Google Analytics на сайте — это трансграничная передача данных?

Имя Google Analytics в коде сайта само по себе не доказывает трансграничную передачу персональных данных. Это повод проверить, какие данные сайт реально отправляет, кому и в какую страну.

Что уходит в аналитику

В зависимости от настроек счётчик передаёт cookie-идентификатор, IP-адрес, параметры устройства и события на страницах. Являются ли эти данные персональными, зависит от того, можно ли по ним определить человека. Ответ дают реальные запросы из браузера и настройки счётчика, а не название скрипта.

Что говорит закон

Первичная запись и хранение персональных данных граждан РФ идут в базах на территории России (ч. 5 ст. 18 закона 152-ФЗ). Передача данных за границу возможна по правилам ст. 12 того же закона, и оператор заранее уведомляет о ней РКН.

26 июля 2026 года закон 265-ФЗ изменил ст. 12: страну включают в перечень государств с адекватной защитой данных, если её регулирование и меры защиты соответствуют Конвенции Совета Европы, а не по формальному участию в ней. Уведомлять РКН о передаче за рубеж по-прежнему нужно. США нет ни в прежнем перечне, ни в известных проектах нового.

Штраф нельзя выводить автоматически из факта иностранного сервиса на сайте. Сигнал о трансграничной передаче и доказанное нарушение локализации или неполное уведомление РКН не то же самое. Итоговая квалификация требует ручной юридической проверки.

Три варианта

Заменить аналитику российским сервисом. Риск снижается, но название «Яндекс.Метрика» само по себе этого не доказывает. Отсутствие передачи за рубеж подтверждают настройки, договоры и маршруты данных подрядчиков.

Оставить Google Analytics и оформить передачу. Подать в РКН уведомление о трансграничной передаче, указать получателя и страну в политике обработки данных, соблюсти условия ст. 12. Путь рабочий, но сложнее и с большим риском.

Поставить аналитику на свой сервер (Matomo, Plausible). Это исключает внешнюю передачу, только если сервер, резервные копии и подрядчики действительно находятся в выбранной юрисдикции.

Что ещё проверить

Meta Pixel*, TikTok Pixel, Hotjar, Intercom, HubSpot, зарубежные чат-виджеты и формы, которые отправляют заявки в иностранную CRM. По каждому скрипту смотрите, какие данные он отправляет, куда, по какому договору и указана ли передача в уведомлении РКН.

Источники

• Федеральный закон № 152-ФЗ, КонсультантПлюс
• Федеральный закон № 265-ФЗ от 26.07.2026
• РКН: трансграничная передача персональных данных

* Instagram, Facebook и Threads принадлежат компании Meta Platforms Inc., деятельность которой признана экстремистской и запрещена на территории Российской Федерации.