Google Analytics, reCAPTCHA, шрифты и чаты на сайте: что нарушает 152-ФЗ

Что именно считается нарушением, а что нет

В 152-ФЗ нет списка запрещённых сервисов. Закон не говорит «Google Analytics нельзя». Он устанавливает правила для оператора, то есть для вас как владельца сайта. Три из них касаются внешних сервисов.

1) Первичная запись данных граждан РФ — в базы на территории России. Это ч.5 ст.18 152-ФЗ в редакции ФЗ-23 от 28.02.2025, действует с 01.07.2025. Подробности — в статье про локализацию персональных данных. Если посетитель открыл сайт, а его IP-адрес и идентификатор сразу записались на зарубежном сервере, у проверяющего есть повод увидеть здесь нарушение.

2) Трансграничная передача. Ст.12 152-ФЗ: до начала передачи данных за рубеж оператор должен уведомить Роскомнадзор (ч.3) и заранее получить от иностранного получателя сведения о мерах защиты (ч.5). Если вы подключили зарубежный сервис и ни разу об этом не писали в РКН, это отдельная проблема. Подробнее — в статье про трансграничную передачу ПДн.

3) Согласие и информирование. Если сервис собирает данные, нужны основание для обработки (чаще всего согласие по ст.9) и описание в Политике: кто получает данные, зачем и на какой срок.

Теперь об «IP и cookie — это вообще персональные данные?». Закон прямо этого не говорит. Но на практике Роскомнадзор и юристы исходят из того, что идентификатор, по которому можно выделить конкретного посетителя, — это ПДн. Безопаснее считать так же. Формы с именем и телефоном — ПДн без вариантов.

Согласие посетителя закрывает вопрос основания обработки (ст.9), но не отменяет ни уведомление РКН о трансграничной передаче (ст.12), ни требование о локализации: исключения из ч.5 ст.18 перечислены в пп.2, 3, 4 и 8 ч.1 ст.6, согласия среди них нет. Поэтому «показали баннер и грузим Google Analytics после клика» — снижение риска, а не полная защита. Перечня сервисов-нарушителей в законе нет, а судебной практики именно по аналитике и шрифтам мы не нашли. Поэтому ниже — что технически происходит на сайте и что с этим делать.

Таблица: сервис, риск, что делать

Ниже по каждой строке: что происходит технически и что делать.

Google Analytics, GA4 и Google Tag Manager

Что собирает. Скрипт ставит cookie с идентификатором посетителя и отправляет на серверы Google данные о визите: страницы, источник трафика, устройство, примерный регион. IP-адрес при этом приходит на сервер Google в любом случае. Оператор — Google LLC, серверы за пределами РФ.

В чём риск. Каждый посетитель сайта попадает в зарубежную систему с собственным идентификатором. Это затрагивает и локализацию (ч.5 ст.18), и трансграничную передачу (ст.12). Уведомление в РКН о передаче в Google у большинства малых сайтов не подано.

Tag Manager сам по себе аналитику не ведёт, это контейнер. Но он тоже грузится с серверов Google и запускает всё, что в него положили: если внутри GA4, Meta Pixel и чат, то все эти нарушения едут вместе с ним. Проверяйте содержимое контейнера, а не только факт его наличия.

Что делать.

• Убрать GA4 и перейти на Яндекс.Метрику. Для большинства сайтов её хватает: посещаемость, источники, цели, конверсии.
• Если Google Analytics нужен по бизнес-причинам, запускайте его только после согласия через cookie-баннер с настоящей кнопкой «Отклонить», описывайте в Политике и сознательно принимайте остаточный риск по локализации.
• Скрипт не должен стартовать до клика на баннере. Проверить это можно в DevTools, об этом в конце статьи.

Google reCAPTCHA

Что собирает. Чтобы отличить человека от бота, reCAPTCHA получает IP, cookie Google, данные о браузере, положение курсора и другие признаки поведения. Версия v3 работает незаметно и висит на всех страницах, где подключена, а не только рядом с формой.

В чём риск. Данные посетителя уходят Google даже тогда, когда он ничего не отправлял и просто открыл страницу с формой. Согласие у него никто не спрашивал. Баннер cookie проблему не решает, если сама капча грузится до его появления.

Что делать. Заменить на Яндекс SmartCaptcha. Это российский сервис, подключается скриптом на страницу и проверкой токена на сервере. Для WordPress есть плагины, для Битрикса и Тильды — готовые интеграции или вставка кода. Если капча нужна только от спама, можно обойтись скрытым полем-ловушкой (honeypot) и ограничением частоты отправки: внешних сервисов не надо вообще.

Google Fonts с серверов Google

Что собирает. Если шрифт подключён строкой вида fonts.googleapis.com в коде, браузер каждого посетителя при открытии страницы запрашивает файл у Google. Вместе с запросом на сервер Google уходят IP-адрес и данные браузера. Никаких кнопок нажимать не нужно.

