Счётчик Яндекс.Метрики или Google Analytics стоит почти на каждом сайте — и почти никто не считает его источником юридического риска. Зря: с точки зрения 152-ФЗ обычный счётчик посещаемости уже требует согласия посетителя, и это не теория, а действующая норма закона.
Нужно ли согласие на Яндекс.Метрику: короткий ответ
Прямой ответ: да, нужно — даже если счётчик не спрашивает имя, телефон или e-mail. В России, в отличие от Евросоюза, нет отдельного «закона о cookie» (как GDPR или ePrivacy) — обязанность получать согласие выводится из общих норм 152-ФЗ «О персональных данных», а не из специального акта про куки.
Логика простая: cookie-идентификаторы, IP-адрес и данные устройства в практике Роскомнадзора и судов трактуются как персональные данные (ст. 6, 9 152-ФЗ). Установка счётчика аналитики — это обработка персональных данных, а владелец сайта становится оператором этих данных. Тема касается любого сайта со счётчиком, а не только интернет-магазинов.
Сильный аргумент — сам Яндекс прямо пишет это в условиях использования Метрики: «Пользователь является оператором персональных данных, а Яндекс — лицом, действующим по поручению оператора персональных данных» (п. 5.4), а в п. 2.1 обязывает владельца сайта информировать посетителей и получать согласие, если того требует закон. То есть даже разработчик счётчика перекладывает ответственность за законность сбора данных на вас.
Почему cookie и IP-адрес — это персональные данные
По п. 1 ст. 3 152-ФЗ персональные данные — «любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу». Слово «косвенно» — юридическая опора: cookie-идентификатор сам по себе не называет имя человека, но позволяет его узнать в совокупности с другими данными.
Обработка ПДн — это любое действие с ними: сбор, запись, хранение, использование (ст. 3 152-ФЗ). Установка счётчика, который пишет cookie и фиксирует IP, подпадает под это определение, а владелец сайта автоматически становится оператором персональных данных.
В России нет отдельного «закона о cookie» — в отличие от ЕС, где действуют GDPR и ePrivacy. Требование согласия — производное от общих норм 152-ФЗ (ст. 6, 9), поэтому не ищите на сайте несуществующую «статью про куки»: обязанность всё равно есть, просто она выведена из общего закона о персональных данных.
Судебная практика подтверждает такой подход. Второй кассационный суд общей юрисдикции в постановлении от 26.12.2022 по делу № 16-9987/2022 (Ookla LLC / Speedtest.net) прямо признал персональными данными cookie, идентификаторы устройства и сведения о сетевой активности, отклонив довод компании о том, что собираются «просто технические данные».
Честная оговорка: практика по «голому» IP-адресу без привязки к другим идентификаторам не так однозначна — единой нормы «IP всегда персональные данные» нет, суды обычно оценивают его в связке с cookie и другими данными устройства.
Яндекс.Метрика: что она собирает и кто отвечает за согласие
По актуальным условиям использования Метрика обрабатывает: cookie и их идентификаторы (в том числе _ym_uid, _ym_d), IP-адрес, данные устройства, браузера и ОС, посещённые страницы, действия на сайте и приблизительную геолокацию.
У Метрики есть штатный технический выход — режим «согласие ДО»: отложенная загрузка кода счётчика, включается только после клика или согласия посетителя. Как оформить такой баннер технически — тема отдельного разбора, здесь важно знать, что механизм существует.
Есть и обратная сторона — официальный инструмент отказа для самого посетителя: браузерное расширение «Блокировщик Яндекс Метрики» для Chrome и Firefox, а также кнопка отказа от отслеживания в поддержке Яндекса. Это не заменяет обязанность владельца сайта получать согласие, но показывает, что тема воспринимается серьёзно даже самим разработчиком счётчика.
На сайте «Сайт в порядке» мы сами запускаем счётчик аналитики только после согласия пользователя — рабочий пример того, как это может выглядеть, не нарушая закон.
