Яндекс.Метрика до согласия: требования 152-ФЗ
Яндекс.Метрика помогает оценивать посещаемость сайта, источники переходов, действия пользователей, конверсии и другие показатели. Но вместе с установкой счётчика у владельца сайта появляются обязанности, связанные с законодательством о персональных данных.
Частая ошибка — считать, что достаточно разместить на сайте сообщение «Мы используем cookie» и кнопку «Согласен». На самом деле имеет значение не только наличие баннера, но и то, когда начинается обработка данных, какое для неё выбрано правовое основание и выполнены ли остальные обязанности оператора персональных данных.
Если основанием для работы Яндекс.Метрики является согласие посетителя, счётчик не следует запускать до получения этого согласия. При этом Федеральный закон № 152-ФЗ предусматривает и другие основания обработки персональных данных. Поэтому утверждать, что согласие является единственно возможным основанием во всех ситуациях, было бы неправильно. Статья 6 № 152-ФЗ перечисляет несколько случаев, когда обработка допускается без согласия.
Актуальные Условия использования Яндекс.Метрики построены аналогично: владелец сайта должен обеспечить наличие надлежащего законного основания обработки, а по запросу Яндекса — подтвердить факт получения согласия либо наличие иных достаточных правовых оснований.
Для обычного коммерческого сайта важно не просто сослаться на «другое основание», а определить, действительно ли оно применимо к конкретной аналитике. В опубликованной судебной практике по Яндекс.Метрике суды отдельно проверяли наличие других оснований по ст. 6 № 152-ФЗ и в рассмотренных случаях их не обнаружили.
Какие данные обрабатывает Яндекс.Метрика
Согласно действующим Условиям Яндекс.Метрики, счётчик собирает сведения о посещении сайта и автоматически передаёт их Яндексу. В отношении персональных данных посетителей — в частности сведений об активности на сайте, cookie, устройстве, операционной системе и других передаваемых данных — владелец сайта является оператором персональных данных, а Яндекс действует по его поручению.
Для учёта посетителей Метрика использует идентификаторы браузера, сохраняемые в cookie и localStorage. Например, _ym_uid используется для различения посетителей и имеет срок действия один год. В localStorage также могут находиться значения, позволяющие различать посетителей сайта.
В технической документации Метрики среди доступных данных визита также присутствуют clientID, сведения о первом визите, страницах входа и выхода, длительности визита и другие параметры.
Поэтому нельзя исходить только из того, что сам Яндекс называет итоговую статистику «обезличенной». Для владельца сайта юридически важны исходные данные и операции, которые происходят при их сборе и передаче.
В одном из предоставленных материалов также перечисляются IP-адрес, cookie-идентификаторы, URL, сведения об устройстве и действия пользователя как данные, которые необходимо учитывать при оценке работы счётчика.
Почему возникает проблема, если Метрика запускается раньше согласия
Представим распространённую реализацию.
Посетитель открывает страницу. Одновременно браузер загружает код Яндекс.Метрики, происходят обращения к серверам сервиса и начинается работа счётчика. Затем посетителю показывается баннер:
«Мы используем Яндекс.Метрику. Нажмите „Согласен“».
Через несколько секунд пользователь действительно нажимает кнопку.
Если именно согласие было выбрано владельцем сайта в качестве правового основания, оно появилось только после того, как обработка уже началась.
Статья 9 № 152-ФЗ устанавливает, что согласие должно предоставляться свободно, своей волей и в своём интересе и быть конкретным, предметным, информированным, сознательным и однозначным.
Поэтому при модели, основанной на согласии, правильная последовательность выглядит так:
открытие страницы → информирование пользователя → получение согласия → запуск Метрики.
А не наоборот:
запуск Метрики → передача данных → показ баннера → получение согласия.
В предоставленном материале технический принцип сформулирован аналогичным образом: при модели согласия Метрика не должна инициализироваться до положительного действия пользователя.
Баннер есть, но Метрика уже работает: решает ли это проблему
Если сайт использует согласие как основание обработки, сам по себе такой баннер проблему не устраняет.
