Яндекс.Метрика до согласия посетителя: чем грозит сайту

Если Яндекс.Метрика отправляет данные о посетителе — IP-адрес, cookie, идентификатор устройства — до того, как он подтвердил согласие на обработку персональных данных, сайт нарушает 152-ФЗ. Владельцу грозит штраф по ст. 13.11 КоАП РФ, обращение в Роскомнадзор и репутационный риск в B2B-сделках, где партнёр проверяет соответствие сайта закону перед подписанием договора.

Почему Яндекс.Метрика запускается раньше согласия посетителя

Интернет-магазин мебели в Балашихе запускает рекламную кампанию в понедельник в 9 утра. К обеду маркетолог открывает Метрику — отчёт по кампаниям уже собирает визиты и клики. В правом нижнем углу сайта висит баннер «Мы используем cookie», но он ни на что не влияет: счётчик вставлен в код head вместе с остальными тегами и отправляет первый хит на mc.yandex.ru ещё до того, как посетитель успел прочитать баннер, не то что нажать «Принять».

Баннер в этой схеме — декорация. Он появляется, показывает текст, иногда исчезает через несколько секунд или после любого клика по странице, но не блокирует ни один скрипт. Так происходит на сайтах, где баннер добавлял один подрядчик, а аналитику настраивал другой, и между ними не было технической связи: согласие живёт в интерфейсе, а счётчик — в коде, и друг о друге они не знают.

Второй частый вариант — Google Tag Manager. Тег Метрики в нём стоит на триггере «All Pages», который срабатывает при загрузке любой страницы, вместо триггера, привязанного к событию согласия. Пока никто не проверил конкретно эту настройку, ошибка остаётся невидимой: в интерфейсе GTM всё выглядит рабочим, отчёты в Метрике заполняются, и повода что-то менять формально нет — пока не придёт жалоба или проверка со стороны.

Третий вариант — отдельные виджеты. Чат на сайте, форма обратного звонка или калькулятор стоимости часто подключаются как встроенный код от другого сервиса, и внутри этого кода нередко сидит собственный вызов Метрики для отслеживания конверсий. Разработчик сайта об этом вызове может не знать вовсе, потому что код пришёл готовым блоком от подрядчика виджета.

В B2B-сегменте эта ошибка живёт особенно долго, потому что её никто не ищет специально: рекламный кабинет считает конверсии, отчёт по трафику собирается, воронка в CRM работает. Формальный признак проблемы — незаблокированный счётчик — не влияет ни на одну метрику, которую смотрит маркетолог, поэтому обнаруживают его обычно не изнутри компании, а снаружи: жалобой пользователя, запросом контрагента или проверкой Роскомнадзора.

Чем это грозит владельцу сайта по 152-ФЗ

IP-адрес и cookie-идентификатор не всегда напрямую названы в законе персональными данными, но Роскомнадзор и судебная практика трактуют их как сведения, которые в сочетании с другими метками — email из формы, телефон из заявки — позволяют опознать конкретного человека. А значит, их сбор подпадает под требования 152-ФЗ: обработка возможна только при законном основании, и для маркетинговой аналитики таким основанием почти всегда служит согласие.

Ставка конкретная. По ст. 13.11 КоАП РФ штраф для юридического лица за обработку персональных данных без законных оснований — от 60 000 до 100 000 рублей за первое нарушение, при повторном — заметно больше. Для B2B в Москве добавляется второй риск: крупный заказчик или госструктура перед подписанием договора запрашивают у подрядчика подтверждение соответствия сайта 152-ФЗ, и найденный незаблокированный счётчик срывает сделку ещё на этапе проверки, до всякого штрафа.

Третий риск тише, но дороже: жалоба одного внимательного посетителя в Роскомнадзор запускает проверку, которая смотрит не только на Метрику, а на весь сайт целиком — форму заявки, CRM-виджет, рассылку, хранение данных клиентов. Разбирательство по одному счётчику превращается в ревизию всей цепочки обработки персональных данных, а это уже не час работы программиста, а недели переписки с ведомством и юристом. Для компании, которая готовится к сделке слияния, привлечению инвестиций или тендеру с проверкой due diligence, найденное нарушение на этапе проверки документов откладывает сам процесс — партнёр хочет видеть закрытый вопрос, а не обещание закрыть его позже.

Как исправить: блокировка счётчика до согласия

Техническая блокировка скрипта

Код Метрики должен загружаться не по событию открытия страницы, а по событию «пользователь нажал Принять». Проще всего вынести вызов счётчика в функцию, которая срабатывает после того, как в cookie или localStorage появится флаг согласия. В Google Tag Manager это делается через триггер на пользовательское событие, которое баннер согласия отправляет при клике, — вместо триггера «All Pages», который срабатывает всегда.

Юридическое оформление согласия

Баннер должен явно называть, что собирается — cookie, IP, данные о поведении — и с какой целью: аналитика, реклама, персонализация. Кнопки «Принять» и «Отклонить» должны быть отдельными, без предустановленной галочки, иначе согласие не считается явным. Сам факт согласия стоит логировать: дата, время, версия текста политики, чтобы при проверке было чем подтвердить законность обработки, а не объяснять на словах постфактум.

Проверка результата

После правки стоит проверить эффект напрямую, а не поверить конфигурации на слово. Открыть сайт в режиме инкогнито, включить вкладку Network в браузере, отфильтровать запросы по mc.yandex.ru и перезагрузить страницу, не нажимая на баннер. Если запрос к счётчику не уходит до клика «Принять» — блокировка работает. Проверять стоит на каждом типе страницы отдельно: главная, карточка товара, лендинг под рекламу, форма заявки — настройка, рабочая на одной странице, не гарантированно работает на остальных.

