Яндекс.Метрика и персональные данные: что проверить на сайте в 2026 году

Для большинства владельцев сайта Яндекс.Метрика - обычный счетчик: поставили код, смотрим посещаемость, глубину просмотра и конверсии. Юридическая проблема начинается в тот момент, когда этот технический взгляд подменяет вопрос о том, какие данные фактически обрабатываются, когда запускается счетчик, что сообщено пользователю и какое правовое основание используется.

В 2025 году тема перестала быть абстрактной. В нескольких судебных делах мониторинг сайта, установленная Яндекс.Метрика и отсутствие надлежащей механики согласия или иного установленного основания прямо фигурировали в материалах по статье 13.11 КоАП РФ.

Поэтому в 2026 году фраза «это всего лишь аналитика» - плохая стратегия управления риском.

Почему счетчик вообще оказался в поле зрения законодательства о персональных данных

Закон № 152-ФЗ не содержит отдельной статьи с названием «Яндекс.Метрика». Юридическая оценка строится через общие понятия персональных данных и обработки.

На практике органы и суды исследуют функциональность конкретного сервиса и обстоятельства конкретного сайта: возможность определить уникального посетителя, формирование сведений о предпочтениях и поведении, cookie, передачу данных, наличие согласия или иного правового основания и содержание политики.

Это видно не из теоретических комментариев, а из конкретных судебных актов 2025 года.

Дело № 1: Роскомнадзор мониторил сайт ООО «КСМ-Комфорт»

В решении по делу № 12-667/2025 от 8 октября 2025 года суд описывает результаты мониторинга интернет-сайта ООО «КСМ-Комфорт».

Управление Роскомнадзора выявило на сайте Яндекс.Метрику. В судебном акте указано, что ее функциональность позволяет определять уникального посетителя и формировать сведения о его предпочтениях и поведении, что было оценено как обработка персональных данных.

Одновременно Управление указало на отсутствие согласия субъектов на обработку данных, собираемых посредством метрических программ, и отсутствие иного правового основания, установленного частью 1 статьи 6 Закона № 152-ФЗ.

Здесь важен сам способ обнаружения: не жалоба пользователя на форму заказа, а мониторинг интернет-сайта.

Дело № 2: «Терминал-Рощино»

В постановлении от 25 августа 2025 года по делу № 5-403/2025 описано, что в ходе мониторинга интернет-ресурсов была выявлена Яндекс.Метрика.

В материалах указывалось на отсутствие предупреждения о сборе cookie и согласия на их использование, а также отсутствие механизма предоставления согласия пользователя на обработку персональных данных, включая метрические данные.

Суд признал вину по части 1 статьи 13.11 КоАП РФ доказанной.

Для владельца обычного коммерческого сайта это особенно показательный кейс: претензия относится не к сложной базе паспортов, а к повседневному инструменту веб-аналитики.

Дело № 3: «РЖД-Медицина» в Нижнем Новгороде

В решении № 12-515/2025 от 11 сентября 2025 года суд описывает проверку сайта медицинской организации, где были установлены Яндекс.Метрика и Google Analytics.

В акте проверки было отмечено:

• получение согласия на обработку данных через эти сервисы не было организовано;
• сведения о сборе посредством сервисов не были отражены в политике обработки персональных данных.

Этот кейс показывает второй тип ошибки: даже если на сайте есть политика как документ, она может не соответствовать фактической технической конфигурации сайта.

Дело № 4: SIZOMarket

В постановлении от 10 августа 2025 года описано, что Роскомнадзор в ходе мониторинга сети Интернет выявил сбор персональных данных на сайте и использование Яндекс.Метрики.

Функционал получения согласия на соответствующую обработку отсутствовал, как и иное установленное правовое основание. Индивидуальный предприниматель признал нарушение и пояснил, что допустил его по незнанию требований.

Это полезная деталь для бизнеса: «мы не знали» не превращает техническую конфигурацию сайта в законную.

Дело № 5: центр «Тараскуль»

В постановлении от 22 апреля 2025 года по делу № 5-280/2025 суд описывает сайт с Яндекс.Метрикой и Google Analytics, где не было предупреждения о сборе cookie и согласия на их использование, а также не было установлено иного правового основания для соответствующей обработки.

Суд квалифицировал нарушение по части 1 статьи 13.11 КоАП РФ.

Значит ли это, что Яндекс.Метрика запрещена?

Нет.

Из этих дел нельзя делать вывод «Яндекс.Метрика незаконна» или «любой счетчик автоматически означает штраф».

Корректный вывод другой: использование аналитики нужно включать в юридическую модель обработки данных на сайте, а не считать невидимым техническим исключением.