Не знаете, как на вашем сайте устроен запуск счётчиков — до согласия посетителя или после?Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтGoogle Analytics: тот же вопрос согласия плюс отдельный риск локализации
С Google Analytics всё сложнее: риск здесь двойной. Первый — тот же вопрос согласия, что и с Метрикой. Второй, куда более серьёзный, — локализация данных: при обычной работе GA пишет данные пользователей сразу на серверы Google за рубежом.
С 1 марта 2023 года действует обязанность отдельно уведомлять Роскомнадзор до начала трансграничной передачи персональных данных (ч. 3 ст. 12 152-ФЗ) — это отдельное требование, актуальное именно для сайтов с GA.
А с 1 июля 2025 года действует новая редакция ч. 5 ст. 18 152-ФЗ (введена Федеральным законом № 23-ФЗ от 28.02.2025): первичный сбор персональных данных граждан России сразу в зарубежные базы прямо запрещён, кроме узкого перечня исключений. Именно эта норма делает типовую схему Google Analytics юридически рискованной.
Важная оговорка: закон не называет сервис по имени — он запрещает практику первичного сбора данных в зарубежную базу. Поэтому корректнее говорить не «GA запрещён», а «легальное использование GA в типовой схеме стало практически невозможным».
- Яндекс.Метрика — российский сервис, риск №1: только вопрос согласия.
- Google Analytics — сервер за рубежом, риск №1 (согласие) + риск №2 (локализация и трансграничная передача).
С середины января 2025 года Роскомнадзор начал точечно рассылать письма-требования владельцам сайтов по Google Analytics — убрать код счётчика либо подать уведомление о трансграничной передаче через портал pd.rkn.gov.ru. По доступным данным, рассылка была выборочной, не массовой, и касалась в первую очередь крупных сайтов и СМИ.
Сколько стоит штраф, если согласия нет
Разбираемся с цифрами — здесь тоже важно не путать составы одной и той же статьи.
| Нарушение | Часть 13.11 | Граждане | Долж. лица | ИП | Юрлица |
|---|---|---|---|---|---|
| Обработка ПДн в непредусмотренных случаях — сценарий «нет согласия на аналитику» | ч. 1 | 10 000–15 000 | 50 000–100 000 | как долж. лицо | 150 000–300 000 |
| То же, повторно | ч. 1.1 | 15 000–30 000 | 100 000–200 000 | как долж. лицо | 300 000–500 000 |
| Обработка без письменного согласия, когда оно обязательно по закону (для веб-аналитики применимость спорна) | ч. 2 | 10 000–15 000 | 100 000–300 000 | как долж. лицо | 300 000–700 000 |
| То же, повторно | ч. 2.1 | 15 000–30 000 | 300 000–500 000 | 500 000–1 000 000 | 1 000 000–1 500 000 |
| Нет / не опубликована политика ПДн (в т.ч. без раздела про Метрику/GA) | ч. 3 | 1 500–3 000 | 6 000–12 000 | 10 000–20 000 | 30 000–60 000 |
| Неуведомление РКН о намерении обрабатывать ПДн | ч. 10 | 5 000–10 000 | 30 000–50 000 | как долж. лицо | 100 000–300 000 |
| Нарушение локализации ПДн (специфический риск при Google Analytics) | ч. 8 | 30 000–50 000 | 100 000–200 000 | как долж. лицо | 1 000 000–6 000 000 |
| То же, повторно | ч. 9 | 50 000–100 000 | 500 000–800 000 | как долж. лицо | 6 000 000–18 000 000 |
Важно: это не одна гарантированная цифра, а вилка 150 000–700 000 ₽ для юрлица — точная квалификация зависит от обстоятельств. Не путайте этот штраф с ч. 8/ч. 9 (нарушение локализации данных, до 18 000 000 ₽ для юрлица при повторном нарушении) — это разные составы одной статьи.
