Google Analytics и reCAPTCHA на сайте — почему это сбор персональных данных по 152-ФЗ
Разбираемся, почему Google Analytics и reCAPTCHA требуют согласия на обработку персональных данных, какие риски это несёт и как легально использовать эти с
Заказчик присылает бриф на новый сайт, и в списке требований — «поставьте, пожалуйста, Google Analytics, чтобы видеть посетителей, и recaptcha на форму заявки, чтобы боты не заваливали спамом». Просьба звучит как техническая мелочь, но именно с неё начинается разговор про 152-ФЗ «О персональных данных»: оба сервиса при обычной настройке отправляют данные о посетителе на серверы Google, которые физически находятся за пределами России.
Разберём, что именно в этих инструментах подпадает под закон, чем это грозит и какими средствами вопрос закрывается на практике — без панических штрафов-пугалок и без совета «просто уберите метрику».
Что в этих сервисах собирает данные, а не просто «считает визиты»
Статья 3 152-ФЗ определяет персональные данные предельно широко: это любая информация, которая прямо или косвенно относится к определённому или определяемому физическому лицу. Ключевое слово — «косвенно». Не нужен паспорт или ФИО, чтобы данные считались персональными: достаточно набора признаков, по которым человека можно отличить от других посетителей сайта.
Google Analytics при стандартном подключении собирает:
- клиентский идентификатор (cookie
_ga), который сохраняется на устройстве и однозначно связывает все визиты одного посетителя; - IP-адрес (даже при включённой анонимизации часть адреса всё равно передаётся на сервер обработки);
- User-Agent, разрешение экрана, язык браузера, реферер — совокупность этих параметров называется цифровым отпечатком и в связке с cookie-идентификатором тоже указывает на конкретного человека;
- события поведения — какие страницы смотрел, сколько времени провёл, откуда пришёл.
Отдельно каждый параметр выглядит безобидно. Вместе это ровно то, что закон называет информацией, относящейся к определяемому физическому лицу.
Google reCAPTCHA работает иначе, но по сути собирает похожий набор: анализирует движения мыши, скорость набора текста, историю взаимодействия с другими сайтами, где стоит recaptcha, cookie Google-аккаунта, если пользователь в него залогинен, и IP-адрес. Всё это отправляется на серверы Google для расчёта «человек или бот», и снова обработка идёт за пределами России.
Требование локализации: что именно говорит закон
Часть 5 статьи 18 152-ФЗ обязывает при сборе персональных данных граждан России, в том числе через интернет, обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение этих данных с использованием баз данных, физически расположенных на территории России. Норму внесли поправками Федерального закона от 21.07.2014 №242-ФЗ, они вступили в силу с 1 сентября 2015 года — с тех пор требование действует без исключений для сайтов, ориентированных на российских пользователей.
Норма не запрещает передавать данные за рубеж вообще — трансграничная передача разрешена статьёй 12 152-ФЗ при соблюдении условий. Смысл в том, что первичный сбор и хранение должны идти через российскую инфраструктуру, а уже потом, при необходимости, данные можно передавать дальше.
Google Analytics и reCAPTCHA в типовой настройке эту последовательность нарушают: браузер посетителя отправляет данные напрямую на серверы Google, минуя любую российскую базу. Формально это происходит, даже если владелец сайта — небольшая региональная компания без единого зарубежного клиента и вообще не думал о трансграничной передаче.
Что грозит за нарушение
Роскомнадзор — регулятор, который следит за соблюдением 152-ФЗ, ведёт реестр операторов персональных данных и реестр нарушителей закона о локализации. Попадание в этот реестр означает блокировку ресурса на территории России: самый известный публичный прецедент — блокировка LinkedIn в 2016 году именно за несоблюдение требования о локализации.
Ответственность за нарушения в области персональных данных предусмотрена статьёй 13.11 КоАП РФ, где отдельно выделен состав за неисполнение обязанности по локализации — это часть 8 данной статьи. Санкции для юридических лиц там измеряются суммами в диапазоне миллионов рублей, при этом за повторное нарушение штраф выше первичного. Точный размер зависит от конкретных обстоятельств дела, поэтому за актуальными цифрами и практикой их применения лучше обращаться к юристу, а не ориентироваться на цифры из интернета — размеры штрафов периодически пересматриваются.
Кроме прямого риска блокировки и штрафа есть более прозаичная проблема: если оператор персональных данных не подавал уведомление в Роскомнадзор об обработке персональных данных (обязанность из статьи 22 152-ФЗ), любая проверка начнётся именно с этого пробела, и вопрос локализации всплывёт следом.
Российские альтернативы: что решает проблему
Полный отказ от аналитики и защиты форм от ботов не решение, а лишь способ спрятать задачу. На рынке есть рабочие замены с локализацией данных в России:
| Задача | Зарубежный сервис | Российская альтернатива | Что с локализацией |
|---|---|---|---|
| Веб-аналитика | Google Analytics | Яндекс.Метрика | Данные собираются и хранятся на серверах в РФ, интерфейс и отчёты на русском |
| Веб-аналитика | Google Analytics | VK Аналитика (бывший Топ Mail.ru) | Российский оператор, серверы в РФ |
| Защита форм от ботов | Google reCAPTCHA | Яндекс SmartCaptcha | Обработка идёт через инфраструктуру Яндекса на территории России |
| Защита форм от ботов | Google reCAPTCHA | hCaptcha (с оговоркой) | Зарубежный сервис, локализацию не решает — рассматривать только вместе с юридическим анализом трансграничной передачи |
Диапазон в таблице — не рекламный список, а реальная замена по функциям: Яндекс.Метрика закрывает те же задачи, что и Google Analytics (воронки, сегменты, вебвизор, электронная коммерция), а SmartCaptcha встраивается на форму так же, как reCAPTCHA — виджетом с токеном для серверной проверки.
