Google Analytics стоит на огромном количестве российских сайтов — от интернет-магазинов до корпоративных лендингов. Домен не заблокирован, а письмо от Роскомнадзора приходит далеко не каждому. Но «не заблокирован» и «легально» — разные вещи. Разбираемся, где именно проходит грань риска и что с этим делать до того, как письмо-требование придёт именно вам.
Google Analytics в России не заблокирован. Значит ли это, что он легален
По открытым источникам подтверждений блокировки нет: домены google-analytics.com, analytics.google.com и googletagmanager.com работают, а позиция регулятора последовательна — не блокировать сам инструмент, а требовать от операторов уведомление о трансграничной передаче персональных данных.
12 февраля 2026 года первый замглавы комитета Госдумы по информационной политике Антон Горелкин заявил, что планов по блокировке Google в России нет. Речь шла о Google в целом, а не об Analytics отдельно, но заявление хорошо иллюстрирует вектор политики: штрафовать за нарушения, а не рубить сервис целиком.
Здесь важно сразу развести две разные темы. Вопрос «нужно ли согласие пользователя на использование cookie и счётчиков аналитики на сайте» — это отдельная тема, мы уже разбирали её в статье про согласие на cookies и Яндекс.Метрику. Фокус этой статьи другой: даже если согласие оформлено идеально, юридический риск использования Google Analytics не исчезает — он лежит в другой плоскости закона.
Реальный риск — не согласие, а локализация и трансграничная передача
Настоящий юридический риск Google Analytics — не в чекбоксе согласия, а в двух конкретных составах закона: трансграничная передача персональных данных (ст. 12 152-ФЗ) и локализация персональных данных (ч. 5 ст. 18 152-ФЗ, в обиходе — «242-ФЗ»). В требованиях, которые Роскомнадзор рассылал владельцам сайтов с начала 2025 года, использование счётчика трактуется именно как трансграничная передача ПДн: то, что собирает счётчик — cookie-идентификаторы, IP-адрес, параметры устройства, — рассматривается как персональные данные, а серверы Google физически находятся в США.
- До 1 марта 2023 года — согласие пользователя плюс давно действующая (с 1 сентября 2015 года) обязанность локализации и прежняя модель трансграничной передачи: либо письменное согласие субъекта, либо одно из оснований ч. 4 ст. 12 в прежней редакции (исполнение договора с самим субъектом, защита жизни и здоровья, международный договор, федеральный закон).
- С 1 марта 2023 года — плюс обязательное уведомление Роскомнадзора о трансграничной передаче персональных данных до её начала.
- С 1 июля 2025 года — прямой запрет первичного сбора персональных данных граждан РФ в зарубежную базу.
Важная оговорка: закон не называет Google Analytics по имени. И статья 12, и статья 18 описывают практику обработки данных вообще, а не конкретный продукт. Поэтому корректнее говорить, что типовая схема использования GA стала юридически рискованной, а не что «Google Analytics запрещён в России» — это упрощение встречается в блогах, но не соответствует тексту закона буквально.
Что обязывает статья 12: уведомление РКН о трансграничной передаче
Часть 3 статьи 12 152-ФЗ обязывает оператора уведомить Роскомнадзор о намерении осуществлять трансграничную передачу персональных данных до её начала — отдельно от общего уведомления об обработке ПДн по статье 22. Механизм действует с 1 марта 2023 года (Федеральный закон от 14.07.2022 № 266-ФЗ), а подробный разбор процедуры — в статье про трансграничную передачу персональных данных.
Ключевое для владельца сайта: уведомление обязательно для любой трансграничной передачи, независимо от страны получателя. Разница — только в моменте старта. Для стран из перечня «адекватных» передачу можно начинать сразу после подачи уведомления (ч. 10 ст. 12). Для стран вне перечня действует обязательная пауза: 10 рабочих дней с момента подачи передавать нельзя (ч. 11 ст. 12 в связке со сроком из ч. 9). Дальше передачу начать можно, если Роскомнадзор не принял решение о запрете или ограничении (ч. 8 и ч. 12 ст. 12). Но отсчёт может сдвинуться: если ведомство запросит дополнительные сведения, рассмотрение уведомления приостанавливается до их предоставления (ч. 6 и ч. 9 ст. 12) — значит, пауза окажется дольше 10 рабочих дней, и стартовать на одиннадцатый день нельзя.
