Собирает ли Яндекс Метрика персональные данные
Яндекс Метрика фиксирует IP-адрес посетителя, уникальный идентификатор в cookie, данные браузера и операционной системы, историю переходов по страницам. Эти сведения позволяют выделить конкретного пользователя из общей массы — значит, относятся к персональным данным.
Владелец сайта становится оператором персональных данных: он определяет цели и содержание обработки. Яндекс действует как обработчик по поручению — выполняет техническую работу, но решения принимает владелец сайта.
Из этого следуют обязанности: опубликовать политику конфиденциальности, получить согласие посетителя на обработку данных, обеспечить законные основания для каждой операции. Отсутствие документов или согласия создаёт риск по 152-ФЗ.
Когда счётчик запускается и почему это важно
Многие сайты загружают скрипт Яндекс Метрики сразу при открытии страницы — до того, как посетитель увидит cookie-баннер или нажмёт кнопку согласия. В этот момент браузер уже отправляет данные на сервер Яндекса, а значит, обработка началась без законного основания.
Проверка фиксирует реальный порядок событий: в какую секунду стартовал скрипт, когда появился баннер, какие сетевые запросы ушли до взаимодействия с посетителем. Снимки экрана и временные метки показывают, совпадает ли логика кода с текстом баннера.
Если счётчик запускается раньше согласия, это может квалифицироваться как обработка без законных оснований. Решение — отложить инициализацию Метрики до момента, когда посетитель явно согласился на аналитику.
Что должно быть в политике конфиденциальности
Политика конфиденциальности раскрывает, какие данные собираются, для каких целей и кому передаются. Если на сайте установлена Яндекс Метрика, это нужно указать: какие категории данных обрабатывает счётчик, что цель обработки — аналитика посещаемости, что Яндекс действует как обработчик.
Также в политике указываются реквизиты оператора — ИНН, ОГРН, контактные данные, — права субъекта данных и способы их реализации, срок хранения данных. Отсутствие политики или неполная информация создают риск санкций.
Проверка извлекает текст политики со страницы, сопоставляет его с фактической работой сайта и выявляет расхождения: например, в политике не упомянута аналитика, хотя счётчик установлен и работает.
Как должен быть устроен cookie-баннер
Согласие на обработку персональных данных должно быть добровольным — посетитель может согласиться или отказаться, и отказ не должен блокировать доступ к сайту. Баннер с одной кнопкой «ОК» или «Принимаю» не даёт равнозначного выбора.
Правильный баннер предлагает кнопки «Принять» и «Отклонить» либо настройку категорий cookie: необходимые, аналитические, маркетинговые. Посетитель может отключить аналитику, оставив только техническую функциональность сайта.
Проверка фиксирует внешний вид баннера и доступные действия. Если равнозначного отказа нет, это указывается в отчёте как эпизод с признаками нарушения требований к согласию.
Как проверить сайт на соответствие требованиям
Проверка имитирует визит нового посетителя: сайт открывается с чистой сессии, без сохранённых cookie и истории. В этот момент фиксируются снимки экрана, время появления баннера, порядок загрузки скриптов и сетевые запросы браузера.
Каждый факт сопоставляется с требованиями 152-ФЗ: есть ли согласие до старта счётчика, опубликована ли политика, корректно ли описаны цели обработки. Эпизоды с признаками нарушений получают правовую квалификацию и рекомендации по исправлению.
Заключение показывает, что именно создаёт риск и в какой очерёдности это исправлять. Если эпизодов не найдено, это подтверждается отдельно — но это касается только публичных страниц, закрытые разделы и серверная часть остаются за рамками проверки.
- Снимки экрана с временными метками: как выглядел сайт в момент открытия
- Список скриптов и порядок их запуска: когда стартовала Метрика, до согласия или после
- Сетевые запросы: куда ушли данные, какие домены и сервисы получили информацию о посетителе
- Текст политики конфиденциальности и согласий с дословными цитатами
- Правовая квалификация каждого эпизода со ссылкой на конкретную норму закона
Проверьте сайт самостоятельно
- 01Откройте сайт в режиме инкогнито. Посмотрите, появляется ли cookie-баннер сразу при загрузке страницы и есть ли кнопка отказа от аналитики.
- 02Проверьте политику конфиденциальности. Убедитесь, что в документе указана Яндекс Метрика, цели обработки данных и реквизиты вашей организации.
- 03Посмотрите на порядок загрузки скриптов. Откройте инструменты разработчика в браузере (F12), вкладку Network, обновите страницу. Если запросы к mc.yandex.ru идут до взаимодействия с баннером — это риск.
- 04Убедитесь, что баннер даёт выбор. Посетитель должен иметь возможность отказаться от аналитики, не закрывая сайт. Одна кнопка «ОК» — недостаточно.
- 05Проверьте, что согласие запрашивается явно. Молчание или простое продолжение использования сайта не должны считаться согласием на обработку данных.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Яндекс Метрика — это обработка персональных данных?
Да. Счётчик собирает IP-адреса, cookie-идентификаторы и данные о поведении посетителя — это персональные данные, и владелец сайта становится оператором.
Нужно ли получать согласие посетителя на установку Яндекс Метрики?
Да, если обработка данных требует согласия по 152-ФЗ. Счётчик должен запускаться только после того, как посетитель явно согласился на аналитику.
Можно ли загружать Метрику до того, как посетитель нажал кнопку на баннере?
Нет. Если скрипт стартует до согласия, это создаёт риск: обработка началась без законного основания.
Достаточно ли баннера с одной кнопкой «Принимаю»?
Нет. Согласие должно быть добровольным — посетитель должен иметь возможность отказаться от аналитики, не покидая сайт.
Что должно быть в политике конфиденциальности, если установлена Метрика?
Укажите, что сайт использует Яндекс Метрику для аналитики, какие данные собирает счётчик, что Яндекс действует как обработчик, и приведите реквизиты вашей организации.
Нужно ли уведомлять Роскомнадзор об использовании Яндекс Метрики?
Уведомление подаётся об обработке персональных данных в целом, если вы не попадаете в исключения. Метрика — один из инструментов, который описывается в составе общей обработки.
Как узнать, правильно ли настроена Метрика на моём сайте?
Проверьте сайт с чистой сессии: зафиксируйте момент старта скриптов, появление баннера и сетевые запросы. Заключение покажет, есть ли эпизоды с признаками нарушений и что исправить.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.