Если на сайте стоит Google Analytics, пиксель Meta или встроенный сервис, который ставит cookie не только для работы сайта (так часто делают видеоплееры и карты), баннер должен спросить согласие до того, как они что-то запишут в браузер посетителя или прочитают из него. На первом экране баннера рядом с «Принять все» нужна кнопка «Отказаться от всех». По чек-листу GBA её нельзя делать менее заметной, например цветом, а хорошим примером регулятор считает одинаковое оформление обеих кнопок. Если на первом экране нет кнопки отказа или аналитика запускается до согласия, баннер расходится с позицией бельгийского регулятора.

Откуда правило

Согласия на cookie требует статья 10/2 закона от 30 июля 2018 года о защите персональных данных (его называют рамочным законом, Kaderwet / loi-cadre). На эту статью ссылается и сам регулятор.

Надзор ведёт бельгийский орган по защите данных, Gegevensbeschermingsautoriteit / Autorité de protection des données (GBA/APD). В октябре 2023 года он опубликовал чек-лист по cookie (новость о публикации). GBA называет его вспомогательным и неисчерпывающим документом, и новых обязанностей он не вводит. Зато он точнее всего показывает, как регулятор читает закон, так что свой сайт удобно проверять по нему.

Пиксели, отпечатки устройства (fingerprinting) и local storage в браузере GBA рассматривает так же, как cookie.

Без согласия можно только строго необходимое

Без согласия разрешены только cookie, без которых сайт технически не сделает то, о чём посетитель сам попросил. Это сессия, балансировка нагрузки, выбранный язык, содержимое корзины и запоминание выбора в самом баннере.

Для всего остального нужно согласие. Сюда GBA относит и подсчёт посетителей: по позиции регулятора аналитика в принципе не считается строго необходимой, даже если она «только для статистики». Регуляторы некоторых других стран ЕС при строгих условиях делают для неё исключение, но в бельгийском чек-листе такого исключения нет.

А если аналитика «без cookie»?

Многие сервисы статистики предлагают режим без cookie: в браузере они ничего не сохраняют, а посетителя различают по хешу IP-адреса и данных браузера, который считают на своём сервере. Само по себе это не освобождает от согласия. Правило касается не только записи на устройство посетителя, но и получения доступа к информации с него. По руководству EDPB 2/2023 (версия 2.0 от 16 октября 2024 года, пункт 33) скрипт, который велит браузеру отправить сведения с устройства, под это правило подпадает.

Отдельного разъяснения GBA именно про такую статистику мы не нашли. Но показательно, как устроен сайт самого регулятора: на 5 октября 2026 года сервис Plausible, который работает без cookie, загружается на gegevensbeschermingsautoriteit.be только после того, как посетитель дал согласие. Если на вашем сайте стоит скрипт статистики, безопаснее исходить из того, что согласие нужно и ему.

Чек-лист баннера

Первый экран

Кнопки «Принять все» и «Отказаться от всех» стоят на одном уровне. Пара «Принять все» и «Настройки» не подходит.
Кнопка «Отказаться» не менее заметна, чем «Принять»: яркая «Принять» рядом с серой «Отказаться» не годится. Хорошим примером GBA считает одинаковое оформление.
Коротко объяснено, для чего нужны cookie и кто их ставит (сколько партнёров, со ссылкой на список). Там же сказано, как принять или отказаться, что будет в каждом случае и как потом отозвать согласие.
Нет «cookie wall»: сайт открывается и без согласия.

Второй экран, с настройками

Согласие можно дать отдельно по каждой цели: аналитика, реклама, соцсети и так далее.
Ни одна галочка не стоит заранее.
Есть полный список cookie по категориям, с целью, сроком хранения и получателями данных.

Что согласием не считается

прокрутка страницы, закрытие баннера крестиком, бездействие;
настройки браузера;
согласие «в пакете» с общими условиями или политикой конфиденциальности.

После согласия

Ссылка или кнопка «Настройки cookie» хорошо заметна (обычно её ставят в подвал), и отозвать согласие можно одним нажатием.
После отзыва cookie действительно перестают работать, а не просто больше не ставятся.
Выбор посетителя хранится ограниченное время. Шесть месяцев GBA считает в принципе разумным сроком.
У политики cookie есть дата и номер версии, а старые версии баннера и политики сохранены.

Политика конфиденциальности

Баннер политику конфиденциальности не заменяет. Если сайт собирает персональные данные (через форму обратной связи, запись, рассылку, а также через аналитику и пиксели), посетитель должен получить сведения по статье 13 GDPR, в том числе: кто обрабатывает данные и как с ним связаться; для чего и на каком основании; кому данные передаются, в том числе за пределы ЕС; сколько они хранятся; какие у человека права, включая право отозвать согласие и пожаловаться в надзорный орган (в Бельгии это GBA).

Как проверить свой сайт за пять минут

Откройте сайт в окне инкогнито.
Откройте инструменты разработчика (F12), вкладку «Application» в Chrome или «Хранилище» в Firefox, раздел Cookies.
Ничего не нажимая в баннере, посмотрите список. Если там уже есть _ga, _fbp или другие cookie аналитики и рекламы, баннер работает неправильно.
Нажмите «Отказаться от всех», обновите страницу и проверьте снова.
Найдите, где можно изменить выбор позже. Если такой ссылки нет, её нужно добавить.

Какие ещё сведения обязательно показывать на сайте бельгийской компании (реквизиты, номер предприятия, контакты), разобрано в статье «Обязательные реквизиты на сайте в Бельгии».