СТАТЬЯ

Яндекс.Метрика до согласия: требования 152-ФЗ

08.09.2026

Яндекс.Метрика помогает оценивать посещаемость сайта, источники переходов, действия пользователей, конверсии и другие показатели. Но вместе с установкой счётчика у владельца сайта появляются обязанности, связанные с законодательством о персональных данных.

Запуск Яндекс Метрики после согласия пользователя по требованиям 152-ФЗ

Частая ошибка — считать, что достаточно разместить на сайте сообщение «Мы используем cookie» и кнопку «Согласен». На самом деле имеет значение не только наличие баннера, но и то, когда начинается обработка данных, какое для неё выбрано правовое основание и выполнены ли остальные обязанности оператора персональных данных.

Если основанием для работы Яндекс.Метрики является согласие посетителя, счётчик не следует запускать до получения этого согласия. При этом Федеральный закон № 152-ФЗ предусматривает и другие основания обработки персональных данных. Поэтому утверждать, что согласие является единственно возможным основанием во всех ситуациях, было бы неправильно. Статья 6 № 152-ФЗ перечисляет несколько случаев, когда обработка допускается без согласия.

Актуальные Условия использования Яндекс.Метрики построены аналогично: владелец сайта должен обеспечить наличие надлежащего законного основания обработки, а по запросу Яндекса — подтвердить факт получения согласия либо наличие иных достаточных правовых оснований.

Для обычного коммерческого сайта важно не просто сослаться на «другое основание», а определить, действительно ли оно применимо к конкретной аналитике. В опубликованной судебной практике по Яндекс.Метрике суды отдельно проверяли наличие других оснований по ст. 6 № 152-ФЗ и в рассмотренных случаях их не обнаружили.

Какие данные обрабатывает Яндекс.Метрика

Согласно действующим Условиям Яндекс.Метрики, счётчик собирает сведения о посещении сайта и автоматически передаёт их Яндексу. В отношении персональных данных посетителей — в частности сведений об активности на сайте, cookie, устройстве, операционной системе и других передаваемых данных — владелец сайта является оператором персональных данных, а Яндекс действует по его поручению.

Для учёта посетителей Метрика использует идентификаторы браузера, сохраняемые в cookie и localStorage. Например, _ym_uid используется для различения посетителей и имеет срок действия один год. В localStorage также могут находиться значения, позволяющие различать посетителей сайта.

В технической документации Метрики среди доступных данных визита также присутствуют clientID, сведения о первом визите, страницах входа и выхода, длительности визита и другие параметры.

Поэтому нельзя исходить только из того, что сам Яндекс называет итоговую статистику «обезличенной». Для владельца сайта юридически важны исходные данные и операции, которые происходят при их сборе и передаче.

В одном из предоставленных материалов также перечисляются IP-адрес, cookie-идентификаторы, URL, сведения об устройстве и действия пользователя как данные, которые необходимо учитывать при оценке работы счётчика.

Почему возникает проблема, если Метрика запускается раньше согласия

Представим распространённую реализацию.

Посетитель открывает страницу. Одновременно браузер загружает код Яндекс.Метрики, происходят обращения к серверам сервиса и начинается работа счётчика. Затем посетителю показывается баннер:

«Мы используем Яндекс.Метрику. Нажмите „Согласен“».

Через несколько секунд пользователь действительно нажимает кнопку.

Если именно согласие было выбрано владельцем сайта в качестве правового основания, оно появилось только после того, как обработка уже началась.

Статья 9 № 152-ФЗ устанавливает, что согласие должно предоставляться свободно, своей волей и в своём интересе и быть конкретным, предметным, информированным, сознательным и однозначным.

Поэтому при модели, основанной на согласии, правильная последовательность выглядит так:

открытие страницы → информирование пользователя → получение согласия → запуск Метрики.

А не наоборот:

запуск Метрики → передача данных → показ баннера → получение согласия.

