Яндекс Метрика, cookies и персональные данные: нужно ли согласие и какие штрафы в 2026 году

В апреле 2025 года мировой судья в Тюмени оштрафовал начальника IT-отдела учреждения на 10 000 ₽ — дело № 5-280/2025, суммы тогда были ниже. Форм заявки в постановлении нет — только счетчики Яндекс Метрики и Google Analytics, «позволяющие определять уникального посетителя сайта».

Суды в таких делах ссылаются на самого Яндекса: в условиях Метрики все ее данные названы персональными. Мы нашли 14 дел 2023–2026 годов по ст. 13.11 КоАП, где на сайте стояла Метрика.

Исправить это можно, но за счет статистики: счетчик, который ждет согласия, не видит тех, кто его не дал. На немецких сайтах с кнопкой отказа рядом с «Принять» так пропадало в среднем 60% данных о визитах.

Собирает ли Яндекс Метрика персональные данные

Яндекс Метрика собирает персональные данные — так сказано в ее условиях от 7 августа 2026 года. Пункт 5.3: «Все данные, собираемые и хранимые Сервисом, Яндекс рассматривает как персональные данные». По п. 5.4 это активность на сайте, cookie и данные об устройстве, а отвечает за них владелец сайта: он оператор, Яндекс — обработчик по его поручению. По п. 5.5 владелец по запросу подтверждает согласие посетителей или иное основание.

Сам закон cookie не упоминает: персональные данные в нем — любая информация, по которой человека можно определить прямо или косвенно (ст. 3 152-ФЗ). Зато Роскомнадзор (РКН) завел в форме уведомления категорию для метрических программ, а суды прямо называют такие данные персональными.

Нужно ли согласие на Метрику

На практике согласие на Метрику нужно, и до запуска счетчика. Закон разрешает обработку и без него — ради законного интереса оператора или статистики с обезличиванием (ст. 6 152-ФЗ). Но в найденных делах суды пишут, что иных оснований нет, а главная претензия — нет согласия посетителей.

С 1 сентября 2025 года согласие оформляют отдельно от других документов, так что общая галочка «Согласен с политикой и офертой», по смыслу нормы, не подходит. Плашка «Мы используем cookie» с кнопкой «Понятно» только предупреждает: в другом тюменском деле, № 5-403/2025, акционерному обществу вменили два нарушения — нет предупреждения о cookie и нет согласия.

Какие штрафы грозят в 2026 году

Штрафы — по ст. 13.11 КоАП, суммы по ч. 1 и 1.1 выросли 30 мая 2025 года. Для сайта с Метрикой важны четыре части, в тысячах рублей:

По ч. 10 должностных лиц штрафуют только в госорганах и некоммерческих организациях.

Из 14 дел (sudact.ru, n-pdn.ru, Хабр; на 20.10.2026) в 9 суд назначил штраф, в 5 заменил его предупреждением — так бывает, если нарушение первое и его нашла проверка. ИП из Москвы (дело № 05-1081/452/2025) получил 300 000 ₽ за повторное нарушение, хотя, по его словам, исправил сайт.

Владельца pravo.ru (дело № А40-342668/25) по одной проверке оштрафовали на 155 000 ₽ за отсутствие согласия, политики и уведомления, по данным юриста Александры Ершовой. Две суммы из трех суд снизил вдвое как малому бизнесу. На сайте были и формы, и счетчики.

Что поставить на сайт: уведомление, согласие, политика

Кроме уведомления в РКН (о нем ниже), сайту с Метрикой нужны:

1. Политика со ссылкой на каждой странице со счетчиком: закон требует ее там, где идет сбор. В ней — что собирает Метрика и зачем.
2. Согласие отдельным текстом с кнопками «Согласен» и «Отказаться».
3. Счетчик, который стартует только после «Согласен»: код есть в справке «Предупреждение о сборе статистики».
4. Строка о «Блокировщике Яндекс Метрики» — расширении, которым посетитель запрещает сбор (п. 5.8 условий).
5. Желательно — «Не сохранять полные IP-адреса посетителей сайта» в настройках Метрики и запрет записи полей в Вебвизоре.

Образец Яндекса — фраза «Этот сайт собирает статистику посещения и данные посетителей» и ссылка на политику. Пример баннера с названием сервиса — его стоит сверить с юристом:

«На сайте используется Яндекс Метрика. Она сохраняет cookie и собирает данные о посещении. Нажимая „Согласен“, вы разрешаете обработку этих данных по [политике]. Запретить сбор можно кнопкой „Отказаться“ или Блокировщиком Яндекс Метрики».

Уведомление в Роскомнадзор

Уведомление об обработке персональных данных подают до запуска счетчика, одно на оператора: исключений для сайта с Метрикой в ст. 22 152-ФЗ нет. Подать его можно на портале РКН через Госуслуги, в форме есть категория «Посетители сайта» и отдельная — для метрических программ.

Реестр открыт, у ИП там будут имя и адрес. Без уведомления ИП и юрлицу грозит 100–300 тыс. ₽ по ч. 10 ст. 13.11.

Сколько данных теряет сайт, если включать Метрику после согласия

Визиты, цели и записи Вебвизора тех, кто не дал согласия, в отчеты не попадают. Стратегии Директа с оплатой за конверсии, скорее всего, тоже не увидят этих конверсий.

Российских замеров на многих сайтах мы не нашли. В отчете etracker по 500 немецким сайтам (июнь 2025) при баннере с равнозначной кнопкой отказа пропадало в среднем 60% данных о визитах. Оговорка: etracker продает аналитику, которую считает не требующей согласия. На небольшом сайте сервиса аудита по 152-ФЗ визиты в Метрике за восемь дней с баннером (июнь–июль 2026 года) упали с 30–40 до 3–8 в сутки.

Свою потерю видно, если сравнить визиты в Метрике с логами сервера за те же дни, — от нового уровня и считайте основные метрики.

А Google Analytics: зарубежные базы под запретом

С 1 июля 2025 года данные граждан РФ при сборе нельзя записывать в зарубежные базы, и согласие этот запрет не снимает. РКН по Приволжскому округу называл Google Analytics нарушением еще в 2022–2023 годах. Штраф по ч. 8 ст. 13.11 — от 1 до 6 млн ₽ для ИП и юрлица. Уведомление о передаче данных за рубеж нужно отдельно, но и оно не спасает.

Вебмастеру и байеру

Каждый лендинг со счетчиком — сайт со своей политикой и согласием, уведомление в РКН остается одно на оператора. Плюс:

• пиксели рекламных систем и счетчики партнерок лучше тоже вписать в политику и запускать после согласия; на зарубежные пиксели действует запрет, как на Google Analytics;
• форме с телефоном нужно свое согласие у кнопки;
• телефон и почту нельзя передавать в UTM-метки и адрес страницы — это запрещают условия Метрики;
• по словам практика, блок согласия T972 на Tilda не пускает Метрику до клика, и визиты без согласия пропадают из статистики — так и должно быть.

Статья не юридическая консультация: нормы и практика — на 20 октября 2026 года.