Роскомнадзор о прекращении обработки персональных данных через Яндекс Метрику

Введение

В последнее время участились случаи направления операторам персональных данных требований о прекращении обработки персональных данных, осуществляемой с использованием метрических программ, в частности Яндекс Метрики. Такие требования выдаются в рамках контрольных (надзорных) мероприятий без взаимодействия с контролируемым лицом на основании Постановления Правительства РФ от 29.06.2021 № 1046.

В данной статье мы разберем типовое требование Роскомнадзора, оценим его законность и предложим пошаговый алгоритм действий для организаций, получивших подобное письмо.

1. Анализ требования Роскомнадзора: что выявлено?

На основании задания на проведение контрольного (надзорного) мероприятия от 03.08.2026 № 82-нд в период с 10.08.2026 по 11.08.2026 проведена оценка деятельности по обработке персональных данных с помощью интернет-ресурса.

В ходе осмотра сайта установлено использование метрической программы Яндекс Метрика, функционал которой позволяет определить уникального посетителя сайта, формировать сведения о его предпочтениях и поведении на сайте. Согласно Условиям использования сервиса Яндекс Метрика, все данные, собираемые и хранимые Сервисом, Яндекс рассматривает как персональные данные и конфиденциальную информацию Пользователя.

Ключевое нарушение, выявленное Роскомнадзором, — отсутствие правовых оснований обработки персональных данных, собираемых посредством метрической программы Яндекс Метрика, в соответствии с ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

2. Законность требования: правовая оценка

Требование Роскомнадзора является законным и обоснованным по следующим основаниям:

2.1. Компетенция Роскомнадзора

Управление Роскомнадзора действует в соответствии с:

• пп. 58-60 Положения о федеральном государственном контроле (надзоре) за обработкой персональных данных, утвержденного Постановлением Правительства РФ от 29.06.2021 № 1046
  

• п. 1 ч. 3 ст. 23 Закона № 152-ФЗ, согласно которому Роскомнадзор вправе давать обязательные для исполнения предписания об устранении нарушений

2.2. Правовая природа данных, собираемых Яндекс Метрикой

Согласно позиции Роскомнадзора, данные, собираемые посредством метрических программ, включая IP-адрес, сведения о поведении пользователя на сайте, предпочтениях, относятся к персональным данным. Это подтверждается и Условиями использования сервиса Яндекс Метрика.

2.3. Отсутствие правового основания

Сбор и обработка персональных данных допускаются только в случаях, предусмотренных ч. 1 ст. 6 Закона № 152-ФЗ, в частности:

• для исполнения договора (п. 5 ч. 1 ст. 6)

• для достижения целей, предусмотренных законом (п. 2 ч. 1 ст. 6)

При использовании Яндекс Метрики без получения согласия пользователей и без отражения этого факта в политике обработки персональных данных правовое основание отсутствует, что является нарушением.

2.4. Обязанность прекратить обработку

В соответствии с ч. 4 ст. 21 Закона № 152-ФЗ, в случае достижения цели обработки персональных данных либо при выявлении обработки без законных оснований оператор обязан прекратить обработку и уничтожить персональные данные в срок, не превышающий 30 дней с даты выявления нарушения-.

3. Что делать при получении требования Роскомнадзора: пошаговый алгоритм

Шаг 1. Не игнорировать требование

Непредставление или несвоевременное представление в государственный орган сведений, представление которых предусмотрено федеральным законом, влечет административную ответственность по ст. 19.7 КоАП РФ. Кроме того, нарушение законодательства в области персональных данных образует составы административных правонарушений по ст. 13.11 КоАП РФ.