Если внутренней команды на такую доработку нет, точечную настройку — блокировку счётчика до согласия и логирование — можно заказать как разовую техническую работу: сисадминские задачи в ukved.ru стоят от 3800 руб/час, актуальные условия на странице цены и тарифы. Обнаружить проблему до жалобы пользователя или проверки Роскомнадзора помогает аудит сайта по 9 направлениям — один из блоков там проверяет соответствие сайта требованиям законодательства РФ, включая работу счётчиков аналитики до и после согласия.

Что делать, если ошибка повторяется

Через месяц после исправления главной страницы жалоба повторяется: пользователь пишет, что счётчик снова стартует раньше баннера. Проверка показывает — на лендинге для новой рекламной кампании, который верстали отдельно от основного шаблона, код Метрики вставлен вручную и живёт своей жизнью, не зная об общей настройке согласия.

Причина рецидива обычно одна из трёх. Кеш CDN или браузера отдаёт старую версию страницы со старым кодом, хотя правку уже выкатили в продакшен. На сайте есть отдельные лендинги, формы или виджет чата, которые тянут свой экземпляр счётчика в обход общей настройки согласия. Либо правку внесли в Google Tag Manager, но забыли про статический код, оставшийся в шаблоне «на всякий случай» с прошлой настройки, — и он продолжает работать параллельно с новой схемой.

Отдельная ситуация — редизайн или переезд на новую CMS. Верстальщик переносит шаблоны один за другим, и в спешке копирует старый блок аналитики без консент-обвязки, потому что визуально страница выглядит готовой, а проверка согласия в чек-лист приёмки не входила. Ошибка возвращается ровно там, где её уже один раз исправили, только на новой платформе.

Проверять нужно не одну страницу, а весь сайт целиком: посадочные под рекламу, поддомены, мобильную версию, если она собирается отдельно от десктопной. Точечная проверка одной страницы даёт ложное чувство, что всё исправлено, пока проблема сидит ещё на десяти других шаблонах. Здесь и нужен полный аудит сайта — он проходит по всем шаблонам и поддоменам, а не только по главной странице.

Как предотвратить повторный запуск Метрики без согласия

Разовое исправление снимает симптом, но не причину, если процесс публикации новых страниц остаётся прежним. Три вещи держат ситуацию под контролем.

• ✓Чек-лист для новых лендингов и шаблонов, где пункт «счётчики не грузятся до согласия» стоит рядом с проверкой вёрстки и адаптивности, а не существует отдельным документом, до которого никто не доходит.
• ✓Один ответственный за настройку аналитики на сайте, а не «кто делал ту кампанию, тот и добавил счётчик» — распределённая ответственность означает, что за конфигурацию согласия не отвечает никто конкретно.
• ✓Регулярная проверка вместо разовой: каждый новый подрядчик по вёрстке, новый виджет или интеграция с CRM способен снова вставить счётчик в обход общей настройки, и полагаться на память о разовом исправлении полугодовой давности не стоит.

Работает и простая автоматизация: скрипт-монитор, который раз в неделю открывает ключевые шаблоны сайта в режиме инкогнито и проверяет, не ушёл ли запрос к mc.yandex.ru раньше клика по согласию, ловит рецидив за считаные дни, а не через жалобу пользователя месяцы спустя. Компаниям, которые обновляют сайт часто — новые акции, лендинги под рекламу, сезонные страницы, — есть смысл закладывать проверку соответствия 152-ФЗ в регулярный аудит, а не вспоминать о ней после жалобы или запроса от контрагента. Актуальные условия — на странице цены и тарифы.

❓ Частые вопросы

Как проверить, отправляет ли Яндекс.Метрика данные до согласия посетителя?

Откройте сайт в режиме инкогнито, включите вкладку Network в браузере, отфильтруйте запросы по mc.yandex.ru и перезагрузите страницу, не нажимая на баннер согласия. Если запрос к Метрике уходит раньше клика «Принять» — счётчик работает без согласия, и это нужно исправлять.

Обязательно ли по закону получать согласие на Яндекс.Метрику?

Да. Метрика собирает IP-адрес, идентификаторы cookie и данные о поведении, которые вместе с другими сведениями позволяют опознать посетителя — это персональные данные по 152-ФЗ. Без согласия их обработка законна только в узком перечне исключений, к маркетинговой аналитике не относящемся, поэтому явное согласие обязательно.

Достаточно ли просто добавить баннер cookie-согласия, чтобы закрыть проблему?

Нет, если баннер не блокирует загрузку скрипта счётчика. Визуальная плашка без технической привязки к согласию не останавливает передачу данных — Метрика продолжает работать в фоне. Юридически такое согласие считается формальным и не защищает владельца сайта при проверке или жалобе пользователя.

Сколько стоит устранить проблему с преждевременным запуском Метрики?

Точечная техническая доработка — блокировка счётчика до согласия и настройка логирования — оплачивается по часовой ставке сисадмина от 3800 руб/час. Если нужно проверить весь сайт целиком, включая лендинги и поддомены, надёжнее заказать комплексный аудит по 9 направлениям с проверкой соответствия 152-ФЗ.

Как часто нужно проверять сайт на подобные ошибки?

После каждого крупного обновления — новый лендинг, смена подрядчика по вёрстке, новый виджет чата или CRM-форма — стоит перепроверять, не появился ли отдельный экземпляр счётчика в обход общей настройки согласия. Компаниям с частыми запусками landing-страниц разумно закладывать такую проверку в регулярный аудит раз в квартал.