Собирает ли Яндекс Метрика персональные данные?

Метрика присваивает посетителю идентификатор, связывает его с IP-адресом, устройством и историей визитов, а Вебвизор записывает действия на странице. По таким данным посетителя можно выделить, поэтому на практике это обработка персональных данных, и о ней нужно сообщить в политике и спросить согласия до запуска счётчика.

Нужно ли уведомление о трансграничной передаче для Яндекс Метрики?

Нет: Метрика — сервис российской компании, данные обрабатываются в России. Для Google Analytics — нужно: данные уходят Google, а США не входят в число стран с адекватной защитой, поэтому уведомление подаётся заранее и передачу можно начать не раньше чем через 10 рабочих дней.

Яндекс Метрика и 152-ФЗ: какие данные она собирает и что с этим делать

Марк Голдин, юрист · 23 сентября 2026

Метрика стоит почти на каждом российском сайте, и почти на каждом подключена так, что начинает собирать данные раньше, чем посетитель успел что-то прочитать. Разбираем, какие данные она на самом деле собирает, что с этим делать по 152-ФЗ и чем отличается ситуация с Google Analytics.

Коротко

Метрика собирает данные, по которым можно выделить посетителя. На практике это обработка персональных данных.
Нужны три вещи: упомянуть Метрику в политике, спросить согласия в cookie-баннере и не запускать счётчик до согласия.
Трансграничной передачи при использовании Метрики нет. С Google Analytics — есть, и это отдельное уведомление в Роскомнадзор.

Какие данные собирает Яндекс Метрика

Идентификатор посетителя (ClientID) в cookie _ym_uid — по нему Метрика узнаёт человека при следующем визите;
IP-адрес, по которому определяется город;
устройство, браузер, разрешение экрана, язык;
откуда пришёл — поисковый запрос, реклама, ссылка;
что делал — просмотренные страницы, клики, прокрутка, время;
запись сеанса в Вебвизоре — движения мыши, клики и, если не настроено иначе, то, что человек вводит в поля форм.

Имени и телефона среди этого нет. Но связка «постоянный идентификатор + IP + история» позволяет выделить конкретного посетителя, а если он оставил заявку и вы сопоставляете ClientID с заявкой в CRM — ещё и назвать его по имени. Поэтому данные Метрики на практике рассматриваются как персональные.

Что нужно сделать, если на сайте стоит Метрика

Назвать Метрику в политике. Цель (анализ посещаемости), состав данных (идентификатор, IP, сведения об устройстве и действиях на сайте), сервис и его владелец (ООО «ЯНДЕКС»), срок, как отказаться.
Спросить согласия. В cookie-баннере кнопка «Принять все» включает аналитику, «Только необходимые» — нет. Подробно — в статье о cookie-баннере.
Не запускать счётчик до согласия. Код Метрики вызывается из функции, которую запускает кнопка «Принять все», а не стоит в шапке сайта.
Зафиксировать согласие — дата, IP, выбор, текст уведомления.
Настроить Вебвизор. Проверьте в настройках счётчика, не пишет ли он содержимое полей ввода, и скройте поля с телефоном, почтой и комментариями — для этого в Метрике есть служебные классы (например, ym-hide-content).
Не передавать в Метрику контакты. Телефоны, почты и имена не должны уходить в параметры визитов, цели и электронную коммерцию.

Нужна ли трансграничная передача для Метрики

Нет. Метрика — сервис российской компании, данные обрабатываются на серверах в России. Уведомлять Роскомнадзор о трансграничной передаче из-за Метрики не нужно. А вот указать в политике, что данные передаются сервису веб-аналитики, — нужно.

Google Analytics и 152-ФЗ

С Google Analytics всё строже. Данные посетителей уходят Google на серверы за рубежом — это трансграничная передача (ст. 12 152-ФЗ). США не входят в список стран с адекватной защитой персональных данных. Значит:

до начала передачи нужно подать в Роскомнадзор уведомление о трансграничной передаче;
начать передачу можно не раньше чем через 10 рабочих дней, если Роскомнадзор её не запретил или не ограничил;
нужны согласие в cookie-баннере и упоминание в политике — так же, как для Метрики.

Передача без уведомления, как правило, квалифицируется по ч. 1 ст. 13.11 КоАП РФ — 150–300 тысяч рублей для организаций. Самый простой выход — оставить только Метрику. То же касается Google Tag Manager, через который часто подключены и другие зарубежные теги. Подробно — в статье о трансграничной передаче.

Как проверить свой сайт

Откройте сайт в режиме инкогнито, нажмите F12, вкладка «Сеть».
Не трогая баннер, обновите страницу и введите в фильтр mc.yandex и google-analytics / googletagmanager.
Если запросы есть до нажатия «Принять все» — счётчик работает без согласия.
Откройте политику и найдите в ней слово «Метрика» или «веб-аналитика».

Наша бесплатная проверка делает это автоматически: находит Google Analytics, Tag Manager и другие зарубежные счётчики, отдельно отмечает российские и смотрит, ставятся ли отслеживающие cookie до согласия.

Частые вопросы

Можно ли отключить Вебвизор и не спрашивать согласия?

Нет. Идентификатор посетителя и IP-адрес Метрика собирает и без Вебвизора. Отключение Вебвизора уменьшает объём данных, но не отменяет необходимость согласия.

Упадёт ли статистика, если ждать согласия?

Да, часть посетителей нажмёт «Только необходимые», и их визиты не попадут в отчёты. Это цена законной аналитики; тренды и конверсии при этом остаются видны.

Нужно ли согласие на обработку персональных данных для Метрики в форме заявки?

Нет, это разные вещи. Согласие на Метрику даётся в cookie-баннере, согласие на обработку заявки — галочкой у формы. Смешивать их в один чекбокс не нужно.

Проверьте свой сайт — девять проверок по 152-ФЗ, полный отчёт бесплатно и без регистрации.

Я принимаю условия оферты, даю согласие на обработку персональных данных и подтверждаю, что у меня есть законные основания проверять указанный сайт.

Средняя проверка занимает 1–3 минуты. Результат доступен сразу, почту и телефон спрашивать не будем.

Сервис не проверяет объекты критической информационной инфраструктуры (187-ФЗ). Если перед сайтом стоит защита от автоматического сканирования — Cloudflare, DDoS-Guard и подобные, — я об этом сообщу и объясню, что делать.

Автор: Марк Голдин, юрист →