Cookie-баннер и Яндекс Метрика по 152-ФЗ: как сделать

Баннеры «Мы используем cookie» в 2025–2026 годах появились почти на всех российских сайтах. Одни владельцы поставили их, потому что «так делают все», другие — после письма от юриста или проверки. При этом в законе № 152-ФЗ слово «cookie» не встречается ни разу, и единого официального шаблона баннера нет. Разберёмся, откуда взялось требование, что действительно нужно сделать сайту с Яндекс Метрикой и как настроить баннер так, чтобы он защищал от претензий и не обнулял аналитику.

Почему cookie считают персональными данными

Персональные данные по 152-ФЗ — любая информация, относящаяся прямо или косвенно к определённому или определяемому человеку. Сам по себе cookie-файл с настройкой языка интерфейса ничего о человеке не говорит. Но аналитические и рекламные cookie содержат уникальные идентификаторы, которые в связке с IP-адресом, характеристиками устройства, историей посещений и данными из форм позволяют выделить конкретного пользователя. Поэтому в практике Роскомнадзора и судов такие данные всё чаще рассматриваются как персональные — а значит, на их обработку распространяются требования закона: основание обработки, информирование, политика, локализация.

Что именно собирает Яндекс Метрика

Метрика ставит собственные cookie с идентификатором посетителя, фиксирует IP-адрес, данные устройства и браузера, источник перехода, просмотренные страницы, а при включённом Вебвизоре — движения мыши, клики и прокрутку. В настройках счётчика есть параметры, влияющие на объём собираемых данных: запись содержимого полей форм в Вебвизоре, передача параметров посетителей, электронная коммерция с данными заказов. Это мощный инструмент, и именно поэтому его включение стоит связать с согласием пользователя.

• Проверьте настройки Вебвизора: запись содержимого полей ввода должна быть отключена или ограничена, чтобы телефоны и e-mail не попадали в записи сессий.
• Не передавайте в параметры визитов и цели имена, телефоны и e-mail в открытом виде.
• Ограничьте доступ к счётчику: у кого есть роль администратора и кто может смотреть Вебвизор.
• Проверьте, кому из подрядчиков выдан гостевой доступ, и отзовите лишний.

Три модели баннера

Тренд 2025–2026 годов — переход ко второй и третьей моделям. Информационный баннер без возможности отказаться и с уже запущенной аналитикой даёт иллюзию соответствия: формально пользователя уведомили, но обработка началась до того, как он что-либо прочитал.

Как сделать баннер, который не убивает аналитику

1. Загружайте Метрику только после согласия. Технически это скрипт, который проверяет сохранённый выбор пользователя и только тогда вставляет код счётчика. Если согласие дано на прошлом визите, счётчик стартует сразу.
2. Делайте баннер ненавязчивым, но заметным. Плашка внизу экрана, которая не закрывает контент и не мешает работать с сайтом, получает больше согласий, чем агрессивный оверлей, который хочется закрыть крестиком.
3. Кнопки равнозначны по доступности. «Принять» и «Отказаться» должны быть одинаково просты. Спрятанная в настройки кнопка отказа выглядит как манипуляция.
4. Пишите по-человечески. «Мы используем cookie для статистики посещений, чтобы улучшать сайт. Подробнее — в политике cookie». Без юридических простыней в самом баннере.
5. Запоминайте выбор надолго. Повторять вопрос на каждой странице — верный способ получить отказ.
6. Дайте возможность изменить решение. Ссылка «Настройки cookie» в футере.

На нашем сайте сделано именно так: скрипт согласия загружает Яндекс Метрику только после того, как пользователь принял аналитические cookie, а политика опубликована на странице /cookies. Если хотите посмотреть, как это работает, откройте сайт в режиме инкогнито.

Сколько данных теряется

Доля посетителей, которые принимают cookie, сильно зависит от дизайна баннера и аудитории, поэтому универсальной цифры нет. Посчитать потери для своего сайта просто: сравните число визитов в Метрике с числом запросов к страницам в логах сервера до и после внедрения баннера. Для принятия решений обычно хватает и неполных данных: тренды, конверсия по источникам и поведение на ключевых страницах остаются видны. Если для вас критична полнота, обсудите с юристом и разработчиком серверную аналитику по логам без идентификации пользователей.

Что должно быть в политике cookie

• Какие категории cookie используются и для чего.
• Какие сторонние сервисы ставят cookie: Яндекс Метрика, рекламные системы, виджеты.
• Сроки хранения cookie.
• Как отказаться и изменить решение: ссылка на настройки на сайте и в браузере.
• Ссылка на общую политику обработки персональных данных.
• Контакты оператора для вопросов.

Политику cookie удобно оформить отдельным разделом общей политики обработки ПДн. Черновик можно собрать в нашем генераторе политики обработки ПДн, а затем адаптировать под список ваших сервисов.

Чего не стоит делать

• Ставить зарубежные системы аналитики и пиксели социальных сетей: кроме вопросов согласия, возникает проблема первичного сбора данных за рубежом. Подробнее — в статье о локализации ПДн и иностранных сервисах.
• Копировать баннер с европейского сайта с отсылками к GDPR: он не соответствует российскому закону и путает пользователей.
• Показывать баннер, но не проверять в коде выбор пользователя. Это хуже, чем отсутствие баннера: вы фиксируете отказ и всё равно собираете данные.
• Закрывать баннером форму заявки или кнопку звонка на мобильных. Это прямая потеря заявок.

Чек-лист внедрения

Как устроен баннер технически

Логика согласия укладывается в несколько десятков строк кода, но в ней легко ошибиться. Рабочая схема для сайта с Яндекс Метрикой выглядит так:

1. Код счётчика Метрики не вставляется в шаблон страницы напрямую. Вместо него подключается небольшой скрипт согласия.
2. Скрипт проверяет, есть ли сохранённое решение пользователя (например, в собственном cookie или localStorage с датой и версией политики).
3. Если решения нет — показывает баннер и ничего не загружает.
4. При нажатии «Принять» сохраняет решение и динамически подключает счётчик Метрики и другие скрипты выбранных категорий.
5. При нажатии «Отказаться» сохраняет отказ; аналитика не загружается, баннер больше не показывается.
6. Ссылка «Настройки cookie» в футере сбрасывает решение и снова показывает выбор.
7. При изменении политики версия увеличивается, и пользователь видит баннер повторно.

Проверка простая: откройте сайт в режиме инкогнито, откройте инструменты разработчика и убедитесь, что до нажатия кнопки нет запросов к mc.yandex.ru и другим аналитическим доменам, а после — появляются. Повторите проверку на мобильном устройстве и после отказа.

Если на сайте работают сторонние виджеты — карты, видеоплееры, онлайн-чаты, кнопки соцсетей, — они тоже могут ставить собственные cookie. Видео и карты можно загружать по клику пользователя: вместо встроенного плеера показывается превью с кнопкой, и только после нажатия подключается внешний код. Это заодно ускоряет загрузку страницы.

Если нужно внедрить баннер с корректной блокировкой Метрики и рекламных скриптов, обратитесь к нам: это небольшая доработка в рамках поддержки сайта. Общий список требований к сайту — в статье «152-ФЗ: что обязан сделать сайт» и в чек-листе 152-ФЗ. Для защиты от внедрения посторонних скриптов на страницы пригодится генератор заголовка CSP.