Яндекс.Метрика и персональные данные: как использовать без нарушений

Яндекс.Метрика собирает данные о посетителях сайта – IP-адреса, cookie, историю просмотров, геолокацию. Cookie Метрики связаны с идентификатором посетителя и могут быть персональными данными (п. 1 ст. 3 152-ФЗ). Это значит, что использование Яндекс.Метрики без соблюдения 152-ФЗ «О персональных данных» может привести к штрафам. В этой статье – 5 шагов, как настроить работу с Яндекс.Метрикой законно, без риска для бизнеса.

1. Поймите, какие данные собирает Яндекс.Метрика

Прежде чем разбираться с согласиями и уведомлениями, нужно чётко знать, что именно попадает в систему. Яндекс.Метрика автоматически фиксирует:

1.1. Технические данные (теперь – ПДн)

• IP-адрес – уникальный идентификатор устройства в сети.
• Cookie-файлы – за обработку данных без законного основания (в том числе без согласия там, где оно нужно) организации грозит штраф 150–300 тысяч рублей, ИП – 50–100 тысяч (ч. 1 ст. 13.11 КоАП), за повторное нарушение организации – до 500 тысяч.
• User-agent – информация о браузере, операционной системе, разрешении экрана.
• Referrer – URL страницы, с которой пришёл пользователь.

1.2. Поведенческие данные

• Просмотренные страницы, время на сайте, клики, скроллы.
• Данные о достижении целей (заполнение формы, покупка, подписка).
• Геолокация (по IP).

1.3. Данные, которые вы передаёте вручную

Если вы настроили передачу в Метрику данных из CRM или форм обратной связи (например, email, телефон, имя), они тоже становятся частью системы. Это уже не просто cookie – это прямо идентифицирующие данные.

Вывод: Яндекс.Метрика обрабатывает персональные данные. Значит, вы – оператор ПДн по 152-ФЗ, и на вас лежат все обязанности.

2. Получите согласие на обработку данных через Яндекс.Метрику

Обработка персональных данных допускается при наличии основания (ч. 1 ст. 6 152-ФЗ); для аналитики надёжное основание – согласие посетителя (п. 1 ч. 1 ст. 6, ст. 9). Для cookie и поведенческих данных есть нюансы.

2.1. Cookie-баннер – обязательно, но какого типа?

Единой прямой нормы про формат cookie-баннера в 152-ФЗ нет – практика ещё формируется. Однако из-за риска штрафа лучше не рисковать.

Рекомендация: используйте активное согласие (галочка, кнопка «Согласен»), а не молчаливое (продолжение просмотра = согласие). Особенно это важно, если вы передаёте данные рекламным партнёрам Яндекса (РСЯ, Директ) – там данные уходят третьим лицам, и согласие должно быть явным.

2.2. Что должно быть в согласии?

Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. В баннере или политике конфиденциальности укажите:

• Какие данные собираются (cookie, IP, поведение).
• Для каких целей (аналитика, ретаргетинг, улучшение сайта).
• Кто оператор (ваша компания).
• Срок действия согласия (обычно – до отзыва).
• Право отозвать согласие в любой момент.

2.3. Если вы передаёте в Метрику email/телефон

Для прямых идентификаторов (email, телефон, имя) нужно отдельное согласие – не в cookie-баннере, а в форме сбора данных (например, чекбокс «Согласен на обработку персональных данных»). Ст. 9 152-ФЗ требует, чтобы согласие было получено до начала обработки.

3. Настройте хранение и уничтожение данных в Яндекс.Метрике

Вы обязаны хранить данные не дольше, чем это необходимо для целей обработки. Если цель – аналитика посещаемости, то хранить историю за 5 лет не нужно.

3.1. Сроки хранения

• Общие данные (cookie, IP): храните столько, сколько нужно для аналитики. Обычно 1-2 года – разумный срок.
• Данные, полученные с согласия: после отзыва согласия оператор обязан уничтожить данные в течение 30 дней (ст. 21 152-ФЗ). Если уничтожить данные в этот срок невозможно, их блокируют и уничтожают не позднее чем через 6 месяцев (ч. 6 ст. 21 152-ФЗ).
• Согласие на обработку как документ: храните 3 года с момента истечения/отзыва (приказ Росархива № 236).

3.2. Как уничтожить данные в Метрике?

Какие возможности удаления данных есть в вашем счётчике, уточните в документации Яндекс Метрики и в условиях сервиса. Если вы не можете удалить данные конкретного пользователя по требованию, вы рискуете нарушить сроки, установленные ст. 20 и 21 152-ФЗ (7 рабочих дней для ненужных или незаконно полученных данных, 10 рабочих дней для требования прекратить обработку, 30 дней после отзыва согласия). Убедитесь, что у вас есть процедура обработки таких запросов.

Сроки хранения и уничтожения данных в Яндекс.Метрике зависят от их типа и оснований обработки.

