookie и делает ли он что-то еще. Пройдитесь по этим вопросам для каждого файла cookie:

1. **Какую услугу запросил пользователь?** Назовите ее конкретно: просмотр страницы, вход в систему, оформление заказа.
2. **Перестанет ли услуга работать без этого файла cookie?** Если честный ответ — «работать будет, но мы потеряем аналитику», файл cookie не является строго необходимым.
3. **Используется ли файл cookie только для этой цели?** Если тот же идентификатор также передается в аналитику или рекламу, исключение на эти виды использования не распространяется.
4. **Соразмерен ли срок его действия?** Сеансовый или недолговечный файл cookie обосновать проще, чем тот, что хранится годами.
5. **Использует ли данные кто-то еще?** Если поставщик использует информацию в собственных целях, например для построения профилей, исключение вряд ли применимо.

Файл cookie, прошедший все пять проверок, — серьезный кандидат в категорию необходимых. Если он не прошел хотя бы одну, считайте, что для него нужно согласие.

## Какие файлы cookie обычно подходят?

Большинство строго необходимых файлов cookie связаны с сеансами, безопасностью и запоминанием выбора, который сделал пользователь. В таблице приведены типичные случаи, но всегда применяйте проверку к собственной конфигурации.

| Сценарий использования | Обычно строго необходимый? | Примечания |
|---|---|---|
| Вход в систему и управление сеансом | Да | Для разделов, в которые пользователь решил войти |
| Корзина покупок | Да | Хранит товары, добавленные пользователем |
| Балансировка нагрузки | Да | Распределяет запросы в течение сеанса |
| Безопасность, например CSRF-токены или проверки входа на мошенничество | Как правило, да | Если связаны с запрашиваемой услугой |
| Хранение выбора пользователя в отношении согласия | Да | Нужно, чтобы уважать этот выбор |
| Выбранные пользователем настройки языка или специальных возможностей | Часто | Если заданы явным действием пользователя и хранятся разумный срок |
| Аналитика и измерение аудитории | Как правило, нет | См. раздел об аналитике ниже |
| A/B-тестирование и персонализация | Как правило, нет | Служат вашей оптимизации, а не запросу пользователя |
| Реклама, ретаргетинг и отслеживание конверсий | Нет | В ЕС требуют согласия |
| Встраивания соцсетей, отслеживающие посетителей | Нет | Загружайте их только после согласия |

## Какие ошибки превращают «необходимые» файлы cookie в нарушение?

Самая распространенная проблема — отнести необязательные файлы cookie к категории необходимых, чтобы они загружались до согласия. Именно это регуляторы и ищут, когда проверяют баннеры и списки файлов cookie.

Остерегайтесь таких приемов:

- **Аргумент «это нужно бизнесу».** Фраза «нам нужна аналитика, чтобы вести бизнес» может быть правдой, но исключение касается услуги, которую запросил пользователь, а не ваших операционных потребностей.
- **Доверие к ярлыкам поставщиков.** Если поставщик называет свой файл cookie «обязательным», это описание продукта, а не юридическая оценка. Проверьте, что файл cookie делает на самом деле.
- **Многоцелевые файлы cookie.** Если один идентификатор используется и для управления сеансом, и для атрибуции рекламы, для рекламного использования нужно согласие. По возможности разделите функции между отдельными файлами cookie.
- **Теги, которые загружаются вместе с необходимыми скриптами.** Контейнер менеджера тегов может загружаться до согласия, но теги внутри него все равно должны дожидаться выбора посетителя.
- **Смешение исключения с законным интересом.** Основание «законный интерес» по Общему регламенту по защите данных (GDPR) не заменяет требование ePrivacy о согласии на хранение информации на устройстве. Подробнее об этом — в статье [Можно ли опираться на законный интерес для файлов cookie?](/ru/blog/legitimate-interest-and-cookies)

## Нужно ли раскрывать информацию о строго необходимых файлах cookie?

На практике да. Исключение снимает необходимость в согласии, но если файл cookie обрабатывает персональные данные, обязанности GDPR по прозрачности сохраняются, и регуляторы ожидают видеть необходимые файлы cookie в списке наряду с остальными.

Это означает три вещи. Укажите каждый необходимый файл cookie в политике использования файлов cookie с его целью и сроком действия, как описано в статье о том, [как написать политику использования файлов cookie](/ru/blog/how-to-write-a-cookie-policy). Показывайте категорию необходимых файлов cookie в настройках баннера как «всегда активна», а не в виде переключателя. И пересматривайте список всякий раз, когда добавляете поставщика, потому что файл cookie, освобожденный сегодня, может утратить этот статус, если его использование изменится.

## Есть ли исключения для аналитики?

Как правило, нет. По Директиве ePrivacy в большинстве стран ЕС для аналитических файлов cookie нужно согласие. Несколько национальных регуляторов описали узкие условия, при которых базовое собственное измерение аудитории может быть освобождено от согласия; обычно для этого требуются строго ограниченная цель, отсутствие межсайтового отслеживания и агрегированные результаты.

Эти позиции национальные, а не общеевропейские, и их условия строгие. Великобритания также пошла на смягчение правил о согласии для некоторых видов использования с низким риском, включая определенную аналитику, но как это применяется, зависит от законодательства и рекомендаций ICO, поэтому, прежде чем на это полагаться, уточните текущую позицию. Если вам нужно измерение, которое меньше зависит от согласия, стоит присмотреться к [аналитике без cookie](/ru/blog/cookieless-analytics), хотя и она не выходит за рамки правил автоматически.

## Итоги

Строго необходимые файлы cookie — узкая категория: это файлы cookie, без которых не может работать запрошенная пользователем услуга, которые не используются ни для чего другого и имеют соразмерный срок действия. Проверяйте каждый файл cookie по этому стандарту, все остальное держите за согласием, а необходимые файлы cookie все равно раскрывайте. Такие инструменты, как Cookiesh, могут автоматизировать сканирование файлов cookie, и так проще заметить новые файлы cookie до того, как они окажутся не в той категории.

*Эта статья носит общий информационный характер и не является юридической консультацией. Для решений, касающихся вашей конкретной ситуации, обратитесь к квалифицированному специалисту по защите данных.*

## FAQ

### Является ли строго необходимым файл cookie, который хранит выбор посетителя в отношении согласия?

Как правило, да. Чтобы уважать выбор человека, нужно помнить, принял он файлы cookie или отказался от них, поэтому саму запись о согласии обычно считают освобожденной. Храните в ней только состояние согласия и задайте ей соразмерный срок действия.

### Может ли сторонний файл cookie быть строго необходимым?

Да, в некоторых случаях. Под это определение может подпадать файл cookie платежного провайдера для защиты от мошенничества при оформлении заказа или балансировщик нагрузки вашего хостинг-провайдера. Критерий тот же, что и для собственных файлов cookie: запрошенная услуга должна от него зависеть, и его нельзя повторно использовать для других целей.

### Нужен ли для строго необходимых файлов cookie переключатель в баннере?

Нет. Покажите эту категорию, чтобы посетители знали о ней, но отметьте ее как всегда активную, а не предлагайте переключатель. Переключатель, который ничего не меняет, вводит посетителей в заблуждение относительно того, чем они могут управлять.

## Sources

- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [ICO (Управление комиссара по информации Великобритании)](https://ico.org.uk/)
- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)