В чём риск. Это самый «тихий» вид передачи: владелец сайта часто даже не знает, что он есть. Шрифты ставят темы WordPress, готовые шаблоны, конструкторы. Данных мало, но проверяется нарушение проще всего: достаточно открыть исходный код страницы.

Что делать. Раздавать шрифты со своего хостинга.

• Скачайте файлы шрифта (woff2) и положите на хостинг сайта.
• Подключите их через @font-face в стилях.
• Удалите из шаблона ссылки на fonts.googleapis.com и fonts.gstatic.com.
• В WordPress это делают плагины, которые скачивают шрифты на хостинг и переписывают подключение. Для Тильды в настройках сайта можно выбрать шрифт из встроенного набора или загрузить свой.

Лицензия у большинства шрифтов Google открытая, так что хранить их у себя можно.

YouTube-встраивания и Google Maps

Что собирает. Обычный iframe с YouTube сразу при загрузке страницы обращается к серверам Google и ставит cookie. Если посетитель залогинен в аккаунт Google, это связывается с его профилем. Режим youtube-nocookie.com снижает количество cookie, но сервер всё равно принадлежит Google. С картами Google Maps то же самое.

Что делать.

• Карту заменить на Яндекс Карты. Для проезда и адреса этого достаточно.
• Видео перенести на RuTube или VK Видео, у них есть код для встраивания.
• Если видео остаётся на YouTube, поставьте вместо плеера картинку-превью с кнопкой. Плеер подгружается только после клика, а рядом написано, что при просмотре данные передаются YouTube (Google). Так посетитель сам делает выбор, а страница не отправляет данные автоматически.

Meta Pixel (Facebook и Instagram, Meta в России запрещена)

Что собирает. Пиксель отправляет в Meta события: просмотры, добавления в корзину, заполнение форм, плюс идентификаторы браузера и IP.

В чём риск. Здесь два слоя. Первый — тот же, что у остальных: данные уходят за рубеж. Второй особый: Meta Platforms Inc. признана в России экстремистской организацией, её деятельность запрещена (решение Тверского районного суда Москвы от 21.03.2022). Обосновать законность такой передачи будет заметно труднее, чем для аналитики.

Что делать. Убрать пиксель вместе с событиями в Tag Manager. Для ретаргетинга использовать Яндекс Директ и пиксель Яндекс.Метрики.

Зарубежные онлайн-чаты и виджеты обратного звонка

Что собирает. Виджет чата хранит переписку, а в ней — имя, почту, телефон и всё, что человек написал. У виджетов «перезвоните мне» поле с телефоном — это прямой сбор ПДн.

Зарубежные сервисы (Tawk.to, Crisp, Intercom, Drift, LiveChat и подобные) хранят обращения у себя, за пределами РФ. Для российского сайта это первичная запись ПДн за рубежом, причём без вашей возможности повлиять на место хранения.

Российские сервисы (Jivo, Битрикс24, Envybox и другие) не дают автоматической «справки о чистоте». Нужно проверить у каждого: где физически хранятся данные, есть ли это в оферте или политике сервиса, подключены ли дополнительные зарубежные модули (например, ИИ-ассистент или аналитика от иностранного провайдера). Ответ службы поддержки лучше получить письменно и сохранить.

Что делать. Заменить зарубежный чат на российский, подтвердить место хранения, а в Политике указать сервис и цель. Если форма обратного звонка в виджете собирает телефон, около неё должен быть чекбокс согласия, как в любой другой форме.

Google Forms, Typeform, заявки на gmail, зарубежные рассылки

Google Forms и Typeform. Ответы лежат на серверах Google (США) и Typeform (зарубежная компания). Форма опроса, записи или заявки — это сбор ПДн в зарубежную базу. Заменить можно на Яндекс.Формы или на форму сайта, которая пишет в вашу базу на российском хостинге.

Заявки на gmail. Здесь важно, как устроена цепочка. Если форма сначала записывает заявку в базу на российском хостинге, а письмо на gmail — уже копия, спор о первичной записи слабее, но остаётся вопрос трансграничной передачи. Если письмо на gmail — единственное место, где заявка хранится, это самый прямой вариант нарушения. Надёжнее принимать заявки на почту в российском сервисе: Яндекс 360, Mail.ru для бизнеса или своя почта на хостинге.

Зарубежные рассылки. Mailchimp и похожие сервисы хранят список подписчиков (имена, адреса, историю) за рубежом. Переезд на UniSender, Mailopost или собственный SMTP-сервер в России снимает вопрос. SendPulse перед выбором стоит проверить письменно. Отдельно помните: для рекламной рассылки нужно отдельное согласие, не совпадающее с согласием на обработку ПДн (ст.18 закона «О рекламе»).

