Запрещён ли Google Analytics по 152-ФЗ напрямую?

Прямого запрета на конкретный сервис в 152-ФЗ нет. Но его использование почти всегда означает трансграничную передачу персональных данных (IP-адрес, идентификаторы, поведение на сайте уходят на серверы Google за рубежом), а это включает требования об уведомлении РКН и оценке рисков передачи.

Нарушает ли Google Analytics требование локализации ПДн в России?

Само по себе использование GA не нарушает локализацию, если первичный сбор и хранение данных россиян всё равно идут в вашей базе на территории РФ. Проблема возникает, когда GA — единственное место, где вообще фиксируются данные о посетителе, и никакой российской первичной базы не существует.

Чем заменить Google Analytics для соответствия 152-ФЗ

Наиболее очевидная замена — Яндекс.Метрика: серверы в РФ, встроенные инструменты для настройки согласия. Также используют серверный сбор аналитики (server-side) на собственной инфраструктуре в России с последующей агрегацией данных без передачи сырых ПДн за рубеж.

Нужно ли уведомление РКН при использовании зарубежной аналитики?

Если данные посетителей вашего сайта (IP, cookie-идентификаторы, поведенческие метрики) физически передаются на серверы иностранного сервиса — да, формально требуется отдельное уведомление о трансграничной передаче до начала такой передачи, помимо общего уведомления об обработке ПДн.

Google Analytics и 152-ФЗ: легально ли использовать в 2026 году

Каждый второй сайт в рунете до сих пор считает трафик через Google Analytics — привычка осталась с тех времён, когда о персональных данных на сайте вообще не задумывались. Но с точки зрения 152-ФЗ google analytics и 152-фз — это не абстрактный вопрос для юристов, а конкретный риск: счётчик передаёт данные посетителей на серверы за пределами России, а значит, подпадает под правила трансграничной передачи и локализации.

Разберём, что именно происходит с данными при установке GA, где здесь реальное нарушение, а где — миф, и что делать, если статистика уже стоит на сайте.

Что технически передаёт Google Analytics

Когда посетитель открывает страницу со счётчиком GA, браузер отправляет запрос на серверы Google. В этом запросе уходит:

IP-адрес посетителя;
уникальный идентификатор cookie (client ID);
данные об устройстве, браузере, разрешении экрана;
поведение на сайте — просмотренные страницы, клики, время на сайте;
в некоторых конфигурациях — user ID, если сайт передаёт его при авторизации.

IP-адрес и идентификаторы cookie российские суды и Роскомнадзор относят к персональным данным, если они позволяют прямо или косвенно определить конкретного человека, — в связке с поведением на сайте это работает как раз так. Соответственно, каждый визит на страницу со счётчиком GA технически означает передачу ПДн на серверы Google, которые расположены за пределами РФ.

Это и есть суть проблемы: не «использование Google Analytics как сервиса» само по себе противоречит закону, а тот факт, что вместе со стандартной установкой ПДн посетителей уходят за границу без выполнения формальностей, которые для этого предусмотрены.

Трансграничная передача: при чём тут аналитика

Статья 12 152-ФЗ определяет трансграничную передачу как передачу персональных данных на территорию иностранного государства — иностранному физическому или юридическому лицу. Google — иностранное юрлицо, а его серверы для обработки аналитики расположены за рубежом. Формально это подпадает под определение.

Из этого вытекает практическое следствие: если на сайте стоит зарубежная аналитика, а вы ещё не подавали в Роскомнадзор отдельное уведомление о трансграничной передаче — обязанность, скорее всего, не выполнена. Это отдельный документ, не совпадающий с общим уведомлением об обработке ПДн по ст. 22, и его отсутствие не спасает даже то, что компания в целом законопослушна во всём остальном.

Подробно о том, что считается трансграничной передачей и как её оформить, мы разбирали в статье «Трансграничная передача персональных данных в 2026» — там же таблица типичных ситуаций и связь с требованием локализации.

А как же требование локализации

Здесь чаще всего происходит путаница. Требование локализации (ч. 5 ст. 18 152-ФЗ) касается не аналитики как таковой, а того, где физически лежит первичная база данных россиян: сбор, запись, хранение должны идти на серверах на территории РФ.

