Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: сентябрь 2026 года. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025).
Владелец студии эпиляции получил запрос от Роскомнадзора и искренне не понял, при чём тут он: «Мы же не собираем паспорта, у нас только счётчик стоит». Счётчик — Google Analytics, установлен веб-студией четыре года назад и с тех пор не трогался. В политике конфиденциальности про него ни слова, cookie-баннера нет, уведомление в РКН подано без отметки о трансграничной передаче.
Вопрос «Google Analytics и 152-ФЗ: законно ли» задают часто, и ответ на него короткий только наполовину. Сам инструмент никто не запрещал. Но способ, которым его ставят на 90% российских сайтов, требованиям закона не соответствует — и именно это создаёт риск.
Почему счётчик — это обработка персональных данных
Аргумент «мы собираем обезличенную статистику» разбивается о статью 3 152-ФЗ. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу. Слово «косвенно» здесь ключевое.
Что собирает типовой счётчик:
- Client ID — уникальный идентификатор, который живёт в cookie до двух лет и позволяет узнать конкретного посетителя при повторном заходе
- IP-адрес — в связке с провайдером и временем даёт вполне определяемого человека
- User-Agent, разрешение экрана, шрифты, язык — цифровой отпечаток браузера
- Историю переходов по страницам — что смотрел, сколько времени, откуда пришёл
- Данные форм — если включена передача событий с параметрами и разработчик поленился их очистить, в аналитику улетают телефоны и email
Первые четыре пункта — идентификаторы устройства, которые позволяют выделить пользователя из массы и накапливать про него профиль. Роскомнадзор в своих разъяснениях и в практике проверок исходит из того, что это персональные данные. Позиция не новая: то же самое европейские регуляторы сформулировали ещё в спорах вокруг GDPR, и российский подход здесь совпадает.
Пятый пункт — уже прямые ПДн без всяких оговорок, и он встречается чаще, чем кажется. Проверяется за минуту: откройте отчёт по URL страниц и посмотрите, нет ли там адресов с параметрами вида ?email= или ?phone=.
Отсюда вывод: установив счётчик, вы стали обрабатывать персональные данные. Вопрос теперь не «являетесь ли вы оператором» — оператором вы стали раньше, — а на каком основании эта обработка идёт и чем она задокументирована.
Google Analytics: три проблемы вместо одной
С Яндекс.Метрикой и другими российскими счётчиками ситуация проще: данные хранятся в России, трансграничной передачи нет. С Google Analytics проблем три, и решаются они по-разному.
Первая — трансграничная передача. Данные уходят на серверы Google за пределы РФ. Это самостоятельное регулируемое действие по статье 12 152-ФЗ. До начала такой передачи оператор обязан подать в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу — отдельно от обычного уведомления об обработке. США к странам, обеспечивающим адекватную защиту прав субъектов, не относятся, поэтому требования жёстче: нужны сведения о получателе, правовых основаниях и мерах защиты. Подробный разбор процедуры — в материале про трансграничную передачу персональных данных.
Вторая — локализация. Статья 18 часть 5 требует, чтобы запись, систематизация, накопление, хранение и извлечение ПДн граждан РФ велись с использованием баз данных на территории России. Спор о том, распространяется ли требование первичной записи на аналитические cookie, ведётся давно, и однозначной судебной практики именно по счётчикам мало. Осторожная позиция: держать российскую систему аналитики как основную, зарубежную — как дополнительную. Что это означает на практике для других сервисов, разобрано в статье про локализацию баз данных.
Третья — отсутствие договорных гарантий. Google предлагает стандартные условия обработки данных, рассчитанные на GDPR. Под российское поручение по статье 6 части 3 они ложатся плохо: там нет ни обязанности соблюдать 152-ФЗ, ни уведомления оператора об инциденте в сроки, которые нужны вам для отчёта перед РКН.
Ни одна из трёх проблем не делает использование Google Analytics автоматически незаконным. Но каждая требует документального оформления — а именно его обычно и нет.
Что нужно сделать: практический минимум
Cookie-баннер с предварительным согласием
Аналитические и рекламные cookie не относятся к строго необходимым для работы сайта. Значит, до получения согласия скрипт счётчика грузиться не должен.
Рабочая схема: баннер появляется при первом заходе, содержит понятное описание категорий, кнопки «Принять» и «Отклонить» (равнозначные по виду — «Отклонить» не прячем в подвал мелким шрифтом), ссылку на cookie-политику. Скрипты аналитики подключаются только после нажатия «Принять». Выбор нужно хранить и уметь показать при проверке — отметка времени и версия текста баннера.