Деталь, которую часто упускают: сама по себе замена инструмента не отменяет необходимость собирать согласие на обработку персональных данных и публиковать политику обработки — это отдельное требование закона, не связанное с тем, российский сервис или зарубежный.
Как это обычно закрывают на проекте
Когда мы делаем сайт или веб-платформу и заказчик просит поставить аналитику или капчу, вопрос локализации разбираем на этапе технического задания, а не постфактум: переделывать интеграцию после запуска дороже, чем спроектировать её правильно сразу.
Похожая логика была на проекте сервиса поиска попутчиков: заказчик хотел проверять водителей по паспорту и водительскому удостоверению прямо в приложении, то есть собирать и хранить документы пользователей на своём сервере. Мы показали риск: при утечке или взломе сервера с такими данными компания отвечает как оператор персональных данных, а штрафы и репутационные потери несопоставимы с экономией на разработке. Решение — встроить сторонний KYC-сервис для верификации личности, тогда сама компания не хранит паспортные данные и не становится их оператором в полном смысле, а для минимального набора данных (имя, телефон) достаточно чекбокса согласия при регистрации. Отдельно предложили заказчику проконсультироваться с юристом по подаче сведений в Роскомнадзор, потому что окончательное решение о статусе оператора и объёме уведомления РКН всегда принимает заказчик вместе с юристом, разработчик выступает исполнителем технической части.
Для готового сайта с уже стоящими Google Analytics и reCAPTCHA работа обычно укладывается в понятную последовательность:
- аудит всех сторонних скриптов на сайте — не только аналитики и капчи, но и виджетов чатов, шрифтов, карт, которые тоже могут тянуть данные за рубеж;
- замена метрики и капчи на российские аналоги без потери функциональности форм и отчётов;
- обновление политики конфиденциальности и формы согласия под реальный список используемых сервисов — старая политика, где перечислен Google Analytics, а фактически стоит Яндекс.Метрика, сама по себе является нарушением;
- проверка, подано ли уведомление в Роскомнадзор, и при необходимости его актуализация.
Такие доработки укладываются в формат поддержки после запуска: часы расходуются в рамках тарифа, а не оплачиваются как отдельный проект с нуля. У нас есть три тарифа поддержки — Базовый на 10 часов в месяц за 25 000 ₽, Стандарт на 20 часов за 45 000 ₽ и Расширенный на 40 часов за 85 000 ₽, время реакции — от двух часов до дня в зависимости от тарифа, часы сверх лимита — 2 500 ₽ в час. Аудит стороннего кода и замена одного-двух виджетов на новом сайте обычно занимает часть месячного лимита на среднем тарифе, а не выходит за его рамки — точный объём зависит от того, сколько сторонних сервисов реально стоит на сайте и насколько глубоко они интегрированы с бэкендом.
Частые вопросы
Если убрать Google Analytics и поставить Яндекс.Метрику, вопрос закрыт полностью? Замена аналитики снимает основную техническую причину нарушения — трансграничную передачу данных о посетителях. Но закон требует ещё согласие на обработку персональных данных и актуальную политику конфиденциальности, поэтому вместе с заменой сервиса стоит проверить и эти документы.
А если сайт не собирает имена и телефоны, а только считает посетителей — это тоже касается? Да, потому что IP-адрес и cookie-идентификатор в связке с поведением на сайте закон трактует как информацию, относящуюся к определяемому физическому лицу, даже без имени и телефона. Именно поэтому обычная веб-аналитика тоже попадает под требование о локализации.
Сколько времени занимает такая доработка на уже работающем сайте? Технически замена виджета аналитики или капчи — работа на несколько часов, основное время уходит на проверку, что новый сервис не сломал существующие формы и интеграции, и на обновление текстов политики конфиденциальности. При работе в рамках тарифа поддержки такая задача обычно закрывается в течение недели.
Нужно ли обращаться к юристу, или разработчик решает вопрос сам? Разработчик закрывает техническую часть: меняет сервисы, настраивает согласие пользователя, проверяет код. Вопрос о том, какой объём данных компания собирает, нужно ли подавать или обновлять уведомление в Роскомнадзор и как формулировать политику конфиденциальности под конкретный бизнес, — зона юриста, и мы сами советуем заказчикам не пропускать эту консультацию, а не полагаться только на разработку.
Что делать, если на сайте уже стоят десятки сторонних скриптов и непонятно, какие из них проблемные? Начинать с аудита: выгрузить список всех подключённых внешних сервисов — от аналитики и капчи до карт, шрифтов и виджетов обратной связи — и для каждого проверить, куда физически уходят данные пользователя. Это разовая работа, после которой понятно, что менять в первую очередь, а что можно оставить.
Если на вашем сайте стоят Google Analytics, reCAPTCHA или похожие сервисы и вы хотите разобраться, что из этого требует замены, — напишите нам в Telegram @alexnc_ai, разберём конкретно ваш случай.
