Коротко
- С 1 июля 2025 года при сборе персональных данных россиян, в том числе через сайт, нельзя использовать базы данных за пределами России (ч. 5 ст. 18 152-ФЗ в редакции закона № 23-ФЗ).
- Google Analytics и Google Tag Manager отправляют данные посетителей на серверы Google за рубежом, поэтому их использование считают нарушением этого требования.
- Штраф для компании и ИП по ч. 8 ст. 13.11 КоАП — от 1 до 6 млн ₽, за повторное нарушение — от 6 до 18 млн ₽.
- Решение простое: убрать коды Google и подключить российскую аналитику, например Яндекс Метрику. Обычно это работа на один день.
Что именно запрещено с 1 июля 2025 года?
В 152-ФЗ давно есть требование о локализации: персональные данные граждан России нужно записывать, систематизировать, накапливать, хранить, уточнять и извлекать с использованием баз данных в России. С 1 июля 2025 года действует новая редакция ч. 5 ст. 18, принятая законом № 23-ФЗ. Она прямо говорит, что при сборе данных, в том числе через интернет, эти действия нельзя выполнять с помощью зарубежных баз данных. Минцифры подтвердило это толкование в своём письме.
Проще говоря: если форма, счётчик или виджет на вашем сайте сразу отправляет данные посетителя на сервер за границей, данные «собираются» за рубежом. Раньше такую ситуацию пытались закрыть уведомлением в Роскомнадзор о трансграничной передаче. Теперь этого недостаточно: первичный сбор должен идти в России.
Почему под это попадает Google Analytics?
Счётчик Google Analytics работает на серверах Google за пределами России. В момент загрузки страницы он передаёт туда IP-адрес посетителя, идентификатор из cookie, сведения об устройстве, браузере и действиях на сайте. Сами по себе эти данные могут не называть человека по имени, но вместе с другими сведениями они позволяют его выделить. Поэтому практикующие юристы относятся к ним как к персональным данным.
Честная оговорка: прямого разъяснения Роскомнадзора именно про Google Analytics нет, и формально спор о том, является ли работа счётчика «сбором», возможен. Но спорить придётся уже в суде, а цена ошибки — миллионы рублей. Для малого бизнеса разумнее убрать риск, чем его оспаривать.
Сколько может стоить нарушение?
| Нарушение | Статья КоАП | Штраф для компании |
|---|---|---|
| Сбор данных без использования баз в России | ч. 8 ст. 13.11 | от 1 до 6 млн ₽ |
| То же повторно | ч. 9 ст. 13.11 | от 6 до 18 млн ₽ |
| Нет опубликованной политики обработки данных | ч. 3 ст. 13.11 | от 30 до 60 тыс. ₽ (ИП — от 10 до 20 тыс. ₽) |
| Обработка без обязательного письменного согласия | ч. 2 ст. 13.11 | от 300 до 700 тыс. ₽ |
По ч. 8 индивидуальные предприниматели отвечают как юридические лица, то есть суммы для ИП те же. Чаще всего проверка начинается с жалобы посетителя или клиента, поэтому размер бизнеса значения не имеет.
Что ещё на сайте отправляет данные за рубеж?
Google Analytics — самый известный, но не единственный пример. Проверьте сайт на всё сразу:
- Google Tag Manager — он загружает Google Analytics и другие скрипты, даже если отдельного кода GA на сайте не видно;
- шрифты с fonts.googleapis.com — при загрузке страницы IP-адрес посетителя уходит Google;
- капча Google reCAPTCHA в формах заявки;
- зарубежные чаты, виджеты и пиксели — например, кнопки и формы сервисов, которые хранят данные вне России;
- кнопка WhatsApp — переписка с клиентами через зарубежный мессенджер тоже связана с передачей данных за рубеж.
Мы проверили сайты 45 салонов красоты и стоматологий Москвы: зарубежные счётчики стояли на 27% сайтов, а с учётом шрифтов и капчи Google данные посетителей уходили за рубеж на 58% сайтов. Так что проблема массовая, и владельцы о ней часто не знают: счётчик когда-то поставил разработчик, и про него забыли.
Как убрать Google Analytics без потери статистики?
- Подключите Яндекс Метрику и дайте ей поработать хотя бы неделю параллельно — так вы увидите, что данные собираются.
- Перенесите цели: заявки, звонки, клики по мессенджерам. В Метрике это называется «цели» и настраивается в интерфейсе или кодом.
- Удалите коды Google Analytics и Google Tag Manager со всех страниц и из шаблонов сайта. На Tilda и WordPress они часто прописаны в настройках сайта или в плагинах.
- Замените шрифты Google на локальные файлы на вашем сервере, а reCAPTCHA — на Yandex SmartCaptcha или скрытое поле от ботов.
- Если нужно сохранить историю, выгрузите отчёты из Google Analytics в файл до удаления счётчика.
- Обновите политику обработки персональных данных: укажите, какие сервисы аналитики используются, и добавьте уведомление о cookie.
- Проверьте сайт ещё раз: откройте исходный код страницы и поищите google-analytics, googletagmanager, gtag и fonts.googleapis.
Если делать самим не хочется, это наша работа: исправление сайта по 152-ФЗ обычно занимает один рабочий день после получения доступа, а результат мы показываем в отчёте «было — стало».
Как проверить свой сайт прямо сейчас?
Быстрее всего — отправить адрес сайта нашему боту Секретарю. Он откроет главную и до шести страниц, найдёт зарубежные счётчики, шрифты, капчу, формы без согласия и пришлёт отчёт с объяснением каждой проблемы. Это техническая проверка, а не юридическое заключение, но она показывает всё, что видно посетителю и проверяющему.
Частые вопросы
Если Google Analytics стоит, но я его не смотрю, это нарушение?
Да. Важно не то, пользуетесь ли вы отчётами, а то, что счётчик загружается у посетителей и отправляет их данные на зарубежные серверы.
Достаточно ли уведомить Роскомнадзор о трансграничной передаче?
Нет. С 1 июля 2025 года запрет касается самого сбора данных с использованием зарубежных баз, и уведомление о трансграничной передаче его не снимает.
Можно ли оставить Google Tag Manager без Google Analytics?
Не стоит. Сам Tag Manager загружается с серверов Google и передаёт им данные посетителя. Если он нужен для управления скриптами, ищите российские аналоги или ставьте нужные коды напрямую.
Яндекс Метрику можно ставить без согласия посетителя?
Метрика ставит cookie, поэтому на сайте нужно уведомление о cookie, а сервис аналитики стоит указать в политике обработки данных. Самый аккуратный вариант — включать Метрику только после согласия посетителя: так сделано на нашем сайте.
Сколько времени занимает замена?
Сам перенос — обычно от нескольких часов до одного рабочего дня. Ещё неделю стоит дать Метрике поработать параллельно, если вам важна непрерывная статистика.
Итог
Google Analytics на сайте с 1 июля 2025 года — это не мелочь, а риск штрафа от 1 до 6 млн ₽ при первом же обращении в Роскомнадзор. Замена на Яндекс Метрику занимает день и не стоит вам статистики. Начните с проверки сайта ботом или сразу закажите исправление сайта по 152-ФЗ.
Источники
- Федеральный закон № 152-ФЗ «О персональных данных», ст. 18 — КонсультантПлюс
- Письмо Минцифры России о ч. 5 ст. 18 152-ФЗ в редакции закона № 23-ФЗ
- КоАП РФ, ст. 13.11 — КонсультантПлюс