Яндекс Метрика и персональные данные связаны напрямую: счётчик ставит посетителю cookie с идентификатором, а такие идентификаторы Роскомнадзор на практике относит к персональным данным. Отвечает за это не Яндекс. По условиям сервиса оператором данных остаётся владелец сайта, и именно он обязан рассказать посетителям об обработке и получить согласие, если закон его требует.
Коротко о том, что из этого следует: нужен баннер с согласием до запуска счётчика, в политике должен быть назван Яндекс как лицо, которому поручена обработка, а в саму Метрику нельзя отправлять телефоны, почту и имена. Дальше по вопросам, в том порядке, в каком их обычно задают.
Какие данные собирает счётчик
Сам Яндекс перечисляет это в справке и в условиях. Счётчик фиксирует адрес страницы и источник перехода, характеристики браузера и устройства, IP-адрес, действия на странице и ставит cookie, по которому узнаёт того же посетителя при следующем визите. Если включён Вебвизор, добавляется запись движений мыши, прокрутки и кликов.
Имени, телефона и почты среди этого нет, и отсюда растёт главный спор. Владельцы сайтов говорят: это обезличенная статистика. Роскомнадзор смотрит на определение из статьи 3 закона, где персональными названы любые сведения, которые относятся к прямо или косвенно определяемому человеку. Идентификатор в cookie вместе с IP и историей действий под "косвенно определяемого" подходит. Суда, который поставил бы в этом споре точку, нет; есть практика проверок, и она складывается не в пользу сайтов.
Кто оператор: сайт или Яндекс
Этот вопрос решён документом, и спорить тут не о чем. Условия использования Метрики в редакции от 7 августа 2026 года, пункт 5.4: пользователь сервиса, то есть владелец сайта, оператор персональных данных; Яндекс действует по поручению оператора.
На практике это означает три вещи. Штраф за обработку без основания, если до него дойдёт, выпишут владельцу сайта. Отсылка "у Яндекса всё законно" не поможет: у Яндекса своя зона, у вас своя. И поручение обработки другому лицу по части 3 статьи 6 закона само требует согласия человека, так что Яндекс должен быть упомянут в тексте, на который посетитель соглашается.
Нужно ли согласие на Метрику
Условия сервиса отвечают уклончиво: пункт 2.1 обязывает владельца сайта информировать посетителей об обработке данных в связи с Метрикой и получать согласия, "если того требует применимое законодательство". Решение Яндекс оставляет вам.
Наша позиция: согласие нужно. Рассуждение простое. Если идентификатор в cookie считается персональными данными, то для его обработки требуется одно из оснований статьи 6. Договора с анонимным посетителем нет, закон собирать аналитику не обязывает, остаётся согласие. Можно строить защиту на том, что данные обезличены, но проверять эту позицию придётся на себе, а цена вопроса по части 1 статьи 13.11 КоАП для компании от 150 000 до 300 000 ₽.
И согласие должно быть получено до начала обработки. Это та деталь, на которой спотыкаются чаще всего: баннер на сайте есть, но счётчик вшит в шапку и стартует раньше, чем человек что-либо нажал. Как это проверить в браузере за минуту, описано в статье про согласие на cookie, там же состав баннера.
Что написать в политике и в согласии
Отдельной "политики для Метрики" закон не требует, хотя такие документы попадаются в выдаче. Достаточно, чтобы в общей политике обработки персональных данных и в тексте согласия было сказано следующее.
Что сайт использует сервис веб-аналитики Яндекс Метрика. Какие сведения при этом обрабатываются: cookie, IP-адрес, данные о браузере и устройстве, действия на сайте. Зачем: анализ посещаемости, улучшение сайта; если данные Метрики используются для настройки рекламы в Директе, эта цель называется отдельно, потому что это другая цель. Кому поручена обработка: ООО "Яндекс", с адресом. На какой срок и как отозвать согласие.
Чего писать не надо: "сайт не собирает персональные данные", если на нём стоит счётчик. Эта фраза кочует из шаблона в шаблон и превращает политику в документ, который противоречит коду собственной страницы.
Снаружи видно, стоит ли на сайте счётчик, есть ли баннер, есть ли ссылка на политику и открывается ли она. Это три из восьми пунктов нашей бесплатной проверки сайта на требования 152-ФЗ: адрес в форму, светофор через несколько секунд, без регистрации. Что написано внутри политики, робот не оценивает, это читает человек.
Вебвизор и поля форм
С Вебвизором связан самый неприятный сценарий: запись сеанса, в которой видно, как человек вводит телефон или номер договора. Тогда в Метрику попадают уже не спорные идентификаторы, а бесспорные персональные данные, причём вопреки условиям самого сервиса.
