Яндекс Метрика, cookies и персональные данные: нужно ли согласие посетителей

Владелец сайта с Яндекс Метрикой обрабатывает данные посетителей: cookie-идентификаторы, IP-адрес, сведения о браузере и действиях на страницах. По условиям сервиса оператором персональных данных считается он, а Яндекс обрабатывает их по его поручению. Поэтому на сайте нужны политика обработки персональных данных с описанием Метрики, согласие посетителя на аналитические cookies, полученное до запуска счётчика, и уведомление Роскомнадзора об обработке. Закон не называет cookies персональными данными напрямую, поэтому формулировки документов и схему согласия стоит согласовать с юристом.

Какие данные и cookies собирает Метрика

Счётчик — это JavaScript-код, который при загрузке страницы ставит в браузер cookies и отправляет в Метрику сведения о визите:

• адрес и заголовок страницы, источник перехода, UTM-метки;
• IP-адрес, по которому определяется регион;
• браузер, операционную систему, тип устройства, разрешение экрана;
• клики, прокрутку, достижение целей, а при включённом Вебвизоре — записи действий на странице;
• анонимный идентификатор браузера, по которому повторный визит засчитывается тому же посетителю.

Полный перечень cookies с назначением и сроками Яндекс публикует в справке Метрики: «Временные файлы, устанавливаемые Яндекс Метрикой». Основные из них:

Cookie	Срок хранения	Назначение
_ym_uid	1 год	Различает посетителей
_ym_d	1 год	Хранит дату первого визита
_ym_isad	20 часов	Определяет, стоит ли у посетителя блокировщик рекламы
_ym_visorc_*	30 минут	Обеспечивает работу Вебвизора
_ym_metrika_enabled	60 минут	Проверяет корректность других cookies Метрики
_ym_hostIndex	1 сутки	Ограничивает количество запросов
yandexuid, i, yuidss	1 год	Различают посетителей (общие идентификаторы Яндекса)
is_gdpr, is_gdpr_b	До 2 лет	Отличают посетителей из зоны действия GDPR

Кроме cookies, счётчик пишет данные в localStorage браузера: например, _ym_uid и _ym<номер счётчика>_lsid тоже различают посетителей. В политике и баннере корректнее говорить не только о cookies, а о «cookies и аналогичных технологиях».

Как Метрика превращает эти данные в визиты и посетителей, разобрано в статье что такое Яндекс Метрика.

Являются ли данные Метрики персональными

Закон № 152-ФЗ «О персональных данных» (статья 3) называет персональными данными любую информацию, которая прямо или косвенно относится к определённому или определяемому человеку. Отдельно cookies в законе не упомянуты, и официального разъяснения, которое бы однозначно их классифицировало, нет. Юристы по персональным данным в большинстве исходят из того, что идентификатор в cookie вместе с IP-адресом, данными устройства и историей визитов позволяет выделить конкретного посетителя, а значит, относится к персональным данным.

Сам Яндекс закладывает ту же логику в договор. В условиях использования Метрики (редакция от 7 августа 2026 года) сказано:

• владелец счётчика — оператор персональных данных, Яндекс обрабатывает их по его поручению по части 3 статьи 6 закона № 152-ФЗ (пункт 5.4);
• владелец обязан в краткой, понятной и легкодоступной форме сообщать посетителям об обработке их данных и получать их согласие, если этого требует закон (пункт 2.1);
• по запросу Яндекса владелец в разумный срок подтверждает, что получил согласия (пункт 5.5);
• посетителей нужно проинформировать, что они могут запретить сбор данных расширением «Блокировщик Яндекс Метрики» (пункт 5.8).

Отсюда практический вывод: размещая счётчик, вы становитесь оператором персональных данных, будь вы компания, ИП или автор личного блога.

Нужно ли согласие на Метрику по 152-ФЗ

Статья 6 закона № 152-ФЗ допускает обработку персональных данных при одном из оснований. Для аналитики обсуждают три.

Основание	Подходит ли для Метрики
Согласие посетителя (п. 1 ч. 1 ст. 6)	Самый надёжный вариант. Покрывает и аналитику, и использование данных в рекламе
Исполнение договора (п. 5 ч. 1 ст. 6)	Нет. Договор с покупателем не требует аналитики, без счётчика его можно исполнить
Статистические цели при обязательном обезличивании (п. 9 ч. 1 ст. 6)	Спорно. Основание не распространяется на продвижение товаров и услуг, а Метрика узнаёт посетителя по идентификатору и связана с Директом, ретаргетингом и Яндекс Аудиториями

Ещё один довод в пользу согласия — само поручение обработки Яндексу. По части 3 статьи 6 оператор поручает обработку другому лицу с согласия субъекта, если закон не предусматривает иное.

