Яндекс Метрика и персональные данные: нужно ли согласие

Яндекс Метрика стоит почти на каждом российском сайте. Многие владельцы считают, что раз Метрика показывает «обезличенную» статистику, закон о персональных данных её не касается. Это не так: разбираемся, что собирает счётчик, нужно ли согласие и что написать в документах.

Что собирает Метрика

• идентификатор посетителя в cookie (_ym_uid) и связанные cookie;
• IP-адрес и примерное местоположение;
• данные браузера и устройства: модель, ОС, разрешение экрана, язык;
• адреса посещённых страниц, источник перехода, время на сайте, клики и прокрутку;
• при включённом Вебвизоре — запись действий на странице.

По отдельности это технические сведения. Но вместе они позволяют выделить конкретного посетителя и связать его визиты, а при заявке через форму — и с его именем и телефоном. Поэтому Роскомнадзор рассматривает такие данные как персональные, а сайт с Метрикой — как оператора, который их обрабатывает.

Нужно ли согласие на Метрику

Аналитика не нужна для исполнения договора с посетителем и не обязательна по закону, поэтому основным правовым основанием остаётся согласие (п. 1 ч. 1 ст. 6 152-ФЗ). Согласие должно быть конкретным, информированным, сознательным и однозначным — отсюда требования к баннеру:

• кнопки «Принять» и «Отказаться», без «продолжая пользоваться сайтом, вы соглашаетесь»;
• код Метрики загружается только после «Принять»;
• ссылка на политику, где описана Метрика;
• возможность отозвать согласие — например, «Настройки cookie» в подвале.

По условиям использования Метрики владелец сайта сам отвечает за законность сбора данных и информирование посетителей. Яндекс предоставляет инструмент, но оператором для посетителей вашего сайта остаётесь вы.

Что написать в политике

• Цель: анализ посещаемости и улучшение работы сайта.
• Данные: cookie-идентификаторы, IP-адрес, сведения о браузере и устройстве, действия на сайте.
• Основание: согласие посетителя через cookie-баннер.
• Кто обрабатывает по поручению: ООО «Яндекс», сервис Яндекс Метрика.
• Срок и отзыв: сколько хранятся данные и как отказаться («Настройки cookie», удаление cookie в браузере).

Если используются Вебвизор, цели с передачей данных в Яндекс Директ, пиксели других систем — их тоже нужно перечислить.

Как это сделано на этом сайте

На roscomaudit.ru Метрика подключена именно так: без согласия код не загружается, Вебвизор выключен, отказ и отзыв работают через «Настройки cookie» в подвале, а раздел о Метрике есть в политике обработки персональных данных. Если нужно так же на вашем сайте — настроим cookie-баннер.

Частые вопросы

Нужно ли указывать Яндекс Метрику в уведомлении Роскомнадзора?

Если данные посетителей обрабатываются с помощью Метрики, это одна из целей и способов обработки. Её стоит отразить в политике и учитывать при заполнении уведомления: цели, категории данных (идентификаторы, IP-адрес, данные устройства) и то, что обработку по вашему поручению выполняет Яндекс.

Можно ли оставить Вебвизор?

Можно, но это повышенный риск: Вебвизор записывает действия посетителя на страницах, включая взаимодействие с формами. Если он нужен, опишите его в политике отдельно и убедитесь, что содержимое полей форм не записывается. Если без него можно обойтись — лучше выключить.