Яндекс.Метрика с Вебвизором: сервис российский, но не «бесплатный пропуск»

Это частая ошибка в обратную сторону: «Метрика российская, значит, всё можно». С серверами вопросов нет, но обязанности остаются.

Cookie и IP. Метрика ставит cookie и фиксирует визиты. Поэтому нужны описание в Политике и баннер с согласием, и грузить её лучше после клика «Принять». Как настроить баннер, написано в статье про cookie-баннер.

Вебвизор записывает действия посетителя: клики, движения мыши, прокрутку. Если на странице есть формы, он может зафиксировать то, что человек печатает. Поэтому для Вебвизора нужна отдельная осторожность: скрывайте поля форм, не включайте на страницах с ПДн (личный кабинет, оформление заказа), а само использование указывайте в Политике. Если Вебвизор вам не нужен для работы, проще его отключить.

Чем это грозит

Штрафы идут по ст.13.11 КоАП РФ в редакции ФЗ-420 от 30.11.2024, с 30.05.2025. Полная таблица — в статье про штрафы по 152-ФЗ.

Для ИП суммы зависят от части статьи: по ч.8, ч.9 и ч.10 ИП отвечает как юрлицо (примечание 1 к ст.13.11), по ч.2 — как должностное лицо, по ч.3 для ИП отдельная сумма 10–20 тыс. ₽.

Как это выглядит на практике: Роскомнадзор ведёт автоматизированный мониторинг сайтов, нарушителю обычно приходит требование об устранении, штраф — следующий шаг. Суды при первом нарушении нередко заменяют штраф предупреждением (ст.4.1.1 КоАП). Рассчитывать на предупреждение не стоит: исправление полностью в ваших руках.

Отдельной части ст.13.11 именно за неподачу уведомления о трансграничной передаче (ст.12) нет. Это не значит, что нарушения нет: ст.12 действует, а квалификация зависит от обстоятельств.

Как проверить свой сайт

Способ 1: DevTools в браузере. Код писать не придётся, нужен только браузер.

1. Откройте сайт в Chrome в режиме инкогнито, чтобы не мешали расширения и ваши cookie.
2. Нажмите F12 (на Mac: Cmd+Option+I) и откройте вкладку Network.
3. Обновите страницу, пока вкладка открыта. Список запросов заполнится.
4. В поле Filter по очереди введите: google, gstatic, facebook, youtube, doubleclick, tawk, crisp, mailchimp. Любая найденная строка — обращение вашей страницы к этому сервису.
5. Проверьте, что происходит до клика по баннеру. Если Google Analytics, Метрика или пиксель отправляют запросы сразу, баннер не блокирует их.
6. Откройте страницу с формой и страницу, где есть видео или карта. Часть запросов появляется только там.
7. Запишите список доменов. Для каждого ответьте: чей сервис, где серверы, зачем он нужен.

Способ 2: сканер. Бесплатный сканер на пдн152.рф разбирает сайт по правилам, без ИИ, и показывает, какие сервисы и формы нашлись: https://пдн152.рф/scan. Если нужен разбор с готовым планом правок, пройдите экспресс-аудит.

Если нашли в списке домены Google, Meta или иностранные чаты, дальше два пути: убрать сервис или заменить на российский. Какой из них выбрать, зависит от платформы: для Тильды и WordPress есть отдельные разборы с настройками. После замены обновите Политику, а если вы уже в реестре операторов и состав обработчиков изменился, подайте изменения в РКН.

Пошаговый порядок действий

1. Составьте список внешних сервисов Откройте сайт в инкогнито, нажмите F12, вкладка Network, обновите страницу. Выпишите все домены, не принадлежащие вам, и для каждого определите, чей это сервис.
2. Уберите Google Analytics и Tag Manager Подключите Яндекс.Метрику, перенесите цели и удалите скрипты Google, в том числе из контейнера Tag Manager.
3. Замените reCAPTCHA Подключите Яндекс SmartCaptcha или скрытое поле-ловушку с лимитом отправок.
4. Перенесите шрифты на хостинг Скачайте woff2-файлы, подключите через @font-face, удалите ссылки на fonts.googleapis.com и fonts.gstatic.com.
5. Замените видео и карты Карту — на Яндекс Карты, видео — на RuTube или VK Видео либо поставьте превью с загрузкой плеера по клику.
6. Проверьте чаты, формы и рассылки Зарубежные чаты, Google Forms, Typeform и Mailchimp замените на российские. У российских запросите письменное подтверждение места хранения данных.
7. Настройте баннер и обновите Политику Все необязательные скрипты, включая Метрику с Вебвизором, запускайте после клика «Принять». Внесите в Политику список сервисов, цели и сроки хранения.
8. Проверьте результат Повторите проверку во вкладке Network до клика по баннеру и после него или запустите сканер пдн152.рф/scan.

Материал носит информационный характер, актуален на 2026 год и не заменяет юридическую консультацию по вашему конкретному случаю.