4. Уведомите Роскомнадзор о начале обработки ПДн

Если вы используете Яндекс.Метрику для сбора данных о посетителях, вы обязаны уведомить Роскомнадзор о начале обработки персональных данных. Это не зависит от того, платный у вас сайт или бесплатный.

4.1. Когда нужно уведомлять?

Уведомление подаётся до начала обработки (то есть до установки счётчика). Форма – через pd.rkn.gov.ru или Госуслуги, по приказу РКН от 28.10.2022 №180. Рассмотрение – 30 дней.

4.2. Что указать в уведомлении?

• Цель обработки: «анализ посещаемости сайта, поведенческий таргетинг, улучшение пользовательского опыта».
• Категории данных: IP-адрес, cookie, история просмотров, геолокация.
• Категории субъектов: посетители сайта.
• Способы обработки: автоматизированная (Яндекс.Метрика).
• Трансграничная передача: если вы используете сервера за пределами РФ (см. пункт 5).

4.3. Исключения

Уведомление не требуется, если обработка осуществляется без использования средств автоматизации (но Метрика – автоматизированная система, так что исключение не подходит). Исключений из обязанности уведомлять три: обработка без средств автоматизации, в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка, и в целях транспортной безопасности (ч. 2 ст. 22 152-ФЗ). К Метрике ни одно из них не подходит.

5. Проверьте трансграничную передачу данных

Счётчик Метрики собирает данные напрямую с посетителей вашего сайта, поэтому первичная запись и хранение данных граждан РФ должны идти в базе на территории России (ч. 5 ст. 18 152-ФЗ). Нарушение локализации – штраф для организаций от 1 до 6 млн рублей (ч. 8 ст. 13.11 КоАП). Уточните в условиях Яндекса, где хранятся данные; трансграничная передача возможна только для копий после записи в российскую базу.

5.1. Список стран с «адекватной защитой»

Перечень стран с адекватной защитой утверждён приказом РКН от 16.09.2026 № 253 (действует с 30.10.2026). Уведомление РКН о трансграничной передаче нужно и для стран перечня (ч. 3 ст. 12), но в такие страны можно передавать данные сразу после уведомления. США в этом перечне нет. С июля 2026 года (265-ФЗ) участие в Конвенции Совета Европы само по себе не гарантирует места в перечне, поэтому состав стран сверяйте с текстом приказа.

5.2. Что делать, если данные уходят в «неадекватную» страну?

Если копии данных уходят на сервера за пределами РФ, например в США, порядок передачи зависит от того, включена ли страна в перечень государств с адекватной защитой прав субъектов персональных данных (приказ РКН № 253).

• Уведомление Роскомнадзора о трансграничной передаче – до её начала, отдельно от уведомления об обработке персональных данных.
• Если страна не входит в перечень (например, США), передача возможна не раньше чем через 10 рабочих дней после уведомления; Роскомнадзор может её запретить.
• До подачи уведомления оператору следует получить от получателя сведения о мерах защиты данных.

Отдельное согласие субъекта на трансграничную передачу закон не требует.

Где физически расположены сервера Яндекса, уточните в договоре с Яндексом или в документации. Если вы не уверены, входит ли страна в перечень, – проверьте текст приказа № 253 и при необходимости подайте уведомление в Роскомнадзор.

5.3. Альтернатива

Используйте российские аналоги или сервисы, которые хранят данные только на серверах в РФ. Проверьте условия хранения данных в документации выбранного сервиса.

Что сделать

Яндекс.Метрика и персональные данные – не конфликт, а вопрос правильной настройки. Чтобы использовать сервис без нарушений:

1. Установите cookie-баннер с активным согласием.
2. Получите отдельное согласие на передачу email/телефона (если передаёте).
3. Настройте сроки хранения и процедуру удаления данных по запросу.
4. Подайте уведомление в Роскомнадзор.
5. Проверьте, где физически хранятся данные: до начала трансграничной передачи нужно уведомить Роскомнадзор, а если данные передаются в страну, которой нет в перечне ведомства, – дождаться окончания проверки уведомления (10 рабочих дней).

Штрафы – до 300 тысяч рублей за cookie без согласия (до 500 тысяч при повторном нарушении), а за утечку – от 3 до 15 млн ₽ в зависимости от числа пострадавших (до 20 млн ₽ за биометрию), при повторной утечке – 1–3% годовой выручки (не менее 20 млн ₽). Уточняйте актуальный размер на момент обращения. Лучше потратить время на настройку сейчас, чем платить штрафы потом.

Частые вопросы

На что опираемся

• КоАП РФ – ч. 1 ст. 13.11 (штрафы за обработку без согласия)
• Приказ РКН от 28.10.2022 №180 (форма уведомления о начале обработки)
• Приказ РКН от 16.09.2026 № 253 (перечень стран с адекватной защитой)
• Приказ Росархива № 236 (срок хранения согласий)

Что сделать дальше

1. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
2. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
3. Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.