В предоставленном материале технический принцип сформулирован аналогичным образом: при модели согласия Метрика не должна инициализироваться до положительного действия пользователя.

Баннер есть, но Метрика уже работает: решает ли это проблему

Если сайт использует согласие как основание обработки, сам по себе такой баннер проблему не устраняет.

Можно сделать визуально красивое уведомление:

«Мы используем cookie и сервис Яндекс.Метрика. Нажимая „Согласен“, вы разрешаете обработку данных».

Но если до нажатия кнопки браузер уже обращается к mc.yandex.ru и счётчик начал работать, техническое поведение сайта расходится с заявленной моделью получения согласия.

Поэтому проверять необходимо не только текст баннера, но и фактическую загрузку ресурсов.

При модели, основанной на согласии, код аналитики должен оставаться неактивным до положительного выбора посетителя.

Обязательно ли делать две кнопки: «Согласен» и «Отказаться»

В самом № 152-ФЗ нет отдельной нормы:

«Cookie-баннер обязательно должен содержать две кнопки».

Поэтому писать, что сайт автоматически нарушает закон только потому, что в баннере отсутствует кнопка «Отказаться», было бы слишком категорично.

Юридически важнее другое: действительно ли согласие является свободным и однозначным. Именно такие требования устанавливает ст. 9 № 152-ФЗ.

Например, возможна конструкция, где имеется только кнопка «Согласен», но до её нажатия Метрика вообще не работает, пользователь может проигнорировать баннер и продолжать пользоваться основным функционалом сайта. Такая ситуация отличается от варианта, когда посетителю фактически говорят:

«Согласитесь на необязательную аналитику, иначе сайт будет недоступен».

Последняя конструкция создаёт существенно больше вопросов к свободе волеизъявления.

Ещё более спорен вариант:

«Продолжая пользоваться сайтом, вы автоматически соглашаетесь».

Здесь отсутствует отдельное положительное действие, которое однозначно подтверждало бы согласие именно на соответствующую обработку.

Поэтому для обычного сайта более понятна модель с равным выбором:

«Принять» / «Отклонить» или «Принять» / «Только необходимые».

Но важно различать рекомендацию по снижению риска и буквальное требование закона. В приведённой судебной практике нарушение устанавливалось из-за отсутствия надлежащего согласия и иных правовых оснований, а не просто из-за того, что на баннере не оказалось второй кнопки.

Есть ли реальные дела из-за Яндекс.Метрики

Да. Яндекс.Метрика уже фигурирует в опубликованных судебных постановлениях по ст. 13.11 КоАП РФ.

Самара: дело № 5-181/2023

В 2023 году при проверке сайта государственного учреждения было установлено отсутствие формы согласия на обработку персональных данных с использованием Yandex.Metrika. Кроме этого, были выявлены нарушения, связанные с публикацией политики обработки персональных данных.

Суд признал должностное лицо виновным по ч. 1 и ч. 3 ст. 13.11 КоАП РФ и назначил административный штраф 10 000 рублей. Размер следует оценивать по законодательству, действовавшему на момент нарушения: с тех пор санкции существенно изменились.

Тюмень: дело № 5-280/2025

В апреле 2025 года суд рассматривал использование на сайте Яндекс.Метрики и Google Analytics.

В постановлении указано, что соответствующие средства позволяли определять уникального посетителя и формировать сведения о его предпочтениях и поведении.

Особенно важна юридическая часть решения. Суд отметил не просто отсутствие согласия, но и отдельно указал:

иные правовые основания обработки, предусмотренные ч. 1 ст. 6 № 152-ФЗ, в конкретном случае также отсутствовали.

Должностное лицо было привлечено по ч. 1 ст. 13.11 КоАП РФ.

Именно поэтому правильный вывод из этого дела — не «Метрика всегда возможна исключительно по согласию», а:

обработка должна иметь законное основание; в проверенном случае не было ни надлежащего согласия, ни другого применимого основания.