Требования к согласию с 1 сентября 2025 года

Федеральный закон от 24.06.2025 № 156-ФЗ изменил часть 1 статьи 9: согласие должно быть конкретным, предметным, информированным, сознательным и однозначным и оформляться отдельно от иной информации и документов, которые посетитель подтверждает. Что это значит для сайта:

• согласие на аналитические cookies нельзя прятать в пользовательское соглашение, оферту или политику конфиденциальности;
• галочка, проставленная заранее, молчание, прокрутка страницы или «продолжение использования сайта» согласием не считаются;
• согласие допускается в любой форме, которая позволяет подтвердить факт его получения, поэтому клик по кнопке в баннере подходит, если вы сохраняете запись о выборе;
• доказывать, что согласие получено, обязан оператор (часть 3 статьи 9).

Письменное согласие с подписью требуется только в случаях, прямо указанных в законе, например для специальных категорий данных. Для аналитических cookies его не применяют.

Что нужно сделать владельцу сайта

Что	Основание	Как выполнить
Политика обработки персональных данных	Ч. 2 ст. 18.1 закона № 152-ФЗ	Опубликовать на сайте, ссылку держать в подвале и рядом с баннером
Согласие на аналитические cookies	Ст. 6 и 9 закона № 152-ФЗ, п. 2.1 условий Метрики	Отдельный текст согласия и баннер с кнопками «Принять» и «Отклонить»
Загрузка счётчика после согласия	Ст. 9, справка Метрики об отложенной загрузке	Запускать код Метрики только после клика «Принять»
Уведомление Роскомнадзора	Ст. 22 закона № 152-ФЗ	Подать до начала обработки через портал персональных данных Роскомнадзора
Сообщение о Блокировщике Метрики	П. 5.8 условий Метрики	Упомянуть расширение в политике или политике cookies
Минимизация данных в Метрике	Условия Метрики, справка о конфиденциальных данных	Не передавать в счётчик имена, телефоны, email; настроить Вебвизор

Уведомление Роскомнадзора

С 1 сентября 2022 года перечень исключений из обязанности уведомлять Роскомнадзор сократился: освобождены в основном обработка данных работников по трудовому законодательству, однократные пропуска на территорию и обработка без средств автоматизации. Сайт со счётчиком под исключения не подпадает, а если на нём есть формы заявок, обработка идёт и без Метрики.

Уведомление подают на портале персональных данных Роскомнадзора (pd.rkn.gov.ru) бесплатно. В нём перечисляют цели, категории данных и субъектов, правовые основания, меры защиты, сведения о местонахождении баз данных. Если оператор уже в реестре, но в уведомлении нет аналитики сайта, сведения нужно обновить.

Cookie-баннер: как сделать правильно

Баннер выполняет две задачи: сообщает, какие данные собираются и кому передаются, и фиксирует выбор посетителя. Уведомление «Мы используем cookies» с единственной кнопкой «ОК» при уже работающем счётчике выбора не даёт.

Признаки корректного баннера:

1. Появляется при первом заходе до запуска Метрики и других необязательных счётчиков.
2. Называет цели (аналитика, реклама) и сервисы, которым передаются данные: Яндекс Метрика, пиксели рекламных систем.
3. Кнопки «Принять» и «Отклонить» одинаково заметны. При нескольких категориях — переключатели, выключенные по умолчанию, и кнопка «Сохранить выбор».
4. Рядом ссылки на согласие и политику обработки персональных данных.
5. Выбор сохраняется и действует на всех страницах домена, а посетитель может изменить его позже, например по ссылке «Настройки cookies» в подвале.

Пример текста баннера:

Мы используем cookies и сервис Яндекс Метрика, чтобы анализировать посещаемость и улучшать сайт. Нажимая «Принять», вы даёте согласие на обработку персональных данных в аналитических целях. Подробнее — в политике обработки персональных данных. Кнопки: «Принять» и «Отклонить».

Справка Метрики сама называет свой образец уведомления примером и не гарантирует его соответствие закону. Тексты баннера, согласия и политики согласуйте с юристом.

Технически необходимые cookies

Cookies, без которых сайт не работает (корзина, авторизация, сохранение выбора в баннере), можно ставить без согласия на аналитику, но их тоже описывают в политике. Метрика к ним не относится: сайт работает и без неё.

