Метрика и персональные данные: что нужно знать владельцам сайтов в 2026 году
Яндекс.Метрика, Google Analytics и другие счётчики аналитики есть практически на каждом коммерческом сайте. Многие владельцы уверены: достаточно разместить баннер «Сайт использует cookie» и всё в порядке. Однако практика проверок Роскомнадзора в 2026 году показывает обратное.
⚖️ Метрика — это обработка персональных данных
Согласно позиции Роскомнадзора, если на сайте установлены метрические программы, функционал которых позволяет определить уникального посетителя и формировать сведения о его предпочтениях и поведении, — это признаётся обработкой персональных данных .
Почему? IP-адрес, cookie-файлы, сведения об устройстве, браузере и операционной системе в совокупности позволяют косвенно идентифицировать пользователя . А любая информация, относящаяся к прямо или косвенно определённому физическому лицу, по закону № 152-ФЗ является персональными данными (ст. 3) .
Вывод: использование веб-аналитики — это не технический вопрос, а юридический, подпадающий под требования 152-ФЗ.
🚨 Почему старый баннер больше не работает
Фразы вроде «Продолжая пользоваться сайтом, вы соглашаетесь с использованием cookie» больше не считаются законным основанием для сбора данных .
Ключевой момент: нарушение происходит не из-за отсутствия баннера, а из-за того, что аналитические скрипты начинают собирать данные ДО того, как пользователь дал согласие .
Если при первом открытии страницы браузер автоматически отправляет сведения в Яндекс.Метрику или Google Analytics — это начало обработки персональных данных без согласия субъекта. Последующее согласие эту ситуацию не «исправляет» .
Что проверяет Роскомнадзор:
- не наличие баннера как такового,
- а момент начала передачи данных аналитическим сервисам.
📋 Что должны делать владельцы сайтов
1. Получить активное согласие пользователя
Согласие должно быть:
- конкретным, предметным, информированным и однозначным,
- оформленным до начала обработки данных,
- полученным через активное действие пользователя (клик по кнопке «Согласен») .
Баннер должен давать реальную возможность выбора, а не только кнопку «Принять» . Галочка согласия не должна стоять по умолчанию .
2. Разработать и разместить Политику конфиденциальности
На сайте должен быть документ, определяющий политику в отношении обработки персональных данных (ст. 18.1 Закона) . В нём необходимо указать:
- перечень собираемых данных (включая cookie, IP-адреса, данные метрических программ),
- цели обработки,
- порядок и условия обработки .
3. Блокировать аналитику до получения согласия
Технически это означает: счётчики веб-аналитики должны оставаться неактивными до тех пор, пока пользователь не даст согласие. После отказа — сайт должен продолжать работать без запуска аналитических сервисов .
4. Уведомить Роскомнадзор о трансграничной передаче
Использование Google Analytics или Facebook Pixel предполагает передачу персональных данных на территорию иностранного государства. В этом случае оператор обязан направить в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу (ч. 3 ст. 12 Закона) .
За нарушение этого требования — штраф до 6 млн рублей .
5. Обеспечить локализацию данных
С 1 июля 2025 года сбор и хранение персональных данных граждан РФ должны осуществляться в базах данных, физически расположенных на территории России (ч. 5 ст. 18 Закона) .
💰 Штрафы в 2026 году
|
Нарушение |
Штраф на юридическое лицо |
|
Обработка ПДн без согласия субъекта (ч. 2 ст. 13.11 КоАП РФ) |
300 000 – 700 000 ₽ |
|
Повторное нарушение (ч. 2.1 ст. 13.11 КоАП РФ) |
1 – 1,5 млн ₽ |
|
Отсутствие Политики конфиденциальности (ч. 3 ст. 13.11 КоАП РФ) |
30 000 – 60 000 ₽ |
|
Нарушение локализации данных |
до 6 млн ₽ |
|
Утечка данных |
до 20 млн ₽ |
При этом сам факт наличия Политики не защищает, если техническая реализация сайта противоречит закону .
🔎 Как проверяют сайты
Роскомнадзор использует автоматизированные системы на базе ИИ, которые сканируют миллионы страниц и фиксируют нарушения дистанционно .
Процесс:
- Бот анализирует сайт и выявляет признаки нарушений .
- При обнаружении — передаёт данные инспектору на ручную проверку .
- Инспектор сопоставляет факты и выдаёт требование .
- Срок на устранение — 10 рабочих дней с момента получения требования .
🛠️ Что делать прямо сейчас
|
Шаг |
Действие |
|
1 |
Проверить, запускается ли Яндекс.Метрика / Google Analytics до получения согласия пользователя |
|
2 |
Настроить техническую блокировку счётчиков до активного согласия |
|
3 |
Разработать или актуализировать Политику конфиденциальности |
|
4 |
Внедрить cookie-баннер с реальным выбором |
|
5 |
Подать уведомление о трансграничной передаче (если есть Google Analytics) |
|
6 |
Убедиться, что базы данных с ПДн граждан РФ находятся на территории РФ |
Краткий итог: в 2026 году соблюдение законодательства о персональных данных зависит не столько от юридических документов, сколько от технической реализации сайта. Даже идеально составленная Политика не спасёт, если аналитика начинает собирать данные до получения согласия пользователя . Проверьте работу своих счётчиков — это может уберечь от серьёзных штрафов.
Разработать пакет документов по персональным данным в Академии бизнеса
Телеграм/Мах 8-908-546-71-70
#персональныеданные #пакетдокументовПДн #ПДН #Роскомнадзор #проверкаРокомнадзора #охранатруда