Почему счётчик касается персональных данных
Закон о персональных данных не упоминает ни cookie, ни IP-адреса. Персональными данными он называет любую информацию, относящуюся к прямо или косвенно определённому или определяемому физическому лицу (п. 1 ст. 3 152-ФЗ). Счётчик сохраняет в браузере идентификатор, по которому отличает одного посетителя от другого, и вместе с ним получает IP-адрес, сведения об устройстве, просмотренные страницы и действия на сайте. То, что это персональные данные, выводят из общего определения: прямой нормы нет.
Яндекс в договоре высказывается прямо. Условия использования Метрики относят данные посетителей, в том числе cookie и данные об устройстве, к персональным данным. Оператором в них назван владелец сайта, а Яндекс обрабатывает данные по его поручению (п. 5.4 Условий использования Яндекс Метрики; ч. 3 ст. 6 152-ФЗ). В справке Метрики сказано, что сервис даёт обезличенную информацию о посещаемости. Но в договоре с Яндексом, который владелец сайта принимает при подключении Метрики, он назван оператором.
В статьях о cookie встречаются две неточности. Закон 420-ФЗ, действующий с 30 мая 2025 года, cookie к персональным данным не приравнивал: он изменил только КоАП. В деле Speedtest суд учёл cookie в составе персональных данных вместе с именем, телефоном и почтой пользователя, и вывода «cookie сами по себе являются персональными данными» из этого решения не следует (постановление Второго кассационного суда общей юрисдикции от 26.12.2022 № 16-9987/2022).
Что говорит Роскомнадзор
Федерального разъяснения Роскомнадзора о cookie и Метрике не найдено. Есть позиции территориальных управлений на сайтах rkn.gov.ru. Нормативными актами они не являются, но показывают, на что смотрят при проверке:
- Орловское управление, 10.11.2022: при Метрике нужны согласие посетителей на обработку данных с использованием cookie и информирование о cookie, например всплывающим окном, а в политике должны быть факт использования Метрики, перечень данных и цели.
- Управление по Дальневосточному федеральному округу, 18.07.2024: из 107 проверенных сайтов признаки нарушений нашлись у 103. Среди основных нарушений названо отсутствие согласия на обработку данных через Яндекс Метрику и Google Аналитику (ч. 1 ст. 6 152-ФЗ) и сведений в политике о том, какие данные обрабатываются через эти сервисы (ч. 2 ст. 18.1 152-ФЗ).
- Архангельское управление, 31.03.2023: в списке типовых нарушений есть «отсутствие информирования пользователей об использовании файлов cookies».
Всё это практика управлений Роскомнадзора, а не прямой текст закона. Если работу счётчика без согласия признают обработкой без законного основания, по тексту КоАП к ней подходит ч. 1 ст. 13.11: штраф для ИП 50–100 тыс. ₽, для организаций 150–300 тыс. ₽. Это толкование: какую часть статьи вменяют за cookie на практике, первоисточники не подтверждают. За первое нарушение, выявленное при госконтроле, штраф может быть заменён предупреждением (ст. 4.1.1 КоАП).
С Google Аналитикой есть и другой вопрос: данные уходят за рубеж. О нём статья «Трансграничная передача персональных данных».
Каким должен быть баннер
Как именно должен выглядеть баннер, управления не пишут. Из их позиций и закона проверка Web-Sight выводит такой порядок:
- Баннер называет сервисы, которые собирают данные, и ведёт на страницу о cookie.
- В баннере есть выбор: «Принять» и «Отклонить» или «Только необходимые». Надпись «Сайт использует cookie» с одной кнопкой «Понятно» или фраза «Продолжая пользоваться сайтом, вы соглашаетесь…», по оценке проверки, только сообщают о cookie и согласия не спрашивают.
- До нажатия «Принять» счётчики не загружаются и cookie не ставятся. Прокрутку и движение мыши проверка согласием не считает. Некоторые плагины ускорения откладывают Метрику до первой прокрутки, и тогда она запускается без всякого согласия.
- После «Отклонить» счётчики не загружаются и на следующих страницах.
- Согласие можно отозвать (ч. 2 ст. 9 152-ФЗ), и после отзыва оператор обязан прекратить обработку (ч. 5 ст. 21 152-ФЗ). Для этого удобна ссылка «Настройки cookie» внизу каждой страницы.
Согласие даётся свободно (ч. 1 ст. 9 152-ФЗ), поэтому баннер, в котором нельзя отказаться, создаёт риск. Это толкование общих слов закона. Одинаковых по виду кнопок «Принять» и «Отклонить» российские нормы не требуют, такое требование есть в практике ЕС. Если на сайте нет счётчиков и других сервисов, собирающих данные посетителей, спрашивать не о чем и баннер не нужен.
Согласие на cookie не заменяет согласия в форме заявки. О нём статья «Согласие на обработку персональных данных на сайте».