Шаг 2. Провести аудит сайта

Необходимо проверить:

• Используется ли на сайте Яндекс Метрика или иные метрические программы

• Имеется ли на сайте баннер/уведомление о сборе данных с помощью метрических программ
  

• Содержит ли Политика обработки персональных данных сведения об используемых метрических программах и перечне обрабатываемых данных
  

• Получено ли согласие пользователей на обработку персональных данных

Шаг 3. Привести документацию в соответствие с требованиями

Необходимо:

3.1. Разработать или актуализировать Политику обработки персональных данных, включив в нее:

• сведения о факте использования Яндекс Метрики
  

• перечень обрабатываемых персональных данных (IP-адрес, сведения о поведении на сайте, предпочтениях и т.д.)
  

• цели обработки персональных данных

• сроки обработки и хранения

• порядок уничтожения персональных данных при достижении целей обработки

3.2. Разместить на сайте уведомление (баннер) о работе cookies и метрических программ, которое должно:

• появляться при первом визите пользователя

• содержать название метрической программы
  

• содержать ссылку на Политику обработки персональных данных

• содержать кнопку «Принять» или иное действие, явно указывающее на согласие
  

3.3. Получить согласие пользователей на обработку персональных данных, собираемых посредством Яндекс Метрики.

3.4. Если ранее не подавалось уведомление о включении в Реестр операторов персональных данных — подать его в Роскомнадзор.

Шаг 4. Прекратить обработку и уничтожить данные

В соответствии с ч. 4 ст. 21 Закона № 152-ФЗ-:

• прекратить обработку персональных данных, осуществляемую с нарушением

• уничтожить персональные данные (в том числе собранные через Яндекс Метрику)

• срок — не более 30 дней с даты выявления нарушения

Важно: для прекращения сбора данных через Яндекс Метрику необходимо:

• отключить счетчик Яндекс Метрики на сайте либо

• настроить счетчик таким образом, чтобы он не собирал персональные данные (например, отключить сбор IP-адресов, если это предусмотрено настройками сервиса)

Шаг 5. Подготовить и направить ответ в Роскомнадзор

Ответ должен содержать:

• информацию о принятых мерах по устранению нарушения

• подтверждение прекращения обработки персональных данных

• подтверждение уничтожения персональных данных

• копии документов, подтверждающих устранение нарушения (обновленная Политика, скриншот баннера и т.д.)

Ответ можно направить по электронной почте, указанной в требовании.

4. Перечень необходимых документов для устранения нарушения

Для полного устранения нарушения и подтверждения этого перед Роскомнадзором рекомендуется подготовить следующий пакет документов:

5. Ответственность за нарушения

В случае неустранения нарушения или непредставления ответа на требование Роскомнадзора предусмотрена ответственность:

• Ст. 13.11 КоАП РФ — нарушение законодательства в области персональных данных:

  • на граждан: от 2 000 до 6 000 рублей-

  • на должностных лиц: от 10 000 до 20 000 рублей

  • на юридических лиц: до 500 000 рублей-

• Ст. 19.7 КоАП РФ — непредставление сведений в государственный орган

6. Выводы

1. Требование Роскомнадзора о прекращении обработки персональных данных через Яндекс Метрику является законным, основано на Федеральном законе № 152-ФЗ и Постановлении Правительства № 1046.

2. Основная причина нарушения — отсутствие правовых оснований обработки персональных данных и неинформирование пользователей об использовании метрической программы.

3. Для устранения нарушения необходимо:

   • разработать или актуализировать Политику обработки персональных данных

   • разместить на сайте баннер с уведомлением о сборе данных

   • получить согласие пользователей

   • прекратить обработку и уничтожить данные в 30-дневный срок

   • направить ответ в Роскомнадзор

4. Игнорирование требования влечет административную ответственность и штрафы.

Нормативные правовые акты (для самостоятельного изучения)

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»

• Постановление Правительства РФ от 29.06.2021 № 1046 «О федеральном государственном контроле (надзоре) за обработкой персональных данных»

• Кодекс Российской Федерации об административных правонарушениях, ст. 13.11, 19.7

• Условия использования сервиса Яндекс Метрика: https://yandex.ru/legal/metrica_termsofuse[reference:36]