Важно: с середины января 2025 года Роскомнадзор начал точечную рассылку требований владельцам сайтов, СМИ и интернет-магазинов — убрать код Google Analytics либо подать уведомление о трансграничной передаче через портал pd.rkn.gov.ru. Если такого письма ещё не было, это не значит, что сайт вне зоны внимания.
26 июля 2026 года вступил в силу Федеральный закон № 265-ФЗ: его статья 1 убрала упоминания стран — сторон Конвенции Совета Европы ETS № 108 из части 2, пункта 2 части 5, частей 10 и 11 статьи 12 152-ФЗ. Автоматической адекватности по членству в Конвенции больше нет — Роскомнадзор включает страну в перечень, если её регулирование по существу соответствует Конвенции; сам перечень (приказ РКН от 05.08.2022 № 128) действует, пока не пересмотрен. Для США вывод не меняется: их нет в перечне ни в каком качестве, а значит, до старта передачи данных на американские серверы нужно подать уведомление и выждать паузу.
GA4 хранит и обрабатывает данные преимущественно на серверах в США. Региональный режим обработки — в ЕС, Швейцарии или Великобритании — Google включает не по регистрации владельца сайта, а по геолокации устройства конкретного посетителя. Для российского сайта это не защита: подавляющее большинство его посетителей физически не в ЕС, Швейцарии или Великобритании, поэтому их данные уходят на глобальную инфраструктуру Google — то есть по умолчанию в США.
Не знаете, стоит ли на вашем сайте Google Analytics и подано ли по нему уведомление о трансграничной передаче?Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтЛокализация персональных данных и Google Analytics
Отдельная, смежная, но не тождественная трансграничной передаче обязанность — локализация персональных данных. Часть 5 статьи 18 152-ФЗ требует, чтобы первичный сбор персональных данных граждан России вёлся в базах на территории страны. Федеральный закон от 28.02.2025 № 23-ФЗ ужесточил эту норму: с 1 июля 2025 года из позитивной обязанности обеспечить локализацию она превратилась в прямой запрет первичного сбора персональных данных граждан РФ в базы за пределами России.
Применительно к Google Analytics локализация — частный случай общей проблемы: если единственная база с данными о посетителях физически находится за рубежом, требование не соблюдается. Норму, штрафы и практику её применения мы подробно разобрали в статье про локализацию персональных данных по 242-ФЗ — здесь только фиксируем связь с темой Google Analytics.
Отдельный вопрос — являются ли cookie-идентификатор или client ID персональными данными сами по себе. Практика в целом склоняется к «да» через критерий косвенной идентифицируемости (ст. 3 152-ФЗ), но это оценочная категория, а не автоматический факт для любого технического идентификатора.
Сколько грозит: штрафы, если нарушение зафиксировано
Если нарушение зафиксировано — не подано уведомление о трансграничной передаче, нарушена локализация или в политике конфиденциальности вообще не описано использование Google Analytics — суммы вполне реальные.
| Нарушение | Граждане | Должностные лица | ИП | Юрлица | Норма |
|---|---|---|---|---|---|
| Обработка ПДн в непредусмотренных законом случаях (сюда же, по преобладающей трактовке юристов, относят трансграничную передачу без уведомления) | 10 000–15 000 ₽ | 50 000–100 000 ₽ | 50 000–100 000 ₽ (как долж. лицо) | 150 000–300 000 ₽ | ч. 1 ст. 13.11 КоАП |
| То же, повторно | 15 000–30 000 ₽ | 100 000–200 000 ₽ | 300 000–500 000 ₽ (как юрлицо) | 300 000–500 000 ₽ | ч. 1.1 ст. 13.11 КоАП |
| Политика ПДн не опубликована; на практике сюда же относят политику без описания трансграничной передачи | 1 500–3 000 ₽ | 6 000–12 000 ₽ | 10 000–20 000 ₽ | 30 000–60 000 ₽ | ч. 3 ст. 13.11 КоАП |
| Нарушение локализации ПДн — первичное | 30 000–50 000 ₽ | 100 000–200 000 ₽ | как юрлицо | 1 000 000–6 000 000 ₽ | ч. 8 ст. 13.11 КоАП |
| Нарушение локализации ПДн — повторное | 50 000–100 000 ₽ | 500 000–800 000 ₽ | как юрлицо | 6 000 000–18 000 000 ₽ | ч. 9 ст. 13.11 КоАП |
Важное уточнение: отдельного состава «неуведомление о трансграничной передаче» в статье 13.11 КоАП нет. Отнесение такого нарушения к части 1 (или к части 1.1 при повторе) — интерпретация практикующих юристов, а не буквальная норма закона: специальной санкции именно за нарушение процедуры уведомления по статье 12 в кодексе не предусмотрено.