Как загружать Метрику только после согласия

В справке Метрики есть раздел «Предупреждение о сборе статистики»: код счётчика откладывают, и он загружается только после согласия посетителя. Решение принимается один раз и учитывается на всех страницах домена.

Схема для сайта, где код вставлен вручную:

1. Уберите код счётчика из шаблона, включая блок <noscript> с картинкой-пикселем: он отправляет данные без JavaScript и без согласия.
2. Оберните инициализацию в функцию, которая вызывается только после клика «Принять».
3. Сохраните выбор посетителя (в cookie или localStorage) и при следующих заходах запускайте счётчик сразу, если согласие уже дано.
4. Запишите факт согласия: дату, время, версию текста, выбранные категории. Это доказательство для Роскомнадзора и для Яндекса.

<div id="cookie-banner" hidden>
  Мы используем cookies и Яндекс Метрику для анализа посещаемости.
  <a href="/soglasie">Согласие</a> · <a href="/privacy">Политика</a>
  <button id="cookie-accept">Принять</button>
  <button id="cookie-decline">Отклонить</button>
</div>
<script>
  function loadMetrika() {
    // Сюда — содержимое кода счётчика из настроек Метрики,
    // без тегов <script> и без блока <noscript>
  }
  var choice = null;
  try { choice = localStorage.getItem('analytics_consent'); } catch (e) {}
  if (choice === 'yes') { loadMetrika(); }
  else if (choice !== 'no') { document.getElementById('cookie-banner').hidden = false; }

  function saveChoice(value) {
    try { localStorage.setItem('analytics_consent', value); } catch (e) {}
    document.getElementById('cookie-banner').hidden = true;
    if (value === 'yes') { loadMetrika(); }
  }
  document.getElementById('cookie-accept').onclick = function () { saveChoice('yes'); };
  document.getElementById('cookie-decline').onclick = function () { saveChoice('no'); };
</script>

Это иллюстрация логики. Журнал согласий и отзыв согласия реализует разработчик на стороне сайта.

Через менеджер тегов, CMS и плагины

• Google Tag Manager или Яндекс Тег Менеджер. Тег Метрики запускают по событию согласия (например, по событию в dataLayer), а не на «Все страницы».
• Готовые платформы управления согласиями (CMP) и плагины CMS. Проверьте, что они блокируют скрипт до клика, а не только показывают баннер. Если счётчик вставлен ещё и плагином Метрики или в шапку сайта, он сработает в обход баннера.
• Конструкторы сайтов. Встроенные cookie-баннеры есть не везде и не всегда управляют сторонним кодом. Код Метрики, вставленный в общие настройки сайта, обычно загружается сразу.

Как вставлять код разными способами, описано в статье как установить Яндекс Метрику.

Если посетитель отказался или отозвал согласие

Справка Метрики описывает свойство, которое отключает счётчик на странице. Его задают до инициализации кода:

window['disableYaCounterXXXXXXXX'] = true; // XXXXXXXX — номер счётчика

Значение true блокирует установку cookies, сбор и отправку данных в Метрику. Это удобно, когда счётчик уже стоит в шаблоне и его загрузку сложно перенести: при отказе или отзыве согласия выставляете свойство, при согласии не выставляете. Уже поставленные cookies _ym_* после отзыва согласия можно удалить скриптом.

Как проверить, что счётчик ждёт согласия

1. Откройте сайт в режиме инкогнито и вкладку «Сеть» (Network) в инструментах разработчика.
2. До клика по баннеру не должно быть запросов к mc.yandex.ru и cookies _ym_uid, _ym_d в разделе «Приложение» (Application).
3. Нажмите «Отклонить», обновите страницу: запросов к Метрике по-прежнему нет.
4. В новом окне нажмите «Принять»: появляются запрос к mc.yandex.ru/metrika/tag.js и cookies Метрики.

Работу самого счётчика после согласия проверяют параметром ?_ym_debug=2 — подробнее в статье как проверить, работает ли Яндекс Метрика.