Вебвизор сам распознаёт поля, куда вводят конфиденциальное, и заменяет их содержимое звёздочками; пароли не записываются никогда. Но распознавание автоматическое, а значит, не гарантированное: поле "Комментарий", в которое человек вписал адрес и диагноз, под шаблон не попадёт. Остальное решают настройка счётчика и классы в разметке. В настройках есть опция "Записывать все поля". Класс ym-record-keys разрешает запись конкретного поля, ym-disable-keys запрещает её и ставит звёздочки, ym-hide-content размывает в записи целый блок страницы. Пункт 4.1.3 условий говорит, что пометить поля, которые писать нельзя, должен владелец сайта.
Что проверить у себя. Убедитесь, что опция "Записывать все поля" выключена. Поищите в коде сайта ym-record-keys: если класс стоит на поле с телефоном, почтой или комментарием, уберите, а на свободные текстовые поля поставьте ym-disable-keys. Откройте пару свежих записей Вебвизора с заполнением формы и посмотрите, что в них видно. Личный кабинет, корзину с адресом доставки, страницу заказа закройте через ym-hide-content целиком: там персональные данные выводятся на экран, а не вводятся в поле, и правило про поля их не спасает.
Что нельзя отправлять в Метрику самому
Отдельная история не про счётчик, а про то, что сайт сам кладёт в Метрику. Справка Яндекса перечисляет места, где идентифицирующих сведений быть не должно: UserID, параметры визитов и посетителей, JavaScript-события, адреса и заголовки страниц, utm-метки.
Типовые проколы выглядят безобидно. Почта в адресе страницы после отправки формы, вроде /thanks?email=.... Телефон в параметре цели. Логин клиента в роли UserID вместо обезличенного номера. Фамилия в utm-метке рассылки. Всё это нарушает и условия сервиса, и закон, потому что на передачу этих данных Яндексу человек точно не соглашался. Исключение одно, оно названо в справке: загрузка данных из CRM, где сведения хешируются по правилам Яндекса.
А Google Analytics?
Коротко, потому что этот счётчик обычно стоит рядом. Всё сказанное про согласие относится к нему в той же мере, но добавляется второй слой: получатель данных находится в США, а значит, это трансграничная передача с уведомлением Роскомнадзора и оценкой получателя. Для страны, которой нет в перечне государств с адекватной защитой, передавать данные до окончания рассмотрения уведомления нельзя. Метрика этого вопроса не вызывает: сервис оказывает российская компания.
Источники
- Условия использования сервиса Яндекс Метрика, редакция от 7 августа 2026 года: пункты 2.1, 4.1.3, 5.4. yandex.ru/legal/metrica_termsofuse
- Справка Метрики, раздел о конфиденциальных данных: yandex.ru/support/metrica
- Федеральный закон от 27.07.2006 № 152-ФЗ "О персональных данных": статья 3, части 1 и 3 статьи 6, статья 9, статья 12.
- Кодекс об административных правонарушениях, часть 1 статьи 13.11 в редакции с 30 мая 2025 года.
вопросы
Частые вопросы
01Метрика сама спрашивает согласие у посетителей?
Нет. Счётчик ничего не показывает посетителю и ничего у него не спрашивает. По пункту 2.1 условий использования информировать людей и получать согласия обязан владелец сайта, который счётчик поставил.
02А если в Метрике выключить Вебвизор, согласие уже не нужно?
Нужно. Вебвизор добавляет запись действий на странице, но идентификатор посетителя в cookie счётчик ставит и без него. Именно идентификатор Роскомнадзор на практике считает персональными данными.
03Яндекс Метрика обрабатывает персональные данные или нет?
По условиям сервиса да, и делает это по поручению владельца сайта: в пункте 5.4 владелец прямо назван оператором персональных данных, а Яндекс лицом, действующим по его поручению. Поэтому в политике сайта Яндекс указывают как того, кому поручена обработка.
04Можно передавать в Метрику почту или телефон клиента?
Нельзя, это запрещено самими условиями сервиса. В параметрах визитов, в UserID, в адресах страниц и в utm-метках не должно быть ФИО, телефонов, почты, адресов и других сведений, по которым человека можно установить напрямую.
05Считается ли Метрика трансграничной передачей?
Сервис оказывает российское юридическое лицо, ООО Яндекс, так что сам по себе счётчик Метрики вопроса о передаче за границу не создаёт. Этим он и отличается от Google Analytics, где получатель данных находится в США.