Яндекс.Метрика и персональные данные: что грозит сайту без политики

Да, Яндекс.Метрика собирает персональные данные посетителя: IP-адрес, идентификатор в cookie-файле и историю переходов по страницам. Юридически это то же самое, что собирает форма заявки: владелец сайта становится оператором персональных данных с момента, как поставил код счётчика (п. 1 ст. 3, ч. 2 ст. 18.1 152-ФЗ, ред. от 26.07.2026). Без политики, которая это раскрывает, ИП грозит штраф от 10 000 до 20 000 рублей, компании - от 30 000 до 60 000 рублей (ч. 3 ст. 13.11 КоАП РФ).

Алина год администрирует небольшую стоматологическую клинику и недавно наконец открыла отчёты Метрики, которую подрядчик поставил ещё при запуске сайта. С цифрами разобралась быстро - а вопрос, что счётчик делает с данными посетителей, всплыл только когда клиентка спросила, кто видит её телефон из формы записи.

Что на самом деле уходит в счётчик при каждом визите

Код Метрики при каждом открытии страницы отправляет на серверы Яндекса не только сам факт визита. Вместе с ним уходят IP-адрес посетителя, идентификатор из cookie-файла счётчика, тип устройства и браузера, а также сама последовательность переходов - какая страница открылась первой, а какая следующей. Отдельно эти сведения выглядят техническими, но в связке они отличают одного посетителя клиники от другого не хуже, чем запись в журнале.

Закон называет персональными данными любую информацию, которая прямо или косвенно относится к определённому человеку (п. 1 ст. 3 152-ФЗ, ред. от 26.07.2026). Формулировка не требует, чтобы это были имя и телефон - достаточно, что по набору технических признаков человека можно отличить от других посетителей того же сайта.

У Алины на сайте только форма записи и телефон клиники - ни личного кабинета, ни базы клиентов в привычном понимании. Она была уверена, что персональные данные - это то, что вводят люди сами. Счётчик статистики, который просто считает посетителей, в эту картину не вписывался.

Что это значит для владельца: закон не спрашивает, зачем именно собирались данные - если по ним можно отличить посетителя, требования 152-ФЗ распространяются на сайт, даже если формы для сбора данных на нём вовсе нет.

Российский сервис - не значит, что закон можно не открывать

Первая мысль после этого - облегчение: Метрика российская, а не зарубежный аналог, значит претензий быть не должно.

Это верно только для одного конкретного вопроса закона - трансграничной передачи данных за пределы страны (ст. 12 152-ФЗ): у российского сервиса такой передачи не возникает, в отличие от зарубежных счётчиков, разбор которых - в статье про трансграничную передачу персональных данных. А обязанность опубликовать документ о политике обработки персональных данных не зависит от того, где физически стоит сервер счётчика (ч. 2 ст. 18.1 152-ФЗ). Она о самом факте сбора, а не о его географии.

Алина решила для себя вопрос трансграничной передачи одной фразой: Метрика российская, значит эта часть закона её не касается. И была права. Но следующий вопрос - есть ли на сайте вообще документ, который упоминает счётчик, - остался открытым, потому что он о другом.

Что это значит для владельца: переход на российский сервис снимает один конкретный риск, а не весь закон целиком - обязанность рассказать посетителю о сборе данных остаётся при любом счётчике, отечественном или зарубежном.

Политика и cookie: что именно должно быть написано на сайте

Раз обязанность не снимается выбором сервиса, разберём, что именно она требует.

Оператор, который собирает персональные данные через сайт, обязан опубликовать документ о политике обработки на тех же страницах, где идёт сбор, и обеспечить к нему свободный доступ (ч. 2 ст. 18.1 152-ФЗ). Формулировка прямо называет сайт, а не только форму на нём - значит требование касается и страниц, где стоит только счётчик, без единого поля для заполнения.

Отдельного закона про баннер о cookie по образцу европейского регулирования в России нет. Обязанность не в том, чтобы повесить всплывающее окно, а в том, чтобы политика на сайте прямо говорила: какие технические данные собираются, включая cookie-файлы счётчика, и с какой целью.

В политике на сайте у Алины, которую когда-то составил тот же подрядчик, был раздел про форму записи - имя, телефон, согласие. Про счётчик статистики ни слова: подрядчик настраивал его в другой месяц и, кажется, отдельно об этом не подумал.

Что это значит для владельца: политика, написанная только под форму заявки, закрывает не всю обязанность - если на сайте есть счётчик, про него тоже должно быть сказано прямо.

Формы и интернет-магазин: где Метрика узнаёт больше, чем просто визит

Базовый счётчик - только начало: у Метрики есть настройки, которые идут дальше визитов и просмотров.

