В 2026 году вопрос про аналитические cookie возникает у любого сайта, который установил счётчик посещаемости. Проще всего разобраться на примере Яндекс.Метрики - самого распространённого инструмента веб-аналитики в Рунете. Ниже - что относится к персональным данным, чем Метрика отличается от зарубежных систем и что стоит проверить на сайте прямо сейчас.
Коротко
- Cookie аналитики (ClientID, номер визита, история переходов) - это персональные данные, потому что позволяют выделить конкретного посетителя среди прочих.
- Яндекс.Метрика - российский сервис, поэтому требований к трансграничной передаче данных (ст. 18 ч. 5 152-ФЗ) обычно не возникает - в отличие от зарубежных счётчиков аналитики.
- Само согласие на обработку cookie всё равно нужно получать до запуска счётчика, включая Метрику.
- Вебвизор способен записывать вводимые пользователем данные, если не включён режим анонимизации полей форм.
- Штраф за нарушение порядка обработки персональных данных по ч. 2 ст. 13.11 КоАП - от 60 000 до 100 000 рублей.
Почему счётчики аналитики - тоже персональные данные
Многие владельцы сайтов считают, что персональные данные - это только имя, телефон или email из формы обратной связи. На деле законодательство трактует понятие шире: персональными данными признаётся любая информация, которая прямо или косвенно относится к определённому или определяемому физическому лицу (ст. 3 152-ФЗ). Cookie-идентификатор аналитической системы как раз такую информацию и создаёт.
Когда посетитель заходит на сайт, счётчик присваивает браузеру уникальный ClientID, фиксирует IP-адрес, разрешение экрана, источник перехода, время визитов и последовательность просмотренных страниц. По совокупности этих признаков конкретного пользователя можно отличить от всех остальных - а значит, с точки зрения закона он становится определяемым. Это и есть основание для отнесения аналитических cookie к персональным данным, требующее соблюдения ст. 9 и ст. 12 152-ФЗ - в первую очередь получения согласия и информирования о целях обработки.
Яндекс.Метрика как российский сервис и локализация данных
Отдельная головная боль для владельцев сайтов, использующих зарубежные аналитические системы, - требование ст. 18 ч. 5 152-ФЗ о локализации: персональные данные граждан России при первичном сборе должны записываться в базы данных, расположенные на территории РФ. У Яндекс.Метрики серверы и инфраструктура обработки данных находятся в России, поэтому вопрос трансграничной передачи и локализации, как правило, не встаёт так остро, как с иностранными сервисами аналитики.
Это не означает, что Метрику можно использовать без каких-либо формальностей. Оператор сайта всё равно обязан:
- указать факт использования аналитических cookie в политике обработки персональных данных;
- получить согласие пользователя до начала сбора данных;
- обеспечить возможность отказаться от аналитики без блокировки доступа к основному контенту сайта.
Ниже - сравнение подхода к локализации на примере российского и зарубежного счётчика аналитики.
| Параметр | Яндекс.Метрика | Зарубежный счётчик аналитики |
|---|---|---|
| Расположение серверов обработки | Россия | Обычно за пределами РФ |
| Вопрос по ст. 18 ч. 5 152-ФЗ | Как правило, не возникает | Требует отдельной проверки и обоснования |
| Нужно согласие на cookie | Да | Да |
| Нужна информация в политике конфиденциальности | Да | Да |
Вебвизор и запись действий пользователя - повышенная чувствительность данных
Вебвизор - инструмент Яндекс.Метрики, который записывает сессии посетителей: движения курсора, клики, скролл и заполнение форм. Это заметно расширяет объём собираемых данных по сравнению с обычной статистикой посещений, а значит, требует более внимательного отношения к настройкам.