Можно сделать визуально красивое уведомление:
«Мы используем cookie и сервис Яндекс.Метрика. Нажимая „Согласен“, вы разрешаете обработку данных».
Но если до нажатия кнопки браузер уже обращается к mc.yandex.ru и счётчик начал работать, техническое поведение сайта расходится с заявленной моделью получения согласия.
Поэтому проверять необходимо не только текст баннера, но и фактическую загрузку ресурсов.
При модели, основанной на согласии, код аналитики должен оставаться неактивным до положительного выбора посетителя.
Обязательно ли делать две кнопки: «Согласен» и «Отказаться»
В самом № 152-ФЗ нет отдельной нормы:
«Cookie-баннер обязательно должен содержать две кнопки».
Поэтому писать, что сайт автоматически нарушает закон только потому, что в баннере отсутствует кнопка «Отказаться», было бы слишком категорично.
Юридически важнее другое: действительно ли согласие является свободным и однозначным. Именно такие требования устанавливает ст. 9 № 152-ФЗ.
Например, возможна конструкция, где имеется только кнопка «Согласен», но до её нажатия Метрика вообще не работает, пользователь может проигнорировать баннер и продолжать пользоваться основным функционалом сайта. Такая ситуация отличается от варианта, когда посетителю фактически говорят:
«Согласитесь на необязательную аналитику, иначе сайт будет недоступен».
Последняя конструкция создаёт существенно больше вопросов к свободе волеизъявления.
Ещё более спорен вариант:
«Продолжая пользоваться сайтом, вы автоматически соглашаетесь».
Здесь отсутствует отдельное положительное действие, которое однозначно подтверждало бы согласие именно на соответствующую обработку.
Поэтому для обычного сайта более понятна модель с равным выбором:
«Принять» / «Отклонить» или «Принять» / «Только необходимые».
Но важно различать рекомендацию по снижению риска и буквальное требование закона. В приведённой судебной практике нарушение устанавливалось из-за отсутствия надлежащего согласия и иных правовых оснований, а не просто из-за того, что на баннере не оказалось второй кнопки.
Есть ли реальные дела из-за Яндекс.Метрики
Да. Яндекс.Метрика уже фигурирует в опубликованных судебных постановлениях по ст. 13.11 КоАП РФ.
Самара: дело № 5-181/2023
В 2023 году при проверке сайта государственного учреждения было установлено отсутствие формы согласия на обработку персональных данных с использованием Yandex.Metrika. Кроме этого, были выявлены нарушения, связанные с публикацией политики обработки персональных данных.
Суд признал должностное лицо виновным по ч. 1 и ч. 3 ст. 13.11 КоАП РФ и назначил административный штраф 10 000 рублей. Размер следует оценивать по законодательству, действовавшему на момент нарушения: с тех пор санкции существенно изменились.
Тюмень: дело № 5-280/2025
В апреле 2025 года суд рассматривал использование на сайте Яндекс.Метрики и Google Analytics.
В постановлении указано, что соответствующие средства позволяли определять уникального посетителя и формировать сведения о его предпочтениях и поведении.
Особенно важна юридическая часть решения. Суд отметил не просто отсутствие согласия, но и отдельно указал:
иные правовые основания обработки, предусмотренные ч. 1 ст. 6 № 152-ФЗ, в конкретном случае также отсутствовали.
Должностное лицо было привлечено по ч. 1 ст. 13.11 КоАП РФ.
Именно поэтому правильный вывод из этого дела — не «Метрика всегда возможна исключительно по согласию», а:
обработка должна иметь законное основание; в проверенном случае не было ни надлежащего согласия, ни другого применимого основания.
Повторное нарушение и штраф 300 000 рублей
В другом деле Роскомнадзор выявил нарушение при мониторинге интернет-ресурса.
На сайте использовалась Яндекс.Метрика, которая позволяла определять уникального посетителя и формировать сведения о его поведении и предпочтениях. При этом отсутствовали как механизм получения согласия, так и иные правовые основания обработки.
Поскольку нарушение являлось повторным, индивидуальному предпринимателю назначили штраф:
300 000 рублей.