Штрафуют ли на самом деле за использование Google Analytics
Самый резонансный кейс — решение Таганского районного суда Москвы от 19 декабря 2018 года по сайту «Умного голосования» (2019.vote). Формальным основанием, которое суд принял как доказательство обработки персональных данных, стал именно код Google Analytics и Яндекс.Метрики. По существу претензия Роскомнадзора была шире: ведомство заявляло, что данные посетителей физически хранятся за рубежом (иск подавали к французскому хостеру-регистратору Gandi SAS), то есть речь шла о локализации, а счётчики служили доказательством факта обработки.
Важно не путать события: это дело по 152-ФЗ, а не блокировка «Умного голосования» в 2021 году по реестру запрещённой информации. И решение принималось до нынешнего режима уведомлений (с 2023 года) и до ужесточения локализации (2025 год) — правила с тех пор изменились, переносить кейс один в один на сегодняшнюю ситуацию нельзя.
Ещё один кейс, уже не про Google Analytics, но структурно близкий, — компания Ookla (Speedtest.net). Мировой судья Таганского района оштрафовал её на 1 млн ₽ 12 июля 2022 года за нарушение локализации, а 16 октября 2023 года — уже на 6 млн ₽ за повторное нарушение. Это подтверждает: за нелокализацию действительно штрафуют предметно, просто не за сам факт использования зарубежного счётчика аналитики.
Прямых судебных штрафов именно за использование Google Analytics в 2023–2026 годах в открытых источниках не найдено. Пока Роскомнадзор действует через письма-требования, а не через постановления о штрафе.
Показательный пример — опыт редакции SEOnews: в феврале 2025 года издание получило требование Роскомнадзора, оперативно подало уведомление о трансграничной передаче и на время ожидания (закон отводит на это 10 рабочих дней) убрало код Google Analytics с сайта. Штрафа не последовало — только требование и добровольное устранение.
Тема реальна и регуляторно рискованна, но утверждение «уже штрафуют за Google Analytics» практикой пока не подтверждается.
Что делать: шаги, альтернативы и итог
Практический вывод из всего разбора сводится к двум проверяемым фактам: подано ли уведомление о трансграничной передаче и осталась ли в России копия или оригинал базы данных о посетителях сайта. Сам по себе код Google Analytics на сайте — техническая деталь, а не нарушение.
- Проверьте, подано ли по вашему сайту уведомление о трансграничной передаче персональных данных через портал pd.rkn.gov.ru — если нет, а Google Analytics установлен, это и есть основной риск.
- Убедитесь, что использование Google Analytics и факт трансграничной передачи описаны в политике конфиденциальности. Буквально ч. 3 ст. 13.11 КоАП карает неопубликование политики, но на практике Роскомнадзор расценивает политику без описания трансграничной передачи как ненадлежащую и квалифицирует по этой же части.
- Оцените, нужно ли дублировать или переносить аналитику на российские системы веб-аналитики (Яндекс.Метрика, Топ.Mail.ru, VK Аналитика — как примеры категории), чтобы снять риск нарушения требования локализации. Где фактически размещаются данные и что об этом сказано в условиях вашего тарифа — уточняйте у самого вендора.
Часть российского бизнеса постепенно переходит на локальные системы аналитики именно по этой причине — не потому что Google Analytics хуже как инструмент, а потому что с российским поставщиком вопрос вывоза данных за рубеж в принципе можно закрыть. Автоматической гарантии это не даёт: единого реестра «кто где хранит данные» не существует, а отвечает за расположение баз оператор, то есть вы. Требования к согласию на счётчик тоже никуда не деваются.
Google Analytics — не «запрещённый» и не «безопасный» инструмент, а зона реального, но пока не до конца оформленного в судебной практике риска. Точно можно сказать одно: разобраться в этом заранее дешевле, чем разбираться после письма от Роскомнадзора.