Google Analytics сам по себе не является вашей первичной базой клиентов — это инструмент статистики поверх уже существующего трафика. Поэтому, если:

у вас есть собственная база данных клиентов (CRM, база заказов, база подписчиков), физически расположенная в РФ;
а GA используется только для агрегированной статистики посещаемости,

то формально требование локализации не нарушено — нарушена (при отсутствии уведомления) именно норма о трансграничной передаче.

Другое дело, если никакой российской базы вообще нет, а единственное место, где фиксируются данные о посетителях, — это Google Analytics. Тогда фактически весь сбор и хранение данных о пользователях происходит сразу за рубежом, и добавляется уже нарушение локализации — с гораздо более серьёзными штрафами.

Риски: что грозит за использование зарубежной аналитики без уведомления

Ситуация	Норма	Штраф для юрлиц
Трансграничная передача без уведомления РКН	ст. 13.11 КоАП	штраф по составу нарушения порядка передачи
Нарушение локализации (нет российской первичной базы)	ч. 5 ст. 18 152-ФЗ, ст. 13.11 КоАП	до 6 000 000 ₽, повторно — до 18 000 000 ₽
Обработка ПДн (в т.ч. через cookie аналитики) без согласия посетителя	ч. 2 ст. 13.11 КоАП	до 700 000 ₽, повторно — до 1 500 000 ₽

На практике риск редко реализуется как «внезапная проверка ради одной GA-метки» — Роскомнадзор чаще реагирует на жалобы или комплексные проверки. Но при любой такой проверке зарубежный счётчик аналитики — один из первых пунктов, которые смотрят вместе с политикой конфиденциальности, cookie-баннером и наличием согласий в формах.

Чем заменить Google Analytics

Если задача — снять риск полностью, а не оценивать его вероятность, есть три рабочих варианта.

Яндекс.Метрика. Самая очевидная замена: серверы в РФ, функциональность на уровне GA (вебвизор, карты кликов, электронная коммерция), встроенные инструменты для управления согласием на cookie. Для большинства сайтов миграция — это замена одного счётчика на другой без потери данных о поведении пользователей.

Серверный сбор аналитики (server-side). Данные собираются и обрабатываются на собственной инфраструктуре в России, а во внешние сервисы (если они всё же используются) уходит уже агрегированная, деперсонализированная статистика без прямой привязки к конкретному посетителю.

Комбинация: российский счётчик + отказ от передачи «сырых» ПДн за рубеж. Если бизнес завязан на зарубежные BI-инструменты для анализа, стоит выстроить цепочку так, чтобы за границу уходили только агрегаты (число посетителей, конверсии), а не идентифицируемые данные конкретных людей.

Что делать, если Google Analytics уже стоит на сайте

Короткий план для тех, кто не готов резко всё менять:

Проверьте, есть ли у вас российская первичная база данных посетителей и клиентов. Если её нет и GA — единственный источник данных о пользователях, это приоритет №1: нужно заводить собственную базу на инфраструктуре в РФ.
Оцените, подавали ли вы уведомление о трансграничной передаче. Если нет — это можно и нужно сделать не дожидаясь проверки.
Добавьте cookie-баннер с активным согласием, если его ещё нет — GA не должен запускаться до того, как посетитель дал согласие на аналитические cookie.
Рассмотрите постепенную миграцию на Яндекс.Метрику параллельно с GA — это снимает риск полностью и не требует резкого отказа от привычных отчётов.
Проверьте остальную инфраструктуру — часто вместе с GA на тех же условиях висят зарубежная CRM, рассыльщик или чат-виджет, и разбираться с трансграницей эффективнее один раз и по всем сервисам сразу.

Полный разбор того, что закон считает трансграничной передачей и как правильно уведомить Роскомнадзор, — в статье «Трансграничная передача персональных данных в 2026». А общий чеклист по приведению сайта в соответствие с 152-ФЗ, включая cookie-баннер и согласия в формах, собран в материале «Как привести сайт в соответствие с 152-ФЗ».

Быстрее всего понять, какая аналитика и какие сторонние сервисы фактически стоят на вашем сайте и куда уходят данные посетителей, — прогнать сайт через автоматическую проверку. Все материалы по передаче данных за рубеж собраны в хабе «Трансграничная передача данных».