17 апреля 2026 года Второй кассационный суд общей юрисдикции оставил привлечение к ответственности в силе. В кассационном постановлении снова прямо указано, что на сайте отсутствовали согласие и иные основания по ст. 6 № 152-ФЗ, а среди используемых средств фигурировала Яндекс.Метрика.
Называть это дело «штрафом 300 тысяч исключительно за Яндекс.Метрику» нельзя. В постановлении рассматривается весь состав обработки персональных данных и повторность нарушения. Но Метрика прямо вошла в перечень обстоятельств, которые исследовал суд.
Проверяет ли Роскомнадзор сайты автоматически
25 августа 2026 года Techora опубликовала материал, в котором сообщается об автоматизированном выявлении сайтов, запускающих Яндекс.Метрику до получения согласия пользователя.
Эту публикацию лучше не пересказывать как официальное сообщение Роскомнадзора. По состоянию на момент подготовки материала официального подтверждения запуска отдельного специализированного «бота Метрики» найти не удалось.
При этом возможность выявления нарушений через мониторинг сайтов является не предположением. В постановлении Второго кассационного суда прямо указано, что нарушение было обнаружено Роскомнадзором в ходе мониторинга сети Интернет.
Поэтому рассчитывать, что техническую конфигурацию счётчика невозможно проверить удалённо, не стоит.
Нужно ли уведомлять Роскомнадзор, если Метрика загружается только после согласия
Как правило, да.
Это отдельная обязанность, которую важно не путать с согласием посетителя.
Согласие отвечает на вопрос:
«На каком основании мы обрабатываем данные этого пользователя?»
Уведомление Роскомнадзора отвечает на другой вопрос:
«Сообщил ли оператор государственному регулятору о своей деятельности по обработке персональных данных?»
Одно не заменяет другое.
Статья 22 № 152-ФЗ устанавливает общее правило: оператор до начала обработки персональных данных обязан уведомить Роскомнадзор, за исключением прямо предусмотренных законом случаев. После изменений 2022 года перечень исключений существенно сузился. В частности, среди действующих исключений осталась исключительно неавтоматизированная обработка и отдельные специальные случаи. Обычная автоматизированная веб-аналитика сама по себе в эти исключения не входит.
Следовательно, конструкция:
пользователь нажал «Согласен» → только после этого загрузилась Яндекс.Метрика
решает вопрос момента начала обработки в модели согласия, но сама по себе не освобождает оператора от обязанности уведомить Роскомнадзор.
Тем более актуальные Условия Яндекс.Метрики прямо определяют владельца сайта как оператора персональных данных применительно к соответствующим данным посетителей.
Как подать уведомление
Уведомление можно оформить через официальный Портал персональных данных Роскомнадзора.
Подать уведомление об обработке персональных данных в Роскомнадзор
В уведомлении указываются сведения об операторе, цели обработки, категории персональных данных и субъектов, правовые основания, действия с данными, способы обработки, дата начала обработки, сведения о месте нахождения базы данных и другие предусмотренные ст. 22 данные.
Если нужна именно пошаговая инструкция по заполнению полей, можно использовать актуальное руководство 2026 года:
Пошаговая инструкция: как подать уведомление оператору ПДн
Приоритетным источником по форме и требованиям всё равно остаются закон и официальный портал Роскомнадзора.
Что делать, если оператор уже есть в реестре
Повторно подавать первоначальное уведомление только из-за появления Метрики не требуется.
Нужно проверить уже внесённые сведения. Если использование аналитики изменило заявленные цели обработки, категории данных, категории субъектов, правовое основание или другие сведения из уведомления, их необходимо актуализировать.
Часть 7 ст. 22 устанавливает срок: об изменениях оператор сообщает не позднее 15-го числа месяца, следующего за месяцем, в котором они произошли.
Например, если в старом уведомлении была указана только обработка сведений клиентов для исполнения договоров, а затем появилась отдельная автоматизированная обработка данных посетителей сайта для веб-аналитики, необходимо проверить, охватывает ли первоначальное уведомление эту деятельность.