Повторное нарушение и штраф 300 000 рублей

В другом деле Роскомнадзор выявил нарушение при мониторинге интернет-ресурса.

На сайте использовалась Яндекс.Метрика, которая позволяла определять уникального посетителя и формировать сведения о его поведении и предпочтениях. При этом отсутствовали как механизм получения согласия, так и иные правовые основания обработки.

Поскольку нарушение являлось повторным, индивидуальному предпринимателю назначили штраф:

300 000 рублей.

17 апреля 2026 года Второй кассационный суд общей юрисдикции оставил привлечение к ответственности в силе. В кассационном постановлении снова прямо указано, что на сайте отсутствовали согласие и иные основания по ст. 6 № 152-ФЗ, а среди используемых средств фигурировала Яндекс.Метрика.

Называть это дело «штрафом 300 тысяч исключительно за Яндекс.Метрику» нельзя. В постановлении рассматривается весь состав обработки персональных данных и повторность нарушения. Но Метрика прямо вошла в перечень обстоятельств, которые исследовал суд.

Проверяет ли Роскомнадзор сайты автоматически

25 августа 2026 года Techora опубликовала материал, в котором сообщается об автоматизированном выявлении сайтов, запускающих Яндекс.Метрику до получения согласия пользователя.

Эту публикацию лучше не пересказывать как официальное сообщение Роскомнадзора. По состоянию на момент подготовки материала официального подтверждения запуска отдельного специализированного «бота Метрики» найти не удалось.

При этом возможность выявления нарушений через мониторинг сайтов является не предположением. В постановлении Второго кассационного суда прямо указано, что нарушение было обнаружено Роскомнадзором в ходе мониторинга сети Интернет.

Поэтому рассчитывать, что техническую конфигурацию счётчика невозможно проверить удалённо, не стоит.

Нужно ли уведомлять Роскомнадзор, если Метрика загружается только после согласия

Как правило, да.

Это отдельная обязанность, которую важно не путать с согласием посетителя.

Согласие отвечает на вопрос:

«На каком основании мы обрабатываем данные этого пользователя?»

Уведомление Роскомнадзора отвечает на другой вопрос:

«Сообщил ли оператор государственному регулятору о своей деятельности по обработке персональных данных?»

Одно не заменяет другое.

Статья 22 № 152-ФЗ устанавливает общее правило: оператор до начала обработки персональных данных обязан уведомить Роскомнадзор, за исключением прямо предусмотренных законом случаев. После изменений 2022 года перечень исключений существенно сузился. В частности, среди действующих исключений осталась исключительно неавтоматизированная обработка и отдельные специальные случаи. Обычная автоматизированная веб-аналитика сама по себе в эти исключения не входит.

Следовательно, конструкция:

пользователь нажал «Согласен» → только после этого загрузилась Яндекс.Метрика

решает вопрос момента начала обработки в модели согласия, но сама по себе не освобождает оператора от обязанности уведомить Роскомнадзор.

Тем более актуальные Условия Яндекс.Метрики прямо определяют владельца сайта как оператора персональных данных применительно к соответствующим данным посетителей.

Как подать уведомление

Уведомление можно оформить через официальный Портал персональных данных Роскомнадзора.

Подать уведомление об обработке персональных данных в Роскомнадзор

В уведомлении указываются сведения об операторе, цели обработки, категории персональных данных и субъектов, правовые основания, действия с данными, способы обработки, дата начала обработки, сведения о месте нахождения базы данных и другие предусмотренные ст. 22 данные.

Если нужна именно пошаговая инструкция по заполнению полей, можно использовать актуальное руководство 2026 года:

Пошаговая инструкция: как подать уведомление оператору ПДн

Приоритетным источником по форме и требованиям всё равно остаются закон и официальный портал Роскомнадзора.

Что делать, если оператор уже есть в реестре

Повторно подавать первоначальное уведомление только из-за появления Метрики не требуется.

