Яндекс.Метрика и 152-ФЗ: что нарушает почти каждый сайт

В наших проверках Яндекс.Метрика находится примерно на каждом втором сайте и почти всегда срабатывает до того, как посетитель что-либо нажал. Это означает, что идентификаторы записаны, поведение начало собираться, а согласия никто не спрашивал.

Что именно собирает Метрика

• _ym_uid — постоянный идентификатор посетителя, живёт год
• _ym_d — дата первого визита
• _ym_isad — признак блокировщика рекламы
• _ym_visorc — служебный идентификатор Вебвизора
• IP-адрес, данные об устройстве и браузере — передаются в запросе

Постоянный идентификатор плюс IP-адрес позволяют узнавать конкретного человека между визитами. Этого достаточно, чтобы обработка подпадала под 152-ФЗ, а значит требовала основания.

Вебвизор — отдельный разговор

Вебвизор записывает движения мыши, прокрутку, клики и содержимое страницы. Если на странице есть форма, в запись может попасть то, что человек в неё вводит. Это уже не обезличенная статистика, а полноценные персональные данные, иногда чувствительные.

Как подключить счётчик законно

Правильная схема одна: код Метрики не выполняется, пока посетитель не согласился на аналитику. Не «загрузился и ждёт», а именно не выполняется.

// неправильно: счётчик стартует сразу
<script src="https://mc.yandex.ru/metrika/tag.js"></script>

// правильно: подключаем после согласия на категорию «аналитика»
function enableAnalytics() {
  const s = document.createElement('script');
  s.async = true;
  s.src = 'https://mc.yandex.ru/metrika/tag.js';
  document.head.appendChild(s);
  window.ym = window.ym || function () { (window.ym.a = window.ym.a || []).push(arguments); };
  ym(XXXXXX, 'init', { webvisor: true, clickmap: true });
}

if (consent.analytics) enableAnalytics();

Проверить результат просто: откройте сайт в инкогнито, ничего не нажимайте и посмотрите вкладку Network. Запросов к mc.yandex.ru быть не должно. Затем нажмите «Принять» — запросы появятся.

Частые отговорки и что с ними не так

«Мы включили обезличивание IP»

Обезличивание IP не убирает _ym_uid. Идентификатор всё равно связывает визиты одного человека, поэтому обработка остаётся.

«Метрика — это Яндекс, он сам всё соблюдает»

Яндекс отвечает за свою часть, вы — за свою. Оператором данных ваших посетителей являетесь вы: это вы решили поставить счётчик и определили цели обработки.

«У нас же есть баннер»

Баннер без технической блокировки не работает. Именно этот случай в наших отчётах помечается как «баннер есть, но данные уходят до нажатия кнопки» — самое частое критичное нарушение.

Что написать в политике

• что используете Яндекс.Метрику, и с какой целью — анализ поведения и улучшение сайта
• какие идентификаторы ставите и на какой срок
• что данные обрабатываются на стороне Яндекса как обработчика
• как отказаться: через настройки баннера и настройки браузера
• если помимо Метрики стоит Google Analytics — отдельно про трансграничную передачу

И главное: то, что написано в политике, должно совпадать с тем, что реально происходит на сайте. Расхождение между документом и поведением — первое, что видно при проверке.