Нужно ли уведомлять ещё кого-либо
Для обычного использования Яндекс.Метрики отдельного уведомления ФНС, Минцифры или другой государственной организации только о факте установки счётчика в рассмотренных нормах не предусмотрено.
Основной уполномоченный орган по этому вопросу — Роскомнадзор.
Отдельно «регистрировать Метрику» у Яндекса тоже не нужно: использование сервиса регулируется его условиями. Но владелец сайта обязан обеспечить законность обработки и надлежащее информирование посетителей.
Какие штрафы действуют в 2026 году
По действующей на сентябрь 2026 года редакции ст. 13.11 КоАП РФ за обработку персональных данных в случаях, не предусмотренных законодательством, ч. 1 предусматривает для юридических лиц штраф от 150 000 до 300 000 рублей.
За повторное нарушение по ч. 1.1 — от 300 000 до 500 000 рублей для юридических лиц.
Часть 2 предусматривает для юридических лиц штраф от 300 000 до 700 000 рублей, но речь там идёт о случаях, когда законодательство требует согласие именно в письменной форме, либо нарушены требования к такому письменному согласию. Поэтому автоматически писать «за неправильную Метрику штраф до 700 тысяч» некорректно.
Отдельная ответственность появилась за неуведомление Роскомнадзора. Часть 10 ст. 13.11 КоАП РФ предусматривает за невыполнение или несвоевременное выполнение обязанности по уведомлению штраф для юридического лица:
от 100 000 до 300 000 рублей.
Поэтому правильный cookie-баннер не закрывает автоматически все вопросы соблюдения законодательства.
Как правильно настроить Метрику при использовании согласия
Для сайта, который выбрал согласие как правовое основание аналитики, схема должна быть последовательной.
Сначала загружается сайт без Яндекс.Метрики. Пользователь получает информацию об аналитике и обработке данных. После положительного выбора и только после него происходит инициализация счётчика. Если посетитель не предоставляет согласие, Метрика для него не запускается.
Желательно также предусмотреть понятный способ изменить или отозвать сделанный выбор.
При этом само использование сайта без согласия на необязательную аналитику не должно искусственно превращаться в технически невозможное, если соответствующая обработка действительно не необходима для предоставления основной услуги.
Как проверить, не запускается ли Метрика раньше времени
Проверить работу можно без специальных сервисов.
Откройте сайт в новом режиме инкогнито, вызовите инструменты разработчика браузера и перейдите в:
F12 → Network.
После этого обновите страницу и ничего не нажимайте в cookie-баннере.
До согласия проверьте наличие обращений, связанных с mc.yandex.ru, metrika и другими ресурсами счётчика. Также полезно посмотреть вкладку Application и проверить Cookies, Local Storage и Session Storage.
Если модель сайта основана на согласии, а Метрика уже работает до клика, конфигурацию необходимо исправлять.
В предоставленном материале рекомендуется аналогичная проверка: до принятия согласия запросов к mc.yandex.ru быть не должно.
При этом проверять нужно не только HTML страницы. Метрика может подключаться через тему WordPress, отдельный плагин, Яндекс Тег Менеджер, GTM, код в functions.php, систему управления рекламными тегами или кешированный фрагмент.
Можно ли собирать собственную статистику без постоянных идентификаторов
Можно спроектировать более приватную собственную систему статистики без постоянного ClientID, _ym_uid, fingerprint и межсессионного профилирования.
Например, бизнесу могут быть нужны агрегированные сведения о количестве открытий страниц, источниках переходов, UTM-кампаниях и количестве совершённых действий.
Однако здесь важно не сделать слишком сильный юридический вывод.
Отсутствие ClientID, cookie или fingerprint ещё не означает, что № 152-ФЗ автоматически перестал применяться.
Статья 3 № 152-ФЗ определяет персональные данные как любую информацию, относящуюся к прямо или косвенно определённому или определяемому человеку. Более того, само обезличивание входит в законодательное определение операций по обработке персональных данных.
Поэтому необходимо смотреть на всю цепочку.
Например, если сервер первоначально получает IP-адрес, User-Agent, referer и другие сведения конкретного запроса, записывает их, связывает между собой, а агрегирует только позже, отсутствие постоянного ClientID не отвечает само по себе на вопрос о правовом режиме первоначальной обработки.