Что написать о Метрике в политике
По позициям Орловского и Дальневосточного управлений политика называет счётчик, данные, которые он собирает, и цели обработки (ч. 2 ст. 18.1 152-ФЗ, практика Роскомнадзора). Ещё два пункта связаны с договором с Яндексом:
- ООО «ЯНДЕКС» обрабатывает данные по поручению владельца сайта. Поручение требует согласия посетителя (ч. 3 ст. 6 152-ФЗ), поэтому Яндекс с адресом стоит назвать и в политике, и в тексте о cookie.
- Условия Метрики обязывают владельца сайта сообщить посетителям о расширении «Блокировщик Яндекс.Метрики», которым можно запретить сбор данных (п. 5.8 Условий использования Яндекс Метрики). Эта обязанность возникает из договора с Яндексом, закон её не устанавливает.
Вебвизор записывает действия посетителя на странице. По умолчанию он выключен, но код счётчика, который выдаёт интерфейс Метрики при включённом Вебвизоре, включает и его, поэтому выключать Вебвизор нужно и в настройках счётчика, и в коде. Если запись сеансов нужна, её стоит прямо описать в политике: включённый Вебвизор, о котором в политике ничего нет, проверка Web-Sight отмечает как риск. Остальной состав политики разобран в статье «Политика обработки персональных данных для сайта».
Как это устроено на web-sight.ru
Сайт web-sight.ru проверяет другие сайты на эти требования и сам устроен по тем же правилам:
- Пока посетитель не выбрал, сайт не ставит cookie и не обращается к сторонним сервисам: шрифты и скрипты загружаются с собственного сервера.
- Баннер сообщает, что на сайте работает Яндекс Метрика и что cookie она сохранит только после согласия. В нём кнопки «Принять» и «Отклонить» и ссылка на политику cookie.
- Метрика загружается только после «Принять». Вебвизор выключен.
- После «Отклонить» Метрика не загружается. Выбор хранится в хранилище браузера, это не cookie. Через год сайт спросит снова.
- Передумать можно в любой момент: «Настройки cookie» внизу любой страницы, затем «Отклонить». Сайт удаляет все cookie своего домена, и Метрика больше не загружается. Удаляются все, потому что сам сайт cookie не ставит, а Метрика ставит и такие, которых нет в её справке.
- В политике cookie перечислены собираемые данные, ООО «ЯНДЕКС» с адресом, основание, срок, таблица cookie и «Блокировщик Яндекс.Метрики».
Что проверяет сканер Web-Sight
Сканер открывает сайт в чистом браузере, как новый посетитель, три раза. В первый раз ничего не нажимает, только двигает мышью и прокручивает страницу. Во второй нажимает «Принять», в третий «Отклонить». Потом сравнивает запросы к счётчикам и cookie во всех трёх случаях.
Нарушением по практике Роскомнадзора сканер считает четыре ситуации:
- счётчик работает, а баннера нет;
- баннер только сообщает о cookie, а счётчики уже работают;
- баннер с выбором есть, но счётчик загружается до нажатия, в том числе при первой прокрутке;
- после «Отклонить» счётчик всё равно загружается или появляются новые cookie.
Ещё две ситуации сканер отмечает как риск: в баннере нельзя отказаться (нет ни кнопки, ни настроек) и Вебвизор включён, а в политике о нём ничего нет.
Политику сканер сверяет с тем, что нашёл на сайте: названы ли в ней счётчики, ООО «ЯНДЕКС» и блокировщик Метрики. Если счётчиков нет, раздел о cookie получает «в порядке».
Бесплатная проверка сайта показывает по каждому разделу, сколько найдено нарушений и рисков. Кроме cookie и счётчиков, в ней есть политика, согласия в формах, зарубежные сервисы, уведомление в Роскомнадзор и другие разделы. Нужен только адрес сайта.
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ред. от 26.07.2026: п. 1 ст. 3, ч. 1 и 3 ст. 6, ч. 1 и 2 ст. 9, ч. 2 ст. 18.1, ч. 5 ст. 21 — КонсультантПлюс, сверено 30.09.2026.
- КоАП РФ, ред. от 04.08.2026: ч. 1 ст. 13.11, примечание к ст. 2.4, ст. 4.1.1 — КонсультантПлюс, сверено 30.09.2026.
- Управление Роскомнадзора по Орловской области, 10.11.2022 — архивная копия (с 01.07.2025 управление присоединено к Управлению по ЦФО).
- Управление Роскомнадзора по Дальневосточному федеральному округу, 18.07.2024 — 25.rkn.gov.ru.
- Управление Роскомнадзора по Архангельской области и НАО, 31.03.2023 — 29.rkn.gov.ru.
- Постановление Второго кассационного суда общей юрисдикции от 26.12.2022 по делу № 16-9987/2022 — ГАРАНТ.
- Условия использования сервиса Яндекс Метрика, ред. от 07.08.2026, п. 5.4 и 5.8 — yandex.ru/legal, сверено 30.09.2026.
- Справка Яндекс Метрики: cookie Метрики, инициализация счётчика (параметр Вебвизора) — сверено 30.09.2026.