Нужно проверить уже внесённые сведения. Если использование аналитики изменило заявленные цели обработки, категории данных, категории субъектов, правовое основание или другие сведения из уведомления, их необходимо актуализировать.

Часть 7 ст. 22 устанавливает срок: об изменениях оператор сообщает не позднее 15-го числа месяца, следующего за месяцем, в котором они произошли.

Например, если в старом уведомлении была указана только обработка сведений клиентов для исполнения договоров, а затем появилась отдельная автоматизированная обработка данных посетителей сайта для веб-аналитики, необходимо проверить, охватывает ли первоначальное уведомление эту деятельность.

Нужно ли уведомлять ещё кого-либо

Для обычного использования Яндекс.Метрики отдельного уведомления ФНС, Минцифры или другой государственной организации только о факте установки счётчика в рассмотренных нормах не предусмотрено.

Основной уполномоченный орган по этому вопросу — Роскомнадзор.

Отдельно «регистрировать Метрику» у Яндекса тоже не нужно: использование сервиса регулируется его условиями. Но владелец сайта обязан обеспечить законность обработки и надлежащее информирование посетителей.

Как добавить Яндекс Метрику в уведомление Роскомнадзора

Если сайт уже включён в деятельность оператора персональных данных, а Яндекс Метрика была подключена позже, отдельной процедуры «регистрации Метрики в Роскомнадзоре» нет.

В уведомлении Роскомнадзора нет отдельного поля «Яндекс Метрика». Оператор сообщает не название установленного счётчика, а сведения о фактической обработке персональных данных: с какой целью она выполняется, чьи данные обрабатываются, какие категории данных используются, на каком правовом основании, какие действия с ними совершаются и каким способом ведётся обработка.

Поэтому сначала нужно проверить сведения, которые уже содержатся в реестре операторов персональных данных. Если существующее уведомление не охватывает обработку данных посетителей сайта для веб-аналитики, сведения необходимо актуализировать.

Нужно ли подавать новое уведомление

Если оператор уже находится в реестре Роскомнадзора, повторно подавать первоначальное уведомление только из-за установки Яндекс Метрики, как правило, не требуется.

Нужно подать уведомление об изменении сведений, содержащихся в ранее представленном уведомлении об обработке персональных данных.

Согласно части 7 статьи 22 Федерального закона № 152-ФЗ, при изменении ранее сообщённых сведений оператор должен уведомить Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем, в котором произошли изменения.

Например, если раньше сайт использовался только для публикации информации, а затем на нём появился счётчик веб-аналитики, необходимо проверить, соответствует ли фактическая обработка данных тому, что уже было заявлено Роскомнадзору.

Что проверить перед изменением уведомления

Не стоит автоматически добавлять в уведомление все возможные данные, которые теоретически может обрабатывать Яндекс Метрика.

Сначала проверьте:

загружается ли Метрика до согласия пользователя или только после него;
используется ли Вебвизор;
включена ли электронная коммерция;
передаются ли параметры посетителей;
передаются ли данные из CRM;
используется ли UserID;
используется ли Advanced Matching;
какие данные передаются через формы сайта;
передаются ли в Метрику дополнительные пользовательские данные.

Содержание уведомления Роскомнадзора должно соответствовать фактической работе конкретного сайта.

Что указывать в уведомлении РКН для Яндекс Метрики

Ниже приведён пример для обычного сайта, на котором Метрика используется для анализа посещаемости и поведения пользователей. Это не универсальный шаблон: формулировки необходимо сверять с настройками конкретного сайта.

1. Цель обработки персональных данных

В качестве цели можно использовать формулировку:

Анализ посещаемости сайта, поведения пользователей и эффективности работы сайта с целью улучшения его содержания, структуры и качества обслуживания пользователей.

Не обязательно писать целью обработки просто «Яндекс Метрика». Метрика — это используемый инструмент, а Роскомнадзору сообщается прежде всего цель самой обработки.