Более приватная статистика может существенно уменьшить объём собираемых данных и исключить межсессионное профилирование, но её нужно оценивать отдельно: какие сведения реально получает сервер, какие из них сохраняются, можно ли связать события с определяемым человеком, кому передаются данные и какое правовое основание применяется.
Это уточняет идею двухуровневой аналитики из предоставленного материала: там предлагается отделять общую статистику от персонализированной аналитики. Сам по себе такой подход полезен для минимизации данных, но слово «обезличенная» не должно использоваться как автоматическая гарантия неприменения № 152-ФЗ.
Что в итоге
Главная ошибка — сводить соблюдение законодательства к одному cookie-баннеру.
Для Яндекс.Метрики нужно последовательно решить несколько разных вопросов: определить правовое основание обработки, правильно настроить момент запуска счётчика, обеспечить информирование посетителя, проверить обязанности оператора и при необходимости уведомить Роскомнадзор.
Если для аналитики выбрано согласие, рабочая схема выглядит так:
- до согласия — Метрика не запускается;
- получено согласие — Метрика может быть запущена;
- согласия нет — Метрика в рамках этой модели не запускается.
При наличии другого достаточного правового основания ситуация может оцениваться иначе, поскольку ст. 6 № 152-ФЗ не ограничивает обработку исключительно согласием. Но существование такого основания должно быть реальным и применимым к конкретной обработке, а не просто формулировкой, добавленной в политику.
Судебные дела подтверждают именно этот подход: ответственность возникала там, где обработка велась при отсутствии требуемого согласия и применимого иного правового основания.
И отдельно: даже идеально настроенная Метрика, которая включается только после согласия пользователя, не отменяет обязанности уведомить Роскомнадзор, если оператор и его обработка не подпадают под исключения ст. 22 № 152-ФЗ.
ВОПРОСЫ И ОТВЕТЫ
Что будет, если Яндекс.Метрика загружается до нажатия «Согласен»?
Если сайт использует согласие как правовое основание, это рискованная схема: обработка данных начинается раньше, чем пользователь выразил согласие. Сам баннер не исправляет ситуацию, если запросы к Метрике уже отправляются до клика. Правильнее блокировать счётчик до положительного выбора пользователя.
Достаточно ли одной кнопки «Согласен» в cookie-баннере?
Закон прямо не требует именно двух кнопок «Принять» и «Отказаться». Но согласие должно быть свободным, информированным и однозначным. Если пользователь не может отказаться от необязательной аналитики или продолжить пользоваться сайтом без согласия, юридический риск выше. На практике безопаснее предусмотреть явный отказ: «Отклонить» или «Только необходимые».
Нужно ли уведомлять Роскомнадзор, если Метрика включается только после согласия?
Как правило, да. Корректный cookie-баннер и уведомление Роскомнадзора — это разные обязанности. Если владелец сайта является оператором персональных данных и не подпадает под исключения ст. 22 № 152-ФЗ, уведомление РКН требуется независимо от того, что Метрика запускается только после согласия.
Есть ли реальные штрафы за неправильное использование Яндекс.Метрики?
Да. В судебной практике есть дела, где Яндекс.Метрика фигурировала среди установленных нарушений при отсутствии надлежащего согласия или других применимых правовых оснований. В отдельных делах назначались штрафы в 10 000 ₽ должностным лицам, а при повторном нарушении ИП был назначен штраф 300 000 ₽. При этом неправильно говорить, что вся сумма назначалась исключительно «за Метрику»: суд оценивает весь состав нарушения.
Как проверить, что Метрика действительно не работает до согласия?
Откройте сайт в режиме инкогнито, затем F12 → Network, обновите страницу и ничего не нажимайте в cookie-баннере. До согласия не должно быть запросов к mc.yandex.ru и другим ресурсам Метрики, если ваша схема основана на согласии. Дополнительно проверьте Cookies и Local Storage во вкладке Application. Если счётчик уже работает до клика, его загрузку нужно перенастроить.