Проверять нужно совокупность обстоятельств:

• какие данные и идентификаторы возникают при работе счетчика;
• когда загружается скрипт;
• какие cookie устанавливаются;
• какое правовое основание выбрано;
• как пользователь информируется;
• есть ли необходимая механика выбора/согласия для конкретной модели;
• отражена ли аналитика в политике;
• используются ли дополнительные трекеры, пиксели и диспетчеры тегов;
• нет ли иных сервисов, меняющих картину обработки.

Почему одной надписи «мы используем cookie» может быть недостаточно

Cookie-баннер часто воспринимается как юридический амулет. Но баннер - только интерфейс. Важнее, что сайт делает технически до и после выбора пользователя.

Типичные проблемы:

1. Баннер говорит «Продолжая использовать сайт, вы соглашаетесь», но счетчики уже полностью запущены до какого-либо действия.
2. Есть кнопка «ОК», но нет реальной возможности отказаться от необязательной аналитики.
3. Кнопка «Отклонить» визуально есть, но скрипт Метрики продолжает работать.
4. Политика утверждает одно, а Google Tag Manager динамически загружает другие пиксели.
5. В документе перечислены старые сервисы, но новый маркетинговый подрядчик добавил новые теги.

Именно поэтому юридическая проверка cookie должна включать техническое наблюдение, а не только чтение текста баннера.

Как проверить Яндекс.Метрику самостоятельно

Шаг 1. Откройте сайт как новый пользователь

Используйте приватное окно и очистите существующие cookie. Посмотрите, появляется ли уведомление до начала взаимодействия.

Шаг 2. Посмотрите сетевые запросы и cookie

Через инструменты разработчика можно увидеть, какие сторонние ресурсы загружаются до выбора пользователя и после него.

Шаг 3. Нажмите «Отклонить»

Если интерфейс предлагает такой выбор, проверьте, меняется ли реальное техническое поведение страницы.

Шаг 4. Проверьте политику

Есть ли в ней актуальная информация об аналитике и фактических сервисах? Не осталась ли в тексте только Google Analytics, который уже удален, при работающей Метрике - или наоборот?

Шаг 5. Проверьте все страницы

Счетчик может быть установлен через общий шаблон, а рекламные пиксели - только на отдельных посадочных страницах или странице успешной оплаты.

Почему эта тема важна именно для Express-аудита

Базовый бесплатный аудит LegalScan прежде всего проверяет Core12 1-8 - формальные признаки блока персональных данных на одной публичной странице.

Cookie и трекеры - отдельный технический слой. Для него нужен свежий запуск расширенного Core12 1-12, который входит в Экспресс-аудит.

Экспресс имеет смысл не потому, что «платный отчет всегда лучше бесплатного», а потому что он отвечает на другой вопрос: что еще загружается и отслеживает пользователя помимо видимых форм и документов.

Если вы пока хотите проверить только базовую механику ПДн на странице, можно начать бесплатно.

Что со штрафами

В описанных судебных делах речь шла о части 1 статьи 13.11 КоАП РФ. В действующей редакции для юридического лица этот состав предусматривает 150 000-300 000 ₽ за обработку персональных данных в случаях, не предусмотренных законодательством, либо обработку, несовместимую с целями сбора, если нет другого специального состава.

Не следует писать, что «за Метрику штраф 300 тысяч». Штраф установлен не за название счетчика, а за конкретное нарушение законодательства об обработке ПДн, установленное по обстоятельствам дела.

Мини-чек-лист владельца сайта

• [ ] известно, где и как подключена Яндекс.Метрика;
• [ ] инвентаризированы GTM, пиксели и дополнительные трекеры;
• [ ] понятен момент их запуска относительно выбора пользователя;
• [ ] cookie-баннер действительно управляет поведением, если заявляет, что управляет;
• [ ] политика соответствует фактически подключенным сервисам;
• [ ] определено правовое основание обработки;
• [ ] после изменений маркетингового стека проводится повторная проверка;
• [ ] мобильная версия и отдельные посадочные страницы проверены отдельно.

Источники

• КоАП РФ, ст. 13.11: https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/
• КСМ-Комфорт, решение 12-667/2025: https://sudact.ru/regular/doc/zlKtwTmS3Pbm/
• Терминал-Рощино, постановление 5-403/2025: https://sudact.ru/regular/doc/ckPVlfENutw/
• SIZOMarket, постановление 05-1081/452/2025: https://sudact.ru/magistrate/doc/xA7tHPilKGlY/
• РЖД-Медицина, решение 12-515/2025: https://sudact.ru/regular/doc/RAoiOhDKoElq/
• Тараскуль, постановление 5-280/2025: https://sudact.ru/magistrate/doc/ire5crdKcgbK/