Что писать в политике обработки персональных данных

Политику публикуют на сайте отдельной страницей. Раздел о Метрике или отдельная политика cookies должны отвечать посетителю на вопросы:

• Кто оператор. Название организации или ФИО ИП, ИНН, адрес, контакт для обращений.
• Какие данные. Cookies и аналогичные технологии, IP-адрес, сведения о браузере и устройстве, страницы и действия на сайте, записи визитов, если включён Вебвизор.
• Цели. Анализ посещаемости и улучшение сайта; если данные Метрики используются в рекламе — оценка эффективности рекламы, ретаргетинг, построение аудиторий.
• Основание. Согласие посетителя, данное в баннере.
• Кому передаются. ООО «Яндекс», которое обрабатывает данные по поручению оператора как сервис Яндекс Метрика; ссылка на условия использования Метрики.
• Сроки. Сроки хранения cookies (до года и больше для части идентификаторов) и данных у оператора.
• Как отказаться. Отклонить или отозвать согласие в настройках cookies на сайте, удалить cookies в браузере, установить расширение «Блокировщик Яндекс Метрики».
• Права посетителя. Доступ к данным, уточнение, отзыв согласия и как отправить запрос.

Типичные ошибки: Метрика стоит на сайте, но в политике не упомянута; в тексте написано «мы не передаём данные третьим лицам» при работающем счётчике и пикселях; политика скопирована с чужого сайта с чужими реквизитами.

Текст согласия оформляют отдельно от политики: короткий документ, где перечислены оператор, цели, перечень данных, лицо, которому поручена обработка (Яндекс), действия с данными, срок действия и способ отзыва.

Вебвизор, формы и данные, которые нельзя передавать в Метрику

Условия Метрики запрещают передавать в сервис идентифицирующую информацию, кроме функций, которые прямо на это рассчитаны, например загрузки данных из CRM. В справке Метрики о конфиденциальных данных к такой информации относят ФИО, паспортные данные, данные банковской карты, телефон, email, адрес, ИНН, медицинские данные и пароли. Где их чаще всего случайно передают:

Канал	Риск	Что сделать
Вебвизор	В запись попадает содержимое полей и блоков с личными данными	Не включать «Записывать все поля», скрыть поля классом ym-disable-keys, блоки — ym-hide-content
UTM-метки	Email или телефон подставлен в utm_term или utm_content из рассылки	Размечать ссылки только названиями кампаний и каналов
URL и заголовок страницы	Имя или номер заказа в адресе страницы «Спасибо»	Убрать данные из адреса; при необходимости инициализировать счётчик с sendTitle: false
Параметры визитов и посетителей, UserID	В параметры передают email или телефон	Передавать внутренний ID из CRM, а не контакты
JavaScript-события	В название цели или параметры попадает содержимое формы	Передавать только факт отправки формы

По умолчанию Вебвизор сам распознаёт поля, куда вводят имя, фамилию и другие конфиденциальные данные, и заменяет их содержимое звёздочками, а значения полей пароля не показывает никогда. Подробная настройка классов — в статье Вебвизор в Яндекс Метрике.

Ещё несколько настроек счётчика, которые уменьшают объём данных:

• «Не сохранять полные IP-адреса посетителей сайта» — Метрика обнуляет последнюю часть IP, регион определяется менее точно.
• «Ограниченный режим» — Метрика использует только cookies на вашем домене и не собирает сторонние cookies. Часть статистики становится недоступна: данные Директа, Вебвизор, демография, поисковые фразы.
• «Использовать дополнительные настройки отслеживания» — контакты, которые посетитель вводит в формы, передаются в Метрику в хешированном виде и используются в рекламных алгоритмах. Если опция включена, укажите это в политике и тексте согласия.

Эти настройки снижают объём данных, но обязанность получать согласие и описывать Метрику в политике не снимают.

Как Метрика работает без согласия или при блокировке

Если счётчик загружается только после согласия, Метрика не получает ничего о посетителях, которые отказались или закрыли страницу, не ответив на баннер. То же происходит, когда код блокирует расширение браузера: «Блокировщик Яндекс Метрики» запрещает установку cookies и отправку данных на всех сайтах, а блокировщики рекламы часто режут и счётчики.

Что меняется	Последствие
Визиты и посетители	В отчётах меньше визитов, чем реальных заходов; первый просмотр до клика по баннеру не учитывается
Источники трафика	Визит, начатый после согласия на второй странице, может потерять исходный источник, если переход сбросил UTM-метки
Цели и конверсии	Заявки от отказавшихся посетителей не попадают в Метрику, коэффициент конверсии по сайту смещается
Директ	Клики в статистике Директа остаются прежними, а конверсий в Метрике становится меньше: стратегиям с оптимизацией по конверсиям нужно больше времени на обучение
Ретаргетинг и аудитории	Сегменты на основе Метрики формируются только из согласившихся посетителей
Вебвизор и карты	Записи и карты строятся только по визитам с согласием

