Яндекс Метрика и cookie: нужно ли согласие посетителей сайта

Коротко: Роскомнадзор считает, что данные, которые собирают счётчики вроде Яндекс Метрики (cookie, идентификаторы, IP-адреса, действия на сайте), — это персональные данные. Значит, на них распространяется закон 152-ФЗ: нужно согласие посетителя, упоминание в политике и, по-хорошему, баннер, после которого счётчики и запускаются.

Почему cookie считаются персональными данными

Персональные данные — это любая информация, которая относится к определённому или определяемому человеку. Cookie и идентификатор Метрики сами по себе не содержат имени, но позволяют узнавать одного и того же посетителя при каждом визите, а вместе с заявкой из формы — связать его действия с конкретным телефоном. Поэтому Роскомнадзор и большинство юристов относят такие данные к персональным.

Какие cookie требуют согласия, а какие нет

Главная ошибка: счётчики стартуют сразу

На большинстве сайтов баннер «Мы используем cookie» есть, но Метрика уже работает, пока человек его читает. Получается, данные начинают собираться до согласия — то есть без него. Именно это чаще всего находит наша проверка: счётчики загружаются в первую же секунду после открытия страницы.

За обработку данных без согласия компании грозит штраф от 300 до 700 тысяч рублей (ч. 2 ст. 13.11 КоАП).

Как сделать правильно

1. Баннер при первом заходе с понятным текстом: какие cookie используются и зачем.
2. Две кнопки: «Принять» и «Отклонить» (или «Только необходимые»). Баннер только с кнопкой «Понятно» не даёт выбора — согласие, от которого нельзя отказаться, сложно назвать добровольным.
3. Счётчики запускаются только после «Принять». Код Метрики подключается не сразу при загрузке страницы, а после нажатия кнопки. В менеджерах тегов это делается через условие запуска.
4. Выбор запоминается, чтобы баннер не появлялся при каждом визите.
5. Про cookie написано в политике обработки данных: какие сервисы, какие данные, для чего (что ещё должно быть в политике).

А если стоит Google Analytics?

Здесь добавляется вторая проблема — данные уходят на серверы за границей. Закон требует, чтобы данные россиян сначала записывались в базы, расположенные в России. За нарушение этого правила компаниям грозит штраф от 1 до 6 миллионов рублей (ч. 8 ст. 13.11 КоАП). Проще всего — заменить Google Analytics на Яндекс Метрику и убрать другие зарубежные сервисы, которые получают данные посетителей: шрифты Google, reCAPTCHA, пиксели зарубежных соцсетей.

Как понять, что происходит на вашем сайте

Глазами этого не увидеть: счётчики загружаются незаметно. Наша проверка открывает сайт как обычный посетитель и показывает, какие сервисы запускаются до нажатия «Принять», есть ли кнопка отказа и не уходят ли данные за границу.

Статья — общая информация, а не юридическая консультация. Суммы штрафов указаны по ст. 13.11 КоАП РФ в редакции, действующей с 30 мая 2025 года. Решение о штрафе принимает Роскомнадзор или суд.

Ещё по теме