Типичная ошибка: баннер стоит, но счётчик всё равно грузится сразу, а кнопка просто закрывает плашку. Это хуже, чем ничего: вы задокументировали, что знаете о требовании, и не выполнили его.
Раскрытие в политике конфиденциальности
В политике должен быть отдельный блок: какие счётчики установлены, какие данные они собирают, с какой целью, на каком основании, куда передаются и сколько хранятся. Формулировка «мы можем использовать файлы cookie» такой блок не заменяет.
Минимальный набор сведений по каждому сервису — название, оператор сервиса, категории собираемых данных, срок хранения cookie, ссылка на политику самого сервиса, факт трансграничной передачи, если она есть. Структура самого документа разобрана в материале про cookie-политику.
Технические настройки, которые снижают риск
- Включить анонимизацию IP в Google Analytics — часть адреса усекается до записи
- Сократить срок хранения данных на уровне пользователя до минимально нужного
- Отключить передачу данных в рекламные продукты, если вы ими не пользуетесь
- Убрать из URL и событий любые параметры с телефонами, email и именами
- Проверить, не включён ли user-ID, связывающий сессии с клиентской базой: если включён — это уже обработка прямых идентификаторов, и требования к ней выше
Уведомление в Роскомнадзор
Если трансграничная передача есть, она должна быть отражена в уведомлении. Уведомление, поданное три года назад «на всякий случай» и не обновлённое, — распространённая ситуация. Уточнить сведения нужно не позднее 15-го числа месяца, следующего за месяцем, в котором изменения произошли.
Сколько стоит ошибка
Обработка персональных данных без правового основания по части 1 статьи 13.11 КоАП — от 150 000 до 300 000 рублей для юридических лиц. Ровно под эту норму попадает счётчик без согласия и без раскрытия в политике.
Отсутствие политики конфиденциальности в открытом доступе — отдельный состав по части 3 статьи 13.11 КоАП, для юридических лиц штраф начинается от 60 000 рублей.
Утечка персональных данных с 30 мая 2025 года наказывается принципиально иначе: до 20 млн рублей, а при повторном нарушении штраф становится оборотным — от 1 до 3% годовой выручки, но не менее 20 млн и не более 500 млн. К счётчикам это относится опосредованно, но если в аналитику годами уходили телефоны клиентов из форм, а доступ к аккаунту был у бывшего подрядчика, это полноценный инцидент со сроками 24 часа на уведомление и 72 часа на результаты расследования.
Роскомнадзор с 2025 года использует автоматизированную систему мониторинга, которая обходит сайты без участия инспектора. Наличие счётчика и отсутствие cookie-баннера — ровно тот признак, который машина находит без труда. Как работает эта система, разобрано в материале про бот Роскомнадзора.
Короткий ответ на исходный вопрос
Google Analytics в России не запрещён. Незаконна конфигурация по умолчанию: счётчик грузится до согласия, в политике о нём ни слова, трансграничная передача не заявлена.
Если выбирать между «оставить GA и оформить» и «перейти на Яндекс.Метрику», второй путь дешевле по документам — снимается трансграничная передача и вопрос локализации. Но согласие на аналитические cookie и раскрытие в политике нужны в обоих случаях: 152-ФЗ не делает различий по национальности сервиса.
Что делать прямо сейчас
Начните с инвентаризации: откройте исходный код главной страницы и посмотрите, какие счётчики и пиксели на ней реально стоят. Почти всегда их больше, чем помнит владелец, — за годы накапливаются коллтрекинг, чаты, ретаргетинг и остатки от прошлых подрядчиков. Каждый из них должен быть в политике.
Знаете ли вы, сколько сторонних сервисов сейчас собирает данные на вашем сайте? Запустите бесплатный аудит на соответствие 152-ФЗ → — он покажет все установленные счётчики и пиксели, определит, есть ли среди них зарубежные, и укажет, каких документов не хватает под вашу схему обработки.
Статья актуальна на сентябрь 2026 года. Нормативные акты: 152-ФЗ «О персональных данных» (ст. 3, 5, 6, 9, 12, 18 ч. 5, 22), КоАП РФ ст. 13.11 в редакции ФЗ № 420-ФЗ от 30.11.2024, ФЗ № 266-ФЗ от 14.07.2022.