И Яндекс.Метрика, и Google Analytics технически делают одно и то же: ставят cookie с идентификатором посетителя, фиксируют IP-адрес, отслеживают переходы по сайту. С точки зрения обработки персональных данных оба счётчика требуют согласия посетителя — разница между ними не в этом, а в том, куда уходят данные дальше.
Общее требование: согласие нужно в любом случае
Идентификатор посетителя, IP-адрес и история поведения на сайте, которые собирает любой счётчик аналитики, — это персональные данные по определению 152-ФЗ. То, что данные обезличены на уровне отчётов (маркетолог видит агрегированную статистику, а не карточку конкретного человека), не снимает требования о согласии: обработка происходит на уровне сбора, а не на уровне того, как потом смотрят отчёт.
Это значит, что скрипт счётчика — что Метрики, что Analytics — должен подключаться после согласия посетителя, точно так же, как любой другой трекинговый cookie, о чём подробно рассказано в отдельной статье про cookie-баннеры.
В чём разница между Метрикой и Analytics
Разница — в трансграничной передаче. Серверы Яндекс.Метрики физически расположены в России, поэтому данные посетителей не покидают страну — вопрос трансграничной передачи для неё не возникает вообще. Google Analytics хранит и обрабатывает данные на серверах за пределами России, а значит, его использование дополнительно требует того же, что и любой другой зарубежный сервис: возможного уведомления Роскомнадзора о трансграничной передаче и явного упоминания в политике конфиденциальности, куда именно уходят данные.
| Яндекс.Метрика | Google Analytics | |
|---|---|---|
| Нужно согласие посетителя | да | да |
| Трансграничная передача | нет | да |
| Упоминание в политике как зарубежного получателя | не требуется | требуется |
Расширенная электронная коммерция и передача PII
Отдельный риск возникает, когда в счётчик аналитики через события отправляют не только техническую информацию, но и фрагменты личных данных: например, e-mail или телефон в параметрах события «Отправка формы». Это уже прямая передача персональных данных в чистом виде, а не косвенная идентификация через IP, и требования к согласию здесь ещё строже — такая практика без явного основания нарушает закон почти наверняка.
Что стоит проверить на своём сайте
- Подключается ли счётчик аналитики до согласия посетителя или после
- Указан ли Google Analytics (если он используется) в политике конфиденциальности как получатель данных за рубежом
- Не передаются ли в события аналитики email, телефон или другие идентифицирующие данные напрямую
Бесплатный сканер находит счётчики аналитики на сайте по сигнатурам их кода и показывает, какие из них — зарубежные, с указанием владельца и того, что именно они получают.