Да, для Яндекс Метрики нужно согласие посетителя. Метрика собирает идентификатор cookie, IP-адрес, сведения об устройстве и действия на сайте — Роскомнадзор относит такой набор к персональным данным. Владелец сайта, который установил счётчик, становится оператором этих данных и отвечает за законность их сбора.
Какие данные собирает Метрика
Счётчик Метрики при каждом посещении получает:
- идентификатор посетителя в cookie
_ym_uidи связанные с ним cookie_ym_d,_ym_isadи другие; - IP-адрес и примерное местоположение;
- сведения об устройстве и браузере: модель, операционная система, размер экрана, язык;
- поведение на сайте: страницы, переходы, клики, время, источник перехода;
- записи сеансов Вебвизора, если он включён: движения мыши, прокрутка и, при неправильной настройке, текст, который человек вводит в формы.
По отдельности это технические сведения, но вместе они позволяют выделить конкретного человека среди других посетителей и узнавать его при повторных визитах. Поэтому их и считают персональными данными.
Кто здесь оператор
Оператор — тот, кто решает, зачем и какие данные собирать. Счётчик на сайт ставит его владелец, он же выбирает настройки и цели, значит оператор — владелец сайта. Яндекс в этой схеме обрабатывает данные по поручению оператора.
Из этого следует:
- владелец сайта обязан иметь законное основание для обработки — для аналитики это согласие посетителя;
- в политике обработки данных нужно указать Метрику: цели, состав данных и то, что данные обрабатывает ООО «Яндекс»;
- если на сайте собираются персональные данные, нужно уведомление в Роскомнадзор.
Хорошая новость: серверы Яндекса находятся в России, поэтому, в отличие от Google Analytics, Метрика не нарушает требование о локализации данных.
Как подключить Метрику законно
- Загружайте счётчик только после согласия. Посетитель нажимает «Принять» в cookie-баннере — только после этого выполняется код Метрики. При следующих визитах счётчик загружается сразу, если согласие уже дано.
- Опишите Метрику в политике обработки данных и политике cookie: цели (анализ посещаемости, улучшение сайта), перечень данных, срок хранения, передача ООО «Яндекс».
- Настройте Вебвизор или откажитесь от него, если он не нужен.
- Проверьте результат: в режиме инкогнито до нажатия кнопки в баннере на сайте не должно быть cookie
_ym_uid.
Подробно о том, как устроить баннер, — в статье про cookie-баннер.
Вебвизор: отдельный риск
Вебвизор записывает сеансы посетителей, чтобы потом их можно было посмотреть как видео. Если запись содержимого полей включена, в записи попадает всё, что человек набирает в форме: имя, телефон, почта, комментарий. Это уже полноценные персональные данные, и они хранятся у Яндекса как часть аналитики.
Что сделать:
- в настройках счётчика отключите запись содержимого полей ввода или вообще не включайте Вебвизор, если вы им не пользуетесь;
- если Вебвизор нужен, укажите в политике, что сеансы записываются и для чего.
Что будет, если ничего не делать
Если Метрика работает без согласия, это обработка данных без законного основания. Штраф для компании по ч. 1 ст. 13.11 КоАП — до 300 000 ₽, а если Роскомнадзор квалифицирует нарушение как обработку без требуемого согласия по ч. 2 — до 700 000 ₽. Подробная таблица — в статье о штрафах за нарушение 152-ФЗ.
На практике чаще всего нарушение находят по жалобе посетителя или при дистанционной проверке сайта, и тогда к нему добавляются другие: нет согласия у форм, нет уведомления в Роскомнадзор, устаревшая политика.
Частые вопросы
Нужно ли согласие на Яндекс Метрику, если сайт ничего больше не собирает?
Да. Даже без форм Метрика собирает идентификаторы cookie, IP-адреса и поведение посетителей. Для этого нужно согласие, которое удобнее всего получать через cookie-баннер.
Нужно ли подавать уведомление в Роскомнадзор из-за Метрики?
Если вы обрабатываете персональные данные посетителей — а Метрика их собирает, — уведомление нужно. Обычно у компании, у которой есть сайт с формами и счётчиками, оно требуется в любом случае.
Можно ли оставить Метрику, но отключить cookie?
Отключить cookie полностью не получится: без идентификатора Метрика не отличит одного посетителя от другого. Правильный путь — не отключать cookie, а загружать счётчик после согласия.
Метрика лучше Google Analytics с точки зрения закона?
Да, в одном важном вопросе: данные Метрики хранятся в России, а Google Analytics с первой секунды отправляет данные за рубеж, что с 1 июля 2025 года нарушает требование о локализации. Согласие нужно для обоих сервисов. Подробнее — в статье про иностранные сервисы.