Ключевой риск в том, что при отключённой анонимизации Вебвизор может фиксировать данные, вводимые в поля форм - в том числе там, где пользователь указывает имя, телефон, email или другие сведения о себе. Такая запись без должной настройки способна привести к обработке персональных данных в объёме, который оператор изначально не планировал и не отразил в согласии пользователя.
Если на сайте используется Вебвизор, стоит отдельно проверить, включён ли режим анонимизации данных в полях ввода - это снижает риск избыточного сбора персональных данных.
При настройке Вебвизора рекомендуется исключать из записи поля с паролями, платёжными реквизитами и прочей чувствительной информацией средствами самой Метрики, а не полагаться на то, что пользователь не станет вводить такие данные в обычные поля формы.
Как настроить согласие перед запуском счётчика
Требование звучит просто: аналитический счётчик, включая Яндекс.Метрику, не должен запускаться и устанавливать cookie до того, как пользователь дал согласие в баннере. На практике это означает, что код счётчика нельзя размещать в head страницы без условия - его загрузку нужно откладывать до реакции пользователя на баннер.
Основные шаги настройки:
- Разместить cookie-баннер с понятным описанием целей обработки и ссылкой на политику.
- Отложить инициализацию скрипта Яндекс.Метрики до получения согласия - счётчик не должен запускаться «по умолчанию».
- Предусмотреть в баннере равнозначную возможность отказа, а не только кнопку «Принять».
- Обновить политику обработки персональных данных - указать Яндекс.Метрику как получателя данных и цели сбора.
- Проверить настройки Вебвизора на предмет анонимизации полей форм.
Такая последовательность закрывает требования ст. 9 и ст. 12 152-ФЗ и снижает риск претензий со стороны пользователей или контролирующего органа.
Что проверить у себя на сайте
- Загружается ли код Яндекс.Метрики до согласия пользователя в баннере.
- Есть ли в cookie-баннере реальная возможность отказаться от аналитики.
- Указана ли Яндекс.Метрика в политике обработки персональных данных как получатель данных.
- Включена ли анонимизация полей ввода в настройках Вебвизора.
- Не записывает ли Вебвизор поля с паролями и платёжными данными.
- Соответствует ли текст согласия фактическим целям обработки данных.
- Обновлялась ли политика конфиденциальности после подключения новых счётчиков или сервисов.
- Есть ли на сайте другие аналитические или рекламные cookie помимо Метрики, не отражённые в документах.
Частые вопросы
Нужно ли согласие пользователя, если Яндекс.Метрика используется только для внутренней статистики?
Да. Цель использования данных не отменяет обязанности получить согласие до установки cookie - важен сам факт сбора данных о посетителе, а не то, кому и зачем эта статистика впоследствии передаётся.
Достаточно ли просто упомянуть Метрику в политике конфиденциальности без баннера?
Нет. Документ информирует пользователя о целях обработки, но не заменяет само согласие - без баннера и без задержки запуска счётчика до реакции пользователя требование ст. 9 152-ФЗ не выполняется.
Отличается ли ответственность за нарушение при использовании Метрики от зарубежных сервисов?
Формально ответственность по ч. 2 ст. 13.11 КоАП (штраф 60 000-100 000 ₽) одинакова вне зависимости от происхождения сервиса аналитики - нарушается порядок обработки персональных данных, а не правила локализации.
Можно ли использовать Вебвизор без риска нарушений?
Можно, если корректно настроить анонимизацию полей форм и исключить запись чувствительных данных - тогда объём собираемой информации остаётся в рамках заявленного согласия.
Как понять, правильно ли настроен cookie-баннер на конкретном сайте?
Проще всего - независимо проверить последовательность загрузки скриптов и текст согласия. Список моментов, которые стоит сверить, приведён в чек-листе выше.
Проверить, как аналитические cookie и Вебвизор настроены на конкретном сайте, и увидеть полную картину по обработке персональных данных можно с помощью формы аудита. Также в разделе документов собраны примеры формулировок для политики конфиденциальности и согласия на обработку cookie.