Как снизить потери:

• Зафиксируйте дату внедрения баннера и сравнивайте периоды после неё между собой, а не с прошлым годом без баннера.
• Сравнивайте клики Директа с визитами Метрики. Расхождение выросло — значит, часть рекламного трафика отказывается от аналитики. Как связать счётчик с кампаниями, разобрано в статье Яндекс Метрика и Директ.
• Дублируйте ключевые конверсии в CRM. Заявки и звонки учитываются там независимо от cookies, а в Метрику их потом загружают как офлайн-конверсии.
• Делайте баннер понятным. Честное объяснение пользы и кнопка, которая не перекрывает контент, дают больше согласий, чем агрессивное окно на весь экран.

Штрафы за нарушения

Ответственность установлена статьёй 13.11 КоАП РФ. Суммы для граждан, должностных лиц и юрлиц в редакции на октябрь 2026 года:

Нарушение	Часть ст. 13.11	Граждане	Должностные лица	Юрлица
Обработка без законного основания или несовместимо с целями сбора	Ч. 1	10–15 тыс. ₽	50–100 тыс. ₽	150–300 тыс. ₽
Обработка без согласия, когда оно требуется, или согласие с нарушением требований к содержанию	Ч. 2	10–15 тыс. ₽	100–300 тыс. ₽	300–700 тыс. ₽
Повторное нарушение по ч. 2	Ч. 2.1	15–30 тыс. ₽	300–500 тыс. ₽	1–1,5 млн ₽
Политика не опубликована или к ней нет доступа	Ч. 3	1,5–3 тыс. ₽	6–12 тыс. ₽	30–60 тыс. ₽
Роскомнадзор не уведомлён или уведомлён несвоевременно	Ч. 10	5–10 тыс. ₽	30–50 тыс. ₽	100–300 тыс. ₽

ИП по части 3 отвечают в отдельном диапазоне 10–20 тыс. ₽, по части 10 — как юрлица, по остальным частям — как должностные лица. Конкретную сумму определяет орган, который рассматривает дело. Перед изменением документов сверьте актуальную редакцию КоАП и 152-ФЗ.

Частые вопросы

Нужно ли согласие, если на сайте нет форм и я ничего не продаю?

Да, если на сайте стоит Метрика. Персональные данные собирает сам счётчик: cookie-идентификаторы, IP-адрес, сведения об устройстве. Наличие форм влияет только на объём документов, а не на сам факт обработки.

Достаточно ли описать Метрику в политике конфиденциальности без баннера?

Политика выполняет обязанность информировать посетителей, но согласием не является. С 1 сентября 2025 года согласие оформляют отдельно от других документов, поэтому строка в политике вида «используя сайт, вы соглашаетесь» его не заменяет.

Можно ли считать согласием продолжение работы с сайтом?

Нет. Закон требует однозначного согласия, а прокрутку страницы, бездействие или закрытие баннера крестиком однозначно трактовать нельзя. Нужно активное действие — нажатие «Принять» или включение переключателя.

Нужно ли отдельное согласие на Вебвизор?

Отдельный баннер не обязателен, если согласие на аналитические cookies прямо упоминает запись действий посетителя на сайте. Включённый Вебвизор опишите в политике и проверьте, что поля с контактами скрыты.

Как подтвердить Яндексу, что согласия получены?

Условия Метрики позволяют Яндексу запросить такое подтверждение. Храните журнал согласий: дату и время, версию текста, выбранные категории, обезличенный идентификатор посетителя. Логи баннера без самих фактов выбора этого не докажут.

Что делать, если сайт работает и на посетителей из ЕС?

Для них дополнительно действует GDPR. В настройках счётчика есть опция «Подтвердить согласие с Договором об обработке данных в Яндекс Метрике» для компаний, обязанных соблюдать GDPR, а Метрика отмечает посетителей из зоны его действия cookies is_gdpr. Требования к согласию по GDPR обсудите с юристом, знакомым с европейским правом.

Отличается ли ситуация с Google Analytics?

Да. Данные Google Analytics хранятся на зарубежных серверах, поэтому добавляются вопросы трансграничной передачи и локализации первичного сбора данных в России. Подробнее — в статье Яндекс Метрика или Google Analytics.

Нужно ли согласие при загрузке клиентских баз в Яндекс Аудитории?

Да, но это отдельная обработка: вы передаёте Яндексу телефоны и email клиентов, и согласие должно покрывать такую передачу.