2. Категории субъектов персональных данных

Для веб-аналитики это могут быть:

посетители сайта; пользователи сайта.

Если Метрика получает сведения о клиентах, оставивших заявку, или данные передаются из CRM, состав субъектов и цели обработки необходимо рассматривать отдельно.

3. Категории персональных данных

Не нужно автоматически перечислять ФИО, телефон, email и другие данные только потому, что на сайте есть формы.

Для обычной веб-аналитики необходимо указывать те сведения, которые фактически обрабатываются в рамках этой цели.

В зависимости от настроек сайта к ним могут относиться, например:

данные об активности посетителя на сайте, файлы cookie, технические сведения об устройстве и браузере, сведения о посещённых страницах и действиях пользователя, сетевые и онлайн-идентификаторы и иные технические данные, передаваемые при использовании сайта.

Яндекс указывает, что Метрика может обрабатывать сведения об активности посетителя, cookie, данные об устройстве, операционной системе и другие данные, передаваемые при использовании сервиса.

Если сайт дополнительно передаёт в Метрику номера телефонов, email, данные CRM или другие сведения, необходимо учитывать и эту обработку.

4. Правовое основание обработки

Это поле особенно важно: нельзя просто копировать одну формулировку для любого сайта.

Необходимо указать то правовое основание, на котором фактически осуществляется обработка данных посетителей.

Если счётчик Яндекс Метрики запускается только после получения соответствующего согласия посетителя, при заполнении уведомления необходимо проверить, относится ли используемое согласие к данной цели обработки и соответствует ли оно фактической схеме работы сайта.

Не стоит автоматически указывать только:

«Федеральный закон № 152-ФЗ»

без определения конкретного основания обработки. Сам закон устанавливает требования к обработке персональных данных, но правовое основание должно соответствовать конкретной ситуации оператора.

5. Перечень действий с персональными данными

Для веб-аналитики перечень может включать действия, которые действительно выполняются в используемой схеме обработки, например:

сбор, запись, систематизация, накопление, хранение, извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Перечень необходимо сверять с реальной обработкой.

В актуальных условиях Яндекс Метрики указано, что Яндекс при предоставлении сервиса может по поручению пользователя выполнять, в частности, сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение персональных данных.

6. Способ обработки

Поскольку счётчик работает программно и передаёт данные автоматически, для такой обработки необходимо учитывать использование средств автоматизации.

Для сайта с Метрикой это, как правило, автоматизированная обработка персональных данных.

Если у оператора одновременно используются автоматизированные и неавтоматизированные способы обработки, уведомление должно отражать фактическую схему работы.

Нужно ли писать в уведомлении название «Яндекс Метрика»

Отдельного поля, в котором нужно поставить отметку:

«На сайте используется Яндекс Метрика»

в уведомлении Роскомнадзора нет.

Но это не означает, что Метрику можно не учитывать.

Нужно проверить, отражает ли уведомление саму обработку данных посетителей сайта: её цель, категории субъектов и данных, правовое основание, перечень действий и способы обработки.

Кроме того, необходимо проверить остальные сведения уведомления, если подключение нового сервиса повлияло на ранее заявленную схему обработки.

Что делать пошагово, если вы уже есть в реестре РКН

Найдите свою запись в реестре операторов персональных данных Роскомнадзора.
Посмотрите, какие цели обработки уже заявлены.
Проверьте, есть ли среди субъектов персональных данных посетители или пользователи сайта.
Проверьте категории данных, относящиеся к работе сайта и веб-аналитике.
Сопоставьте сведения в уведомлении с фактическими настройками Яндекс Метрики.
Отдельно проверьте Вебвизор, передачу параметров посетителей, CRM-данных, UserID, Advanced Matching и другие дополнительные функции, если они используются.
Если существующие сведения не описывают фактическую обработку, заполните уведомление об изменении сведений.
Внесите изменения только в те сведения, которые действительно изменились или требуют актуализации.
Проверь

Какие штрафы действуют в 2026 году

По действующей на сентябрь 2026 года редакции ст. 13.11 КоАП РФ за обработку персональных данных в случаях, не предусмотренных законодательством, ч. 1 предусматривает для юридических лиц штраф от 150 000 до 300 000 рублей.

