«Яндекс Метрика» вне закона? Как арбитраж подтвердил обработку персональных данных через веб-аналитику и чем это грозит бизнесу

Установка счетчиков веб-аналитики долгое время воспринималась большинством владельцев сайтов как чисто техническая операция. Казалось бы, скрипт считает посещаемость, клики и отказы, не запрашивая паспортные данные или номера телефонов. Однако недавнее судебное разбирательство в Северо-Западном регионе наглядно показало: регулятор и судебная система окончательно квалифицируют сбор технической статистики и поведение пользователей на сайте как полноценную обработку персональных данных (ПДн).

Ниже представлен детальный разбор решения Арбитражного суда г. Санкт-Петербурга и Ленинградской области по делу № А56-72347/2025, а также анализ рисков для коммерческих компаний и чек-лист для предотвращения штрафов.

Фабула дела: что произошло?

Поводом для разбирательства послужило обращение Прокуратуры Центрального района Санкт-Петербурга, которая совместно с Управлением Роскомнадзора по СЗФО провела выездную проверку Государственного бюджетного учреждения ДПО «Санкт-Петербургская Академия постдипломного педагогического образования имени К. Д. Ушинского» (СПб АППО).

В ходе проверки сайта академии (spbappo.ru) регулятор выявил использование сервиса «Яндекс Метрика». По мнению РКН:

1. Инструменты метрики дают возможность выделить конкретного пользователя среди остальных (определить уникального посетителя), а также отслеживать его цифровые следы, потребительские и тематические предпочтения и поведение на страницах ресурса. В силу п. 1 ст. 3 Федерального закона № 152-ФЗ «О персональных данных» такие сведения относятся к информации о прямо или косвенно определяемом физическом лице.
2. Сам оператор сервиса в п. 18 Условий использования «Яндекс Метрики» и AppMetrica прямо закрепляет, что собираемые данные рассматриваются им как конфиденциальная информация и персональные данные.
3. На сайте академии полностью отсутствовал механизм сбора согласий на обработку данных, получаемых счетчиком, а в локальных документах организации не было правовых оснований для такой обработки по ч. 1 ст. 6 Федерального закона № 152-ФЗ.

Роскомнадзор составил в отношении СПб АППО протокол по ч. 1 ст. 13.11 КоАП РФ (незаконная обработка ПДн или обработка, несовместимая с целями сбора) и передал материалы в арбитражный суд для привлечения учреждения к ответственности.

Позиция суда: состав правонарушения доказан

Арбитражный суд города Санкт-Петербурга и Ленинградской области (решение от 27 октября 2025 года) полностью согласился с квалификацией Роскомнадзора:

• Факт нарушения установлен: Суд подтвердил, что действия учреждения образуют объективную сторону правонарушения по ч. 1 ст. 13.11 КоАП РФ. Учреждение имело реальную возможность настроить сбор согласий и привести сайт в соответствие с требованиями закона, но мер не приняло.
• Правонарушение признано малозначительным (ст. 2.9 КоАП РФ): Несмотря на доказанность вины, суд освободил академию от административного штрафа, ограничившись устным замечанием.

Почему академии удалось избежать штрафа?

Суд учел исключительный статус и мотивы субъекта: СПб АППО — бюджетное образовательное учреждение. Сбор статистики велся для анализа работы государственного ресурса, а не в коммерческих целях. Доказательств причинения реального вреда пользователям или подрыва правопорядка представлено не было, а пренебрежительного отношения к закону со стороны учреждения суд не усмотрел.

Почему бизнесу не стоит рассчитывать на малозначительность?

Для коммерческих организаций данное решение — это тревожный сигнал, а не повод расслабиться:

1. Коммерческая направленность исключает аналогию.Бизнес использует аналитику в целях маркетинга, лидогенерации, продажи товаров, таргетинга и сегментации клиентов. В аналогичной ситуации суд с высокой долей вероятности укажет на извлечение коммерческой выгоды и откажет в признании проступка малозначительным.
2. Суммы штрафов.По ч. 1 ст. 13.11 КоАП РФ юридическим лицам грозит штраф от 60 000 до 100 000 рублей (при повторном нарушении — до 300 000 рублей). Если же регулятор вменит обработку без согласия по специальному составу ч. 2 ст. 13.11 КоАП РФ или отсутствие надлежащих документов, суммы достигают сотен тысяч рублей.
3. Автоматический мониторинг РКН.Регулятор активно задействует автоматические системы анализа веб-ресурсов, способные фиксировать срабатывание скриптов аналитики до появления согласия или вовсе без него.

Как привести сайт в порядок: практические рекомендации

Чтобы легитимно использовать сервисы веб-аналитики и исключить претензии надзорных органов, операторам веб-ресурсов необходимо выполнить следующий комплекс мер:

1. Внедрить двухуровневый Cookie-баннер
   • Баннер должен появляться в момент первого визита пользователя и содержать четкий выбор: «Принять всё», «Отклонить» либо «Настроить категории».
   • Скрипты веб-аналитики («Яндекс Метрика» и аналогичные пиксели) не должны инициализировать сбор и передачу данных до явного согласия пользователя.
   • В баннере обязательно приводится активная гиперссылка на Политику конфиденциальности / Политику использования файлов cookie.
2. Актуализировать Политику конфиденциальности
   • В тексте политики необходимо явно перечислить используемые метрические системы («Яндекс Метрика» и др.).
   • Описать цели обработки (статистический анализ посещаемости, оптимизация работы сервиса, персонализация).
   • Указать категории собираемых данных (технические идентификаторы устройств, IP-адреса, параметры сессий, cookie-файлы) и сроки их хранения.
3. Разграничивать формы и согласия на страницах сайта
   • Если сайт содержит лид-формы, регистрацию или подписку, чек-боксы на обработку персональных данных и на рекламную рассылку должны быть строго раздельными. Запрещено проставлять предустановленные («зажженные») галочки или объединять несколько целей под одну кнопку.
4. Обеспечить статус оператора в РКН
   • Перед сбором персональных данных пользователей проверьте факт подачи уведомления в Роскомнадзор о начале обработки персональных данных (ст. 22 Закона № 152-ФЗ) и корректность указания категорий субъектов (посетители сайта).