С лета 2025 года в профильных СМИ пишут, что GA «запретили». Технически это не так: сервис открывается, код работает, данные собираются.
Но поправки к закону о персональных данных сделали Google Analytics в России юридическим риском для сайтов, работающих на российскую аудиторию. Разбираем, что именно изменилось, где спорные места и какие есть варианты.
Статья — обзор требований для маркетологов и владельцев сайтов, а не юридическая консультация. Решение по конкретному проекту принимайте вместе с юристом.
Коротко:
- Прямого запрета на GA4 в законе нет. Есть требование собирать персональные данные россиян в базы на территории России — с 1 июля 2025 года.
- GA4 отправляет данные из браузера посетителя напрямую на серверы Google за рубежом.
- Главный спор — считать ли cookie и IP персональными данными и что считать первичным сбором.
- Штраф за нарушение локализации для компаний — от 1 до 6 млн ₽, за повторное — до 18 млн ₽.
- Самый безопасный путь для российской аудитории — Яндекс Метрика без GA4.
Что изменилось с 1 июля 2025 года
Федеральный закон от 28.02.2025 № 23-ФЗ изменил часть 5 статьи 18 закона «О персональных данных» (152-ФЗ). Раньше там тоже было требование локализации, но с оговорками.
Новая редакция прямо запрещает использовать базы данных за пределами России при сборе персональных данных граждан РФ — для записи, систематизации, накопления, хранения, уточнения и извлечения.
Что важно: ограничение касается первичного сбора. Дальнейшая трансграничная передача уже собранных в России данных по-прежнему возможна — с уведомлением Роскомнадзора, которое обязательно с 1 марта 2023 года.
Почему это касается счётчика Google
Счётчик Google работает не так, как форма заявки, данные из которой сначала попадают на ваш сервер. Тег Google в браузере посетителя сам формирует запрос и отправляет его сразу в Google.
Получается, что запись и накопление данных о посетителе происходят сразу в зарубежной базе. Если эти данные — персональные, это прямое нарушение новой редакции закона.
Cookie и IP — это персональные данные?
Здесь и начинается спор. Закон определяет персональные данные как любую информацию, относящуюся к прямо или косвенно определённому лицу. Счётчик Google собирает:
- идентификатор клиента в cookie _ga;
- IP-адрес — в отчётах он не хранится, но приходит в запросе;
- адреса страниц, устройство, браузер, город;
- идентификатор пользователя, если вы передаёте свой User-ID.
Отдельно ни одно из этого не называет человека по имени. Но в сочетании с другими данными — например, с заявкой, где есть телефон, — позволяет определить конкретного посетителя.
Позиция, что такие сведения могут быть персональными данными, встречается в практике Роскомнадзора и судов. Поэтому есть две трактовки.
Строгая: cookie и IP в связке с поведением на сайте — персональные данные, GA4 собирает их сразу за рубежом, значит, на сайтах для российской аудитории сервис использовать нельзя.
Мягкая: данные обезличены (псевдонимизированы), сначала формируются на стороне сайта, а их отправка в Google — это трансграничная передача, которая разрешена при уведомлении Роскомнадзора и согласии посетителя.
Эту позицию высказывают некоторые специалисты по аналитике, в том числе в отраслевом издании ppc.world.
Официального разъяснения Роскомнадзора именно про GA4, которое закрывало бы вопрос, на момент подготовки статьи нет. Поэтому выбор трактовки — это выбор уровня риска.
Трансграничная передача и уведомление Роскомнадзора
Если вы оставляете счётчик, минимальный набор по закону — уведомить Роскомнадзор о трансграничной передаче персональных данных. Порядок такой:
- Подать уведомление через портал Роскомнадзора или Госуслуги до начала передачи. В нём указывают получателя (Google), страну, состав данных и цели.
- Роскомнадзор рассматривает его 10 рабочих дней и может запросить дополнительные сведения.
- Ведомство вправе запретить или ограничить передачу, если сочтёт её угрозой. США не входят в список стран с адекватной защитой персональных данных, поэтому такой риск выше.
Но уведомление решает вопрос трансграничной передачи, а не локализации первичного сбора. При строгой трактовке оно не делает использование GA4 законным.
