Да, установка счётчика аналитики на сайт — это передача данных третьей стороне: они уходят к оператору аналитической системы, а не остаются только на вашем сервере. Если вы используете аналитику, политика обработки должна это отражать.
Счётчик — это передача данных третьей стороне
Когда вы вставляете на сайт код счётчика, вы не просто собираете статистику для себя. Вы передаёте данные о посетителях внешнему сервису. Технически это обработка персональных данных третьим лицом.
Яндекс.Метрика получает IP-адрес, тип браузера, экран, время посещения, действия на сайте, иногда параметры формы и идентификаторы сессии. Google Analytics — аналогично. Это не просто агрегированная статистика, это массив данных о конкретных визитах.
С точки зрения 152-ФЗ, если эти данные позволяют идентифицировать человека, то вы передаёте персональные данные третьей стороне. А значит, на это нужно согласие пользователя, и это должно быть отражено в политике.
Что из этого — персональные данные
Всё зависит от того, что именно передаётся и связывается ли это с конкретным человеком. Статья 3 152-ФЗ определяет ПД как информацию, относящуюся к прямо или косвенно определённому или определяемому субъекту.
Если аналитика собирает только обезличенные данные, которые вы нигде не связываете с пользователем, — риск ниже. Например, агрегированные отчёты по дням без привязки к пользователям — не ПД. Технические идентификаторы сессий, не связанные с профилем, — спорная зона.
Но если вы используете идентификатор пользователя в аналитике, если можете связать поведение с конкретным человеком через его IP, email или cookie, если вы передаёте эти данные в рекламные системы для персонализации — это обработка ПД.
Особенно осторожно с IP-адресом. Роскомнадзор часто считает, что IP может быть ПД, потому что через провайдера его можно связать с человеком. Суды иногда придерживаются иной позиции. Единого ответа нет, поэтому лучше исходить из того, что в связке с другими данными IP становится идентификатором.
Cookie, которые передаются в аналитику, могут быть ПД, если они связаны с профилем пользователя. Если нет — не обязательно.
Политика конфиденциальности должна это отражать
Часть 2 статьи 18.1 152-ФЗ обязывает оператора опубликовать политику обработки персональных данных. Если вы используете аналитические сервисы, эта передача данных должна быть описана в политике.
Что именно указывать:
- какие сервисы аналитики используются (Яндекс.Метрика, Google Analytics);
- какие данные передаются этим сервисам (IP, данные о поведении, идентификаторы);
- с какой целью (анализ посещаемости, улучшение сайта);
- кто является оператором этих данных (вы или сервис);
- как пользователь может отказаться от передачи данных (настройки браузера, инструменты отключения).
Если вы это не указали, а счётчик стоит, проверка может расценить это как нарушение. Политика должна соответствовать реальной практике.
Что не стоит делать
Самая частая ошибка — молчать про использование счётчиков в политике, если они реально стоят на сайте. Счетчик есть, код на сайте установлен, данные уходят в Яндекс или Google, а в политике ни слова об этом.
Это несоответствие заявленного и фактического. Пользователь открывает политику, читает, что его данные не передаются третьим лицам, а на самом деле они передаются в аналитический сервис. Это нарушение принципа информированности — пользователь должен знать, что происходит с его данными.
Другая ошибка — считать, что аналитические данные не являются персональными по умолчанию, и поэтому их можно не упоминать. Это не так. Если данные позволяют идентифицировать человека, они ПД, независимо от того, что вы используете их только для статистики.
Полный гид по 152-ФЗ, включая требования к политике, можно найти в полном гиде по 152-ФЗ. О том, где и как правильно размещать политику, читайте в статье где размещать политику конфиденциальности. А о том, что вообще считается персональными данными на сайте, — в материале персональные данные на сайте.
Материал носит справочный характер и не заменяет консультацию юриста по конкретной ситуации.
Вопросы про аналитику и 152-ФЗ
Нужно ли указывать в политике, что я использую Яндекс.Метрику?
Да, если вы используете аналитику, это передача данных третьей стороне. В политике нужно указать, какие сервисы используются, какие данные передаются и для каких целей. Иначе это несоответствие заявленного и фактического.
Передаются ли персональные данные в Яндекс.Метрику?
Яндекс.Метрика собирает IP-адрес, данные о поведении, идентификаторы. Являются ли они персональными данными, зависит от того, можно ли по ним идентифицировать человека. Если вы связываете эти данные с профилем пользователя — да. Если нет — спорный вопрос.
Можно ли использовать Google Analytics на российском сайте?
Технически можно, но юридически это обработка данных на серверах за пределами РФ. Нужно учитывать требования 152-ФЗ о трансграничной передаче, а также доступность сервисов в России. Это не запрещено, но требует дополнительного анализа и согласия.
Что делать, если я использую аналитику, но не упомянул её в политике?
Обновить политику, добавив раздел об используемых аналитических сервисах, передаваемых данных и целях обработки. Без этого политика не соответствует реальной практике, что может быть расценено как нарушение статьи 18.1 152-ФЗ.
Похожие материалы
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 3 и 18.1 — consultant.ru
Нормы приведены по тексту 152-ФЗ, сверено 11.07.2026 и повторно 22.07.2026.