Яндекс Метрика и 152-ФЗ: нужно ли согласие на cookie и как настроить Вебвизор
После истории с Google Analytics многие владельцы сайтов перешли на Яндекс Метрику и решили, что вопрос закрыт. Наполовину это так. Разбираем, что Метрика решает, а что остаётся на вас.
Коротко
- Яндекс Метрика — российский сервис, поэтому с требованием собирать персональные данные россиян в базы на территории России (ч. 5 ст. 18 152-ФЗ) проблем, как у Google Analytics, обычно нет.
- Но cookie и данные о поведении, по которым можно выделить конкретного посетителя, юристы и практика проверок относят к персональным данным. Значит, посетителя нужно предупредить и получить согласие.
- Самый аккуратный вариант: Метрика включается только после того, как человек нажал «Принять» в баннере. Так сделано на нашем сайте.
- Вебвизор умеет записывать, что люди вводят в формы. Поля с телефоном, именем и комментарием стоит закрыть от записи классом ym-disable-keys.
Можно ли вообще ставить Яндекс Метрику на сайт?
Да. Запрета нет, и Метрика остаётся самым распространённым счётчиком в рунете. Вопрос не в том, можно ли её ставить, а в том, как.
С 1 июля 2025 года действует правило: первичный сбор персональных данных граждан России должен идти в базы данных, которые находятся в России. Это ч. 5 ст. 18 закона № 152-ФЗ. Из-за него сайты массово убирали Google Analytics: он отправляет данные на зарубежные серверы. Подробно эту историю мы разбирали в статье про штраф за Google Analytics.
Метрика принадлежит Яндексу, российской компании, поэтому этот пункт к ней обычно не применяется. Остальные требования закона никуда не деваются: основание для обработки, информирование, политика, согласие.
Cookie — это персональные данные или нет?
В самом законе слово «cookie» не встречается. Персональные данные там определены широко: любая информация, относящаяся прямо или косвенно к определённому или определяемому человеку.
На практике позиция такая. Если cookie позволяет отличить одного посетителя от другого и проследить, что он делал на сайте, его считают персональными данными. Метрика именно так и работает: присваивает посетителю идентификатор и собирает историю визитов. Официального отдельного разъяснения Роскомнадзора про cookie мы не нашли, поэтому опираемся на юридические разборы и на то, как проходят проверки.
Наш вывод для владельца небольшого сайта простой: безопаснее считать данные Метрики персональными и работать с ними так же, как с формой заявки.
Нужен ли cookie-баннер, если стоит только Метрика?
Мы считаем, что нужен. Аргументы такие.
- Посетитель должен знать, какие данные о нём собирают и зачем. Баннер со ссылкой на политику это решает.
- Для аналитики нужно согласие, а согласие по нынешним правилам должно быть отдельным, не спрятанным в длинном тексте.
- Проверки сайтов всё больше автоматизированы: робот смотрит, появляется ли уведомление до того, как начался сбор данных.
Отдельно о том, как сделать сам баннер, мы писали в статье нужен ли cookie-баннер на сайте. Здесь коротко о главном: в баннере две равноценные кнопки, «Принять» и «Отказаться», и ссылка на политику обработки данных.
Как настроить Метрику, чтобы она не собирала данные без согласия?
Вариант, который мы используем сами:
- Код счётчика не вставляется в страницу сразу.
- При первом визите показывается баннер.
- Если человек нажал «Принять», скрипт подгружает Метрику и запоминает выбор.
- Если нажал «Отказаться», Метрика не загружается вовсе, ни сейчас, ни при следующих визитах.
- В подвале сайта есть ссылка «Настройки cookie», чтобы выбор можно было изменить.
Минус у такого подхода один: в отчётах будет меньше посетителей, потому что отказавшихся вы не увидите. Сколько это будет, зависит от сайта и от того, как сделан баннер. Неприятно, но лучше неполная статистика, чем предписание.
Что делать с Вебвизором?
Вебвизор записывает действия посетителя на странице: прокрутку, клики, ввод в поля. Это очень полезно, чтобы понять, где люди бросают форму. И это же самое рискованное место.
По справке Метрики, Вебвизор по умолчанию не записывает поля, которые он считает конфиденциальными, например имя и фамилию. Но «считает» — ключевое слово. Если поле называется необычно, он может записать его содержимое.
Поэтому мы советуем подстраховаться разметкой. У Метрики для этого есть CSS-классы:
| Класс | Что делает |
|---|---|
| ym-disable-keys | Не записывает, что вводят в поле: содержимое заменяется звёздочками |
| ym-hide-content | Полностью скрывает элемент в записи: текст размывается, картинки заменяются серым блоком |
| ym-record-keys | Наоборот, разрешает запись поля, если Метрика ошибочно сочла его конфиденциальным |
На практике достаточно добавить ym-disable-keys к полям «Имя», «Телефон», «Почта» и «Комментарий». Если какой-то блок сайта показывает данные клиента (например, личный кабинет), закройте его через ym-hide-content.
Что ещё проверить, кроме Метрики?
Метрика редко бывает единственным сторонним скриптом. Чаще всего вместе с ней на сайте живут:
- Google Fonts и reCAPTCHA, которые тоже отправляют данные посетителя за рубеж. Почему это проблема, разобрано в отдельной статье про шрифты и капчу.
- Пиксели соцсетей и рекламных систем.
- Виджеты чатов и обратного звонка, иногда зарубежные.
- Формы, которые отправляют заявки на зарубежную почту или в зарубежный сервис.
Проверить всё это вручную можно через инструменты разработчика в браузере, вкладка «Сеть»: видно, на какие адреса уходят запросы при загрузке страницы. Если не хочется в этом копаться, мы делаем проверку сайта по 152-ФЗ и показываем, что именно уходит наружу.
Частые вопросы
Нужно ли упоминать Яндекс Метрику в политике обработки данных?
Да. В политике стоит указать, что сайт использует сервис веб-аналитики, какие данные он собирает (cookie, IP-адрес, сведения о браузере и действиях на сайте) и с какой целью.
Можно ли оставить Метрику без баннера, если отключить Вебвизор?
Вебвизор — только часть данных. Идентификатор посетителя и история визитов собираются и без него, поэтому вопрос информирования и согласия остаётся.
Метрика данные хранит в России?
Метрика — сервис российской компании Яндекс. Требование о первичном сборе в российские базы на неё обычно не распространяется так, как на Google Analytics. Но согласие и информирование посетителя всё равно нужны.
Что будет, если ничего не делать?
Сайт без политики, согласия и уведомления о cookie рискует получить предписание Роскомнадзора, а по ряду нарушений — штраф по ст. 13.11 КоАП. Суммы по каждой части статьи собраны в нашей таблице штрафов по 152-ФЗ.
Итог
Яндекс Метрика решила проблему зарубежных серверов, но не отменила остальные правила. Предупредите посетителя баннером, включайте счётчик только после согласия, закройте поля форм от записи в Вебвизоре и опишите аналитику в политике. На это уходит один вечер, и статистика продолжит работать.