Cookie-баннер и Яндекс Метрика: когда нужно согласие и как его получить

В России нет отдельного закона о cookie. Обязанность спрашивать согласие вытекает из 152-ФЗ, и в 2026 году Роскомнадзор и суды уже применяют её к Метрике на обычных сайтах.

Почему Метрика — это персональные данные

Счётчик ставит посетителю cookie _ym_uid: она живёт год и нужна, чтобы отличать одного посетителя от другого. Вместе с ней в Яндекс уходят IP-адрес, данные об устройстве и браузере, просмотренные страницы и клики, а с Вебвизором — запись всего визита.

Показательнее всего условия самого Яндекса. В п. 5.4 условий использования Метрики (редакция от 07.08.2026) владелец сайта назван оператором персональных данных посетителей, включая cookie и данные об устройстве, а ООО «ЯНДЕКС» — лицом, которое обрабатывает их по его поручению. Там же сказано, что согласия посетителей, если их требует закон, получает владелец сайта, и по запросу Яндекса он должен показать подтверждение.

Суды смотрят так же. В деле юридического портала, которое мы разбирали в статье о согласии, суд установил обработку персональных данных через Яндекс Метрику и Google Analytics и оштрафовал владельца сайта за отсутствие согласия.

Есть и формальная причина. Поручить обработку другому лицу оператор вправе с согласия человека, если закон не говорит иного (ч. 3 ст. 6 152-ФЗ). Яндекс обрабатывает данные по поручению, значит, без согласия посетителя Метрика работать не должна.

Какие cookie можно без согласия

Без необходимых cookie сайт просто не работает, и для них обычно хватает договора с посетителем или законного интереса оператора (п. 5 и 7 ч. 1 ст. 6 152-ФЗ). Статистика посещений к работе сайта не относится.

Каким должен быть баннер

Проверьте формы и счётчики на своём сайте:

Как заставить Метрику ждать согласия

1. Уберите счётчик из шаблона и встроенных интеграций. В Тильде это поле Метрики в настройках сайта, в WordPress и Битриксе — плагин или модуль, который вставляет код. Иначе счётчик загрузится в обход баннера.
2. Удалите блок <noscript> из стандартного кода счётчика. Картинка внутри него отправляет визит в Метрику даже без JavaScript и без всякого согласия.
3. Запускайте счётчик функцией, которую баннер вызывает после «Принять». При следующих визитах баннер вызывает её сразу, если согласие уже сохранено.
4. Проверьте результат. Откройте сайт в режиме инкогнито и в инструментах разработчика на вкладке «Сеть» отфильтруйте запросы по mc.yandex. До нажатия «Принять» их быть не должно, cookie _ym_uid — тоже.

Пример функции для третьего шага. Вместо 12345678 подставьте номер своего счётчика:

// вызывается после нажатия «Принять»
function startMetrika() {
  if (window.ym) return;
  window.ym = function () { (ym.a = ym.a || []).push(arguments); };
  ym.l = Date.now();
  ym(12345678, 'init', { clickmap: true, trackLinks: true, webvisor: false });
  var s = document.createElement('script');
  s.async = true;
  s.src = 'https://mc.yandex.ru/metrika/tag.js';
  document.head.appendChild(s);
}

Вебвизор: что он записывает

По справке Метрики Вебвизор записывает содержимое страниц и действия посетителя, включая ввод в поля форм. Поля, которые Метрика сочтёт конфиденциальными, например имя и фамилию, она заменяет звёздочками, но распознаёт их сама и не всегда. При этом п. 4.1.2 условий Метрики запрещает собирать через Вебвизор пароли, платёжные данные, имена, адреса и другие данные, прямо указывающие на человека, без специальных согласий.

Что сделать:

• если записи визитов не нужны, отключите Вебвизор (webvisor: false в коде счётчика);
• в настройках счётчика на вкладке «Вебвизор» выключите «Записывать все поля» — тогда содержимое полей заменится звёздочками;
• блокам с личными данными, например личному кабинету и оформлению заказа, добавьте класс ym-hide-content, и Вебвизор не запишет их содержимое.

Что будет, если не спрашивать

Роскомнадзор находит счётчики автоматически. Юристы, которые сопровождают такие проверки, пишут, что в требованиях регулятора Метрика без согласия идёт отдельным пунктом: нужно разместить баннер с указанием Метрики, текст согласия и политику cookie. На исправление и ответ дают 10 рабочих дней.

Если дело дошло до штрафа, это ч. 1 ст. 13.11 КоАП — обработка без законного основания, для юрлица от 150 000 до 300 000 ₽. В деле юридического портала суд назначил 75 000 ₽, половину минимума: компания относится к малому бизнесу. Штраф касался и форм, и счётчиков.

Метрика делает вас оператором персональных данных даже без форм на сайте. Значит, нужно и уведомление в Роскомнадзор: за его отсутствие по ч. 10 ст. 13.11 штраф от 100 000 ₽.