За повторное нарушение по ч. 1.1 — от 300 000 до 500 000 рублей для юридических лиц.

Часть 2 предусматривает для юридических лиц штраф от 300 000 до 700 000 рублей, но речь там идёт о случаях, когда законодательство требует согласие именно в письменной форме, либо нарушены требования к такому письменному согласию. Поэтому автоматически писать «за неправильную Метрику штраф до 700 тысяч» некорректно.

Отдельная ответственность появилась за неуведомление Роскомнадзора. Часть 10 ст. 13.11 КоАП РФ предусматривает за невыполнение или несвоевременное выполнение обязанности по уведомлению штраф для юридического лица:

от 100 000 до 300 000 рублей.

Поэтому правильный cookie-баннер не закрывает автоматически все вопросы соблюдения законодательства.

Как правильно настроить Метрику при использовании согласия

Для сайта, который выбрал согласие как правовое основание аналитики, схема должна быть последовательной.

Сначала загружается сайт без Яндекс.Метрики. Пользователь получает информацию об аналитике и обработке данных. После положительного выбора и только после него происходит инициализация счётчика. Если посетитель не предоставляет согласие, Метрика для него не запускается.

Желательно также предусмотреть понятный способ изменить или отозвать сделанный выбор.

При этом само использование сайта без согласия на необязательную аналитику не должно искусственно превращаться в технически невозможное, если соответствующая обработка действительно не необходима для предоставления основной услуги.

Как проверить, не запускается ли Метрика раньше времени

Проверить работу можно без специальных сервисов.

Откройте сайт в новом режиме инкогнито, вызовите инструменты разработчика браузера и перейдите в:

F12 → Network.

После этого обновите страницу и ничего не нажимайте в cookie-баннере.

До согласия проверьте наличие обращений, связанных с mc.yandex.ru, metrika и другими ресурсами счётчика. Также полезно посмотреть вкладку Application и проверить Cookies, Local Storage и Session Storage.

Если модель сайта основана на согласии, а Метрика уже работает до клика, конфигурацию необходимо исправлять.

В предоставленном материале рекомендуется аналогичная проверка: до принятия согласия запросов к mc.yandex.ru быть не должно.

При этом проверять нужно не только HTML страницы. Метрика может подключаться через тему WordPress, отдельный плагин, Яндекс Тег Менеджер, GTM, код в functions.php, систему управления рекламными тегами или кешированный фрагмент.

Можно ли собирать собственную статистику без постоянных идентификаторов

Можно спроектировать более приватную собственную систему статистики без постоянного ClientID, _ym_uid, fingerprint и межсессионного профилирования.

Например, бизнесу могут быть нужны агрегированные сведения о количестве открытий страниц, источниках переходов, UTM-кампаниях и количестве совершённых действий.

Однако здесь важно не сделать слишком сильный юридический вывод.

Отсутствие ClientID, cookie или fingerprint ещё не означает, что № 152-ФЗ автоматически перестал применяться.

Статья 3 № 152-ФЗ определяет персональные данные как любую информацию, относящуюся к прямо или косвенно определённому или определяемому человеку. Более того, само обезличивание входит в законодательное определение операций по обработке персональных данных.

Поэтому необходимо смотреть на всю цепочку.

Например, если сервер первоначально получает IP-адрес, User-Agent, referer и другие сведения конкретного запроса, записывает их, связывает между собой, а агрегирует только позже, отсутствие постоянного ClientID не отвечает само по себе на вопрос о правовом режиме первоначальной обработки.