Многие блоги называют одну цифру — до 700 000 ₽ — за отсутствие согласия на cookie. Но по строгому тексту закона ч. 2 ст. 13.11 КоАП — это обработка без согласия именно в письменной форме, когда такая форма обязательна по закону (например, при распространении данных третьим лицам). Для веб-аналитики такого прямого требования нет, поэтому чаще применима ч. 1 (до 300 000 ₽ для юрлица). Корректная формулировка: риск — от 150 000 до 700 000 ₽ для юрлица, в зависимости от квалификации.
Ещё один частый и «дешёвый» спутник нарушения — отсутствие в политике конфиденциальности упоминания об используемых системах аналитики (ч. 3): до 60 000 ₽ для юрлица, но штрафуют за это чаще всего.
Что реально грозит малому бизнесу: честная практика
Риск не гипотетический. В 2018 году сайт «Умного голосования» был заблокирован Таганским районным судом Москвы именно за обработку персональных данных пользователей через Google Analytics и Яндекс.Метрику без локализации данных на территории России — апелляцию отклонил Мосгорсуд.
Сайт заблокировали не за контент, а за то, как на нём были настроены счётчики аналитики — прецедент 2018 года, где основанием стало именно отсутствие локализации данных Google Analytics и Яндекс.Метрики.
Похожая логика — в деле Ookla/Speedtest, о котором шла речь выше: суд признал cookie персональными данными и наказал компанию именно за нарушение локализации.
Единственный найденный в принципе кейс именно про отсутствие согласия на Яндекс.Метрику (правда, не про малый бизнес, а про государственное учреждение) — Самара, 17.07.2023: мировой судья оштрафовал начальника отдела ИТ государственного медучреждения на 10 000 ₽ по совокупности ч. 1 и ч. 3 ст. 13.11 КоАП именно за отсутствие согласия на обработку данных через Яндекс.Метрику и неработающую ссылку на политику. Оговорка: это старая шкала штрафов до 420-ФЗ, источник — частный агрегатор судебной практики, не официальный ресурс — важен сам факт, не сумма.
Честно: свежих (2025–2026) кейсов, где малый бизнес оштрафовали именно за отсутствие согласия на счётчик на сайте-визитке, в открытых источниках не нашлось. Практика по новым и повышенным нормам ещё формируется — сейчас чаще ловят на «нет политики» или «нет уведомления РКН», а не точечно на отсутствии согласия на трекер. Это не значит, что риска нет — просто пока он реализуется по-другому.
Кстати, штрафуют за локализацию данных и сегодня: Мосгорсуд в 2026 году отклонил очередную апелляцию Google LLC, оставив в силе штрафы, а совокупная сумма всех взысканий компании превысила 42 млрд ₽ (значительная часть — именно за нелокализацию данных). Конечно, это несопоставимо с рисками обычного ИП или ООО — но регулятор явно не оставляет тему без внимания.
Что сделать на сайте прямо сейчас
Полный набор шагов для соответствия — отдельная тема (технику оформления cookie-баннера разберём в следующей статье). Но три вещи стоит проверить уже сегодня:
- До начала сбора данных — уведомление или баннер о cookie, либо явное описание в политике конфиденциальности + понятный способ отказа для посетителя.
- Если используете Google Analytics или любой сервис с обработкой данных за рубежом — отдельно закройте вопрос локализации: подайте уведомление в РКН по ст. 12 152-ФЗ. Это не то же самое, что просто получить согласие.
- В политике конфиденциальности назовите, какие именно системы аналитики используются на сайте и кто выступает обработчиком данных.
Отдельно: не путайте согласие на использование Метрики/GA с чекбоксом согласия в формах лидогенерации (имя, телефон, e-mail) — это разные темы и разные документы.
Как технически оформить cookie-баннер и получать согласие правильно — разберём отдельно, в ближайшей статье про cookie-баннер по закону.