Штрафы
| Нарушение | Статья КоАП | Компании |
|---|---|---|
| Нарушение требования о локализации | ч. 8 ст. 13.11 | 1–6 млн ₽ |
| Повторное нарушение локализации | ч. 9 ст. 13.11 | 6–18 млн ₽ |
| Неуведомление РКН об обработке персональных данных | ст. 13.11 (редакция с 30.05.2025) | 100–300 тыс. ₽ |
Кроме штрафов Роскомнадзор может потребовать устранить нарушение, а по решению суда сайт могут внести в реестр нарушителей прав субъектов персональных данных и ограничить к нему доступ. Для бизнеса, который зависит от сайта, это серьёзнее штрафа.
Cookie-баннер и согласие
Независимо от трактовки, если аналитика Google на сайте остаётся, нужны:
- Политика обработки персональных данных, где Google указан среди третьих лиц и описана трансграничная передача.
- Баннер cookie с понятным описанием аналитических cookie и возможностью отказаться.
- Согласие на обработку персональных данных в формах, если данные форм передаются в Google.
Для честного баннера код должен грузиться только после согласия. В сервисе для этого есть режим согласия — сигналы analytics_storage и ad_storage, которые передаёт ваш баннер. Посмотреть, получает ли их ресурс, можно в «Администратор» → «Сбор и редактирование данных» → «Настройки согласия».
На нашем ресурсе видно, что сигналы согласия на cookie Аналитики неактивны: баннер сайта не связан с режимом согласия Google. Если оставлять счётчик, это первое, что нужно исправить.
Ещё одна настройка, которая снижает объём хранимых данных, — срок хранения. Минимальный — 2 месяца:
Что делать сайту в России: четыре варианта
1. Убрать GA4 и оставить Метрику
Самый безопасный вариант для сайтов с российской аудиторией. Метрика хранит данные в России, умеет всё, что нужно для рекламы в Директе, и даёт Вебвизор с картами кликов, которых в GA4 нет.
Если счётчика ещё нет — инструкция по установке; сравнение возможностей — в статье Метрика или GA.
Метрика тоже требует политики и согласия на cookie — подробно в статье про 152-ФЗ и Метрику.
2. Оставить GA4 по правилам
Если аналитика Google нужна — зарубежная реклама, связка с другими сервисами Google — оформите всё по максимуму: уведомление РКН, политика, баннер, режим согласия. И оцените с юристом остаточный риск при строгой трактовке.
3. Загружать GA4 только после согласия
Компромисс: код не срабатывает, пока посетитель не нажал «Принять» в баннере. Данные о тех, кто отказался, в Google не уходят. Проще всего настроить через Tag Manager — как устроена установка, разбирали в статье как установить GA4.
4. Разделить аудитории
Если у бизнеса есть зарубежные клиенты, счётчик Google можно оставить только на версии сайта для других стран, а российскую версию вести на Метрике.
Чек-лист перехода на Метрику
Если решили отказаться от GA4, сделайте переход без потери данных:
- Установите Яндекс Метрику и проверьте, что визиты приходят.
- Перенесите ключевые события в цели Метрики с теми же названиями.
- Если цели настроены через Tag Manager, перенесите их в контейнер или в Яндекс Тег Менеджер.
- Сохраните нужные отчёты GA4 за прошлые периоды — выгрузите в таблицы.
- Оставьте оба счётчика на 2–4 недели, сравните цифры и только потом удалите код Google.
- Уберите Google из политики и баннера cookie, если больше не передаёте ему данные.
Поисковые запросы Google после отказа от GA4 никуда не денутся — их показывает Search Console. Если раньше вы смотрели их через связку консоли с GA4, просто открывайте отчёт «Эффективность» в самой консоли.
А что с поисковыми данными Google?
Часто аналитику Google держат только ради поискового трафика из Гугла. Эти данные есть в Search Console, и для неё не нужен счётчик на сайте — консоль получает данные из поиска, а не от посетителей. Подробно — в обзоре Google Search Console.
Если же вы решили оставить GA4, начните с руководства по GA4 — там показано, как устроены отчёты и какие настройки сделать в первую очередь.
Нужна помощь с переходом на Метрику, настройкой целей и проверкой данных? Оставьте заявку — разберём ваш сайт.