Более приватная статистика может существенно уменьшить объём собираемых данных и исключить межсессионное профилирование, но её нужно оценивать отдельно: какие сведения реально получает сервер, какие из них сохраняются, можно ли связать события с определяемым человеком, кому передаются данные и какое правовое основание применяется.

Это уточняет идею двухуровневой аналитики из предоставленного материала: там предлагается отделять общую статистику от персонализированной аналитики. Сам по себе такой подход полезен для минимизации данных, но слово «обезличенная» не должно использоваться как автоматическая гарантия неприменения № 152-ФЗ.

Что в итоге

Главная ошибка — сводить соблюдение законодательства к одному cookie-баннеру.

Для Яндекс.Метрики нужно последовательно решить несколько разных вопросов: определить правовое основание обработки, правильно настроить момент запуска счётчика, обеспечить информирование посетителя, проверить обязанности оператора и при необходимости уведомить Роскомнадзор.

Если для аналитики выбрано согласие, рабочая схема выглядит так:

до согласия — Метрика не запускается;
получено согласие — Метрика может быть запущена;
согласия нет — Метрика в рамках этой модели не запускается.

При наличии другого достаточного правового основания ситуация может оцениваться иначе, поскольку ст. 6 № 152-ФЗ не ограничивает обработку исключительно согласием. Но существование такого основания должно быть реальным и применимым к конкретной обработке, а не просто формулировкой, добавленной в политику.

Судебные дела подтверждают именно этот подход: ответственность возникала там, где обработка велась при отсутствии требуемого согласия и применимого иного правового основания.

И отдельно: даже идеально настроенная Метрика, которая включается только после согласия пользователя, не отменяет обязанности уведомить Роскомнадзор, если оператор и его обработка не подпадают под исключения ст. 22 № 152-ФЗ.

FAQ

ВОПРОСЫ И ОТВЕТЫ

Что будет, если Яндекс.Метрика загружается до нажатия «Согласен»?

Если сайт использует согласие как правовое основание, это рискованная схема: обработка данных начинается раньше, чем пользователь выразил согласие. Сам баннер не исправляет ситуацию, если запросы к Метрике уже отправляются до клика. Правильнее блокировать счётчик до положительного выбора пользователя.

Достаточно ли одной кнопки «Согласен» в cookie-баннере?

Закон прямо не требует именно двух кнопок «Принять» и «Отказаться». Но согласие должно быть свободным, информированным и однозначным. Если пользователь не может отказаться от необязательной аналитики или продолжить пользоваться сайтом без согласия, юридический риск выше. На практике безопаснее предусмотреть явный отказ: «Отклонить» или «Только необходимые».

Нужно ли уведомлять Роскомнадзор, если Метрика включается только после согласия?

Как правило, да. Корректный cookie-баннер и уведомление Роскомнадзора — это разные обязанности. Если владелец сайта является оператором персональных данных и не подпадает под исключения ст. 22 № 152-ФЗ, уведомление РКН требуется независимо от того, что Метрика запускается только после согласия.

Есть ли реальные штрафы за неправильное использование Яндекс.Метрики?

Да. В судебной практике есть дела, где Яндекс.Метрика фигурировала среди установленных нарушений при отсутствии надлежащего согласия или других применимых правовых оснований. В отдельных делах назначались штрафы в 10 000 ₽ должностным лицам, а при повторном нарушении ИП был назначен штраф 300 000 ₽. При этом неправильно говорить, что вся сумма назначалась исключительно «за Метрику»: суд оценивает весь состав нарушения.

Как проверить, что Метрика действительно не работает до согласия?

Откройте сайт в режиме инкогнито, затем F12 → Network, обновите страницу и ничего не нажимайте в cookie-баннере. До согласия не должно быть запросов к mc.yandex.ru и другим ресурсам Метрики, если ваша схема основана на согласии. Дополнительно проверьте Cookies и Local Storage во вкладке Application. Если счётчик уже работает до клика, его загрузку нужно перенастроить.