Функция автоматической фиксации отправки форм умеет отмечать сам факт заполнения формы на сайте как отдельное событие, без сохранения того, что человек написал в полях. Модуль для интернет-магазинов дополнительно получает данные о заказе: товары, сумму, статус оплаты. Каждая такая настройка добавляет к базовому счётчику ещё один поток сведений, который физически уходит туда же - в тот же аккаунт Метрики, под то же определение персональных данных.

Алина сама не подключала ничего из этого: у клиники нет интернет-магазина, а форма записи фиксируется в обычном журнале администратора. А у знакомой, которая держит небольшой магазин косметики, включена и e-commerce, и разницу между базовым счётчиком и этими модулями ей никто не объяснил при настройке.

Что это значит для владельца: чем больше дополнительных модулей подключено к счётчику, тем больше данных он собирает - и тем важнее, чтобы политика на сайте описывала это честно, а не по шаблону двухлетней давности.

Что грозит, если политики нет или в ней не хватает счётчика

Дальше - о цене вопроса, а не только о букве закона.

Штраф по ч. 3 ст. 13.11 КоАП РФ грозит не только за полное отсутствие политики, но и за политику, которая есть, но не даёт свободного доступа или не описывает, что именно собирает сайт. Основание для проверки Роскомнадзором чаще всего простое: жалоба конкретного человека, который заметил, что о счётчике на сайте ему никто не сказал.

Клиентка Алины про счётчик статистики вслух не спрашивала - её интересовал телефон из формы записи. Но вопрос был ровно того же типа: кто видит мои данные и откуда сайт вообще это знает. Ответить на него честно оказалось проще, когда политика на сайте перестала молчать о счётчике.

Что это значит для владельца: находка про политику - это не абстрактный риск для крупных компаний, а конкретная сумма, которая наступает после одной жалобы обычного посетителя, а не после сложной проверки.

С чего начать

Алине для клиники хватило двух шагов: открыть текст политики на сайте и увидеть своими глазами, есть ли там хоть одна фраза про счётчики и cookie, а следом убедиться, что сама страница с политикой открывается по прямой ссылке, а не только всплывающим окном.

Если счётчик Метрики или любой другой уже стоит на сайте, проверьте его бесплатно: сканер найдёт политику конфиденциальности, посмотрит, упомянуты ли в ней cookie и счётчики, и покажет, нет ли на сайте ещё и зарубежных счётчиков вроде Google Analytics - у каждой находки будет норма, а где есть штраф, его потолок. Проверка занимает около минуты и не требует регистрации. Повод не откладывать её на потом обычно приходит не из текста закона, а из одной жалобы или прямого вопроса клиента - и тогда лучше, чтобы политика на сайте уже отвечала на него сама.

Частые вопросы

Нужно ли согласие посетителя специально на Яндекс.Метрику?

Отдельного согласия именно на счётчик закон не требует. Обязанность в другом: рассказать о сборе данных в политике на сайте (ч. 2 ст. 18.1 152-ФЗ).

Отличается ли Яндекс.Метрика от Google Analytics по требованиям закона?

По обязанности вести политику - нет, она одинакова для любого счётчика. Разница только в вопросе трансграничной передачи данных за рубеж, которого у российского сервиса не возникает.

Нужен ли на сайте отдельный баннер про cookie?

Нет, отдельного закона о cookie-баннере в России нет. Достаточно, чтобы политика на сайте прямо описывала сбор данных счётчиками, включая cookie.

Что делать, если политику на сайте когда-то писал подрядчик и про счётчик там ничего нет?

Дополнить текст политики отдельным пунктом про счётчики аналитики. Без этого документ не закрывает обязанность по ч. 2 ст. 18.1 152-ФЗ, даже если формально существует.

Штрафуют ли за один только счётчик статистики без формы на сайте?

Санкция привязана не к форме, а к отсутствию или неполноте политики. Ч. 3 ст. 13.11 КоАП РФ применяется и к сайту, где кроме счётчика нет ни одного поля для ввода данных.

Помогает ли вебвизор скрыть от закона, что собираются персональные данные?

Нет. Вебвизор такая же часть счётчика, как визиты и просмотры, и на обязанность вести политику не влияет то, включена эта функция или нет.

Источники

• Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных», ст. 3, ст. 12, ст. 18.1 - КонсультантПлюс
• Кодекс РФ об административных правонарушениях, ст. 13.11 - КонсультантПлюс

Нормы сверены по действующим редакциям: 152-ФЗ - ред. от 26.07.2026, КоАП РФ - ред. от 04.07.2026.