Google Analytics и Яндекс Метрика на сайте в 2026: что реально грозит
Специальной статьи КоАП про Google Analytics нет, но сайт со счетчиком отвечает по 152-ФЗ: письмо РКН, уведомление о передаче данных, локализация и штрафы по статье 13.11.
В материале
- Статьи КоАП про Google Analytics нет, но счетчик попадает под три обязанности
- Штраф зависит от части статьи 13.11: от 30 000 до 6 000 000 рублей юрлицу за первое нарушение
- Метрика не снимает вопрос согласия: оператором остается владелец сайта
- Проверьте сегодня: сколько иностранных получателей у вашей главной и страницы с формой
- Что это значит на практике: Google Analytics подключать, когда закрыты три условия
- Чего мы не знаем
- Частые вопросы
Коротко: специальной статьи КоАП про Google Analytics нет, но сайт со счетчиком отвечает по общим нормам 152-ФЗ. По письму Роскомнадзора от 26.06.2024, метрические программы указывают на обработку персональных данных, а Google Analytics предполагает еще и передачу данных за рубеж: уведомление в РКН подается до ее начала. С 1 июля 2025 года при сборе данных россиян нельзя записывать и хранить их в иностранных базах, за это по части 8 статьи 13.11 КоАП юрлицу грозит от 1 000 000 до 6 000 000 рублей. Применяют ли эту часть к самому счетчику, мы в разъяснениях не нашли. Мы бы Google Analytics на сайте с заявками не подключали, а Яндекс Метрику оставили бы с согласием и закрытыми полями. Опубликовано 30.09.2026, обновлено 06.10.2026.
Вы смотрите в код своего сайта и находите там Google Analytics и Яндекс Метрику. Какой счетчик создает обязанности перед Роскомнадзором и сколько стоит ошибка? Мы прочитали письма РКН и Минцифры, статьи 9, 12 и 18 закона 152-ФЗ и статью 13.11 КоАП в КонсультантПлюс, а также условия и справку Метрики. Обязанностей получилось три, видов штрафа четыре, а какая часть штрафа применяется именно к Google Analytics, остается открытым.
Статьи КоАП про Google Analytics нет, но счетчик попадает под три обязанности
В тексте статьи 13.11 КоАП (редакция от 04.08.2026) слов «Google Analytics» нет, и отдельной части за неподачу уведомления о трансграничной передаче мы там не нашли. Обязанности лежат в законе 152-ФЗ, а штраф считается по общим частям статьи 13.11.
Информирование и согласие. В письме Роскомнадзора от 26.06.2024 № 08-242780 сказано: если на сайте стоят программы, которые определяют уникального посетителя и собирают сведения о его предпочтениях и поведении (метрические программы), это указывает на обработку персональных данных. Тогда пользователь таких программ обязан проинформировать посетителя, получить его согласие и описать порядок обработки в локальном акте. Письмо — ответ ведомства на обращение, закон оно не меняет. Слов «баннер» и «cookie» в нем нет.
Уведомление о трансграничной передаче. В том же письме РКН пишет, что использование Google Analytics предполагает передачу данных на территорию иностранного государства и оператору нужно направить в Роскомнадзор уведомление по части 3 статьи 12 закона 152-ФЗ. Минцифры в письме от 12.05.2025 № П25-44929 тоже называет этот сервис трансграничной передачей. Уведомление подается до ее начала, а до подачи оператор обязан получить от иностранного получателя сведения о мерах защиты данных (часть 5 статьи 12).
Локализация. С 1 июля 2025 года (закон 23-ФЗ от 28.02.2025) часть 5 статьи 18 запрещает при сборе данных россиян запись, накопление и хранение в базах за пределами России. Исключения даны в пунктах 2, 3, 4 и 8 части 1 статьи 6. Минцифры добавляет в том же письме: хранение и уточнение данных, в том числе копий, ведутся в российских базах, а последующая передача за рубеж оформляется по статье 12. Нарушение части 5 статьи 18 ведомство относит к частям 8 и 9 статьи 13.11 КоАП.
Согласие, которое требует письмо РКН, с 1 сентября 2025 года (закон 156-ФЗ от 24.06.2025) оформляется по части 1 статьи 9 отдельно от иных информации и документов, которые человек подтверждает или подписывает.
Штраф зависит от части статьи 13.11: от 30 000 до 6 000 000 рублей юрлицу за первое нарушение
| Что нарушено | Часть статьи 13.11 | Юрлицо | Повторное нарушение |
|---|---|---|---|
| Обработка персональных данных в случаях, не предусмотренных законом, или несовместимая с целями сбора | Часть 1 | 150 000-300 000 рублей | Часть 1.1: 300 000-500 000 рублей |
| Обработка без согласия в письменной форме, когда оно требуется, или с нарушением состава сведений в согласии | Часть 2 | 300 000-700 000 рублей | Часть 2.1: 1 000 000-1 500 000 рублей |
| Политика обработки данных не опубликована или не открыта для всех | Часть 3 | 30 000-60 000 рублей | Отдельной части нет |
| При сборе данных не обеспечена запись и хранение в базах на территории России | Часть 8 | 1 000 000-6 000 000 рублей | Часть 9: 6 000 000-18 000 000 рублей |
Таблица дает суммы для юрлица. ИП отвечает по частям 8 и 9 как юрлицо (примечание 1 к статье 13.11), поэтому для локализации разницы в сумме между ним и компанией нет. Часть 2 ближе всего к счетчику без согласия, часть 8 — к сбору данных сразу в иностранные базы. Штрафы за утечку данных стоят в частях 12-14 той же статьи, их разобрали в заметке «Утечка данных клиентов: что сделать за 24 часа и штрафы».
Метрика не снимает вопрос согласия: оператором остается владелец сайта
По условиям использования Яндекс Метрики ее пользователь, то есть владелец сайта, остается оператором персональных данных посетителей, а Яндекс действует по его поручению (часть 3 статьи 6 закона 152-ФЗ). Письмо РКН говорит о метрических программах вообще, исключения для российских сервисов в нем нет. Мы читаем это так: информирование, согласие и описание в политике нужны и для Метрики.
Справка Метрики запрещает передавать в сервис идентификационную информацию: ФИО, паспортные данные, данные карты, телефон, адрес электронной почты, адрес, геолокацию, ИНН, сведения о здоровье, пароли. Эти данные не должны попасть в UserID, параметры визитов и посетителей, JavaScript-события, поля форм и поиска, UTM-метки, адреса и заголовки страниц.
В Вебвизоре поля, куда посетитель может ввести конфиденциальные данные, например имя, Метрика распознает и заменяет звездочками сама. Класс ym-disable-keys закрывает содержимое других полей. Класс ym-hide-content прячет любой элемент страницы: текст заменяется набором символов и размывается, графика становится серой. Если внутри скрытого блока нужно записать часть содержимого, поможет класс ym-show-content.
Проверьте сегодня: сколько иностранных получателей у вашей главной и страницы с формой
Две страницы дают первый список. Этого хватает для начала, а полный перечень получится после проверки остальных разделов.
- Откройте главную в Chrome, нажмите F12 и перейдите на вкладку Network.
- Обновите страницу и выпишите домены запросов, кроме своего.
- Повторите то же на странице с формой заявки.
- Рядом с каждым доменом запишите, чей это сервис и в какой стране находится получатель, ответ ищите в документации поставщика.
- Запишите два числа: сколько получателей за границей и сколько из них названы в вашей политике обработки данных.
Если оба числа совпадают, названные в политике получатели закрыты. Разница показывает, о каких получателях политика молчит.
Что это значит на практике: Google Analytics подключать, когда закрыты три условия
Мы бы не подключали Google Analytics на сайт, который собирает заявки россиян, пока не закрыты три условия: уведомление РКН до начала передачи, отдельное согласие посетителя и запись данных в базе в России. Причина в размере ставки: часть 8 статьи 13.11 для юрлица начинается с 1 000 000 рублей, и такой риск ради второго счетчика нам не нужен, хотя применят ли ее к счетчику, мы не знаем. Яндекс Метрику мы бы оставили, но с описанием в политике, согласием и закрытыми от Вебвизора полями.
Если на сайте есть закрытые разделы, проверьте и вход: с 7 июля 2026 года за вход через Google и Apple действует отдельная статья КоАП, подробности в заметке «Штраф за вход через Google и Apple на сайте с 07.07.2026».
Чего мы не знаем
- Какая часть статьи 13.11 применяется к конкретному счетчику. Решения РКН или суда, которое прямо связывало бы Google Analytics с частями 2 или 8, мы в открытых источниках не нашли (поиск 06.10.2026). Соединять вывод Минцифры о частях 8 и 9 с выводом о трансграничной передаче — оценка юристов, установленной практики здесь нет.
- Где хранятся данные Яндекс Метрики. В условиях сервиса сказано, что данные обрабатывают Яндекс и его аффилированные лица, места хранения в них не названы.
- Нужна ли для счетчика именно письменная форма согласия. Письмо РКН говорит «получить согласие», форму не уточняет, а часть 2 статьи 13.11 штрафует за отсутствие согласия в письменной форме там, где оно обязательно.
Частые вопросы
Есть ли отдельный штраф за Google Analytics?
Специальной нормы про Google Analytics в КоАП нет, обязанности и штрафы идут по общим нормам о персональных данных. Какая часть статьи 13.11 подойдет конкретному сайту, мы не знаем: практики по этому сервису в открытых источниках мы не нашли.
Нужен ли на сайте баннер о cookies?
В письме РКН слов «баннер» и «cookie» нет. Оно требует проинформировать посетителя, получить согласие и описать обработку в локальном акте. Как это оформить на сайте, письмо не говорит, баннер остается одним из способов.
Если оставить только Яндекс Метрику, вопрос снят?
Нет. Письмо РКН касается метрических программ вообще: информирование, согласие и описание в политике нужны и для Метрики. Про трансграничную передачу в письме сказано только о Google Analytics.
Когда подавать уведомление в РКН о передаче данных за рубеж?
До начала трансграничной передачи (часть 3 статьи 12). Уведомление направляется отдельно от уведомления о намерении обрабатывать персональные данные по статье 22, форма есть на портале персональных данных Роскомнадзора.
Материал не является юридической консультацией. Тексты норм, писем и справок сверены 06.10.2026.
Материал не является юридической консультацией. Дата обновления: 06.10.2026.
Экспресс-проверка репутации
Узнайте, что о вашей компании видно в поиске, на картах и в отзывах: срез топ-20 Яндекса, карточки Яндекс Карт и 2ГИС, отзовики, доля негатива и три первых шага.
Файл по теме: 12 проверок репутации
Проверьте, где репутация мешает выбору клиента
Мы разберём поисковую выдачу, отзывы и карточки компании, затем обозначим приоритеты без обязательства покупать сопровождение. Аудит - 14 900 ₽, отчёт за 5-7 рабочих дней.
